Banqueiro , padeiro ou ladrão? Mãe ou pai? Capaz de lhe emprestar US$ 10, US$ 10 mil ou US$ 10 milhões? Especialista com licença para praticar a profissão ou ignorante que gosta de dar palpites? Amador curioso ou aprendiz de terrorista? Adolescente bonitinho de 16 anos ou velho de mente suja? Funcionário contratado ou ex-funcionário demitido e raivoso? Investidor imobiliário astuto ou amigo do prefeito fazendo uso ilícito de informações privilegiadas?
Um dos poucos impactos positivos dos atentados de 11 de setembro passado foi a atenção voltada à segurança dos computadores e à melhor identificação dos usuários, o que é uma boa idéia.
Ao mesmo tempo, ela parece estar provocando a adoção apressada de legislação nova nos EUA, o que é má idéia. O Congresso corre o risco de aprovar leis duradouras que imponham restrições importantes às liberdades individuais sem que necessariamente ajudem o país a capturar terroristas. Essas leis incluem a ampliação da capacidade de busca e rastreamento de suspeitos, além de medidas draconianas contra todo tipo de crime de informática.
A Oracle e a Sun Microsystems estão sugerindo a adoção de carteiras nacionais de identidade, que teriam de ser portadas por todos os cidadãos americanos e estrangeiros no país. Isso provavelmente seria ótimo para os negócios dessas empresas, mas também seria uma grande fonte de potenciais abusos. E o novo sistema de documento de identidade Hailstorm, da Microsoft, é uma carteira de identidade privada: se a Microsoft conseguir aproveitar bem a posição que ocupa no mercado, a maioria dos usuários de computadores será obrigada a carregá-la na rede.
Mas essa sequência de boas e más notícias teve mais um resultado positivo: mesmo que as leis sejam aprovadas, as pessoas já estão refletindo com mais clareza sobre liberdades civis básicas (que os terroristas, com certeza, repudiam) e sobre como conciliar a tensão entre a segurança pública e as liberdades privadas.
Até certo ponto, a tensão é falsa, já que as autoridades com frequência nem sequer chegam a recorrer aos meios legais de que já dispõem para detectar comportamentos suspeitos. Elas não precisam de mais poderes para melhorar sua eficácia. Pelo que sabemos, os sequestradores puderam embarcar nos aviões em 11 de setembro não por usarem documentos de identidade falsos ou comunicações via computador impossíveis de serem rastreadas, e sim pela ausência de coordenação policial na base. E essa falha não aconteceu em razão de restrições ao acesso do governo a informações ou às identidades de indivíduos, mas do uso insuficiente de informações que o governo tinha todo o direito de acessar.
Revelar identidades não é um trabalho do tipo tudo ou nada. Identidade é um conceito complexo, assim como o é a privacidade. As autoridades querem reunir diferentes facetas de uma identidade para que os indivíduos não possam fugir da responsabilidade por seus atos ou obrigações.
As empresas querem saber o que a pessoa deseja e pelo que ela se dispõe a pagar, mesmo que não saibam o nome da pessoa.
Já pessoas que estão numa sala de bate-papo ou numa montanha frequentada apenas por exímios esquiadores geralmente só estão interessadas nas credenciais da outra pessoa ou no papel que ela vai desenvolver. A pessoa por inteiro não lhes interessa.
Resumindo, a identidade pode significar muitas coisas. É uma coleção de dados -centralizados ou descentralizados.
Poderíamos imaginar um mundo totalmente seguro em que cada ato do indivíduo fosse vigiado, não por uma pessoa, mas por um sistema global de procura de dados. Mas a maioria das pessoas prefere não visualizar um mundo desse tipo, que teria o potencial de possibilitar nosso controle por outro tipo de terrorista -sem falar no fato de que tal sistema não seria garantia de segurança para nós.
Assim, em lugar de pensarmos em tentar rastrear todo o mundo, vamos focalizar os riscos reais. A segurança depende não apenas da identificação, mas do comportamento. A pessoa está carregando um cortador de papel? O aluno de pilotagem se interessa apenas em voar, não em aprender a decolar e aterrissar? Ele vive tentando ganhar acesso a determinados arquivos restritos? Trabalha em horários incomuns?
Mais uma vez, trata-se de coordenar informações sobre o comportamento da pessoa. Se um estudante nunca comparece à escola cuja mensalidade ele pagou e cujo nome ele citou em seu pedido de visto de entrada no país, se ele permanece além do tempo permitido em seu visto e depois aparece na revista de bagagem carregando um cortador de papel, ele apresentou comportamento suspeito. Se quisermos frustrar ataques terroristas futuros, precisaremos ser capazes de juntar todos esses pedacinhos de informação em tempo real. No sistema atual, esses vínculos -e muitos outros- tendem a ser constatados apenas depois que as coisas já aconteceram.
O ideal seria que não houvesse um órgão único que cuidasse das identidades. Vamos evitar a concentração do poder nas mãos do governo ou de organismos comerciais! É preciso que os mecanismos de identidade sejam interoperáveis, mas o padrão deve ser que a centralização cabe ao usuário, na condição de ponto focal e integrador dos diferentes sistemas. Deve ser decisão do indivíduo usar suas credenciais de um serviço em outro. Isso reflete a vida real: as pessoas têm identidades e papéis diferentes, dependendo do contexto -apresentam comportamentos diferentes e mostram facetas diferentes de si mesmas. Isso não é patológico e não deve ser tratado como tal.
A sociedade e as contrapartes com as quais cada indivíduo trata têm interesse em manter juntos os elementos das identidades, de modo que a pessoa não possa obter os benefícios de uma identidade sem assumir as responsabilidades e obrigações correspondentes. Como criar as correspondências certas entre eficiência, precisão e responsabilidade, por um lado, e liberdade e privacidade, do outro?
A polícia deve ser autorizada a integrar informações pessoais se puder provar que tem causa apropriada para isso -mas qual seria essa causa apropriada?
Isso será uma discussão longa, que não poderemos resolver aqui, mas, como sociedade, já demos um passo inicial nesse sentido -e precisamos manter essa tensão, em lugar de resolvê-la de maneira ampla demais, simplesmente optando pela vigilância do governo.
Qualquer pessoa que oferece uma credencial já pode exigir obrigações contratuais. Chamamos a isso confidencialidade leve: nós lhe damos uma credencial e mantemos sua identidade ou seus dados em sigilo, exceto sob determinadas condições. Essas condições poderiam incluir o não-cumprimento de uma obrigação, conflitos de interesse, comportamentos estranhos e, é claro, garantias emitidas pelo governo.
Ainda há muitas questões a serem estudadas e decididas. Por exemplo, João pode querer um terceiro para afirmar que ele merece ter crédito na praça. Essa afirmação seria baseada em detalhes que são conhecidos por esse terceiro, mas que não são revelados a outros. Maria, por exemplo, pode querer que seu corretor ateste que ela não possui ações da empresa WonderWidgets sem revelar que ações ela possui de fato. Mas como lidamos com o fato de que Maria pode ter várias contas no mercado de ações? Ou que, mesmo sem terem vínculos formais, Maria e João podem ser cúmplices? Não existe maneira fácil de fazê-lo.
Talvez já tenha chegado a hora de mudarmos nossas práticas, mas já temos as leis que permitem boa dose de descoberta de fatos, desde que exista justificativa para que sejam investigados.
Devemos incentivar os governos que defendem a liberdade a fazer uso mais eficiente dos poderes que eles já possuem, em lugar de aprovar novas leis que facilitariam o abuso desses poderes, numa forma de terrorismo que não seria letal, mas que, em alguns aspectos, seria mais assustadora - exatamente por ser legal.