Capítulo 1
Segurança e privacidade
A pergunta central deste capítulo é simples de fazer e difícil de responder: como uma conta pode ser anônima sem que o crime fique impune?
Resumo em cinco linhas
- A pessoa e a conta ficam separadas. A rede vê a conta; só o cartório vê a pessoa.
- O cartório assina um comprovante sem saber qual conta ele autoriza — por isso nem o cartório consegue ligar os pontos sozinho.
- O vínculo fica num cofre trancado com várias chaves. Uma chave só não abre nada.
- Abrir o cofre devolve um número, não um nome. Chegar até a pessoa exige uma segunda etapa, num outro lugar.
- Toda abertura gera um recibo lacrado: dá para provar que aconteceu, sem revelar para quem.
Duas camadas: a pessoa e a conta
A maior parte dos problemas de privacidade nasce de misturar essas duas coisas no mesmo lugar. Aqui elas vivem separadas por uma parede.
- 1. No cartório, a pessoa existe com nome e documento. É o único lugar que guarda isso.
- 2. Na rede, existe só uma conta com apelido e chave. Nenhum dado civil.
- 3. Entre as duas há uma parede. A conta não “aponta” para a pessoa em lugar nenhum.
- 4. O que liga as duas é um envelope lacrado, guardado num cofre. Ele existe — mas não pode ser lido por quem passa.
O cartório: quem confere que você existe
A rede não tem como saber se um CPF é real. Quem sabe disso é um órgão público — no Brasil, a Receita Federal. O projeto resolve isso do jeito antigo: com cartórios credenciados.
A vê seu documento e confirma:
- o documento existe e é válido;
- você é quem diz ser;
- se você é pessoa física, jurídica, ou estrangeiro com passaporte.
Ela não recebe suas mensagens, não sabe o que você publica e não controla sua conta. Só guarda um registro de identidade.
Já a é o cartório central: ela não atende pessoas, ela credencia os cartórios. Mantém uma lista assinada de quais são legítimos — parecido com a lista de sites seguros que o seu navegador confia.
Porque esse lugar viraria o alvo perfeito: um vazamento, uma intimidação ou um funcionário curioso e todo mundo perderia o anonimato de uma vez. Tudo neste capítulo existe para evitar esse único ponto.
O cofre com cinco chaves
Existe uma técnica chamada : um segredo é dividido em pedaços, e só uma quantidade mínima consegue usá-lo. Imagine um cofre com cinco fechaduras, onde três chaves quaisquer abrem — mas duas não abrem nada.
Neste projeto o cofre é dividido entre instituições diferentes: o cartório central e vários cartórios regionais. Para abrir, é preciso que três deles cooperem, cada um validando a ordem judicial por conta própria.
A consequência prática é boa: um único juiz não consegue chegar à pessoa falando com uma instituição só. E se um cartório for comprometido, ele sozinho não abre nada.
Há um detalhe ainda mais fino: o cartório assina o comprovante de registro sem ver qual conta ele está autorizando. É como carimbar um documento dentro de um envelope fechado — o carimbo vale, mas quem carimbou não sabe o que carimbou. Isso é o que impede o próprio cartório de montar uma lista de “contas da Maria”.
“Cofre” e “chaves” são imagens para facilitar. Na prática são operações matemáticas com números enormes, e a garantia vem de que cada pedaço, sozinho, não carrega informação suficiente para nada.
Quando um juiz pede
Esta é a parte que mais confunde — e a que mais importa. Abrir o sigilo não é publicar a identidade de alguém na internet.
- 1. O juiz quer saber quem está por trás da conta A.
- 2. O pedido vai ao primeiro cofre. Três das cinco instituições precisam cooperar — e cada uma valida a ordem por conta própria.
- 3. O cofre devolve um número: “a conta A pertence ao usuário 7f3c…”. Nada de nome, nada de CPF.
- 4. Esse número indica a qual cartório o juiz precisa se dirigir. É a segunda etapa, num outro lugar.
- 5. O cartório entrega só os campos pedidos: nome e documento. Não entrega endereço, não entrega histórico.
- 6. Cada etapa registra um recibo lacrado. O recibo prova que houve abertura, sem dizer para quem.
Quem fica sabendo o quê
| Quem | Sabe qual é a conta? | Sabe o número interno? | Sabe quem é a pessoa? |
|---|---|---|---|
| O juiz | Sim | Sim | Sim, só os campos pedidos |
| Cada cartório do cofre | Não (só um código embaralhado) | Não | Não |
| O cartório central | Não | Não | Não |
| O cartório da segunda etapa | Não | Sim | Sim |
| Os provedores de conteúdo | Não | Não | Não |
| Qualquer pessoa na internet | Não | Não | Não |
Quem foi revelado é avisado depois que o sigilo judicial termina, com um prazo máximo. Durante a investigação, o aviso fica pendente e registrado — ele nunca desaparece em silêncio.
O livro de recibos lacrados
Se ninguém pode ver quem foi revelado, como impedir que uma revelação aconteça no escuro? A resposta é um livro público de recibos: cada abertura vira uma linha embaralhada.
A linha não diz “foi a conta da Maria”. Ela é um código calculado a partir da ordem judicial, da conta, da data e do resultado. Só quem já tem esses dados consegue conferir que aquela linha corresponde àquela revelação.
- 1. O livro é público: qualquer um pode baixar e guardar uma cópia.
- 2. Cada linha é um código. Não tem nome, não tem conta, não tem CPF.
- 3. Quem tem a ordem judicial consegue conferir que a linha existe e corresponde ao caso.
- 4. Também há contadores: quantas aberturas por mês. Dá para perceber um uso fora do normal.
- 5. O conteúdo completo do livro fica com um órgão de controle, sob chave própria.
Porque “a conta X foi aberta” já seria um vazamento. Revelaria que aquela pessoa está sob investigação — o que pode atrapalhar a apuração e expor o investigado antes da hora.
O que ninguém consegue prometer
Um projeto de privacidade que só fala das garantias não é confiável. Estas são as limitações reais, na linguagem mais direta possível.
O que o desenho resolve
- Uma conta não mostra quem é a pessoa.
- Um cartório não consegue ligar contas entre si.
- Um juiz sozinho não chega ao nome numa etapa só.
- Provedor de conteúdo não lê mensagens privadas.
- Abertura de sigilo deixa prova pública.
O que ele não resolve
- Quem tem seu aparelho na mão vê o que você vê.
- Provedores sabem seu endereço de IP.
- Quem recebe o dado pode vazar depois.
- Uma ordem abusiva contra o cartório atinge muitos.
- Nada impede filmar a tela com outro celular.
Existe ainda uma tensão que não é técnica, é política: os cartórios precisam ser independentes uns dos outros para o cofre valer. Mas, se estiverem em países diferentes, uma ordem judicial brasileira pode não alcançá-los — e aí o sistema deixa de servir justamente para o que foi criado.
Não existe resposta pronta para isso. É uma decisão de governança, não de programação.
Crianças e adolescentes
Uma conta de criança ou adolescente não pode ser “anônima” quanto à idade. A lei brasileira exige que as plataformas saibam a faixa etária e protejam esse público — o Estatuto Digital da Criança e do Adolescente, em vigor desde março de 2026.
Por isso existe a . Ela é criada ou autorizada por um responsável e mostra, para qualquer pessoa que interaja com ela, que se trata de criança ou adolescente.
O rótulo é um trade-off consciente: a idade deixa de ser privada, e a proteção ganha. O que continua privado é a data de nascimento exata, o nome e o responsável legal.
| Conta de adulto | Conta restrita |
|---|---|
| Visibilidade padrão: pública | Privacidade máxima por padrão |
| Mensagens de estranhos liberadas | Bloqueadas ou só com autorização do responsável |
| Anúncios podem usar comportamento | Perfilamento publicitário proibido |
| Transmissões ao vivo liberadas | Bloqueadas ou só com verificação |
| Sem rótulo | Rótulo público “criança” ou “adolescente” |
A lei não aceita mais “digite sua idade”. A faixa etária vem de quem verificou o documento — o cartório — e não de um formulário que a criança pode preencher sozinha.
Para quem quer o detalhe
Esta parte usa termos técnicos. Ela existe para quem quiser conferir o raciocínio.
Como o cartório assina sem saber o que assina
A pessoa escolhe um número aleatório secreto e o “embaralha” antes de mandar ao cartório. O cartório assina o que recebeu — mas o que ele vê não permite descobrir o número original. Depois, a pessoa desembaralha a assinatura e fica com um comprovante válido do cartório, sem que o cartório saiba qual número ele autorizou.
Técnicas usadas: assinaturas cegas (por exemplo RSA blind) ou funções pseudoaleatórias verificáveis (VOPRF). O ponto comum é: assinatura válida, conteúdo desconhecido para quem assinou.
Por que uma ordem só é executada em duas etapas
O primeiro cofre guarda apenas um número interno por conta — nunca nome ou documento. O segundo cofre é um cartório, que guarda o registro de identidade. São instituições diferentes, com bases diferentes.
A ordem judicial é uma só, mas precisa ser executada nos dois lugares. Isso significa que um vazamento numa instituição só não entrega o par completo conta↔pessoa.
O que acontece se um cartório for extinto
Encerrar um cartório não apaga o dever de responder a ordem judicial. O contrato de credenciamento prevê uma instituição sucessora, que assume os registros e essa obrigação. Sem essa regra, bastaria fechar o cartório para escapar de qualquer investigação.
Contas diferentes da mesma pessoa são ligadas?
Não. Como o cartório assina sem saber quais números autorizou, ele não consegue dizer “estas cinco contas são da mesma pessoa”. Isso permite personas separadas: uma profissional, uma pessoal, uma para denúncias.
O efeito colateral é que uma ordem judicial sobre uma conta não revela as outras. Cada conta exige o seu próprio caminho.