Lei canadense C-22 força Signal a sair e ameaça apps em 2026

Tecnologia

Nova legislação canadense impõe exigências que podem impactar o funcionamento de aplicativos de mensagens criptografadas.

Leia também: Verificação de senhas no Home Assistant gera debate sobre privacidade

O projeto de lei C-22, que amplia poderes de vigilância no Canadá e abre caminho para acesso a dados criptografados, já provoca a primeira debandada: o aplicativo de mensagens Signal anunciou que vai deixar o país, e serviços como Psiphon VPN, Apple, Meta, DuckDuckGo e NordVPN avaliam reduzir ou encerrar operações para não se submeter às novas regras.

Lei C-22 mira criptografia e metadados

Em discussão no Parlamento canadense, o C-22 obriga empresas de tecnologia — inclusive estrangeiras — a implementar “capacidades técnicas” que permitam o acesso de autoridades policiais e de inteligência a dados hoje protegidos por criptografia de ponta a ponta. O texto também abre espaço para exigir a retenção obrigatória de metadados de usuários, algo que muitos serviços de privacidade evitam por princípio.

Na prática, especialistas afirmam que isso significa criar backdoors, isto é, mecanismos especiais de acesso governamental embutidos em sistemas criptografados. Embora o projeto prometa não exigir “vulnerabilidades sistêmicas”, críticos lembram que qualquer porta de acesso extra pode ser descoberta e explorada não só por governos, mas também por cibercriminosos, sobretudo num cenário em que ferramentas de inteligência artificial facilitam a engenharia reversa de softwares complexos.

Serviços centrados em proteção de dados, como Psiphon VPN e DuckDuckGo, alertam que seriam obrigados a mudar seus modelos de negócio para passar a registrar informações que hoje simplesmente não armazenam. O Psiphon, que mantém milhões de usuários conectados durante apagões de internet em regimes repressivos, já avisou que deixará o Canadá se a lei for aprovada no formato atual.

Empresas ameaçam sair e veem risco global

O impacto mais imediato aparece no mercado canadense: o Signal decidiu abandonar o país para não adaptar seu código aberto a exigências que considera incompatíveis com privacidade forte. DuckDuckGo e NordVPN admitem seguir o mesmo caminho, enquanto Apple e Meta criticam publicamente o projeto. O temor é que o C-22 reduza drasticamente a oferta de serviços confiáveis a usuários canadenses que dependem de criptografia para proteção pessoal, liberdade de expressão e acesso à informação.

Organizações técnicas e de direitos digitais veem, porém, um alcance bem maior. Como o C-22 pode obrigar empresas estrangeiras a cumprir ordens com base no fato de terem usuários no Canadá, mudar a sede não basta. “Mudar a sede não é um plano B quando a lei segue os usuários, como o C-22 faria”, resume Joseph Lorenzo-Hall, do Internet Society. Ele defende que a proteção mais forte continua sendo guardar o mínimo possível de dados, mas alerta que isso deixa de ser opção se governos puderem forçar empresas a começar a coletá-los.

A preocupação se estende além das big techs. Desenvolvedores de ferramentas anticensura e ativistas de direitos humanos temem um efeito dominó: leis como a canadense tendem a ser copiadas por outros países, inclusive regimes autoritários interessados em explorar brechas técnicas criadas originalmente em democracias.

Entenda o contexto

A pressão contra a criptografia não é exclusividade do Canadá. Nos últimos anos, Reino Unido, Austrália e países da União Europeia, além de França, Índia, Irlanda, Espanha, Suécia e Suíça, discutem ou aprovam reformas que permitem forçar empresas a contornar ou enfraquecer a proteção de dados em nome de investigações criminais e de segurança nacional.

Especialistas lembram que autoridades já dispõem de uma gama ampla de ferramentas de investigação digital, inclusive com acesso a dados que não são protegidos por criptografia de ponta a ponta. Ainda assim, projetos recentes se concentram em exigir logs adicionais e mecanismos de acesso direto a conteúdos criptografados — exatamente o tipo de solução que criptógrafos e engenheiros de segurança dizem não ser possível construir de forma segura.

Para a pesquisadora Kate Robertson, do Citizen Lab, parte do problema é a forma como setores da segurança pública enxergam a tecnologia. “Sempre houve alguns funcionários em certas agências que tendem a ver a tecnologia como uma cena de crime em si mesma, e isso vira um ponto míope de fixação em que o acesso é desejado”, afirma. Ela lembra que a mesma infraestrutura que governos querem destravar é usada para proteger hospitais, bancos, agências de segurança nacional e até as próprias polícias, que recebem dados extremamente sensíveis de vítimas.

Por que a criptografia está sendo pressionada atualmente?

A criptografia é alvo de pressão porque governos querem ampliar poderes de acesso a dados digitais e veem a proteção forte como obstáculo a investigações criminais e de segurança nacional. Em vários países, incluindo o Canadá com o C-22, projetos de lei buscam garantir meios técnicos de acesso mesmo a comunicações e arquivos protegidos de ponta a ponta.

Autoridades defendem que, sem essas brechas, investigações envolvendo terrorismo, abuso infantil, crime organizado e espionagem ficam prejudicadas. A crítica de especialistas é que essa visão reduz a tecnologia a uma fonte de prova e ignora seu papel como base de segurança de toda a infraestrutura digital moderna — de prontuários hospitalares a transações financeiras.

Robertson aponta que essa abordagem “siloada” esquece que a mesma criptografia que dificulta a interceptação de criminosos protege cidadãos comuns contra golpes, vazamentos e perseguição política. Ao apostar em soluções como backdoors, legisladores criam um paradoxo: enfraquecem a segurança geral para tentar facilitar o trabalho de investigação em casos específicos.

Como as novas leis e regulações impactam o uso da criptografia?

Leis como o C-22 impactam diretamente o uso da criptografia ao exigir que empresas criem meios extraordinários de acesso a dados e passem a reter metadados que antes não eram coletados. Isso altera o desenho técnico dos serviços e, segundo especialistas, transforma ferramentas pensadas para maximizar privacidade em potenciais plataformas de vigilância.

Afsaneh Rigot, fundadora da De|Center, resume o efeito da obrigação de guardar registros: “Se você está pedindo e exigindo essa mudança estrutural — que elas retenham metadados por padrão —, está criando uma capacidade de vigilância dentro de uma ferramenta que não a tinha”. Na avaliação dela, o impacto é transnacional: usuários em contextos como o Irã, que dependem de VPNs e apps seguros para fugir de bloqueios e monitoramento estatal, podem ser atingidos por mudanças de regra feitas no Canadá.

Além de ampliar possibilidades de vigilância em massa, essas regulações abalam a confiança dos usuários. Empresas que hoje prometem “não coletamos nada” podem ser forçadas a mudar de postura ou a deixar mercados inteiros, como já indica o movimento de Signal e Psiphon. Em carta enviada a autoridades canadenses, membros dos comitês Judiciário e de Relações Exteriores dos Estados Unidos alertam que, sob o C-22, “empresas poderiam ser obrigadas a introduzir vulnerabilidades, construir backdoors, contornar, enfraquecer ou de outra forma derrotar a criptografia” — exatamente o cenário que pesquisadores de segurança tentam evitar.

Setores críticos como saúde, finanças e infraestrutura também entram na linha de risco, porque utilizam criptografia robusta para proteger dados sensíveis e operar sistemas essenciais. A criação deliberada de pontos fracos nesses ambientes pode abrir brechas não só para investigações legais, mas para ataques maliciosos em escala, potencialmente amplificados por ferramentas de inteligência artificial capazes de explorar essas vulnerabilidades com mais rapidez e precisão.

Fonte: matéria original