Introdução: o aparelho que fala mesmo quando você se cala
Você atravessa um centro comercial, telemóvel no fundo do bolso, ecrã desligado, nenhuma aplicação aberta. Não digitalizou nada, não aceitou nada, não instalou nada. E, ainda assim, em quinze minutos de caminhada, o seu aparelho provavelmente anunciou a sua existência várias centenas de vezes a quem quisesse ouvir.
É o próprio princípio das rádios sem fios: para poder ligar-se depressa, um smartphone não espera passivamente. Ele emite. Envia «sondas» wifi para perguntar se alguma rede conhecida está ao alcance. Difunde tramas Bluetooth para sinalizar a sua presença aos auriculares, ao relógio, ao carro. Esses sinais não contêm o seu nome nem as suas mensagens, mas contêm algo que já basta a muitos atores: um identificador, uma potência de receção e uma marca temporal.
Com três sensores, obtém-se uma posição. Com trinta sensores distribuídos por uma cidade, um centro comercial ou um aeroporto, obtêm-se trajetórias. E com um identificador estável no tempo, obtém-se um histórico de frequência que se parece tremendamente com um dado pessoal — algo que a CNIL recorda regularmente nos seus pareceres sobre contagem e monitorização de fluxos.
Este guia não é um convite a atirar o telemóvel para dentro de uma bolsa de chumbo. Explica como funciona realmente este rastreio físico, o que está regulado em França e quais as configurações que travam a maior parte da fuga sem tornar o aparelho inutilizável.
Parte 1 — Anatomia de um sinal: o que o seu telemóvel difunde realmente
O wifi: sondas enviadas às cegas
Quando o wifi está ativo, um smartphone emite periodicamente probe requests. Tradução: «Olá, a rede X está por aqui?». Historicamente, essas sondas continham duas coisas temíveis:
- o endereço MAC do aparelho, um identificador único do chip de rede, comparável a uma matrícula;
- às vezes a lista das redes já memorizadas — isto é, indiretamente, a história dos seus lugares de vida: «Livebox-4A2C», «Wifi-Hotel-Barcelone», «Hôpital-Visiteurs», «SNCF-Wifi».
Desde o iOS 14 e o Android 10, os fabricantes generalizaram a aleatorização do endereço MAC: o aparelho apresenta um endereço gerado ao acaso, diferente em cada rede e renovado periodicamente. É um avanço real. Não é invisibilidade: trabalhos académicos apresentados, nomeadamente, nas jornadas de investigação da CNIL mostraram que outros elementos da trama (ordem dos campos, capacidades anunciadas, cadência de emissão) formam uma impressão digital que permite, às vezes, voltar a juntar as peças.
O Bluetooth: o falador de proximidade
O Bluetooth Low Energy (BLE) funciona através da difusão permanente de pequenos anúncios. É isso que permite aos seus auriculares voltarem a ligar-se num segundo. É também o que permite a uma baliza (beacon) instalada num corredor detetar que um aparelho compatível ficou quatro minutos em frente aos produtos de higiene.
A nuance importante: uma baliza por si só não o identifica. Torna-se poderosa quando uma aplicação instalada no seu telemóvel a escuta e transmite a informação com o seu identificador publicitário. É o modelo histórico do marketing de proximidade: a aplicação de uma cadeia, de um meio de comunicação ou de um jogo pede acesso ao Bluetooth «para melhorar a sua experiência em loja».
O ultrassom e o sensor de imagem: os primos discretos
Duas outras técnicas completam o quadro:
- as balizas ultrassónicas, inaudíveis, emitidas por uma coluna de som ou por um anúncio de televisão e captadas pelo microfone de uma aplicação autorizada;
- a análise vídeo de fluxos, que não lê nenhum identificador mas conta, segmenta por silhueta, estima a idade ou a direção do olhar. A CNIL publicou uma posição clara sobre as «câmaras aumentadas»: a contagem anónima pode ser admitida, mas o seguimento individualizado exige uma base legal sólida e a informação das pessoas.
| Tecnologia | Alcance típico | O que capta | Defesa principal |
|---|---|---|---|
| Sondas wifi | 30 a 100 m | Identificador do chip, redes conhecidas | Desligar o wifi quando não é usado, aleatorização MAC |
| Bluetooth LE | 5 a 50 m | Presença, duração, proximidade de uma baliza | Desligar o BT, recusar o acesso às apps |
| Ultrassons | Uma sala | Correlação televisão/telemóvel | Recusar o acesso ao microfone |
| Câmara aumentada | Campo visual | Fluxos, silhuetas, tempo de permanência | Direito à informação e à oposição |
Parte 2 — Quem capta, e para quê
O comércio: medir a audiência física como se mede um site web
O objetivo declarado é simples: saber quantas pessoas passam em frente à vitrina, quantas entram, quantas voltam, quanto tempo ficam. É o equivalente físico das estatísticas de visitas online. A CNIL admite estes dispositivos de contagem em condições estritas: anonimização ou pseudonimização muito curta, ausência de seguimento de um indivíduo de uma loja para outra, informação visível à entrada, prazo de conservação mínimo.
O que muda de categoria:
- o cruzamento entre a passagem em loja e o cartão de fidelização;
- o seguimento multi-lojas de um mesmo identificador;
- a revenda das trajetórias a um terceiro.
As redes publicitárias e os corretores de dados de localização
Existe todo um mercado que vive do «dado de mobilidade»: SDK publicitários integrados em aplicações de grande consumo (meteorologia, jogos, transportes, imprensa) recolhem posições, agregam-nas e revendem-nas a corretores. Várias investigações jornalísticas europeias e americanas mostraram, nos últimos anos, que conjuntos de dados supostamente anónimos permitiam chegar a residências e a locais de trabalho, porque uma trajetória é quase uma assinatura: quatro pontos espaço-temporais bastam frequentemente para reidentificar uma pessoa numa base de mobilidade.
As autarquias e os gestores de espaços
Cidades, aeroportos, estações e festivais medem os fluxos para dimensionar os serviços. O uso é legítimo; o problema aparece quando os dados permanecem detalhados e são conservados durante muito tempo. O bom reflexo para um cidadão: verificar se o organismo publica o seu registo de tratamentos e o nome do seu encarregado da proteção de dados (DPO), obrigatório para os organismos públicos.
Os rastreadores de objetos, este recém-chegado
Os pequenos rastreadores Bluetooth para chaves e bagagens apoiam-se nos milhões de telemóveis em redor, transformados em retransmissores. O serviço prestado é real, o desvio está documentado: casos de seguimento de pessoas levaram a Apple e a Google a implementar uma norma comum de deteção de rastreadores indesejados, integrada no iOS e no Android. Se o seu telemóvel o notificar de que «um acessório desconhecido está a deslocar-se consigo», leve o alerta a sério e siga o procedimento de identificação proposto pelo sistema.
Parte 3 — O enquadramento francês: o que pode exigir
Três pontos jurídicos são diretamente úteis.
Um endereço MAC é um dado pessoal desde que permita, isolado ou combinado, singularizar um aparelho e, portanto, quem o transporta. O RGPD aplica-se: finalidade determinada, base legal, informação, duração limitada, direitos das pessoas.
1. A informação prévia. Um dispositivo de medição de frequência deve ser sinalizado: aviso à entrada, menção do responsável pelo tratamento, do DPO, do prazo de conservação e das formas de oposição. Ausência de placa = primeiro motivo de reclamação.
2. O direito de oposição. Para os tratamentos fundados no interesse legítimo — caso frequente da contagem —, pode opor-se. Na prática, o meio mais simples continua a ser técnico (desligar a rádio em questão), mas o pedido escrito tem uma virtude: obriga a cadeia a documentar o seu dispositivo.
3. A reclamação. A CNIL registou nos últimos anos um nível recorde de reclamações e de sanções, e os dossiês «vídeo e sensores» figuram entre os motivos recorrentes. Uma reclamação online, fundamentada, com fotografia da ausência de sinalética, é um ato útil e gratuito.
Nota: a diretiva dita «ePrivacy», transposta para o direito francês, regula também o acesso às informações armazenadas num terminal. As autoridades europeias consideram, em larga medida, que a captação de sinais emitidos por um equipamento terminal obedece à mesma lógica de proteção.
Parte 4 — Os gestos concretos, do mais simples ao mais radical
Nível 1 — As configurações de base (dez minutos, zero desconforto)
- Desligue o wifi quando sai. É a medida mais rentável. Tanto no Android como no iOS, o botão do centro de controlo às vezes só corta a ligação, não a rádio: vá às Definições/Configurações para uma desativação real.
- Desative a procura automática de redes e a ligação automática a hotspots públicos.
- Esqueça as redes memorizadas inúteis: o hotel do verão passado, a estação, o café. Cada nome guardado é uma pista.
- Verifique a aleatorização MAC: no iOS, «Endereço Wi-Fi privado»; no Android, «Utilizar endereço MAC aleatório» em cada rede.
- Bluetooth: desligue-o quando não o usa. Se anda com auriculares todo o dia, aceite o compromisso, mas desligue-o dentro das lojas.
Nível 2 — Retomar o controlo sobre as aplicações
É aqui que se joga o essencial, porque uma baliza sem aplicação cúmplice não faz grande coisa.
- Reveja as autorizações de Localização: passe tudo o que não precisa para «Nunca» ou «Enquanto a app está ativa» e recuse a localização precisa quando a aproximada basta (meteorologia, imprensa, comércio).
- Recuse o acesso ao Bluetooth e ao Microfone a qualquer aplicação que não tenha uma razão funcional evidente.
- Reinicialize e depois desative o identificador publicitário: no iOS, «Rastreio» → recusar globalmente; no Android, «Privacidade → Anúncios → Eliminar ID de publicidade».
- Apague as aplicações de cadeias comerciais que nunca abre: o mais eficaz dos bloqueadores é a desinstalação.
Nível 3 — Separar os usos
Para quem vai mais longe, a lógica é compartimentar. Muitos leitores deste site usam um segundo aparelho para saídas, manifestações, deslocações profissionais sensíveis ou diligências que não querem ligar à sua vida habitual: um telemóvel básico sem aplicações reduz mecanicamente a superfície de emissão, já que não tem nem SDK publicitário nem baliza para escutar.
Na mesma lógica, uma bolsa de bloqueio de sinal — o tipo de estojo chamado bolsa de Faraday para smartphone — coloca um aparelho fora de alcance durante um percurso concreto, sem ter de o desligar. É brutal, mas é o único método que neutraliza todas as rádios ao mesmo tempo, incluindo a telefonia.
Nível 4 — Os acessórios que mudam o jogo
Alguns equipamentos simples reduzem realmente a dependência das rádios:
- uns auriculares com fio e microfone evitam ter o Bluetooth ligado de manhã à noite, nos transportes como no escritório;
- uma bateria externa compacta permite desligar as funções mais gastadoras sem receio de ficar sem carga e, portanto, manter o modo avião durante mais tempo;
- um detetor portátil de rastreadores Bluetooth complementa os alertas nativos para quem tem motivos para temer uma vigilância dirigida;
- do lado da compreensão, um livro sobre a proteção de dados pessoais escrito por um jurista francês ajuda a distinguir o que é fantasia do que é direito.
Nenhum destes objetos é uma solução mágica. Apenas tornam sustentável um comportamento mais discreto no dia a dia.
Parte 5 — Três situações concretas
O centro comercial de sábado
Wifi desligado, Bluetooth desligado, aplicações de cadeias ausentes: a sua passagem torna-se um ponto anónimo num contador de fluxos, que é precisamente o limite que a CNIL fixa aos dispositivos de medição. Se, no entanto, usar o cartão de fidelização na caixa, é você mesmo que volta a ligar a identidade ao comportamento — tema que abordámos noutro texto, a propósito das compras.
A manifestação, a reunião sensível, o encontro discreto
O modo avião não basta sempre: em certos aparelhos, o wifi e o Bluetooth continuam a poder ser ativados e voltam a ligar-se. Desligue-os explicitamente ou deixe o aparelho em casa. Um telemóvel ligado numa multidão é um identificador numa multidão.
A viagem profissional
Hotéis, aeroportos e feiras multiplicam os portais cativos que pedem um endereço de e-mail em troca de acesso wifi. Use um endereço descartável, recuse a caixa de prospeção comercial e prefira a partilha de ligação a partir do seu próprio tarifário. Para as trocas em que não quer expor o seu número, um serviço de envio de SMS anónimo evita associar uma conversa pontual à sua linha principal.
Conclusão: deixar de emitir por defeito
O rastreio por sinais rádio tem uma particularidade desagradável: não pede nada. Não há consentimento para clicar, conta para criar, cookie para recusar. Explora simplesmente o facto de um telemóvel moderno ser concebido para estar sempre pronto a ligar-se.
A boa notícia é que a contramedida é simétrica e cabe numa frase: deixe emitir apenas aquilo de que precisa, no momento em que precisa. Wifi desligado na rua, Bluetooth desligado quando não é usado, aplicações privadas de localização e de microfone, identificador publicitário eliminado. Estes quatro gestos, que levam um quarto de hora uma vez por todas, eliminam a grande maioria dos rastos que semeia sem saber pelas ruas, pelas estações e pelos corredores das lojas.
O resto é matéria de direito: exigir a sinalética, questionar um DPO, recorrer à CNIL quando um dispositivo vai além da simples contagem. A privacidade no espaço físico não está perdida — está apenas mal defendida, por se ignorar que a batalha também se joga aí.
