Jorge Batista da Silva. “Já tivemos alguns ataques a cartórios”

Jorge Batista da Silva. “Já tivemos alguns ataques a cartórios”


A segurança e proteção de dados são dois temas centrais na ordem do dia do bastonário da Ordem dos Notários, que promoveu um seminário sobre o tema.


Quais são os principais desafios no mundo da proteção de dados?
Neste momento, há três grandes questões. A primeira é transversal e tem a ver com a cibersegurança e com a necessidade que temos de rever os planos de segurança, quer as instituições como a Ordem, já que os cartórios notariais a nível local são muitos e precisam de se adequar a estes novos tempos. Há ataques cibernéticos, roubos de dados, pedidos de resgate… nós até já tivemos alguns casos em cartórios, mas felizmente nunca tivemos assim nenhum problema grave. A maior parte eram casos associados a casos de phishing, portanto não houve perda de dados, para além de que não havia dados sensíveis. Isto até porque a grande parte dos dados que nós guardamos acabam por ter natureza de possibilidade de divulgação pública, porque são arquivos de natureza pública, portanto aí o problema não se coloca tanto quanto à questão da violação da privacidade e da vida privada. De qualquer maneira, é esta questão da cibersegurança que acaba por obrigar quase todas as instituições a reverem os seus procedimentos. Depois há outra questão que também acaba por ser transversal a todas as entidades, que tem a ver com a aplicação do Regime Geral de Proteção de Dados, com o qual todos nós aprendemos a viver e conviver, e que nos impõe certas medidas, do ponto de vista da forma como gerimos a nossa atividade, quer nos cartórios, quer na Ordem, no relacionamento com os cidadãos que nos contactam. Falo das políticas que temos de ter, como o direito ao esquecimento, o consentimento para a guarda de dados.

Da atividade notarial propriamente dita, a primeira grande questão que se coloca é o facto de ser relativamente evidente a possibilidade, até a nível europeu, de os notários poderem efetivamente recolher dados. Nós recolhemos milhares de dados. Por exemplo, para fazer uma escritura de compra e venda disponibiliza o seu nome, número de Cartão de Cidadão, número de contribuinte, morada e mais um conjunto de dados associados, que são legalmente recolhidos, precisamente porque há leis habilitantes para o efeito, quer pelo Código do Notariado, quer pelos códigos que existem para regular a atividade dos notários. O problema que se vai colocar, do ponto de vista do futuro, tem a ver com a questão dos acessos a esses dados e a forma como se procedia aos acessos. Tem-se entendido em Portugal, e entendeu-se durante décadas, que a definição de escritura pública e aquilo que é o contrato feito perante o notário tem acesso relativamente livre aos cidadãos, com publicidade total – ou seja, as pessoas poderiam aceder livremente, independentemente da invocação do interesse legítimo. O que será cada vez mais discutido – e precisamente devido ao facto até da própria informatização dos processos e a criação, a 1 de junho, da base de dados nacional de escrituras públicas – é até que ponto será legítimo um pedido sem interesse, por exemplo, jornalístico ou judicial, que implique que eu, por exemplo, solicite todas as escrituras feitas por uma pessoa qualquer. E até que ponto é que isso é invasivo e não vai criar graves problemas. Há escrituras de doação, ou de pagamento de dívidas… para as quais não há um especial interesse para o cidadão comum ter acesso, a não ser que aquela pessoa seja um PEP – pessoas exposta politicamente – ou um jornalista que está a fazer uma investigação. Agora, não faz sentido, principalmente quando se consegue de uma forma nacional obter toda a vida de uma pessoa e devassar completamente a sua vida, ter acesso a esses dados todos. Do ponto de vista da Ordem dos Notários, nós entendemos que vão ter que existir limitações, baseadas precisamente nesse interesse de aceder a esses dados. E isso protege-nos a todos. Não estamos a falar de limitar, por exemplo, o processo de investigação jornalística ou criminal. Pelo contrário, até vão ser mais simples. Estamos aqui a falar de limitar o devasso da vida privada pelo vizinho, pelo colega do trabalho ou por outra pessoa qualquer. Esse é um ponto importante e muito discutido no Seminário em que participamos esta semana, sendo importante agora discutir alguma alteração legislativa que efetivamente proteja os cidadãos dessa devassa da vida privada.

Isso foi tido em conta na criação da plataforma online?
Foi sim, especialmente através do ponto de vista informático, se bem que acho sempre que deveria ser sempre do ponto de vista legislativo, porque acho que deve ser sempre uma opção política e não informática. Neste momento, uma pessoa para pedir um documento, de duas uma, ou vai diretamente ao cartório local, e se quiser pedir todas as escrituras de uma pessoa vai ter de ir aos 450, ou sabe os dados especificamente da escritura e tem de se identificar na plataforma com o seu Cartão de Cidadão, tem que fazer uma identificação e indicar exatamente onde é que aqueles documentos estão arquivados, e se não souber não vai conseguir ter acesso a eles. Do ponto de vista informático, isso foi acautelado seguindo-se as regras que existiam no mundo físico. E implementamos informaticamente estas restrições. Claro que isto foi uma decisão da própria Ordem na forma como abordou a construção da plataforma, porque o objetivo foi exatamente esse: impedir que a vida dos cidadãos fosse devassada. Portanto optamos por isto. Agora, vai ser necessário ir mais além e legislarmos de uma forma transversal. Independentemente de o pedido ser feito ao balcão ou informaticamente, têm também de existir regras novas. Até porque as regras que temos existem desde o princípio, praticamente, do século XX. Passados cem anos, muita coisa mudou, desde logo as ferramentas informáticas que permitiram varrimentos e massificação e construção de bases de dados.

Então há uma desatualização nas regras aplicadas nestes processos?
Existe claramente uma desatualização, e vem em dois tipos. Antigamente, uma investigação de um jornalista, por exemplo, levava-o a vários cartórios, fazia a investigação, publicava a notícia no jornal, e tudo isso demoraria tempo e saber-se-ia. Hoje em dia não é assim. Estamos a falar num mundo em que temos o Sr. José que está em casa, que acha que é jornalista amador e obtém meia dúzia de documentos. No seu blogue, ou no Twitter ou no Facebook, depois despeja lá os documentos todos sem tratamento e sem qualquer código deontológico jornalístico, sem nada… Houve uma alteração da própria sociedade, que alterou a forma como acedemos à comunicação e aos dados. Agora há uma massificação. Antigamente, quanto muito, podia andar pela rua a distribuir panfletos com a escritura da vizinha. Hoje em dia não precisa disso. Para ter acesso à cidade toda publica na sua página do Facebook e se for realmente uma coisa escabrosa, passados dois minutos já a cidade inteira sabe. Essa é uma das questões, e há uma desatualização do enquadramento legal deste fenómeno. Depois há outro, que fundamentalmente consiste na possibilidade que hoje temos de ter bases de dados muito maiores e muito mais massificadas, com motores de busca até com inteligência artificial associada que permitem fazer uma série de coisas que antes não se podia, e que permitem quase vasculhar a vida das pessoas.

Há pouco falou num par de ataques no mundo notarial. Que medidas é que são tomadas para diminuir os riscos de que isto venha a acontecer?
A maior parte dos ataques são os chamados ataques de engenharia social, então o primeiro combate que se faz tem a ver com a sensibilização dos notários. Nesses ataques de engenharia social – que passam, por exemplo, por chamadas telefónicas de pessoas para dar acesso à estrutura de rede, porque supostamente lhes estão a ligar da Microsoft e é necessário fazer um update… – há medidas que é preciso tomar que antigamente seriam impensáveis. Era perfeitamente normal, há uns anos, que alguém chegasse a um cartório com uma pen-drive com um documento e dissesse ‘Olhe, não se importa de me imprimir isto, que preciso de reconhecer a assinatura?’. Claro que hoje tem que haver restrições desse ponto de vista. Teria de se utilizar uma máquina que não esteja ligada à rede do cartório, porque isso é uma porta de entrada e é a forma mais fácil de atacar. Também existem medidas do ponto de vista da sensibilização: a Ordem, o que está a fazer neste momento, é preparar formações mais intensivas relativamente à sensibilização dos notários para a definição de planos de contingência para ataques. Tem a ver com a questão da necessidade da atualização, principalmente, do software e dos antivírus das máquinas, utilização de firewalls, não utilização de clouds que não sejam de absoluta confiança, prestadores de serviços de confiança… mas isto da cibersegurança é uma guerra diária. O que existe é para preparar formação contínua, como temos noutras áreas, e dentro dessa formação contínua abarcarmos também uma formação específica para a cibersegurança, com planos e definição de critérios e procedimentos muito específicos. Isto acaba por ser um seguimento das regras que promovíamos antigamente, como quando pedíamos às pessoas para guardarem o arquivo público em papel, os alarmes, sensores de incêndio, de fumo. Agora também temos a mesma definição de regras para aquilo que é a cibersegurança. 

Qual é o maior perigo?
Neste momento, o mais importante – e nos cartórios não se coloca tanto esta questão porque muitos dos dados são públicos – tem a ver com o próprio impedimento da prestação de serviços. Porque, hoje em dia, os ataques que se têm visto, para além da questão do dano feito, ou o pedido de resgate se existir, também têm motivações que são apenas destrutivas, em que o objetivo é apenas paralisar unidades de prestação de serviço. O que pretendemos acautelar é precisamente isso, que haja redundâncias de várias informações, backups…

Essa plataforma online… vem com riscos associados?
É assim, existem sempre riscos associados, e são os mesmos do costume, que é a possibilidade de acesso aos dados de forma ilegítima e até a possibilidade da utilização de ferramentas para o tratamento e utilização abusiva destes dados. Do ponto de vista da infraestrutura da Ordem e dos nossos parceiros, agimos de acordo com as melhores práticas possíveis. Os acessos à plataforma são baseados em autenticação forte com certificados digitais qualificados, temos redundâncias, utilizamos data centers certificados da Altice, temos toda uma estrutura de suporte. Agora, quem disser que fez uma arquitetura à prova de todo e qualquer ataque, não está a dizer a verdade. O que nós tentámos fazer foi cumprir as melhores práticas de cibersegurança e tentar ter uma plataforma com fatores de acesso à informação que fossem restringidos. Vamos todos os dias aprendendo coisas novas para evitar que algum ataque ocorra e que provoque algum tipo de perda de informação, que neste caso até é mais importante que a própria divulgação dos dados. Apesar de, mesmo assim, não ser grave, porque os documentos que vão ser ali depositados existem em papel, portanto podem ser sempre reinseridos. O que se pretende é que isso não aconteça e que a plataforma esteja online, sobrevivendo a ataques se existirem.

Quando falou da arquitetura e das mentiras faz lembrar o que se dizia sobre o Titanic, que não ia afundar, e depois foi uma tragédia…
Pois [risos] Isto não adianta, seja qual for a área. Isto parece que quanto mais se planeia, mais ataques há. Mas é normal haver ataques. Nós temos outras plataformas que gerimos que já tiveram ataques, e que não houve nenhum problema, felizmente. Mas é um processo diário. Todos os dias tentamos fazer com que os dados estejam protegidos, mas claro que se houver um erro ou um problema qualquer, temos que enfrentar… isso também passa muito pelo trade-off entre a segurança e a usabilidade, que é sempre onde isto ‘morre’. [risos] É sempre aquela situação em que quanto mais se aumenta a usabilidade, mais se expõe do ponto de vista da segurança. Nesta fase, principalmente com os dados mais sensíveis, é por isso que optamos por certificados qualificados. O acesso do cidadão, por exemplo, é com base em códigos, que depois caducam, e só os pedidos de informação é que são com base em certificado, só que o código apenas permite acesso a um único documento e não pode ser partilhado, pelo que, mesmo que alguém tenha acesso, não é grave. Estamos todos dependentes de uma série de fatores que não controlamos, e um deles é o desenvolvimento tecnológico. É que, do outro lado, também há pessoas que todos os dias trabalham para que as nossas proteções não resistam…

No seminário falaram dos riscos associados às atividades notariais à distância, pode desenvolver um pouco mais?
Claro que os riscos associados são como os riscos associados de todas as outras plataformas que se criaram e que já existiram antes do covid. Tem a ver com a quantidade de dados que partilhamos. Os atos à distância implicam partilharmos a imagem e outro tipo de dados que não partilhamos habitualmente num tipo de operação que é documental. A própria qualidade e o tipo de dados partilhados, como o direito de imagem, criam mais um fator de risco, porque temos mais dados que podem ser objeto de ataque. E depois temos sempre fatores de risco distintivos, que são, por exemplo, a dependência de plataformas de videoconferência, que têm que ter os melhores standards. Também temos vários tipos de utilizadores… num negócio de compra e venda, por exemplo, podemos ter até 10 pessoas, e quanto mais utilizadores maior é o risco. Temos sempre as questões associadas à violação dos dados que não têm a ver com as plataformas em si, mas sim com, por exemplo, alguém estar a assistir ao ato, porque não controlamos a pessoa que está em casa. As escrituras são feitas, por exemplo, num ambiente controlado com o notário, e conseguimos saber quem é que está a ouvir. Quando ela está a ser feita num local qualquer, à distância, não conseguimos controlar… portanto, os riscos são diferentes, mas, fundamentalmente, do ponto de vista do processo em si dos atos à distância, a grande diferença é que vamos acrescentar àqueles dados pessoais que já constavam dos contratos temas como a utilização pública e para meios indevidos da própria imagem dos participantes num ato, a forma como se vão gravar esses vídeos, como se acede a eles, o que é que implica o que se vê no vídeo – se está mais gorda, mais magra, mais morena… – a localização… uma das implicações da lei é que a pessoa esteja no nosso país. Até a voz da pessoa, que acaba por ser uma assinatura pessoal, todos estes elementos novos são mais dados pessoais, ou pelo menos são mais elementos que compõem a nossa personalidade e que podem ceder um eventual acesso indevido.

Pode-se dizer que é um efeito secundário da pandemia e do aumento dos atos realizados à distância?
Sim, mas este é um processo inevitável. Relativamente a alguns negócios jurídicos – e isto é transversal a todos os setores, como a banca, onde a abertura remota de contas já existia – o que está a acontecer é que os atos à distância tornam-se uma exigência das pessoas por razões ecológicas, porque evitam deslocações, o que até é positivo, porque assim a pessoa que vive no interior do país não tem que se estar constantemente a deslocar às cidades para praticar atos. Agora, o que temos de exigir é um equilíbrio.

Sobre esta polémica toda da lei dos metadados, isto vai afetar também o mundo notarial?
Não afeta. Preocupa-me é enquanto jurista, porque acaba por comprometer, em parte, aquilo que são os processos de investigação judicial. Entendo que a questão dos metadados e a forma como são guardados, desde que haja políticas claras para toda a gente, não diminui o direito dos cidadãos, desde que seja regulado o acesso. Não vejo que seja um problema em si mesmo. É necessário é termos rapidamente uma solução e classificarmos o quadro legal. É fundamental que se clarifique a lei para não haver um conjunto de processos ou investigações que depois acabem por cair por causa da falta de um quadro legal claro. Em matéria de Direito, temos de ver que se aplica aquele que for o regime jurídico mais favorável aos arguidos, portanto este é um quadro extremamente sensível. Temos de chegar rapidamente a um compromisso entre uma proteção do direito dos cidadãos à intimidade e à sua vida privada e a existência de elementos de acesso a esses metadados para fazer investigação criminal, que é necessária. É impossível, num mundo globalizado, a não utilização de metadados para a investigação criminal.

Mas este é sempre o dilema. Qual é o ponto de equilíbrio entre a ‘entrada’ na vida privada dos cidadãos ao armazenar os seus dados e a salvaguarda da sua privacidade?
Do ponto de vista informático, existem soluções. Têm é que ser aplicadas o mais depressa possível. É possível guardar esses dados, encriptá-los imediatamente e essa desencriptação para utilização apenas ocorrer com uma ordem judicial. A regra tem é que ser clara. O acesso não tem de ser totalmente livre, mas temos de tomar medidas para que seja livre do ponto de vista prático. É importante que esses dados estejam efetivamente encriptados e que não esteja em claro o seu acesso, bem como que o próprio seja regulado nos processos de natureza judicial. Isso é que é fundamental para proteger os direitos dos cidadãos e para não termos problemas em termos de sigilo e uma série de deveres de confidencialidade. Do ponto de vista informático, isso é que é importante, ao contrário do que acontece com alguns tipos de processos, em que temos dificuldades… quer dizer, não consigo encriptar um livro de escrituras físico aqui do meu cartório. Se tivermos esses metadados escritos em papel, eu não consigo saber quem é que acede a eles… até posso pôr lá uma câmara, mas é mais difícil. Se eu cifrar aqueles dados e as frases de cifragem tiverem orientações, do ponto de vista de processo criminal, em que seja clara como se faz a sua decifragem e quem tem acesso, tudo isso já torna o processo auditável e dá-lhe confiança, sabendo nós que aqueles dados só foram acedidos porque havia um motivo. Até porque nisto da proteção de dados, andamos sempre no mesmo binómio entre o consentimento e interesse legítimo. Quando há interesse legítimo, temos de encontrar formas, independentemente do consentimento, de esses dados serem acedidos pelas autoridades e por entidades que têm que aceder. Nos restantes casos, tem de haver consentimento das duas partes. Tudo isto tem que ser regulado e sistematizado de forma a que as operadoras e todas as entidades envolvidas tenham regras claras sobre isso. Podem também haver auditorias regulares de cibersegurança e uma entidade que audite a utilização dos metadados, através de sistemas de bases de dados encriptados, com acessos muito regulados. Tecnologicamente há solução, é preciso é implementá-la e regulá-la.

Acredita que uma das soluções ideais seria criar uma entidade que auditasse o armazenamento e o acesso destes dados?
Entendo que sim. Pode ser criada na dependência, por exemplo, da Comissão Nacional de Proteção de Dados. Mas a grande dificuldade deste tipo de entidades é que elas têm de ter autonomia financeira para funcionar. E isto é uma coisa que custa dinheiro, é caro. Não adianta criar uma entidade no papel para depois não ter meios para exercer as suas funções. Os critérios de financiamento deste tipo de entidades têm de estar associados ao PIB, ou ao Orçamento do Estado, desde que sejam efetivos, que é para as pessoas saberem qual é a autonomia financeira necessária para que estas entidades possam contratar engenheiros informáticos e ter carreiras. Não podemos querer ter os melhores engenheiros e ter uma carreira da função pública que paga ordenados que mal dá para pagar um engenheiro júnior de uma empresa de software de contabilidade para uma empresa qualquer. Este tipo de entidades têm de ter liberdade e autonomia financeira para contratar técnicos especializados com ordenados que não são, muitas vezes, compatíveis com aquilo que são as tabelas salariais da função pública. Isso é que é importante, mas temos de assumir desde o princípio – que é o que as pessoas não gostam muito de fazer – que isto custa dinheiro, e muito. Devíamos começar por aí, sempre.

No Seminário de dia 13 de maio, estiveram presentes várias figuras de diferentes países da União Europeia. Como se está Portugal a ‘comportar’ relativamente aos restantes países europeus?
Considero que, do ponto de vista prático, estamos ao nível dos restantes países europeus. O que temos evitado, e, a meu ver, isso é positivo, é cair na obsessão formal da aplicação do Regime Geral da Proteção de Dados. Por exemplo, em França, mais de metade do documento relativo a uma procuração são declarações relativamente à proteção de dados, o que é completamente absurdo. Devido ao valor das coimas associadas, existe um medo muito grande. Está quase a levar a uma paranoia da proteção de dados. Nós temos, e bem, evitado isso. Agora, do ponto de vista da implementação prática da proteção de dados, todos os países europeus estão a tentar chegar a um compromisso que permita precisamente que, por um lado, haja um regime claro de proteção de dados que proteja os cidadãos, mas que, por outro lado, não se caia neste quase processo kafkiano em que quando entra num cartório para fazer uma escritura pública, eu, antes de falar, tenho de lhe dar para preencher duas ou três páginas de questionário. Na prática, é isso que está a acontecer. Nós não notamos porque a maior parte disto é via Internet e fazemos scroll down, clicamos na setinha e não queremos saber. Do ponto de vista europeu, o que existe é uma certa convergência de chegarmos a soluções de equilíbrio que não levem a este tipo de excessos e que criem entropias no próprio processo. Porque o sistema de proteção de dados tem de existir e proteger os cidadãos de fenómenos como a mineração de dados abusiva, mas não pode ser ao ponto de nos debilitar a um tal modo que nos impeça de competir economicamente com o resto do mundo globalizado. Se gasto metade do meu dia com preocupações do Regulamento Geral da Proteção de Dados, isso significa que metade da minha produtividade desaparece.