Os sistemas biométricos têm se expandido e as identidades digitais, meios pelos quais o cidadão se identifica oficialmente e autentica documentos, representam uma nova fronteira. O Sul Global, em especial, é visto como um “campo de testes” pelas big techs que fornecem essas tecnologias, que ironicamente enfrentam resistências em seus países de origem.
Um exemplo é o que acontece na Colômbia, que recentemente implantou a Cédula Digital Colombiana, funcionando como uma identidade digital e também como autenticador. O documento integra diversos serviços governamentais, permite assinar documentos, realizar autenticação bancária e é necessário para acessar políticas públicas.
Imagem gerada por inteligência artificial generativa utilizando palavras-chave: Cédula Digital, Colômbia, França e soberaniaUma parceria entre o órgão de registro civil colombiano (Registraduría Nacional del Estado Civil ou RNEC) e a empresa de francesa IDEMIA define a infraestrutura de identificação do país há mais de duas décadas. Essa relação revela uma profunda integração que transcende os interesses públicos e privados.
Nos últimos anos, a IDEMIA deu um salto gigantesco no faturamento a partir do seu modelo de negócio estabelecido no país latino-americano. Ela ganha em duas frentes: pelas consultas e pelas autenticações realizadas por órgãos governamentais e privados. Mas, além disso, também pode lucrar revendendo dados pessoais para fins de marketing para outras big techs, segundo revelaram estudos recentes.
Essa relação entre uma empresa estrangeira e órgãos governamentais colombianos foi apresentada pelos pesquisadores Joan Lopez-Solano e Juan Diego Castañeda no artigo “‘A promising playground’: IDEMIA and the digital ID infrastructuring in Colombia”, publicado no periódico Information, Communication & Society.
A investigação sobre o aplicativo Cédula Digital Colombiana, que apresenta as inconsistências, os riscos e as dúvidas sobre o modelo de negócio da IDEMIA foram revelados no“Informe de hallazgos: Análisis de la aplicación Cédula Digital”, um relatório publicado pelo Laboratório de Segurança Digital e Privacidade da Fundação Karisma (K+Lab). A Fundação Karisma é uma organização da sociedade civil que atua promovendo os direitos humanos no mundo digital, atuando a partir da Colômbia. Juan Diego Castañeda, um dos autores do artigo anteriormente citado, é um dos diretores da entidade.
Pequeno histórico da relação entre a IDEMIA e a Colômbia
Na virada do século, o governo colombiano planejou implementar um sistema automatizado de identificação de impressões digitais para servir como plataforma para terceiros. Para isso, contratou a empresa francesa Safran Morpho, atualmente IDEMIA. Em 2010, iniciou-se uma fase de autenticação pela web e, finalmente, em 2019, começaram as tentativas de implementação de uma identidade digital, sem uso de documento em papel, com reconhecimento facial.
Mas foi em 2020, no contexto da pandemia global, que os contratos com a IDEMIA foram acelerados pela RNEC. A empresa foi contratada com dispensa de licitação e, em dois meses, lançou uma versão do aplicativo já existente “MobileID”, cuja versão customizada foi renomeada para “Cédula Digital Colombiana”.
Segundo a investigação da Fundação Karisma, há indícios claros de similaridade entre os dois aplicativos, tanto na documentação quanto nas evidências encontradas após uma investigação não invasiva dos softwares.
Problemas encontrados na Cédula Digital
Há uma contradição no que se refere responsabilidade de quem controla os dados pessoais da Cédula Digital Colombiana. Legalmente, esse papel caberia à RNEC, mas, em nenhum momento, a IDEMIA é citada nas licenças, nas lojas de aplicativos ou documentos apresentados aos usuários. No entanto, a investigação técnica da Karisma demonstrou que há comunicação intermitente com os servidores da multinacional durante o uso do aplicativo. Além disso, há outros traços deixados que remetem aos termos de uso nos servidores da IDEMIA, permitindo, inclusive, compartilhamento de dados para fins de marketing.
Encontrar essas evidências não seria surpreendente, já que a IDEMIA foi contratada para isso pelo Estado colombiano. A questão é que existem diversos pontos obscuros nessa relação, como quem é responsável pelo tratamento e controle dos dados dos cidadãos. Toda a infraestrutura da IDEMIA, incluindo os servidores, opera em servidores da Amazon fora do território colombiano, e isso entraria em conflito com a lei de proteção de dados do país.
Essas preocupações levantam questões sobre soberania digital e sobre o colonialismo de dados, envolvendo o tratamento de dados de pessoais e até compartilhado fora de suas fronteiras. E o problema não parece estar restrito só à Colômbia. A mesma empresa já estabeleceu negócios com o Chile, Indonésia, Botsuana, Líbia, Chade, Mali, Nigéria, Quênia e Costa do Marfim. Nesses países, os governos criaram ou modificaram seus sistemas de identidade para utilizar as infraestruturas proprietárias da empresa francesa.
Isso gera dependência por meio de parcerias público-privadas para o estabelecimento dos sistemas locais de identificação e autenticação, segundo Lopez-Solano e Castañeda.
Mas há outros problemas encontrados pela investigação da Fundação Karisma. No código dos arquivos de configuração, há menção de “nível baixo” para a segurança dos dados biométricos utilizados no aplicativo. Essas evidências não são exatamente provas de qualquer vazamento de dados, mas indicam que a proteção dos dados dos cidadãos pode estar frágil na infraestrutura da IDEMIA.
Por fim, verificou-se a existência de rastreadores – conhecidos como SDKs – que permitem monitorar ações ou modos de utilização do aplicativo. Esses rastreadores não são mencionados nos termos de uso do aplicativo e, para piorar, identificou-se que alguns deles estão relacionados a serviços externos, como os do Google, indicando uma possível transferência de informações para outras big techs.
Segundo o relatório da Karisma: (…) “sua presença pode permitir o rastreamento de usuários e a transmissão de dados para empresas do setor de marketing, o que representa riscos significativos em termos de privacidade e proteção de dados pessoais.” Ainda que esses rastreadores sejam uma herança do aplicativo-mãe da empresa e que não estejam sendo utilizados, o mais razoável seria uma limpeza do código desnecessário para o fornecimento da tecnologia a um novo cliente.
Capitalismo de vigilância no Sul Global
A Cédula Digital colombiana se enquadra como um bom exemplo no eixo de pesquisa que OplanoB classifica como “capitalismo de vigilância no Sul Global”. Esse eixo foca na análise da centralidade econômica e nas razões do sucesso desse fenômeno do Capitalismo de Vigilância no Sul Global. Também permite refletir sobre as relações entre big techs do Norte, sejam elas europeias ou estadunidenses, e como essas parcerias são amplificadas em um espaço geográfico de “testes” para expandir suas tecnologias de coleta, processamento e vigilância, a despeito de da soberania dos países ou de seus cidadãos.
A utilização de identificação digital não é uma exclusividade da Colômbia, OplanoB já reportou vários aspectos referentes ao caso da Índia e o seu robusto sistema Adahar, onde questões de limites entre público e privado também são temas de várias pesquisas, como o texto “Sistema de identificação biométrica da Índia faz elo entre passado colonial e nacionalismo tecno-cultural”. O caso latino-americano, no entanto, evidencia uma questão mais preocupante de uma empresa do Norte explorando os dados num país do Sul Global.
Para ler o artigo: https://doi.org/10.1080/1369118X.2024.2302995
Esta nota faz parte do projeto “Inteligência Artificial e Capitalismo de Vigilância no Sul Global”, realizado pelo Labjor - Unicamp | Laboratório de Estudos Avançados em Jornalismo. Conta com o apoio da Rede Latino-Americana de Estudos sobre Vigilância, Tecnologia e Sociedade (LAVITS) e da Fundação de Amparo à Pesquisa do Estado de São Paulo (FAPESP), pelo Programa José Reis de Incentivo ao Jornalismo Científico (Mídia Ciência).