Introdução: o bisbilhoteiro já não está no seu bolso, está nas suas paredes
Quando se fala de privacidade digital, o reflexo é olhar para o telemóvel. É lógico: é o objeto que transportamos para todo o lado, o que conhece as nossas deslocações, as nossas mensagens, as nossas pesquisas. Mas, nos últimos cinco anos, ocorreu uma mutação silenciosa. O ponto de recolha mais denso da sua vida já não é móvel: é fixo, está distribuído pelas divisões da casa, ligado à corrente, e funciona 24 horas por dia, mesmo enquanto dorme.
Faça o inventário mentalmente. Um televisor ligado à Internet na sala. Um router do operador e talvez um repetidor Wi-Fi. Uma coluna com assistente de voz na cozinha. Lâmpadas controláveis à distância. Um aspirador robô que memorizou a planta do seu apartamento ao centímetro. Uma campainha com vídeo. Um termóstato inteligente. Uma balança, um relógio, uma pulseira de atividade que se sincronizam durante a noite. Uma consola de jogos. Talvez um contador inteligente na zona técnica. Some tudo: a maioria dos lares ultrapassa hoje a dezena de aparelhos conectados, e cada um deles mantém uma conversa regular com servidores fora do seu controlo.
O paradoxo é cruel: podemos cifrar as nossas mensagens, usar serviços de SMS anónimos, compartimentar as nossas identidades online, blindar o navegador — e deixar que um televisor transmita todas as noites a lista, com data e hora, daquilo que vemos a uma agência de publicidade. A higiene digital fica demasiadas vezes pelo ecrã. Este artigo propõe fazê-la entrar dentro de casa.
O que recolhem realmente os objetos da sua sala
O televisor: o campeão discreto da recolha
O televisor conectado é provavelmente o aparelho mais subestimado da casa. A maioria dos modelos vendidos desde 2018 integra uma tecnologia chamada ACR (Automatic Content Recognition, reconhecimento automático de conteúdos). O princípio: o aparelho capta periodicamente impressões digitais da imagem apresentada no ecrã — algumas imagens por segundo — e compara-as com uma base de referências do lado do servidor.
Resultado: o fabricante sabe o que está a ver, incluindo quando o conteúdo não vem de uma aplicação. Um DVD, uma pen USB, uma consola ligada por HDMI, um canal da televisão digital terrestre: tudo é identificável. Cruzada com o seu endereço IP, esta informação constitui um perfil publicitário de uma granularidade temível, e é frequentemente revendida.
A autoridade francesa de proteção de dados, a Commission nationale de l'informatique et des libertés (CNIL), publicou por diversas vezes alertas sobre os televisores conectados e recordou que estes tratamentos exigem um consentimento livre e esclarecido. Na prática, esse consentimento é quase sempre obtido durante a configuração inicial, diluído numa sucessão de ecrãs em que expressões como «melhorar a sua experiência» e «recomendações personalizadas» mascaram a verdadeira natureza da operação.
A coluna com assistente de voz: o falso problema e o verdadeiro
Não, a sua coluna não grava permanentemente tudo o que diz para o enviar para a Internet — a largura de banda e o custo de processamento tornariam isso absurdo. O verdadeiro problema está noutro lado, e é duplo.
Em primeiro lugar, a deteção da palavra-chave de ativação é imperfeita. As ativações acidentais estão documentadas há anos, e cada ativação produz um excerto áudio real da sua casa, armazenado e por vezes ouvido por anotadores humanos para melhorar os modelos. Vários fabricantes tiveram de o reconhecer publicamente após revelações da imprensa entre 2019 e 2021.
Depois, e este é o aspeto mais estruturante: cada pedido voluntário alimenta um histórico. «Qual é a posologia deste medicamento», «a que horas abre a mesquita», «lembra-me da minha consulta no hospital»: já não são metadados, são dados sensíveis na aceção do artigo 9 do RGPD, associados a uma conta nominativa.
O aspirador robô: a planta da sua intimidade
Um aspirador robô moderno constrói um mapa SLAM (localização e mapeamento simultâneos) da sua casa. Esse mapa não é um simples contorno: indica a área, o número de divisões, a localização dos móveis e, por vezes, a altura do mobiliário. Alguns modelos incorporam uma câmara frontal. Trabalhos de investigação e várias reportagens jornalísticas mostraram que imagens captadas por estes aparelhos tinham escapado do circuito previsto.
A planta de uma casa é um dado comercialmente valioso: revela o seu nível de vida, a composição provável do agregado, a presença de crianças ou de animais. Se quiser robótica doméstica sem esse compromisso, existem aspiradores robô sem ligação à cloud, controláveis apenas localmente ou através de um comando físico — uma categoria ainda restrita, mas que existe realmente.
Campainhas com vídeo e câmaras: a vizinhança entra na equação
A campainha conectada coloca um problema jurídico adicional: filma o espaço público ou as partes comuns. Em França, a CNIL é explícita: um particular pode filmar os limites da sua propriedade, mas não a via pública nem a entrada do vizinho. Uma câmara mal orientada expõe o proprietário a uma queixa e, em condomínio, a um litígio.
A isto acresce a questão do armazenamento. As ofertas de cloud por subscrição conservam os seus fluxos no prestador, muitas vezes fora da Europa. A alternativa existe: as câmaras com armazenamento local em cartão de memória ou em NAS, que mantêm as imagens em sua casa. Um cartão microSD de alta resistência concebido para gravação de vídeo contínua custa algumas dezenas de euros e elimina de uma só vez toda a cadeia de transmissão externa.
Etapa 1: mapear antes de corrigir
Não se protege aquilo que não se conhece. O primeiro passo não é técnico, é contabilístico.
Faça o inventário escrito de tudo o que, em sua casa, dispõe de um chip de rede. O mais simples: abra a interface de administração do seu router (geralmente acessível através de um endereço local do tipo 192.168.1.1) e consulte a lista de aparelhos ligados. Encontrará frequentemente nomes que não reconhece de imediato — um objeto antigo, um aparelho de quem partilha a casa consigo, um equipamento deixado pelo ocupante anterior.
Para cada aparelho, coloque três questões:
| Questão | Porque é que importa |
|---|---|
| Preciso mesmo da sua função conectada? | Muitos objetos funcionam perfeitamente sem rede (televisor alimentado por uma box externa, balança que se limita a indicar o peso). |
| Para onde vão os dados e sob que jurisdição? | Um servidor fora da UE escapa, na prática, às garantias do RGPD. |
| O fabricante ainda existirá daqui a três anos? | Um objeto cujo serviço de cloud encerra torna-se ou inutilizável, ou uma falha por corrigir. |
Este último ponto é muito concreto: o mercado da domótica conhece uma elevada mortalidade, e um aparelho que deixa de receber atualizações de segurança continua ligado à sua rede com vulnerabilidades conhecidas e publicadas.
Etapa 2: segmentar a rede, a medida mais rentável
Se houvesse apenas uma ação a reter deste artigo, seria esta. Separe os seus objetos conectados dos seus aparelhos pessoais.
A lógica é idêntica à da compartimentação das identidades digitais: um objeto comprometido não deve dar acesso ao resto. Um televisor ou uma lâmpada mal protegidos, colocados na mesma rede que o seu computador de trabalho, podem servir de ponto de entrada lateral.
O método simples: a rede de convidados
Praticamente todos os routers dos operadores propõem hoje uma função de «rede de convidados» ou «Wi-Fi de convidados». Cria uma segunda rede sem fios, isolada da principal. Coloque nela todos os seus objetos conectados: televisor, colunas, lâmpadas, aspirador, campainha. Mantenha na rede principal os computadores, telemóveis e um eventual NAS.
É gratuito, demora vinte minutos e elimina uma classe inteira de riscos.
O método avançado: o router dedicado e a filtragem DNS
Para ir mais longe, um router compatível com firmwares livres (nomeadamente OpenWrt) permite criar verdadeiras VLAN, registar o tráfego de saída e bloquear por destino. Muitos utilizadores acrescentam-lhe uma filtragem DNS local: um pequeno computador de placa única como um Raspberry Pi basta para fazer correr um resolvedor DNS com filtragem que bloqueia na origem os domínios de telemetria e de publicidade para toda a casa.
O efeito é espetacular nos televisores: ao observar os registos, descobre-se o ritmo real das ligações de saída, por vezes várias centenas por dia para domínios de análise. Bloquear esses domínios não impede, em geral, o aparelho de funcionar; apenas lhe retira a capacidade de contar a sua vida.
Regra prática: um objeto conectado que deixa de funcionar quando se lhe corta o acesso aos servidores publicitários não era um objeto doméstico, era um sensor comercial disfarçado.
Etapa 3: as configurações que mudam mesmo alguma coisa
No televisor
Procure nos menus as seguintes designações, muitas vezes escondidas a três ou quatro níveis de profundidade:
- Reconhecimento de conteúdos / ACR / Viewing Information Services → desativar
- Publicidade personalizada / identificador publicitário → desativar e repor o identificador
- Recomendações baseadas na utilização → desativar
- Assistente de voz / microfone do comando → desativar se não for utilizado
- Condições de utilização adicionais → retirar os consentimentos opcionais
Se os menus forem demasiado obscuros, a opção radical continua a ser eficaz: nunca ligar o televisor ao Wi-Fi e usar uma box multimédia externa que domine. O ecrã volta a ser aquilo que nunca deveria ter deixado de ser — um ecrã.
Nas colunas e assistentes
- Corte o microfone através do interruptor físico quando não o estiver a usar (é um dos raros casos em que um corte por hardware é fiável).
- Elimine regularmente o histórico de voz nas definições da conta associada.
- Recuse explicitamente a opção «melhorar os serviços autorizando a análise humana das gravações».
Nos objetos de saúde e de desporto
Relógios, balanças e pulseiras produzem dados de saúde — frequência cardíaca, sono, ciclo menstrual, peso. São, juridicamente, dados sensíveis. Verifique se o fabricante propõe um modo de sincronização local e, por defeito, desative a partilha com «parceiros». Para quem quer acompanhar a sua atividade sem exportar a sua fisiologia para uma cloud, um relógio desportivo com GPS sem conta obrigatória, ou mais simplesmente um pedómetro mecânico, continua a ser uma opção surpreendentemente pertinente.
Etapa 4: os objetos de que nos esquecemos sempre
O contador inteligente. Em França, o Linky transmite leituras de consumo. A curva de carga detalhada — de hora a hora ou em intervalos mais curtos — permite inferir as horas a que se levanta, se deita, se ausenta, e até a utilização de determinados aparelhos. A sua transmissão não é automática: depende de um consentimento que pode conceder ou recusar a partir da sua área de cliente da Enedis. Verifique o seu.
A impressora. Os modelos conectados enviam regularmente dados de utilização, e alguns serviços de subscrição de tinteiros monitorizam os níveis em contínuo. Uma impressora ligada por USB a um único computador continua perfeitamente funcional.
Os brinquedos e aparelhos para crianças. Peluches conectados, relógios GPS para crianças, luzes de presença com microfone: o setor sofreu várias fugas maciças de dados, incluindo gravações de voz de crianças. A CNIL e as suas homólogas europeias sancionaram vários operadores. Aqui, a questão não é configurar o aparelho, mas perguntar se ele tem lugar num quarto.
O automóvel. Um carro recente regista trajetos, velocidades, contactos sincronizados a partir do seu telemóvel. Não se esqueça de apagar o seu perfil do sistema multimédia antes de qualquer revenda ou devolução de aluguer — um gesto que quase ninguém faz.
A alavanca jurídica: tem direitos, use-os
O RGPD aplica-se plenamente aos objetos conectados. Concretamente, para qualquer aparelho associado a uma conta, pode:
- Exercer o seu direito de acesso (artigo 15): pedir ao fabricante a totalidade dos dados que lhe dizem respeito. As respostas são muitas vezes instrutivas — e por vezes reveladoras quanto ao volume recolhido.
- Exercer o seu direito ao apagamento (artigo 17): pedir a eliminação do histórico.
- Retirar o seu consentimento (artigo 7): retirar o consentimento deve ser tão simples como dá-lo.
- Apresentar queixa à autoridade de proteção de dados em caso de falta de resposta no prazo de um mês.
Estas diligências fazem-se por escrito, para o endereço do encarregado da proteção de dados (DPO) indicado na política de privacidade. Um e-mail é suficiente, mas um envio registado dá uma data certa caso pondere apresentar queixa.
Refira-se ainda o regulamento europeu sobre a ciber-resiliência (Cyber Resilience Act), adotado em 2024, que impõe progressivamente aos fabricantes de objetos conectados vendidos na União obrigações de segurança por defeito e uma duração mínima de suporte em atualizações. Os seus efeitos vão-se desdobrando até 2027: no momento da compra, a duração de suporte anunciada passa a ser um critério de escolha tão importante como a ficha técnica.
Informar-se e equipar-se: alguns apoios concretos
Retomar o controlo da casa conectada é menos uma proeza técnica do que uma questão de método. Alguns apoios materiais e intelectuais ajudam realmente:
- Um livro de divulgação sobre cibersegurança doméstica permite compreender os mecanismos em vez de aplicar receitas — e, portanto, aguentar a longo prazo.
- Tomadas inteligentes com controlo local (protocolo Zigbee ou Matter em local, sem passagem obrigatória por uma cloud) permitem manter o conforto da domótica sem a exfiltração de dados.
- Um NAS de armazenamento pessoal centraliza fotografias, cópias de segurança e fluxos de câmaras em sua casa, em vez de num prestador.
Nenhum destes objetos é indispensável isoladamente. Mas, em conjunto, desenham uma alternativa credível ao modelo por defeito, que consiste em alugar o uso da própria casa em troca do abandono dos seus dados.
Conclusão: a privacidade também é uma questão de metros quadrados
Aprendemos a desconfiar das aplicações, dos cookies, das redes sociais. Falta aplicar a mesma vigilância a objetos que não percecionamos como informáticos: um ecrã, uma lâmpada, uma balança, uma campainha. O deslize fez-se sem anúncio, aparelho após aparelho, substituição após substituição.
A boa notícia é que os gestos eficazes são poucos e estão ao alcance de todos: inventariar, isolar numa rede de convidados, desativar o reconhecimento de conteúdos e a publicidade personalizada, privilegiar o armazenamento local, exercer os seus direitos ao abrigo do RGPD quando um fabricante se faz de desentendido. Não é preciso um fim de semana inteiro, bastam algumas noites.
E o princípio continua a ser o mesmo que para uma mensagem enviada sem deixar o nome: o melhor dado é aquele que nunca é transmitido. O que vale para um SMS anónimo vale para a sua sala.
