Como Você É Rastreado
Um mapa dos registros produzidos por pagamentos, telecomunicações, redes, plataformas, deslocamentos e arquivos. Mostra as correlações que transformam eventos separados numa mesma pessoa.
O evento e o grafo
Rastreamento raramente depende de um registro perfeito. Ele nasce da soma de registros incompletos. Uma compra revela valor, lugar e horário. A rede móvel situa um aparelho. Uma conta fornece e-mail e telefone. Uma fotografia mostra data, equipamento e cenário. Isolados, esses elementos podem ser ambíguos. Quando se repetem e compartilham identificadores, passam a apontar para uma pessoa.
A LGPD trata como dado pessoal a informação relacionada a uma pessoa identificada ou identificável. A lei também reconhece que perfis comportamentais podem dizer respeito a uma pessoa quando ela é identificada. Portanto, retirar o nome de uma tabela não torna automaticamente anônimo um conjunto que ainda contenha telefone, localização, horários, aparelho ou combinações singulares. [ref]
Em qualquer atividade, sete perguntas ajudam: quem vê o evento, que identificadores ele deixa, com quais registros eles se cruzam, o que a criptografia cobre, o que fica exposto, o que dá para reduzir e qual risco sobra. O restante deste dossiê aplica essas perguntas à vida comum.
Pagamentos e contas financeiras
No Pix, pagador e recebedor se comunicam por meio de instituições participantes. Elas processam a ordem, o Banco Central opera infraestruturas centrais e mecanismos de segurança analisam dados cadastrais, contas e dispositivos. O DICT vincula chaves a dados de conta e de titular. Uma chave aleatória reduz o dado que você entrega ao recebedor, mas não apaga o registro bancário da transação. [ref]
Cartão, boleto e contas em corretoras ou exchanges deixam rastros diferentes, mas se cruzam nos mesmos pontos: cadastro, instituição, conta, valor, contraparte, horário e, muitas vezes, aparelho ou endereço de rede. Controles antifraude têm uma função legítima. Os mesmos sinais que ajudam a barrar uma tomada de conta também podem ligar identidades. Uma interface "sem nome público" não torna a operação desvinculada de uma pessoa.
Criptografia protege os dados na transmissão e ajuda a garantir sua integridade contra terceiros no caminho. Ela não esconde a operação das instituições que precisam executá-la, registrá-la, prevenir fraude e cumprir obrigações legais. Para reduzir exposição, comece por uma pergunta simples: de quem o pagamento precisa ficar protegido? Do vendedor casual, de quem observa a rede, da instituição ou de uma investigação com acesso legal? A resposta muda conforme o observador.
Leia o detalhamento em O Que o Pix Revela.
Ligações, SMS e dados móveis
Uma operadora precisa saber que um assinante ou aparelho se conectou à rede para prestar o serviço. Chamadas e mensagens geram dados operacionais como origem, destino, data, horário e duração. Relatórios detalhados disponibilizados ao próprio consumidor demonstram a existência de parte desses registros. [ref]
Criptografia de ponta a ponta num aplicativo pode esconder o conteúdo de mensagens do provedor do aplicativo e de intermediários. Ela não torna invisíveis, por si só, a conexão do aparelho à rede celular, o IP usado, o horário, o volume de tráfego, a existência da conta, notificações ou o grafo de contatos conhecido por outros meios. SMS e telefonia convencional também não adquirem as propriedades de um mensageiro ponta a ponta apenas porque a conexão ao site da operadora é cifrada.
O aparelho acrescenta outra camada. Identidade do assinante, identificadores do dispositivo, contas do sistema, instalações de aplicativos e tokens de notificação têm escopos e durações diferentes. A correlação começa quando dois deles reaparecem juntos. Trocar só o nome de usuário, mantendo o mesmo telefone, recuperação, aparelho e rotina, preserva as outras ligações.
Leia o detalhamento em O Que um Celular Sabe Sobre Você.
Wi-Fi doméstico e público
Na rede doméstica, o provedor associa uma conexão ao contrato e observa os destinos de rede que ainda são visíveis no nível necessário ao roteamento. HTTPS protege o conteúdo da conversa com o site, mas não transforma o provedor em incapaz de saber que houve tráfego nem oculta do próprio site o endereço IP de origem. O Marco Civil define registros de conexão e registros de acesso a aplicações como categorias distintas e estabelece regimes de guarda para agentes específicos. [ref]
Uma rede pública troca o vínculo do contrato doméstico por outros possíveis vínculos: cadastro no portal, pagamento, câmera do local, endereço MAC, horário de presença e comportamento do navegador. Endereços MAC aleatórios reduzem a persistência de um identificador local, mas não neutralizam login, cookies, impressão do navegador ou o fato de alguém ter sido filmado usando aquela rede naquele horário.
Tor evita que o site receba o IP de origem e que um único ponto da rede veja, ao mesmo tempo, origem e destino, nas condições em que o sistema funciona. Ele não corrige login numa conta civil, arquivos identificáveis, escrita reconhecível, vigilância física ou um computador comprometido. Para reduzir o rastro, ferramenta, comportamento e ambiente precisam combinar.
Mensagens, buscas e visitas a sites
Uma busca pode deixar registros no mecanismo de busca, no navegador, na conta sincronizada, no site aberto em seguida e, em graus diferentes, nos intermediários. Cookies, armazenamento local, login, parâmetros de link, endereço IP e características do navegador oferecem chaves de ligação. O guia da ANPD sobre cookies explica que esses mecanismos podem sustentar autenticação, medição e publicidade, e que seu uso deve ser compreendido dentro das regras de proteção de dados. [ref]
Num mensageiro, o conteúdo, os metadados e o estado do aparelho são problemas diferentes. Criptografia ponta a ponta protege a mensagem entre os dispositivos participantes quando implementada corretamente. Ainda podem existir cadastro, horários, entregas, notificações, backups, denúncias de usuários e cópias no aparelho desbloqueado. Um contato que salvou seu número também pode reconstruir um vínculo que você não forneceu diretamente ao serviço.
Na vida comum, comece pelo básico: use navegadores sem sincronização desnecessária, revise permissões e sessões, evite login quando ele não for preciso, separe perfis por finalidade, bloqueie rastreadores e prefira serviços que pedem menos dados. Isso não basta para anonimato sem uma separação muito mais rigorosa de identidade e rede.
Deslocamentos e observação física
Corridas, entregas e cartões de transporte ligam origem, destino, horário e pagamento. Condomínios registram entradas, câmeras capturam aparência, companhia e direção, e leitores de placas ligam veículo, lugar e tempo. Nenhum desses sistemas precisa conhecer o conteúdo cifrado de uma conversa para inferir que duas pessoas se encontraram.
O identificador decisivo nem sempre aparece no sistema observado. Uma entrega paga por uma conta pode ser cruzada com a câmera da portaria. Um trajeto recorrente pode ser cruzado com o endereço cadastral. Um telefone que aparece nos mesmos lugares e horários que outro sugere uma relação. A repetição torna essa ligação mais provável.
Reduzir essa exposição pode significar limitar históricos, desativar compartilhamentos permanentes de localização, evitar publicar deslocamentos em tempo real e não conceder a aplicativos acesso contínuo quando basta acesso durante o uso. Ainda assim, a prestação do serviço, a segurança física e a infraestrutura urbana geram registros, mesmo quando a pessoa não escolheu deixar todos eles.
Fotografias, documentos e nuvem
Mesmo sem abrir o arquivo, nome, formato, tamanho, datas, autor, software, histórico de revisão, miniaturas e metadados de câmera já podem indicar sua origem. O conteúdo acrescenta cenário, reflexos, placas, telas, padrões de recorte e estilo de escrita. Ao passar por um serviço de nuvem, o arquivo ganha ainda conta, IP, aparelho, horário, destinatários e histórico de compartilhamento.
Criptografar o arquivo antes do envio pode proteger seu conteúdo do serviço de transporte. Isso não apaga uma cópia anterior, os metadados externos necessários ao envio, a identidade das contas ou a versão decifrada nos dispositivos finais. Remover metadados é útil, mas não remove informação visual nem estilometria e não desfaz o rastro de criação já guardado por outro sistema.
Contas e recuperação
CPF, telefone e email de recuperação são pontes explícitas. IP, aparelho, método de pagamento, contatos e horários são pontes implícitas. Uma conta pseudônima deixa de ser compartimentada quando sua recuperação aponta para a identidade civil, quando é aberta no mesmo perfil sincronizado ou quando repete uma fotografia que já circulou com outro nome.
Proteções contra abuso também podem criar vínculos adicionais: registros associados a alertas de login podem incluir aparelho e localização aproximada, a recuperação verifica canais anteriores e a autenticação forte vincula uma credencial a uma conta. Proteção de conta e anonimato não são o mesmo objetivo. Uma conta pode resistir bem a uma invasão e, ainda assim, apontar diretamente para o titular.
Leia Anatomia de uma Identidade Digital para ver como essas pontes convergem.
O que a criptografia muda
Criptografia faz coisas bem definidas. HTTPS protege conteúdo em trânsito entre navegador e site. Criptografia ponta a ponta restringe quem pode ler uma mensagem. Criptografia de disco protege dados em repouso quando o aparelho está desligado e a chave não está disponível. Assinaturas digitais permitem verificar autoria criptográfica e integridade.
Essas propriedades não produzem anonimato automaticamente. Quem opera uma extremidade vê o que precisa processar. Metadados necessários ao roteamento ou à entrega continuam sendo gerados. O aparelho pode revelar o texto antes da cifra ou depois da decifragem. Contas e ambientes físicos continuam produzindo vínculos.
Pergunte: "que dado fica exposto, para quem e em que momento?"
Redução realista de exposição
Antes de escolher uma ferramenta, defina o que precisa ficar protegido, de quem, por quanto tempo e o que acontece se algo falhar. Depois, reduza a coleta na origem. Não forneça CPF, telefone, contatos, localização contínua ou recuperação secundária quando eles não forem necessários. Revise permissões e retenções. Use credenciais únicas, autenticação forte e atualizações para impedir que um invasor transforme acesso a uma conta em acesso às demais.
Separe identidades apenas quando conseguir manter essa separação. Isso envolve contas, perfis, dispositivos, rede, pagamentos, arquivos, contatos e hábitos. Uma separação parcial pode reduzir publicidade e vazamentos comuns. Ela não deve ser vendida como anonimato contra alguém capaz de cruzar muitos sistemas.
Quando couber, exerça os direitos previstos na LGPD. A ANPD cita confirmação de tratamento, acesso, correção e informação sobre compartilhamento entre os instrumentos disponíveis. [ref] A resposta pode esclarecer o que uma organização mantém, mas não elimina deveres legais de guarda nem dados já necessários para o exercício regular de direitos.
O risco que permanece
Atividades que passam por serviços, contas ou dispositivos deixam resíduos. A contraparte se lembra, um dispositivo é apreendido aberto, uma câmera registra presença, uma rotina se repete, uma instituição guarda o que a lei e a operação exigem, um contato sincroniza a agenda e uma falha futura expõe dados antigos.
OpSec consiste em decidir conscientemente quais fatos podem existir juntos. Ele funciona quando uma falha local não revela mais do que precisava.
Fontes e limites
Este dossiê descreve arquitetura e redução de exposição. Não fornece aconselhamento jurídico nem uma promessa de anonimato. Regras de guarda e capacidades técnicas variam conforme agente, serviço, contrato, jurisdição e atualização do sistema.