Jurisdições, Five Eyes e privacidade
Toda empresa segue as leis do país onde está sediada. Essas leis definem quais autoridades podem exigir dados, qual procedimento precisam seguir e se a empresa pode avisar os usuários. O Privacy Ratings mostra a jurisdição de cada empresa na sua página de avaliação, nas tabelas das categorias e nas páginas de países abaixo.
Os acordos Eyes
Os Five Eyes começaram com o Acordo UKUSA de compartilhamento de inteligência de sinais. Os Nine Eyes e os Fourteen Eyes são acordos de compartilhamento mais amplos. As agências de inteligência desses países compartilham dados entre si, o que pode permitir que recebam informações sobre pessoas que não poderiam coletar legalmente por conta própria.
| Acordo | Países |
|---|---|
| Five Eyes | Estados Unidos, Reino Unido, Canadá, Austrália, Nova Zelândia |
| Nine Eyes | Five Eyes, mais Dinamarca, França, Países Baixos e Noruega |
| Fourteen Eyes | Nine Eyes, mais Bélgica, Alemanha, Itália, Espanha e Suécia |
Fontes: Acordo UKUSA, whitepaper técnico do Forward Email (seção 9.5).
Como outros guias tratam a jurisdição
- O Privacy Guides exige que os provedores de VPN estejam "sediados em uma jurisdição onde não possam ser obrigados a manter registros secretos" e prefere provedores de e-mail em "uma jurisdição com leis fortes de proteção da privacidade do e-mail", sem citar países. Critérios para VPN, critérios para e-mail
- O That One Privacy Site marcava os países dos Five Eyes em vermelho, os dos Nine e Fourteen Eyes em amarelo e todos os demais em verde. Fórmulas da tabela
- O Who Has Your Back, da EFF, avaliava as empresas pelo que fazem com as solicitações governamentais: relatórios de transparência, aviso aos usuários e exigência de mandados. Who Has Your Back
Como o Privacy Ratings trata a jurisdição
A jurisdição é exibida, não pontuada. A localização, por si só, é um indicador fraco:
- O Proton, na Suíça e fora de todos os acordos Eyes, atendeu a 8.313 de 9.301 ordens judiciais no seu relatório anual mais recente. Fonte
- O Proton VPN, da mesma empresa e do mesmo país, não atendeu a nenhuma, porque não mantém registros. Fonte
- O Mullvad, na Suécia, membro dos Fourteen Eyes, passou em auditorias que confirmaram que seus servidores VPN não guardam dados dos clientes. Fonte
O que um provedor pode entregar depende dos dados que ele guarda e de quem detém as chaves. Por isso, as pontuações medem justamente isso: criptografia, registros, auditorias, relatórios de transparência e aviso aos usuários. Mesmo assim, cada página mostra o país, sua participação nos Eyes, a cobertura pela UE ou pelo RGPD e se o CLOUD Act se aplica, para que os leitores possam avaliar a jurisdição por conta própria.