Introdução: «Tem cartão de fidelização?»
Sexta-feira, 6h50, Gare de Lyon. Compra o bilhete na aplicação, passa o portão a ler um código QR, liga-se ao wi-fi gratuito para matar vinte minutos, paga um café por aproximação, entra no comboio, o revisor volta a ler o seu bilhete e, à chegada, chama um TVDE.
Em três horas, sete organizações diferentes passaram a saber que esteve em Marselha naquela sexta-feira: a transportadora, a sua plataforma de distribuição, o operador do wi-fi, o seu banco, o comerciante da estação, o seu operador móvel através das antenas e a plataforma de reserva. Nenhuma fez seja o que for de ilegal. Somados, estes rastos desenham, ainda assim, algo de muito preciso: para onde vai, com que frequência, com quem e durante quanto tempo.
A deslocação é um dado à parte. Revela, por dedução, aquilo que nunca declarou: um internamento num hospital universitário especializado, idas e voltas mensais à cidade de um amante, uma entrevista de emprego num concorrente, a participação numa manifestação, a visita a um familiar num lar. O histórico de viagens é um dos raros conjuntos de dados que se demonstrou ser quase impossível de anonimizar: quatro pontos espácio-temporais bastam para reidentificar 95 % dos indivíduos numa base de mobilidade, segundo os trabalhos publicados por Yves-Alexandre de Montjoye e os seus coautores na Scientific Reports (2013).
Este guia não lhe propõe viajar clandestinamente — é ilegal e inútil. Propõe separar o trigo do joio: que rastos são impostos pela lei e quais oferece gratuitamente, e como reduzir o segundo monte.
Quem recolhe o quê, em cada etapa da viagem
O mapa honesto
| Etapa | Quem recolhe | O que fica registado | A sua margem de manobra |
|---|---|---|---|
| Compra do bilhete | Transportadora, distribuidor online | Identidade, e-mail, telefone, meio de pagamento, trajeto, horário | Média |
| Programa de fidelização | Transportadora | Histórico completo das viagens, preferências, reclamações | Forte |
| Controlo a bordo / portão | Transportadora | Data e hora da passagem, lugar | Fraca |
| Wi-fi gratuito | Operador da rede | Endereço MAC, e-mail ou telefone de ligação, duração, por vezes sites visitados | Forte |
| Pagamento na estação ou a bordo | Banco, comerciante | Local, hora, montante | Forte |
| Rede móvel | Operador | Antenas atravessadas, logo itinerário aproximado | Fraca |
| Voo comercial | Companhia + autoridades | Dados PNR e API: identidade, passaporte, bagagem, contactos, pagamento | Nula |
| Videovigilância | Gestor da estação/aeroporto | Imagens, por vezes contagem e seguimento de silhueta | Nula |
Retenha a coluna da direita: em oito fontes, quatro dependem inteiramente dos seus gestos. É aí que se joga o essencial.
O caso particular do avião
No transporte aéreo, a margem é estruturalmente nula quanto à identidade. O regulamento europeu conhecido como «diretiva PNR» (UE 2016/681), transposto em França pela lei de 3 de junho de 2016, obriga as companhias a transmitir à unidade francesa de informações de passageiros até 19 categorias de dados por viajante: nome, itinerário completo, contactos, meio de pagamento, informações sobre a bagagem, agência de viagens utilizada, histórico de alterações. Estes dados são conservados durante cinco anos, com ocultação parcial ao fim de seis meses.
A isto acrescem os dados API (Advance Passenger Information) extraídos do documento de identificação. Por outras palavras: um voo comercial nunca é anónimo, nem o pode ser. Qualquer estratégia deve ter isso em conta, em vez de fingir ignorá-lo. O que continua negociável no avião é o resto: o programa de fidelização, a aplicação da companhia, as opções de marketing, o wi-fi do aeroporto, o pagamento, a biometria facultativa.
O bilhete de comboio: nominativo não quer dizer falador
O que a lei exige realmente
Em França, a SNCF impõe há vários anos o bilhete nominativo nos comboios com reserva obrigatória (TGV INOUI, OUIGO, Intercités com reserva). O objetivo declarado é o combate à revenda e a gestão das perturbações. Mas nominativo não significa «verificado» no sentido de um controlo de identidade sistemático: o revisor lê um código, não compara o seu rosto com um ficheiro.
Nos TER, nos comboios regionais e em boa parte da rede urbana, o bilhete anónimo continua a existir. A caderneta de bilhetes ou o bilhete de papel comprado à bilheteira, em numerário, continua a ser uma das raras transações do quotidiano que não deixa qualquer rasto nominativo. Não é um truque marginal: para uma viagem sensível, é a solução mais simples.
Regra geral: quanto mais caro e de longa distância for o título de transporte, menos anónimo é. Quanto mais curto e local, maior a sua latitude.
Reduzir o rasto num bilhete nominativo
Alguns gestos acumulados mudam muito:
- Criar uma conta com um endereço de e-mail dedicado às viagens, distinto do seu endereço principal e da sua identidade profissional. As fugas de bases de dados de transportadoras não são teóricas.
- Não associar a conta às suas redes sociais. A ligação «com o Google» ou «com o Facebook» abre um canal de cruzamento entre a sua identidade social e as suas deslocações.
- Recusar os cookies não essenciais no site de reserva: a CNIL recorda regularmente que recusar deve ser tão simples como aceitar, e sanciona os sites que dificultam a recusa.
- Desmarcar toda a personalização publicitária nas definições da conta. É esse parâmetro que alimenta a revenda de segmentos de audiência do tipo «viajante de negócios frequente Paris-Bordéus».
- Pagar com cartão virtual de utilização única quando o seu banco o oferece. A transportadora não obtém assim um identificador de cartão reutilizável para cruzamentos.
O programa de fidelização, esse diário íntimo
Um cartão de desconto ou um programa de fidelização de uma transportadora é um histórico exaustivo e datado de todas as suas deslocações, conservado durante anos. A pergunta a fazer é aritmética: quanto poupa realmente por ano e aceita pagar esse montante em visibilidade total sobre a sua mobilidade?
Se a resposta for sim — o que é muitas vezes racional para um assinante diário — continua a ser possível limitar a utilização secundária: desativar a partilha com os parceiros, recusar as ofertas segmentadas e pedir periodicamente o apagamento do histórico antigo ao abrigo do artigo 17.º do RGPD. As transportadoras invocam frequentemente um prazo de conservação legal para efeitos de faturação; esse prazo não abrange os usos de marketing.
Portões, biometria e controlos: onde termina a obrigação
A biometria é quase sempre facultativa
As portas automáticas de controlo fronteiriço (PARAFE, em França) assentam na leitura do passaporte biométrico e na comparação facial. A sua utilização é facultativa: uma fila com um agente da polícia de fronteiras mantém-se disponível. É mais lenta, e esse é o único custo real.
A mesma lógica se aplica aos dispositivos comerciais propostos por algumas companhias ou aeroportos: embarque por reconhecimento facial, entrega de bagagem «sem contacto», percursos «fluidificados» em que se regista o rosto no check-in. Estes serviços dependem do consentimento na aceção do RGPD, sendo o dado biométrico um dado sensível protegido pelo artigo 9.º. A CNIL recordou por diversas vezes, nomeadamente nas suas posições sobre a biometria nos aeroportos, que o dispositivo deve continuar a ser opcional, que o gabarito deve de preferência permanecer sob controlo da pessoa (num suporte próprio) e que tem de existir uma alternativa não biométrica.
Na prática: pode dizer que não, apresentar o cartão de embarque e o documento de identificação a um humano, e isso só atrasa a sua viagem alguns minutos.
O novo sistema europeu de entradas/saídas
O sistema EES (Entry/Exit System) da União Europeia regista, para os nacionais de países terceiros que atravessam as fronteiras externas, a imagem facial e as impressões digitais. Não se aplica aos cidadãos da União que circulam no espaço Schengen, mas altera o ambiente geral dos terminais: a biometria torna-se a opção por omissão, e recusar exige saber a que se tem direito. Levar o documento de identificação em versão física, dentro de uma capa RFID antileitura, evita além disso a leitura oportunista do chip sem contacto do seu passaporte numa fila densa.
As revistas e o telemóvel
No controlo de segurança, inspeciona-se a sua bagagem, não os seus ficheiros. O pedido de desbloqueio de um telemóvel enquadra-se num quadro jurídico completamente diferente, essencialmente aduaneiro ou judicial, e já o tratámos separadamente. Retenha simplesmente que um agente de segurança aeroportuária não tem poder de acesso ao conteúdo dos seus aparelhos.
O wi-fi da estação, do aeroporto e de bordo: o elo fraco
É o rasto mais evitável e, no entanto, o mais sistematicamente oferecido.
Um portal cativo pede um endereço de e-mail ou um número de telefone, regista o endereço MAC do seu aparelho e associa esse identificador de hardware a uma presença geolocalizada e datada. Repetido ao longo de várias viagens, este conjunto de dados basta para reconstituir um calendário de deslocações — mesmo quando não compra qualquer bilhete em seu nome.
Três defesas simples:
- Ativar a aleatorização do endereço MAC no telemóvel. O iOS e o Android oferecem-na nativamente («endereço Wi-Fi privado» / «MAC aleatório»): verifique se está ativa para cada rede, e não desativada por uma ligação antiga.
- Preferir a partilha de ligação a partir do seu tarifário móvel. Já paga os dados; usá-los evita um intermediário. Para viagens longas, uma bateria externa de alta capacidade torna este hábito sustentável.
- Utilizar uma VPN de confiança quando o wi-fi público é inevitável, sem esquecer que ela desloca a confiança para o operador da VPN, em vez de a eliminar.
Acrescente-se o reflexo mais subestimado: desativar o wi-fi e o Bluetooth quando não os utiliza. Um telemóvel com o wi-fi ativo emite permanentemente sondas que sensores de contagem instalados em certos locais públicos podem registar. A CNIL enquadra estritamente estes dispositivos de medição de afluência, mas o aparelho que nada emite continua a ser a melhor garantia.
Por fim, a viagem é o momento em que se trabalha em documentos sensíveis num espaço partilhado. Um filtro de privacidade para ecrã de portátil custa o preço de uma refeição e neutraliza o vizinho de lugar, o passageiro do corredor e a câmara do teto.
Pagar, reservar, chegar: os rastos anexos
O dinheiro conta o itinerário
O seu extrato bancário é um diário de bordo: café em Valence TGV, sandes em Nîmes, hotel em Montpellier. Para uma deslocação que deseja discreta, o numerário continua a ser a ferramenta mais eficaz — é legal até 1 000 € para um particular com residência fiscal em França, o que cobre largamente um fim de semana.
Os cartões pré-pagos recarregáveis, disponíveis em tabacarias, oferecem um compromisso: estão sujeitos às obrigações antibranqueamento, mas dissociam a compra corrente da sua conta principal.
O TVDE, o táxi e o último quilómetro
A morada de destino é muitas vezes o dado mais sensível de toda a viagem: designa uma residência, uma clínica, um escritório de advogados. Pedir para ser deixado num cruzamento próximo em vez do número exato é um hábito sem custo. Nas aplicações, lembre-se de apagar as moradas guardadas («Casa», «Trabalho»), que permanecem armazenadas muito depois da viagem.
Aquilo que publica por sua iniciativa
Nenhuma regulamentação protege contra uma fotografia do cartão de embarque publicada numa rede social. O código de barras contém o seu nome, o número de reserva e, em algumas companhias, o suficiente para aceder ao seu processo completo: itinerário, contactos, por vezes alteração da reserva. O mesmo vale para a geolocalização automática das fotografias: verifique se o registo das coordenadas GPS está desativado na aplicação da câmara antes de partir.
Fazer valer os seus direitos depois da viagem
O RGPD dá alavancas concretas, raramente utilizadas:
| Direito | Artigo | Utilização concreta nos transportes |
|---|---|---|
| Acesso | 15 | Pedir o histórico completo das viagens detido por uma transportadora |
| Apagamento | 17 | Eliminar uma conta e o histórico de marketing associado |
| Oposição | 21 | Recusar a prospeção e a definição de perfis publicitários |
| Portabilidade | 20 | Recuperar os seus dados antes de encerrar uma conta |
| Limitação | 18 | Congelar um tratamento contestado durante uma reclamação |
O procedimento é simples: escrever ao encarregado da proteção de dados (DPO) da empresa, cujos contactos constam da política de privacidade, guardar prova de envio e recorrer à CNIL caso não haja resposta no prazo de um mês. Já os pedidos de acesso aos dados PNR detidos pelas autoridades seguem um procedimento específico — um direito de acesso indireto exercido junto da CNIL para os ficheiros relativos à segurança do Estado.
Para organizar tudo isto sem perder aí as noites, um caderno de notas cifrado ou mesmo um simples caderno de papel dedicado às diligências administrativas evita perder o fio às cartas enviadas e aos prazos.
Três perfis, três estratégias
O viajante ocasional. O essencial resume-se a quatro gestos: e-mail dedicado, recusa dos cookies publicitários, nada de wi-fi público, nada de fotografias do cartão de embarque. Custo: dez minutos de configurações, uma única vez.
O assinante diário. O anonimato das viagens está perdido por construção: o passe nominativo é o preço da tarifa. Concentre o esforço nos usos secundários — desativação da segmentação, limpeza anual do histórico, recusa das aplicações de fidelização de terceiros.
A situação de risco (separação conflituosa, jornalismo, processo judicial, proteção de um terceiro). Aqui é preciso desacoplar: títulos de transporte de curta distância pagos em numerário, sem conta de fidelização, telemóvel em modo de avião durante a viagem ou um segundo aparelho, alojamento reservado segundo outra lógica e, sobretudo: avisar da deslocação apenas as pessoas estritamente necessárias — idealmente por um canal que não exponha o seu número.
O essencial em oito linhas
- A viagem é, por dedução, um dado de saúde, de vida amorosa e de opinião: trate-a como tal.
- No avião, a identidade é obrigatória (PNR, API); todo o resto é negociável.
- No comboio regional e no transporte urbano, o título anónimo ainda existe: use-o para as deslocações sensíveis.
- A biometria aeroportuária comercial é facultativa — há sempre uma fila com pessoas.
- O wi-fi gratuito é o rasto mais evitável: aleatorização MAC, partilha de ligação, VPN.
- Um cartão de fidelização de transportes é um histórico de vida; pese a troca.
- O numerário e os cartões de utilização única quebram o cruzamento bancário.
- O RGPD permite pedir o apagamento do que não é legalmente obrigatório: sirva-se dele uma vez por ano.
Viajar discretamente não exige equipamento especial nem competências técnicas. Exige decidir, em cada balcão, se a informação que lhe pedem é necessária à viagem ou simplesmente útil a quem a pede. A diferença entre as duas, repetida trinta vezes por ano, desenha duas vidas digitais muito diferentes.
