O perímetro da proteção de dados pessoais mudou. As recomendações clássicas (senha robusta, antivírus, atualização) continuam sendo uma base, mas não cobrem mais os vetores de vazamento mais ativos. O uso massivo de ferramentas de IA generativa, a multiplicação das transferências fora da União Europeia e o aumento das exfiltrações documentadas pela ANSSI exigem uma revisão da hierarquia de prioridades para garantir a segurança dos seus dados e sua privacidade online.
Vazamentos de dados via prompts de IA generativa: um vetor subestimado
Cada solicitação enviada a um serviço de IA generativa pode conter informações pessoais, trechos de documentos internos ou identificadores. Quando o fornecedor se reserva o direito de reutilizar as solicitações para treinar seus modelos, esses dados saem definitivamente do controle do usuário.
A CNIL publicou em 2025 recomendações específicas sobre IA e o RGPD. Ela recomenda a pseudonimização dos documentos antes de submetê-los a um modelo e a proibição do envio de dados confidenciais quando o contrato de serviço não garante sua não-reutilização. Para um particular, isso significa nunca colar um extrato bancário, um documento de identidade ou um prontuário médico em um chatbot de uso geral.
Recomendamos verificar sistematicamente os termos de uso do serviço de IA. Dois pontos a serem verificados: a cláusula de reutilização dos prompts para treinamento e a localização dos servidores de processamento. Um guia completo sobre a segurança no Wiki Dark detalha os mecanismos de exfiltração relacionados às ferramentas de conversação.
Hospedagem local, nuvem europeia ou serviço de uso geral: arbitrar conforme a sensibilidade dos dados
A CNIL agora distingue três níveis de hospedagem para ferramentas de IA, e esse raciocínio se aplica a qualquer aplicativo que trate dados pessoais. A escolha do modo de hospedagem condiciona diretamente o nível de proteção da privacidade.
- Implantação local (on-premise): os dados nunca saem da infraestrutura do usuário ou da empresa. É a opção mais protetora para informações sensíveis (saúde, finanças, dados de RH).
- Nuvem europeia regulamentada por um contrato de subcontratação RGPD: o fornecedor se compromete contratualmente com a localização, a duração da conservação e a ausência de transferência fora da UE. É o compromisso mais comum para as PME.
- Serviço de uso geral (ChatGPT, Gemini, Copilot na versão gratuita): as garantias variam conforme as atualizações dos termos gerais. As transferências fora da União Europeia são frequentes e raramente relatadas de forma explícita.
Antes de confiar dados pessoais a um serviço online, a questão pertinente não é mais “este serviço é seguro?” mas “onde meus dados estão armazenados e quem pode acessá-los contratualmente?”. O RGPD dá aos usuários o direito de obter essa informação de qualquer controlador de dados.
Exfiltração de dados em alta: o que revela o Panorama ANSSI 2025
O Panorama da ciberameaça 2025 publicado pela ANSSI sinaliza um forte aumento nos incidentes relacionados à exfiltração de dados em comparação a 2024, enquanto o volume global de incidentes confirmados permanece praticamente estável. Essa discrepância tem uma implicação direta: os atacantes estão mais focados no roubo de dados do que no bloqueio de sistemas.
Para um particular, isso muda a estratégia de defesa. Um ransomware é detectado imediatamente (arquivos criptografados, pedido de resgate). Uma exfiltração silenciosa pode passar despercebida por meses. Os dados roubados alimentam então campanhas de phishing personalizado ou usurpações de identidade.
Observamos que as medidas preventivas mais eficazes contra a exfiltração raramente são aquelas destacadas nos guias de uso geral:
- Ativar as notificações de login em cada serviço crítico (mensagens, banco, nuvem). Um login a partir de um dispositivo ou localização incomuns deve acionar um alerta.
- Segmentar seus endereços de e-mail: um endereço para serviços financeiros, um para redes sociais, um para inscrições pontuais. Em caso de vazamento, a superfície de exposição permanece limitada a um único perímetro.
- Verificar regularmente se seus identificadores estão em bancos de dados comprometidos, por meio de serviços como Have I Been Pwned.
Privacidade na web: além do VPN
O VPN criptografa o tráfego entre seu dispositivo e um servidor remoto. Ele mascara seu endereço IP em relação aos sites visitados. No entanto, não protege contra o fingerprinting (impressão digital do navegador), o rastreamento por cookies de terceiros, nem a coleta de dados por aplicativos instalados em seu telefone.
Um VPN associado a um navegador que não está configurado para bloquear rastreadores deixa uma impressão quase tão identificável quanto uma navegação sem VPN. A proteção da privacidade online depende de um conjunto de configurações complementares: desativação de cookies de terceiros, bloqueio do fingerprinting e restrição de permissões de aplicativos.
No que diz respeito ao telefone, a CNIL lembra que cada aplicativo que solicita acesso ao GPS, ao microfone ou aos contatos deve justificar esse acesso por uma finalidade específica. Recusar permissões não necessárias reduz a quantidade de dados pessoais coletados em segundo plano, muitas vezes sem que o usuário tenha consciência.
Direitos RGPD: alavancas concretas ainda pouco utilizadas
O direito de acesso, o direito ao apagamento e o direito à portabilidade existem desde 2018. Seu uso permanece marginal entre os particulares. Exercitar seu direito de acesso junto a um serviço permite visualizar exatamente quais informações são detidas e com quem foram compartilhadas.
O direito de oposição à profilagem, previsto pelo artigo 21 do RGPD, autoriza qualquer usuário a recusar que seus dados sejam usados para construir um perfil publicitário ou comportamental. Esse direito é exercido por meio de um simples pedido por escrito ao controlador de dados, que tem um mês para responder. Em caso de não resposta, a CNIL pode ser acionada diretamente online.
A segurança dos dados e a proteção da privacidade online não se reduzem mais a uma higiene digital básica. O quadro regulatório oferece ferramentas jurídicas precisas, e as ameaças atuais exigem que sejam combinadas com escolhas técnicas informadas sobre hospedagem, criptografia e segmentação de identidades digitais.
