Data Brokers Explicados: Como Eles Coletam e Vendem Suas Informações Pessoais

A maioria de nós já experimentou aquele momento inquietante quando nossos dispositivos parecem saber demais -- quando uma busca casual leva a dias de anúncios relacionados nos seguindo pela internet. Anúncios direcionados não são apenas irritantes; podem ser ativamente prejudiciais à democracia, à saúde mental e à privacidade pessoal. Eles foram usados para direcionar desinformação eleitoral por raça e para recrutar para igrejas por meio de geofencing.

O Que São Data Brokers?

As grandes empresas de tecnologia merecem escrutínio por violações de privacidade, mas algumas empresas operam quase inteiramente fora dos holofotes, além da maioria das regulamentações e abaixo da consciência da maioria dos usuários de internet.

Essas empresas são conhecidas como data brokers.

Na Europa, as leis de privacidade oferecem proteções significativas. Nos EUA, o cenário regulatório é muito menos restritivo, e data brokers podem acumular até 1.500 pontos de dados sobre o cidadão americano médio.

Data brokers (também chamados de "fornecedores de dados", "corretores de informações" ou "provedores de dados") coletam dados pessoais diretamente ou os compram de plataformas de mídia social, empresas de cartão de crédito e qualquer site que coleta ou compartilha dados de usuários. Esta é uma indústria de US$ 200 bilhões com mais de 4.000 empresas, e continua crescendo rapidamente.

Essas empresas variam de agências de relatórios de crédito como Equifax, Experian e TransUnion, a sites de busca de pessoas como PeekYou, Pipl e Instant Checkmate, a entidades menos conhecidas como Acxiom, Cuebiq, CoreLogic, LiveRamp e Epsilon. O que todas têm em comum é a prática de coletar informações pessoais e revendê-las ou compartilhá-las com outras empresas.

Como um repórter da WIRED os descreveu, data brokers são "os intermediários não regulamentados do capitalismo de vigilância" e uma "ameaça à democracia."

Enquanto a maioria dos data brokers negocia listas relativamente inofensivas como "entusiasta de Fórmula 1" ou "futuro pai/mãe", alguns supostamente venderam listas categorizadas como "vítima de estupro", "alcoólatra" e "portador de disfunção erétil."

Como os Data Brokers Operam?

No mundo digital, a maior parte da coleta de dados ocorre por meio de cookies de terceiros e scripts de rastreamento. Empresas diferentes do site que você está visitando definem cookies para monitorar seu comportamento e vender essas informações.

Nem todos os scripts de terceiros são maliciosos, e nem todos os cookies são prejudiciais. Muitos sites legitimamente precisam de cookies para funcionalidade de login. A diferença crítica é que scripts de rastreamento de data brokers seguem você não apenas dentro de um único site, mas de site em site pela maioria da internet.

Considere a escala: o New York Times carrega 10 rastreadores de anúncios e 17 cookies de terceiros. O site da Adobe tem 21 rastreadores de anúncios e 34 cookies de terceiros. Até o Surfshark, uma VPN que se comercializa como focada em privacidade, tem 9 rastreadores de anúncios e 3 cookies de terceiros. Você pode testar qualquer site usando a ferramenta Blacklight do The Markup.

Data brokers coletam pontos como endereços IP (que revelam localização física), informações do dispositivo e interesses de navegação. Eles combinam isso com outros dados que possuem sobre você, agrupam você com perfis semelhantes ("vegano, morando em Los Angeles, renda de US$ 65k-90k, solteiro") e vendem essas listas para anunciantes.

As listas especialmente invasivas -- pessoas com condições médicas específicas, preferências sexuais, opiniões religiosas ou afiliações políticas -- podem ser vendidas para praticamente qualquer pessoa. Informações médicas pesquisadas online não são protegidas pelo HIPAA. O HIPAA cobre apenas informações compartilhadas com médicos. Pesquisar "aborto", "tratamentos para câncer" ou "terapeuta em Seattle" online gera dados completamente desprotegidos.

Aplicativos móveis também podem vazar dados para terceiros e brokers sem o conhecimento dos usuários, incluindo aplicativos de lanterna gratuitos que silenciosamente transmitem dados de localização.

Áreas Cinzentas Legais

Empresas de data brokers operam em zonas cinzentas legais. Em países com leis de privacidade rigorosas, suas práticas podem ser tecnicamente ilegais, mas persistem mesmo assim. A maioria dos data brokers enterra o consentimento para compartilhar dados profundamente nos termos de serviço e nas letras miúdas.

Apesar de comercializarem suas práticas como perfeitamente legais, data brokers regularmente enfrentam consequências legais. Em 2021, a Epsilon foi processada pelo Departamento de Justiça por US$ 150 milhões por facilitar esquemas de fraude contra idosos por quase uma década.

A SafeGraph, uma empresa de dados de localização com nome irônico, só recentemente parou de permitir compras de dados mostrando quantas pessoas visitaram as instalações da Planned Parenthood. Eles também venderam dados totalmente desagregados para o governo americano.

O Life360, usado por mais de 35 milhões de pessoas como aplicativo de segurança familiar, foi exposto por gerar receita significativa vendendo dados precisos de localização -- incluindo dados de crianças -- para dezenas de data brokers.

As alegações de desidentificação soam vazias. Um estudo descobriu que 99,98% dos americanos poderiam ser reidentificados usando qualquer conjunto de dados com pelo menos 15 atributos demográficos. Quanto mais dados coletados, mais fácil é individualizar as pessoas.

Por Que Você Deveria Se Importar

Mesmo que você sinta que não tem nada a esconder, nem todos têm o privilégio de ser indiferente. Vítimas de perseguição, sobreviventes de violência doméstica e muitas outras pessoas têm razões urgentes para manter seus dados longe de serem comprados e vendidos. No entanto, em muitas jurisdições, não existem leis federais exigindo que data brokers removam dados mediante solicitação.

Esse ecossistema de dados também dá aos governos uma brecha legal em torno dos requisitos de mandado judicial. Em vez de obter um mandado judicial para dados de vigilância, as agências podem simplesmente comprá-los de data brokers -- de forma completamente legal e sem o conhecimento do indivíduo.

Protegendo-se

Vários passos podem reduzir sua exposição: use navegadores focados em privacidade como Brave ou Firefox, empregue VPNs, recuse consentimentos de cookies quando possível e ajuste as configurações do dispositivo móvel que permitem que aplicativos rastreiem atividade.

Mas o ônus não deveria recair apenas sobre os indivíduos. A privacidade digital deveria ser protegida por padrão através de legislação e fiscalização. Na UE, o GDPR exige bases legais para o processamento de dados, embora a fiscalização permaneça imperfeita. Até mesmo os banners de consentimento do GDPR frequentemente usam dark patterns que tornam a opção de recusa deliberadamente difícil.

Proprietários de sites podem agir imediatamente removendo scripts de rastreamento de terceiros que enviam dados a brokers e mudando para ferramentas de analytics focadas em privacidade que coletam apenas dados anonimizados e agregados.

De acordo com o Pew Research Center, aproximadamente seis em cada dez americanos acreditam que é impossível passar pela vida diária sem ter dados coletados por empresas e governos.

A economia da internet moderna funciona sobre esse modelo de corretagem de dados. É por isso que tantos sites populares e redes sociais são gratuitos: eles geram bilhões a partir dos dados dos usuários. Quanto mais pessoas entendem como esse sistema funciona, mais pressão pode ser aplicada por melhor regulamentação federal e proteção dos direitos de privacidade digital.