As crianças também têm direitos — direitos digitais
O Regulamento Geral sobre a Proteção de Dados (RGPD) confere uma proteção especial aos dados pessoais das crianças. O artigo 8.º e o considerando 38 estabelecem, de forma simples, que as crianças têm menos capacidade para avaliar riscos e consequências. Para os pais, isto significa que uma app no quarto do bebé merece mais atenção do que um widget meteorológico.
Na prática, a privacidade nas apps de monitorização de bebés é muitas vezes tratada em letras pequenas. Por vezes, até parece fazer parte do modelo de negócio.
Que dados recolhem habitualmente as apps de monitorização de bebés
Uma consulta da política de privacidade do Baby Monitor Timmy e das políticas de outras apps de monitorização de bebés mostra rapidamente os dados que costumam aparecer:
- Dados de localização: A posição GPS do dispositivo. É difícil justificar isto numa app de monitorização de bebés.
- Gravações de áudio e vídeo: Algumas apps guardam gravações nos seus próprios servidores, por vezes sem prazos de eliminação claros.
- Informações do dispositivo: Modelo, sistema operativo, identificadores únicos do dispositivo. Isto pode rapidamente transformar-se num perfil.
- Comportamento de utilização: Quando abre a app, durante quanto tempo ouve, que funcionalidades utiliza.
- Identificadores de publicidade: Algumas apps incluem redes de publicidade e partilham dados com terceiros.
Todos estes dados vêm do lugar mais sensível que existe: o quarto do seu filho. Em muitos casos, acabam em servidores que não controla.
O que o Timmy faz de forma diferente
O Baby Monitor Timmy foi criado desde o início com base na minimização de dados. Em termos do RGPD, isto significa recolher apenas os dados necessários para a finalidade específica. Não tudo o que é tecnicamente possível.
Na prática, isto significa:
- Autenticação anónima: O Timmy utiliza o Firebase Anonymous Auth. Não é criada nenhuma conta, não é pedido nenhum endereço de e-mail nem é guardada nenhuma palavra-passe. O dispositivo recebe um ID temporário e anónimo. A configuração da ligação não precisa de mais nada.
- Sem armazenamento de áudio ou vídeo: O áudio e o vídeo são transmitidos diretamente entre dispositivos (ponto a ponto, através de WebRTC). Nenhum servidor escuta, nenhum servidor guarda gravações. Quando a ligação termina, não fica nenhuma gravação.
- Sem rastreio nem análise: O Timmy não inclui ferramentas de análise. Sem Google Analytics, Firebase Analytics ou SDKs de publicidade. Não sei quando utiliza a app, nem quero saber.
- Sem localização nem contactos: O Timmy pede apenas as permissões tecnicamente necessárias: microfone e, opcionalmente, câmara. Nada mais.
Firebase: apenas o essencial
O Timmy utiliza o Firebase para sinalização, ou seja, para coordenar a configuração da ligação entre o dispositivo do bebé e o dos pais. O Firestore recebe dados técnicos, como ofertas SDP (Session Description Protocol) e candidatos ICE para WebRTC. Não contêm informações pessoais e deixam de ser válidos após pouco tempo.
Os fluxos de áudio, os dados de vídeo e os perfis de utilização não pertencem ao Firebase. A comunicação propriamente dita decorre diretamente entre os dispositivos e é encriptada pelo WebRTC.
Minimização de dados na prática
A minimização de dados não é algo que se acrescenta no fim como uma simples caixa de verificação. Está na arquitetura. Para o Timmy, significa:
O que não recolhemos, não podemos perder. O que não guardamos, não pode ser pirateado. O que não sabemos, não pode ser utilizado indevidamente.
Para cada funcionalidade, faço a mesma pergunta: isto pode funcionar sem recolher mais dados? Até agora, no Timmy, a resposta tem sido sim.
Conclusão: privacidade é respeito
A privacidade no quarto do bebé é mais do que uma obrigação legal. É uma forma de respeito pelo seu filho. O seu bebé não pode decidir que dados são criados sobre ele. Essa responsabilidade é sua e das apps a que dá acesso.
O Baby Monitor Timmy leva essa responsabilidade a sério. Para mim, boas promessas não bastam; a arquitetura deve evitar, à partida, a recolha de dados que não são necessários para o funcionamento do monitor de bebé.