Capítulo 6
Confiança e remoção
Duas perguntas que todo mundo faz: “dá para apagar?” e “como eu sei que isso é confiável?”. As respostas usam mecanismos diferentes — e nenhuma delas promete mais do que é possível.
Resumo em cinco linhas
- Remover tem dois caminhos: vontade do autor ou ordem judicial.
- O conteúdo some; a prova de que existiu fica. Sem isso, apagar viraria impunidade.
- Cada provedor que apaga emite um recibo assinado — dá para cobrar quem não apagou.
- Conselhos de confiança não bloqueiam nada: o parecer deles aparece primeiro e em destaque, como um comentário.
- Quem escolhe os conselhos é quem lê. O autor não tem controle nenhum sobre isso.
Remoção: dois caminhos, um efeito
Qualquer pessoa pode se arrepender do que publicou. E a justiça pode mandar tirar do ar. São coisas diferentes, com alcances diferentes.
Pedido do autor
- O autor do conteúdo pede a remoção.
- O original sai do ar.
- Respostas e cortes permanecem, com aviso de que o original foi removido.
- Não precisa justificar.
Ordem judicial
- Um juiz manda remover.
- O original sai do ar.
- Respostas e cortes caem em cascata.
- A ordem fica registrada e é auditável.
Se pedir para sair apagasse tudo o que veio depois, bastaria publicar algo polêmico e apagar para sumir com a resposta dos outros. O autor controla o que ele publicou, não a conversa inteira.
O que sobe e o que fica
| O que | Remoção pelo autor | Remoção por ordem judicial |
|---|---|---|
| O conteúdo em si | sai do ar | sai do ar |
| O vídeo, a foto, o texto | apagado nos provedores | apagado nos provedores |
| Respostas e cortes | permanecem, com aviso | removidos em cascata |
| Registro de que existiu | fica | fica |
| Recibo de cada provedor | exigido | exigido |
| Cópias que alguém já baixou | continuam existindo | continuam existindo |
A última linha é a parte honesta e desconfortável. Em rede distribuída, remover é parar de distribuir e apagar onde é possível. Não é desaparecer. Quem baixou, baixou; quem printou a tela, printou.
O que se pode garantir é diferente e ainda assim valioso: o conteúdo não está mais sendo servido por ninguém, e existe prova de que ele foi removido — com recibo de cada provedor.
Se o registro sumisse junto, o autor de um crime apagaria o crime e a vítima de um erro perderia a prova do erro. O que fica é só isto: “houve um conteúdo nesta data, assinado por esta conta, agora removido”. Sem o conteúdo.
Conselhos de confiança
Não é um colegiado, não tem cadastro e não é um cargo. É uma conta que você escolhe ler primeiro.
Qualquer conta pode ser um conselho de confiança. Não existe registro, aprovação, chave especial nem status. Quando você marca uma conta como conselho, ela passa a ser conselho para você. É parecido com seguir alguém — mas o efeito é diferente.
O efeito é simples: os comentários dessa conta aparecem primeiro para você, com destaque, em qualquer lugar — inclusive dentro de grupos fechados de que você participa. Se a conta não estiver no grupo, você simplesmente não vê nada dela ali: a eleição não abre porta nenhuma.
A conta eleita ganha um selo discreto no perfil: “há pessoas que priorizam ler os comentários desta conta”. Só isso. Não diz quantas pessoas, não diz quem, não diz que a conta é confiável — diz que alguém a prioriza.
O número citado no vídeo é de 2019 e foi revisado depois. O dado atual é 40% menor.
Valeu, não sabia que tinha sido revisado.
Então o vídeo está errado?
Valeu, não sabia que tinha sido revisado.
Então o vídeo está errado?
Sem eleição, os comentários aparecem na ordem normal. Nenhum aviso, nenhum selo, nenhum bloqueio.
O que a eleição muda — e o que não muda
Muda
- Os comentários dela vêm primeiro para quem a elegeu.
- Ela ganha o selo no perfil.
- Você pode desfazer a eleição quando quiser.
Não muda
- Ela não apaga nem esconde conteúdo.
- Ela não aparece para quem não a elegeu.
- Ela não vê nada que já não pudesse ver.
- Ela não ganha poder de moderação.
- Ela não é escolhida nem recusada pelo autor.
O autor não escolhe quem é eleito, não apaga esses comentários, não reordena, não esconde. Se pudesse, bastaria recusar quem discorda e o filtro viraria enfeite. É justamente por não poder que ele tem peso.
E o risco do outro lado? Como não existe registro, qualquer conta pode ser eleita sem critério declarado — e o selo pode dar aparência de autoridade a quem não tem. O que segura isso é o selo dizer exatamente o que é (não que a conta “é confiável”), qualquer pessoa poder contestar, e a decisão ficar sempre com quem elege.
É uma aposta em curadoria distribuída em vez de certificação central. Não há autoridade para auditar porque não há autoridade — e essa é a escolha.
Grupos e comunidades
Grupos funcionam como comunidades: o perfil é público, o conteúdo é só para quem é membro. E a justiça pode pedir para alguém ser admitido.
| Quem | Vê o perfil do grupo | Vê o conteúdo |
|---|---|---|
| Qualquer pessoa | sim | não |
| Membro | sim | sim |
| Admitido por ordem judicial | sim | sim, a partir da entrada |
| Conselho de confiança | sim | não — a menos que seja membro |
Essa separação é o que faz o grupo ser um espaço de conversa em vez de um mural público. O que está dentro fica entre quem está dentro.
Admissão por ordem judicial — e o limite que ninguém deve esconder
Um juiz pode determinar que uma conta seja admitida num grupo para acompanhar o que acontece ali. Isso é uma ferramenta real de investigação, e o desenho precisa suportá-la.
Mas há um limite técnico que não dá para contornar com boa vontade: as mensagens do grupo são criptografadas de ponta a ponta. Quem entra hoje recebe as chaves de hoje. As conversas de ontem foram cifradas com chaves que aquele novo membro nunca teve.
Ou seja: a ordem entrega o que acontece a partir da entrada. Para alcançar o histórico existem só três caminhos, e todos têm custo:
Um membro coopera
Alguém entrega o aparelho ou o histórico. É o que já acontece hoje com aplicativos de mensagem comuns.
O app compartilha histórico
O aplicativo de um membro reenvia o passado ao novo membro. Enfraquece o sigilo de todos.
Guardar tudo em claro
Seria simples — e destruiria a razão de existir do projeto.
Qualquer sistema que diga entregar todo o histórico de um grupo criptografado ou guarda o histórico em claro, ou tem uma porta dos fundos. Este projeto escolhe dizer a verdade ao juízo: dá acesso a partir da entrada, e o passado exige um dos três caminhos acima.
Para quem quer o detalhe
Como a remoção funciona sem apagar a prova
Cada conteúdo publicado é um evento assinado, com um identificador calculado a partir do próprio conteúdo. Remover não apaga o evento: apaga os arquivos e coloca no lugar um registro de remoção, também assinado, que carrega o identificador do que existia.
Quem tenta abrir o conteúdo recebe esse registro — e não os bytes. Assim a autoria continua verificável e o conteúdo continua indisponível.
Como saber se um provedor realmente apagou
Cada provedor que apaga emite um recibo assinado, com a lista dos arquivos removidos. Os recibos são públicos.
Se um provedor continua servindo um arquivo removido, a divergência entre o recibo e o comportamento real é detectável por qualquer pessoa que tente baixar. É diferente de confiar na palavra dele.
Por que a ordem de exibição depende de quem lê
O parecer de um conselho é um conteúdo como outro qualquer, com uma marca de origem. O aplicativo sabe quais conselhos você aderiu e em que ordem; ao montar a lista de comentários, ele coloca esses pareceres na frente.
Isso significa que a mesma página pode aparecer diferente para duas pessoas — e que o autor não consegue prever nem alterar o que o leitor verá.
Por que a entrada em grupo nunca é escondida
Entrar e sair de um grupo é sempre visível para os membros, inclusive quando a entrada vem de ordem judicial. O grupo sabe quem entrou; não sabe por quê — o motivo fica no livro lacrado, à disposição do órgão de controle.
O custo é real: uma investigação pode ser percebida assim que a conta entra. A alternativa — esconder a entrada — faria do grupo um lugar onde é impossível saber quem está lendo. A escolha foi transparência para dentro.
O selo não revela quem elegeu
Cada eleição publica apenas um código — um “recibo” calculado a partir da sua conta e da conta eleita. Ele prova que existe uma eleição e impede que a mesma conta conte duas vezes, mas não permite descobrir de quem partiu.
Sem isso, o grafo de confiança ficaria exposto: daria para desenhar quem confia em quem. E o selo aparece só a partir de um número mínimo de eleições, para que ninguém carimbe a si mesmo.