Bilhete Único: concentração de dados e dinheiro no transporte público do Rio

Em dezembro de 2015, a Assembleia Legislativa do RJ aprovou o uso de identificação biométrica por reconhecimento facial nos ônibus. Pouco antes do início das Olimpíadas, foi lançado o RioCard Duo, em parceria com a Visa. O cartão permite fazer compras em débito e cria também um registro de seus hábitos de consumo e conta bancária. O caso da RioCard aponta para uma tendência mundial: a integração de cada vez mais serviços no mesmo cartão.

Na América Latina, cidades como Buenos Aires, Bogotá e São Paulo já adotaram medidas assim. Gerar e integrar dados é um modelo de negócios promissor que tem sido explorado pelos mais variados setores, da Google à Riocard. A integração de serviços pressupõe a integração entre diferentes sistemas de informação e, na medida em que os registros são associados a dados pessoais, serviços integrados geram grandes bases de dados com informações variadas sobre quem somos, por onde andamos, o que consumimos. E os órgãos que estão recebendo e fazendo o tratamento dessa montanha de dados, como a RioCard no Rio de Janeiro, não conseguem ou não desejam explicar com clareza o que fazem ou deixam de fazer com eles, com quem compartilham essas informações e que as medidas de segurança utilizam para que esses dados não acabem expostos em mais um caso como o do SUS, em que informações delicadas sobre milhares de pessoas se tornaram acessíveis a qualquer um, gerando potenciais riscos para sua integridade física e moral. 

Muitas idas e vindas em poucas mãos

O bilhete único é uma política pública no estado do Rio de Janeiro, aprovada em 2009 e implementada a partir do ano seguinte. A emissão, comercialização e distribuição dos cartões está, por contrato, a cargo da Federação das Empresas de Transportes de Passageiros do Rio de Janeiro (Fetranspor). A entidade congrega 10 sindicatos, reunindo cerca de 200 empresas de ônibus em todo o Estado. É também a proprietária da RioPar Participações S.A., uma holding que controla diferentes aspectos relacionados ao transporte coletivo – e que tem em um dos seus braços, a RioCard TI, responsável pelo gerenciamento dos dados coletados pelos cartões de bilhete único.

A emissão, comercialização e distribuição de bilhetes está nas mãos da Fetranspor há muito tempo - e, enquanto não houver uma mudança no contrato, continuará a cargo deles para sempre. Em 1987, a Resolução 215/1987 da Secretaria de Transporte do Estado do RJ concedeu exclusividade à Fetranspor para serviços de bilhetagem, em uma concessão sem data de encerramento. Tudo o que diz respeito a passagens de ônibus, barcas, metrô e trem no Rio de Janeiro fica concentrado nas mãos da Fetranspor.

Apesar de serem muitas, as empresas operando ônibus no Rio estão concentradas nas mãos de um pequeno número de empresários. Os mesmos nomes são registrados como sócios ou diretores de várias empresas que atendem diferentes setores da cidade. Ou seja, além de lucrar em várias frentes com o transporte, esse núcleo restrito também concentra a posse de informações sobre as pessoas que usam seus serviços, um capital cada vez mais valioso.

Para citar apenas um exemplo, o empresário Jacob Barata, apelidado no Rio de Janeiro como o "Rei dos Ônibus", é dono direto ou indireto de cerca de 25% da frota de ônibus da cidade do Rio. Os altos lucros permitiram que os Barata ampliassem seu alcance para outros estados brasileiros, além de iniciativas comerciais em países europeus como Portugal. O herdeiro de Barata, Jacob Barata Filho, é um dos principais sócios da M2M Solutions, que atende a Secretaria Municipal de Transportes do Rio de Janeiro (SMTR) no monitoramento em tempo real, via GPS, das viagens de ônibus pela cidade. Outra empresa, a Linktrans, uma companhia de tecnologia de informação que gera relatórios a partir dos dados de GPS para as empresas de ônibus, também tem na família Barata seus sócios majoritários. Os Barata administram os dados dos cidadãos também em outros pontos do Brasil: em parceria com a família Feitosa, que também controla uma fatia dos ônibus fluminenses, diferentes empresas ligadas a Jacob Barata dominam a Mandacaru Administradora de Cartões S/A, responsável pelo Libercard, cartão de bilhete único do Ceará.

O mesmo acontece na RioCard. Documentos da Receita Federal mostram que a RioPar Participações pertence a três sócios principais: Andre Nolte, Luiz Claudio Cruz Marques e Paulo Chaves Borgerth Teixeira. A presidência do Conselho de Administração da holding, contudo, traz um nome mais familiar: Jacob Barata Filho, herdeiro do império dos Barata e sócio ou diretor de várias empresas que operam ônibus no Rio de Janeiro. Ou seja, por onde quer que você viaje nos ônibus do Rio, dados que permitem rastrear o movimento de todos nós estão indo para as mãos de empresários muito poderosos, como os Barata.

É de se esperar que o poder público, na medida em que cede a exploração do serviços às concessionárias, tenha diretrizes claras sobre como o sistema deve operar, incluindo a gestão dos dados pessoais coletados, já que se tratam de informações privadas sobre as pessoas. Mas o governo do Rio de Janeiro tem muito menos controle da situação dos nossos dados do que gostaríamos de imaginar.

Dados pessoais: uma viagem com várias paradas e um só destino final

Para fiscalizar o cumprimento dos contratos de concessão, as secretarias de transportes da cidade do Rio (SMTR) e do Estado do Rio de Janeiro (Setrans) recebem relatórios com os dados coletados durante a operação do sistema de bilhetagem. Porém, não há termo legal que deixe claro como os dados do transporte dos cidadãos são utilizados e a quem são transferidos, seja no setor público ou privado.

"Não há qualquer norma que garanta a segurança e privacidade dos dados pessoais dos passageiros no Rio de Janeiro”, diz Flávio Siqueira Junior, advogado especialista em direitos difusos e coletivos . “Por ser um serviço público concedido à iniciativa privada, as regras deveriam estar bem claras, para evitar que as empresas tenham uma carta branca para fazer o que quiserem com essas informações".

A totalidade das informações coletadas fica com a RioCard e, portanto, com a Fetranspor. O governo recebe apenas relatórios usados para a prestação de contas das empresas de ônibus, sendo que a Coordenação e Controladoria geral do Bilhete único, órgão da SETRANS, tem acesso à base de dados para auditar o sistema contra fraudes, mas não controla o que a federação faz com os dados, como por exemplo se os vende para databrokers. Com a emergência de uma economia baseada em dados, a concentração desta informação como propriedade da RioCard pode se converter em um negócio muito lucrativo. Em resumo, uma entidade privada, controlada por um número pequeno de pessoas, é a única "dona" de um enorme banco de dados, com informações referentes à maioria dos cidadãos do Rio de Janeiro.

O sistema RioCard é alimentado tanto por viagens municipais quanto intermunicipais. Dentro da cidade do Rio de Janeiro, a Rio Ônibus, sindicato das empresas de ônibus do município, repassa alguns dados (referentes aos tipos de veículo e roteiros cumpridos pelos usuários) diretamente para a SMTR. Após auditoria, a secretaria libera os recursos financeiros para manutenção do sistema. A Fetranspor não tem participação direta nesse processo, embora receba em paralelo todas as informações geradas pela Rio Ônibus, inclusive as que não vão para a secretaria municipal.

No auge das manifestações contra o aumento das passagens de ônibus em 2013, o então prefeito Eduardo Paes resolveu lançar um "Pacto pela transparência nos transportes", com o objetivo de facilitar o acesso a dados como planilhas de custo e estatísticas do sistema. Como parte desse processo, passou a ser exigida a presença de GPS e câmeras de segurança em toda a frota como uma forma de garantir a segurança dos passageiros durante as viagens. O problema é que essas medidas não trouxeram transparência efetiva ao sistema: ninguém sabe ao certo o que é feito com as informações coletadas nos ônibus, e as informações disponibilizadas pelo governo (ver LAIs no pé da matéria) não esclarecem pontos centrais, como a margem de lucro das empresas, o cumprimento de cláusulas de qualidade presentes nos contratos ou o tratamento de dados pessoais dos passageiros.

Em princípio, as bases de dados são anônimas – ou seja, não há exposição direta de dados pessoais dos usuários, apenas informações gerais e estatísticas. No entanto, o cruzamento de bases de dados anonimizadas com algumas informações pessoais pode ser mais reveladora do que o desejável. Por exemplo, uma vez que se saiba o CEP, nome e sexo de uma pessoa, há 85% de chance de localizá-la em meio as dados supostamente anônimos.

"Se não há uma política de privacidade esclarecendo que dados compõe essa base de dados, como são usados, por quanto tempo, com quem podem ser compartilhados, quais as medidas de segurança são tomadas e quem seriam os responsáveis por eventuais violações à privacidade dos usuários do sistema de transporte, ficamos desprotegidos. Se no Brasil houvesse uma lei de proteção de dados pessoais, esse tipo de política de privacidade seria obrigatória. Como não é, essas bases de dados podem cair nas mãos de quem quiser. E não é novidade que bases de dados de diversos tipos são vendidas por aí e até mesmo acessadas na internet. Não é por acaso que você recebe ligações publicitárias de números desconhecidos no seu celular, por exemplo. " Diz Joana Varon, da Coding Rights.

Em um cenário hipotético, os dados sobre o itinerário de alguém poderiam acusar que esta pessoa está procurando um novo emprego e, portanto, causar demissão. Ou que uma pessoa injustamente acusada de envolvimento com atividades ilegais frequenta uma determinada área, o que poderia reforçar o julgamento equivocado.  

Empresas opacas, informações inacessíveis

Considerando o volume de dados pessoais coletados nos ônibus do RJ, e a concentração desse material todo nas mãos de tão poucas pessoas, é muito importante ter certeza que nada disso será usado de forma inadequada ou prejudicial à população. O problema é que as empresas responsáveis não são nada transparentes, e nada as obriga legalmente a abrirem a caixa-forte para verificações independentes. Assim, obter mesmo informações básicas sobre o gerenciamento e proteção desses dados é um desafio.

Flavio Siqueira Junior gastou meses de trabalho tentando entender o panorama jurídico que envolve a Fetranspor e os dados pessoais obtidos a partir do RioCard. Como parte deste projeto de investigação para subsidiar este texto, a Coding Rights queria saber com mais clareza o que as empresas de ônibus e bilhetagem fazem para proteger a privacidade dos passageiros no Rio de Janeiro. Um tema que a Fetranspor se recusa qualquer declaração a respeito.

“Inexiste qualquer preocupação com transparência por parte da Fetranspor. Fazer com que eles respondam qualquer coisa é um grande problema. Pode nem ser por maldade, mas o fato é que isso (transparência) nem passa pela cabeça deles”, lamenta Flavio, que encaminhou pedidos de informação e fez uma extensa pesquisa em processos judiciais relacionados à RioCard e suas concessões.

Os pedidos de informação feitos junto à Fetranspor e as secretarias de transporte (Setrans) do Estado e da cidade do Rio (SMTR) trouxeram poucos esclarecimentos. Obrigados pela Lei de Acesso à Informação, Setrans e SMTR forneceram respostas pouco esclarecedoras. As respostas aos pedidos de Acesso à Informação reforçam a impressão obtida durante a apuração desta matéria, e confirmada após repetidos contatos com a assessoria dos dois órgãos: quem realmente sabe o que acontece com as informações de milhões de usuários de ônibus é a RioCard T.I, cuja assessoria de imprensa é controlada pela Fetranspor. A própria Fetranspor, depois de meses de contatos insistentes, respondeu a Flavio Siqueira do mesmo modo que respondeu insistentes telefonemas e e-mails da nossa reportagem: com opacidade e silêncio.

“É uma questão bastante sensível para se falar. Acho que se você não conseguir, é porque não querem passar essas informações.”, diz um profissional de T.I. da RioCard, contatado diretamente.

“Como são uma entidade privada, não há um mecanismo legal que obrigue a Fetranspor a responder qualquer solicitação de informações de cidadãos, então eles simplesmente não respondem. Mesmo quando são obrigados por lei, como em pedidos do Ministério Público, eles evitam ao máximo. São casca grossa, mesmo”, afirma Flávio Siqueira.

Após mais de um mês de ligações diárias e um pedido de entrevista respondido por escrito por um profissional de T.I. da RioCard, a assessoria de imprensa da Fetranspor declarou não poder aprovar a publicação do texto pois “não era um assunto prioritário” como as Olimpíadas e o VLT, e que a reportagem deveria parar de insistir ou buscar outros meios para conseguir a autorização. Infelizmente, a assessoria de imprensa da Fetranspor é a responsável pela aprovação desse tipo de pedido, seja ele dirigido à RioCard ou a RioCard T.I.

Foi pela pesquisa em processos jurídicos que conseguimos lançar alguma luz sobre os procedimentos em torno do RioCard – como, por exemplo, as trilhas que os dados coletados seguem entre secretarias e departamentos públicos enquanto vão e voltam para os computadores da RioCard/Fetranspor. Também é possível alimentar preocupações a partir do silêncio que se lê nas entrelinhas dos documentos. “Não há qualquer regra sobre a proteção de dados pessoais. Nenhuma preocupação, nenhuma palavra. Nada”, lamenta Flavio.

O pouco interesse da Fetranspor em ser monitorada vai muito além de jornalistas e ativistas do transporte público. Conduzida desde 2015, uma ação promovida pela Defensoria Pública e o Ministério Público questiona o procedimento do sindicato patronal quanto ao dinheiro usado para o pagamento das passagens. Até o começo dessa ação judicial, os valores carregados pelo usuário no RioCard tinham validade de um ano. A partir daí, o que sobrava ia para os cofres da Fetranspor – algo que acontecia com enorme frequência no sistema, já os valores inseridos nem sempre correspondem a um número exato de passagens utilizadas. Segundo investigação do Tribunal de Contas do Estado do Rio de Janeiro, essas sobras resultam, apenas nas linhas intermunicipais em cerca de R$ 18 milhões por ano (totalizando R$90 milhões em cinco anos). Um lucro potencializado pelo prazo curto para utilização dos créditos.

"Indagadas a respeito do mencionado prazo de expiração dos créditos - e a consequente apropriação pelas demandadas - estas optaram pelo silêncio, ignorando as reiteradas Ministeriais e os ofícios da Defensoria Pública", dizem as demandantes em sua petição inicial. A primeira decisão liminar da 6ª Vara Empresarial da Comarca da Capital, em março deste ano, foi contrária aos interesses da Fetranspor, exigindo o fim do recolhimento dos valores não utilizados e a possibilidade de uso ou reembolso, sem prazo de expiração, dos créditos inseridos no RioCard.

Assim como é difícil saber como a RioCard e a Fetranspor administram questões como essa, é tão ou mais difícil saber como administram atualmente ou administrarão no futuro a imensa base de dados com informações pessoais e sensíveis sobre cidadãos. Durante os muito minutos em que passamos na espera telefônica da Fetranspor, uma gravação de áudio exaltava as potencialidades da biometria para garantir mais segurança e mais eficiência no controle das gratuidades. Com esse sistema, dizia o áudio, só quem realmente tem direito à gratuidade poderá usufruir do benefício. Se, por um lado, a defesa do controle biométrico argumenta pela criação de mais transparência entre a Fetranspor e o Estado, por outro, o registro de dados ainda mais sensíveis do que os que são coletados pelo uso dos Bilhetes Únicos hoje passará a ser colhido pela Fetranspor, sem qualquer garantia de que os sistemas funcionarão adequadamente no controle de fraudes. A base de dados gerada por esse controle poderia ser comparada aos registros que a Polícia Federal possui sobre os cidadãs que viajam com passaporte, mas é uma base de dados de posse do setor privado sobre uma população que não anda de avião e sim de ônibus.

Existe um componente ainda mais sensível a se considerar quando se fala de dados de transporte público: no Brasil, a grande maioria de quem utiliza ônibus são estudantes e trabalhadores de baixa renda. Logo, trata-se de uma parte da população particularmente vulnerável se for rastreada. Dependendo de quem tiver acesso a essas informações, usuários do sistema de bilhetes únicos podem ser alvo de ações que podem limitar não só sua privacidade, mas também causar ameaças a sua segurança pessoal e ao exercício de liberdade de expressão e manifestação. Na Argentina, por exemplo, dados do SUBE, cartão de transporte de Buenos Aires, foram utilizados em processos de investigação criminal.

Por outro lado, com esses perfis, é provável também que, caso haja qualquer mal uso desses dados por parte da empresa, esses cidadãos provavelmente não disponham de recursos para questionar e defender seus direitos em relação aos dados produzidos pelo uso de serviços públicos ou privados. Em 2015 o Departamento de Proteção e Defesa do Consumidor (DPDC) teve que notificar a Telefônica/Vivo por vender dados de GPS de seus clientes como um serviço denominado Smart Steps. A ideia era que informações sobre a movimentação de pessoas servissem para que estabelecimentos comerciais desenvolvam sua estratégia de marketing, local do estabelecimento, tipos de serviços, entre outros. Se os dados de transporte são utilizados para esse fim – e não há nenhuma lei ou regulação que impeça esse tipo de uso –  podemos desencadear vários processos de discriminação baseados em perfis gerados por dados.

De acordo com Kate Crawford, pesquisadora do MIT Center for Civic Media: “As pessoas pensam que o Big Data evita o problema da discriminação, porque estão lidando com grandes bases de dados. Mas, de fato, o Big Data está sendo usado para formas de discriminação mais intensas e mais precisas. É uma forma de discriminação baseada em dados” [1].

Talvez esteja tudo sob controle. Mas como saber?

Sem saber quais procedimentos a RioCard usa para tratar os dados que coleta, não há como avaliar a qualidade e segurança do processo. Não é possível saber se há um padronização de procedimentos de segurança - que é o que vai garantir que ninguém pegue o seu CPF, faça um cruzamento simples de dados e saiba por onde você anda ou com quem se encontra enquanto viaja pela cidade. Apesar de ser uma das grandes bandeiras dos projetos de “smart cities”, é questionável dizer que esses dados estão ajudando a gestão pública.

A prefeitura do Rio de Janeiro oferece estatísticas e planilhas pelo portal Transparência da Mobilidade, mas navegar pelas informações exige tempo e esforço: todos os arquivos são estáticos, em formato PDF. Quando do fechamento da matéria, os dados não eram atualizados desde maio de 2016. "Dá para ver alguns dados lá, mas que explicam muito pouco, ou quase nada, das questões de mobilidade da cidade", critica o ativista Guilherme Alves, envolvido com as jornadas de junho de 2013, que pediam um novo modelo de transporte público no Rio de Janeiro.

Guilherme participou de um esforço para mapear custos das tarifas na cidade do Rio. A mobilização gerou a CPI dos Ônibus, inaugurada em setembro de 2013 e que acabou barrada pela maioria governista na Câmara Municipal. Conseguir dados para embasar esses esforços foi uma dificuldade, explica Guilherme. Recentemente, após muita pressão social, o Instituto Pereira Passos começou a disponibilizar alguns dados e estatísticas - mas que ainda são "genéricos demais", segundo Guilherme, para serem realmente úteis. Para saber algo mais significativo, como o lucro obtido nas viagens e de que modo são feitos os cálculos das tarifas, o Movimento Passe Livre dependia de planilhas de custos fornecidas "muito na surdina" por funcionários anônimos e simpáticos à causa.

O ativista diz que a falta de transparência das empresas tem também um fundo de incompetência. "Algumas empresas sequer têm relatório contábil. Por um lado você tem uma falta de interesse das empresas de fornecer esses dados, mas há um grande falta de ilustração também. E ao mesmo tempo há uma conivência do poder público, que percebe tudo isso e não atua com a firmeza necessária" descreve Guilherme.

Vários pesquisadores que tratam de mobilidade tem avaliação semelhante. Gabriel de Oliveira, coordenador de transporte público do escritório nacional do Instituto de Políticas de Transporte e Desenvolvimento (ITDP Brasil), cuja pesquisa de mestrado avaliava o processo de planejamento de transportes públicos no RJ, simplesmente desistiu de buscar dados junto à RioCard - fez uso apenas de informações do sistema intermunicipal, fornecidas a partir de um acordo de cooperação da UFRJ com o governo do estado. Mesmo frisando não acreditar que a RioCard proceda de má fé, pesou para ele e seus colegas a certeza de que não havia modo seguro de exigir, mesmo que judicialmente, essas informações. "Seria um favor da parte deles, não uma obrigação", resume.

O mesmo ocorreu com a pesquisa da Coding Rights para saber como dados pessoais dos passageiros são tratados. As respostas aos pedidos de informação enviados pela equipe indicam que o debate sobre a proteção de dados não foi incorporado pelo órgãos públicos e que a cultura da transparência continua sendo um tabu para governos e empresas.

"Precisamos discutir transparência mais profundamente. O poder público não parece preparado para responder as dúvidas do cidadão sobre a proteção de seus dados. Isso não pode ficar às escondidas, é algo que precisa ser amplamente debatido", acrescenta Gabriel de Oliveira, do ITDP Brasil.

O que fazer?

Em resumo, não existem resultados concretos que justifiquem a gigantesca coleta de dados no transporte coletivo do Rio de Janeiro – já que fraudes continuam acontecendo e não há informações concretas sobre o que é feito com esses dados, nem temos nenhum tipo de garantia legal que um uso adequado (ou uma proteção eficiente e verificável dos dados dos usuários do sistema de transporte público) vá acontecer em um futuro próximo.

A aprovação de uma Lei de Proteção de Dados pessoais poderia contribuir para aumentar a transparência deste sistema, pois, como primeiro passo obrigaria que a Fetranspor elaborasse e publicasse uma política de privacidade, nos termos da lei, sobre dados que coleta com o Riocard.

Seria o mínimo ter um documento como a política de privacidade do Transport for London (TfL), órgão do governo responsável pelo sistema de transporte da cidade, que traz informações sobre os usos de dados pessoais fornecidos quando alguém se registra no bilhete único local, o Oyster card, e sobre o que são feitas com informação coletadas por meio de câmaras de vigilância, as CCTVs (Closed Circuit Television). No contexto brasileiro em que os detentores desses dados são do setor privado, esse tipo de previsão torna-se ainda mais necessária.

O requisito mínimo de elaborar uma política de privacidade nos termos de uma lei de proteção de dados pessoais garantiria que os cidadãos soubessem que dados são coletados e armazenados, por quanto tempo, para que fim, com quem são compartilhados e quais medida de segurança são tomadas para protegê-los. A lei também estabeleceria responsabilidades e penalidades caso houvesse abuso na utilização dos dados. Infelizmente, o Brasil ainda não aprovou nenhuma lei neste sentido, três projetos sobre o tema tramitam no Congresso Nacional, apenas um, o PL 5276/16, fruto de 6 anos de consultas públicas no Executivo, tem o potencial de atender e implementar todos esses níveis de proteção, pois é o único que dispõe sobre a criação de um órgão competente para zelar pela implementação e fiscalização da lei.

Notas
1. In the United States, redlining is the practice of denying services, either directly or through selectively raising prices, to residents of certain areas based on the racial or ethnic makeups of those areas. While some of the most famous examples of redlining regard denying financial services such as banking or insurance, other services such as health care or even supermarkets, can be denied to residents (or in the case of businesses like the aforementioned supermarkets, simply moved impractically far away from such residents) to carry out redlining. The term "redlining" was coined in the late 1960s by John McKnight, a sociologist and community activist. It refers to the practice of marking a red line on a map to delineate the area where banks would not invest; later the term was applied to discrimination against a particular group of people (usually by race or sex) irrespective of geography. (via Wikipedia)