Antes de dares os teus dados a uma app: os riscos e como ver se é segura

Como saber se uma app é segura, em 5 minutos

Não precisas de saber programar. Precisas de olhar para 5 coisas, de preferência antes de instalar.

1. A etiqueta de privacidadeNa página da app, desce até à privacidade. Na App Store, lê primeiro «Dados utilizados para o seu seguimento»: se estiver vazio, melhor. No Google Play, a parte chama-se «Segurança dos dados».
2. As permissões que pedeUma lanterna não precisa dos teus contactos. Se o pedido não tem a ver com o que a app faz, diz que não.
3. A política de privacidadeProcura quem é o responsável, para que usa os dados, a quem os passa e em que países ficam. A lei suíça obriga a dizer isto.
4. Onde ficam os dadosNo teu aparelho, na tua cloud ou nos servidores da empresa? Encriptados? E quem tem a chave?
5. Depois de instalar, o relatórioO iPhone mostra o que a app usou nos últimos 7 dias e com que domínios falou. No Android, o Painel de privacidade mostra quando usou a localização, a câmara e o microfone. Compara com a etiqueta.

A etiqueta é preenchida pelo próprio programador, na App Store e no Google Play. É um bom começo, mas não é uma prova. O relatório do passo 5 é o que mostra o que a app faz de facto.

O que as apps recolhem

Algumas destas coisas são precisas para a app funcionar. Outras não. A pergunta a fazer é sempre a mesma: a app precisa disto para fazer o que eu lhe peço?

• A localizaçãoA localização exata diz onde moras e onde trabalhas. Para o tempo ou para uma loja perto de ti, a aproximada chega.
• Os contactosSão dados de outras pessoas, que não deram autorização nenhuma.
• As fotosE o que vem dentro delas: se a Câmara tem acesso à localização, cada foto guarda o sítio onde foi tirada. Quem recebe a foto pode vê-lo.
• O identificador de publicidadeUm número do teu telemóvel que permite juntar o que fazes em apps e sites diferentes.
• O que escreves e dizesMensagens, notas, gravações, pesquisas. Se vão para um servidor, alguém lá as pode ler.
• A saúdePara a lei suíça, são dados sensíveis (art. 5). Quando a lei pede o teu consentimento para eles, tem de ser expresso (art. 6).

Para onde vão os teus dados

Numa app que guarda tudo no aparelho, os dados ficam contigo. Noutras, fazem um caminho mais longo:

1. O teu telemóvelOnde os dados nascem
2. Os servidores da appÀs vezes noutro país
3. ParceirosPublicidade e estatísticas de uso
4. Corretores de dadosEmpresas que compram e vendem perfis

Se os dados saem da Suíça, a política de privacidade tem de dizer para que país e com que garantias (art. 19). Só podem ir para um país que proteja os dados de forma adequada, ou com garantias próprias (art. 16).

Os riscos, em concreto

1. Burlas feitas à tua medidaCom o teu nome, o teu banco ou a tua última compra, uma mensagem falsa parece verdadeira.
2. Fugas de dadosUm servidor mal protegido pode ser atacado. Se a fuga traz um risco elevado para ti, a empresa tem de avisar o EDÖB o mais depressa possível, e a ti também, quando isso te protege (art. 24).
3. Perfis que ficamApagar a app não apaga o que está nos servidores. A lei diz que os dados se apagam quando já não são precisos (art. 6), mas és tu quem tem de o pedir para ter a certeza.
4. Alguém a fazer-se passar por tiCom dados suficientes, outra pessoa consegue abrir contas ou recuperar palavras-passe em teu nome.

Encriptação: a pergunta é quem tem a chave

Encriptar é baralhar os dados de forma que só quem tem a chave os consegue ler. «Encriptado» não quer dizer sempre o mesmo:

1. Em trânsitoOs dados vão baralhados pela internet (o «https» e o cadeado do browser). Chegam ao servidor e o servidor lê-os.
2. Em repousoOs dados ficam baralhados no disco do servidor. Quem tem a chave lê-os; muitas vezes é a própria empresa.
3. De ponta a pontaA chave só existe nos teus aparelhos. A empresa guarda os dados, mas não os consegue ler.

Um exemplo: o iCloud. Com a proteção normal, os dados estão encriptados, mas a Apple guarda as chaves de muitos deles. Com a Proteção de dados avançada ligada, a maior parte passa a ser encriptada de ponta a ponta, e a Apple deixa de ter essas chaves.

6 ajustes do iPhone que te protegem

1. Ler a etiqueta antes de instalarNa App Store, a privacidade divide-se em «Dados utilizados para o seu seguimento», «Dados associados a si» e «Dados não associados a si».
2. Rever as permissõesDefinições > Privacidade e segurança. Para cada tipo de dado (fotos, contactos, microfone…), vês que apps têm acesso e tiras o que não faz falta.
3. Recusar o seguimentoQuando uma app pergunta, toca em «Pedir à aplicação para não seguir». Para todas de uma vez: Definições > Privacidade e segurança > Seguimento e desliga «Permitir pedidos de seguimento das aplicações».
4. Dar só a localização aproximadaDefinições > Privacidade e segurança > Serviços de localização > a app, e desliga «Localização exata». Na Câmara, escolhe «Nunca» se não queres o sítio nas fotos.
5. Ligar o relatórioDefinições > Privacidade e segurança > Relatório de privacidade das aplicações > Ativar relatório de privacidade das aplicações. Mostra os últimos 7 dias. O relatório fica encriptado e só no teu iPhone.
6. Proteger o iCloudDefinições > o teu nome > iCloud > Proteção de dados avançada. Antes, a Apple pede um contacto de recuperação ou uma chave de recuperação: guarda-a bem, porque a Apple não te pode ajudar a recuperar os dados.

6 ajustes do Android que te protegem

Os nomes abaixo são os do Android do Google, em português. Em telemóveis de outras marcas (Samsung, Xiaomi…), o caminho pode mudar: se não encontrares, escreve o nome na pesquisa das Definições.

1. Ler a «Segurança dos dados» antes de instalarNa página da app no Google Play, desce até «Segurança dos dados». Diz que dados a app recolhe, se os partilha com outras empresas, se vão encriptados e se podes pedir que os apaguem. Como na App Store, quem a preenche é o programador.
2. Rever as autorizaçõesDefinições > Segurança e privacidade > Gestor de autorizações (nalgumas versões, dentro de «Controlos de privacidade»). Para cada tipo de dado vês que apps têm acesso, e escolhes «Não permitir» no que não faz falta. E em Definições > Apps > cada app, deixa ligado «Pausar atividade de apps se não usadas»: uma app esquecida durante uns meses perde as autorizações sozinha.
3. Apagar o ID de publicidadeDefinições > Privacidade > Anúncios (nalguns telemóveis, dentro de «Segurança e privacidade»), e elimina o ID de publicidade. As apps que o tentarem ler passam a receber só zeros.
4. Dar só a localização aproximadaDefinições > Apps > a app > Autorizações > Localização, e desliga «Localização exata». A app fica a saber a zona, não a rua. Na app da câmara, desliga a localização nas definições dela se não queres o sítio nas fotos.
5. Ver o Painel de privacidadeDefinições > Segurança e privacidade > Painel de privacidade. Mostra que apps usaram a localização, a câmara e o microfone, e a que horas. Nas versões recentes, o menu ⋮ tem «Mostrar 7 dias».
6. Proteger a cópia de segurançaUsa um PIN, um padrão ou uma palavra-passe para desbloquear o telemóvel, e não só deslizar o dedo. A cópia de segurança do Google usa esse código para encriptar parte dos dados de ponta a ponta. As fotos do Google Fotos e as MMS não ficam protegidas por ele.

O que a lei suíça te dá

A nova Lei federal sobre a proteção de dados (LPD, em alemão DSG) está em vigor desde 1 de setembro de 2023. Vale também para empresas de fora, quando o tratamento dos dados tem efeitos na Suíça (art. 3).

• Saber o que fazem com os dadosQuem é o responsável, para quê, a quem os passam e para que países (art. 19).
• Pedir os teus dadosGrátis e, em regra, em 30 dias: os dados, para que servem, quanto tempo ficam, de onde vieram e a quem foram (art. 25).
• Levá-los contigoNum formato eletrónico comum, quando a app os trata de forma automática com o teu consentimento ou por contrato (art. 28).
• Corrigir e mandar apagarDados errados corrigem-se. E podes opor-te a que os tratem: se a empresa não cumprir, um tribunal pode proibir o tratamento, proibir que os passe a outros ou mandar apagá-los (art. 30 e art. 32).
• Dados protegidosA empresa tem de proteger os dados de acordo com o risco (art. 8). Quem não cumpre as regras mínimas de proteção de propósito arrisca uma multa até CHF 250 000 (art. 61).
• Ser avisado de uma fugaQuando isso é preciso para te protegeres (art. 24).

Perguntas frequentes