Sempre que Marci Bakely saía de casa — uma ida ao supermercado, um encontro à noite — seu telefone vibrava em poucos minutos. Seu ex-namorado parecia saber de seus movimentos quase no momento em que aconteciam. Uma investigação do Washington Post posteriormente documentou como: o chefe de polícia de Braselton, Michael Steffman, seu ex-parceiro, havia consultado a placa dela e a de sua filha adolescente cerca de 600 vezes por meio da Flock Safety, empresa que constrói e opera redes de leitores automatizados de placas de veículos, conhecidos comumente como ALPRs.
O Georgia Bureau of Investigation prendeu Steffman em novembro de 2025 sob acusações de perseguição, assédio e uso indevido de um sistema ALPR. Ele foi encontrado morto antes que o caso chegasse a julgamento. Para Bakely, o assunto terminou sem um acerto de contas em tribunal ou uma prestação de contas pública sobre como uma única conta oficial pôde ser apontada para uma cidadã privada tantas vezes.
Não é um caso isolado: a escala do uso indevido
A experiência de Bakely está longe de ser um caso único. A investigação do Post identificou pelo menos 50 policiais acusados de usar indevidamente redes ALPR. Desses, 26 teriam usado as câmeras da Flock para monitorar parceiros românticos atuais ou antigos — ou pessoas que esperavam cortejar romanticamente. Desde essa reportagem inicial, o jornal afirma ter identificado pelo menos 100 funcionários de departamentos de polícia que foram acusados formalmente ou informalmente de uso indevido.
No caso de Bakely, as consultas foram além de um único alvo: Steffman também pesquisou placas pertencentes à sua filha adolescente, segundo a investigação. Esse detalhe ilustra como uma conta autorizada pode expor os padrões diários de uma família inteira, de idas à escola a consultas médicas, sem que a pessoa jamais saiba que uma busca ocorreu.
Esse padrão reformula o debate. A questão já não é apenas se um punhado de policiais agiu de forma criminosa. É se os sistemas que eles usaram tornaram esse comportamento fácil, silencioso e repetível.
A resposta da Flock — e seus limites
A Flock Safety contesta esse enquadramento. A empresa observa que os indivíduos implicados representam uma proporção muito pequena de seus mais de 140.000 usuários mensais, e aponta para registros de auditoria permanentes como uma ferramenta que ajuda a revelar irregularidades depois que ocorrem.
Ambas as afirmações têm peso. Uma plataforma com uma base de usuários tão grande inevitavelmente incluirá agentes mal-intencionados, e registros pesquisáveis são genuinamente melhores do que nada — foi assim que vários desses casos vieram à tona, em primeiro lugar.
Mas trilhas de auditoria são um mecanismo de detecção, não de prevenção. Elas documentam o abuso depois que o histórico de localização de alguém já foi exposto. Para uma pessoa sendo rastreada por um ex-parceiro, um registro que aparece meses depois oferece pouca proteção durante os meses de vigilância em si.
A porta da frente estava escancarada
O que torna os casos de ALPR distintos é a ausência de qualquer invasão técnica. Nenhum hacker arrombou um banco de dados. Nenhuma credencial foi obtida por phishing. Nenhum insider contrabandeou um disco rígido. Segundo a reportagem, cada um desses usuários simplesmente fez login pela porta da frente, usando acesso autorizado para uma finalidade não autorizada.
Essa distinção separa este episódio de uma história convencional de segurança cibernética. Firewalls, criptografia e testes de penetração quase não fazem nada para impedir que um titular de conta legítimo digite um número de placa em uma caixa de busca por motivos pessoais. A vulnerabilidade não está nas defesas do software; ela vive no modelo de permissões que envolve os dados.
Por que isso é um problema de arquitetura
Um estudioso de processo penal que dirige uma escola dedicada à perícia forense argumentou que a controvérsia dos ALPR aponta para um defeito embutido no design do sistema de vigilância, e não apenas para a criminalidade de certos usuários. Esse enquadramento é útil porque desloca a atenção da má conduta individual para escolhas estruturais que podem ser reprojetadas.
Limitação de finalidade e privilégio mínimo
Dois princípios de longa data da prática de proteção de dados são relevantes aqui. A limitação de finalidade sustenta que informações coletadas por um motivo declarado não devem ser reutilizadas para outro. O privilégio mínimo sustenta que as pessoas devem receber o acesso mínimo necessário para desempenhar suas funções.
Uma arquitetura que permite que milhares de policiais individuais façam buscas irrestritas de placas em texto livre — sem número de caso, sem motivo declarado e sem barreira supervisora — contraria ambos os princípios ao mesmo tempo. Nesse design, a única coisa que separa uma placa do histórico de localização de uma pessoa é a própria contenção do usuário. Manuais de políticas e módulos de treinamento presumem que essa contenção geralmente se mantém. O padrão documentado pelo Post sugere que nem sempre ela se mantém.
Como seria um design melhor
Nada disso significa que os leitores de placas devem ser abandonados, ou que as agências devem perder uma ferramenta que pode genuinamente ajudar a resolver crimes. Significa que a camada de acesso merece o mesmo escrutínio que a camada de câmeras.
- Exigir uma justificativa documentada e vinculada a um caso antes que qualquer consulta retorne resultados, em vez de um registro escrito depois.
- Restringir permissões de busca por função, de modo que um pequeno número de pessoal verificado possa fazer consultas amplas, em vez de todo titular de conta.
- Sinalizar e bloquear buscas envolvendo placas ligadas a endereços dos próprios policiais, parentes ou contatos pessoais conhecidos.
- Notificar o alvo de uma busca, ou um órgão de supervisão independente, quando as consultas estiverem fora do trabalho de caso declarado.
- Dar aos civis um papel significativo na revisão de dados agregados de auditoria, em vez de deixar a supervisão inteiramente dentro da agência.
Cada medida aumenta custos: atrito administrativo, investigações mais lentas, software mais complexo. Esses custos são reais e vale a pena pesá-los com honestidade. Mas eles são o preço de passar da detecção após o dano para a prevenção antes dele.
As apostas mais amplas
Os leitores de placas de veículos são apenas um nó em uma teia cada vez maior de observação automatizada. As mesmas questões de design reaparecem com reconhecimento facial, imagens de drones e dados de localização agregados extraídos de veículos e telefones. À medida que essas redes se expandem, a lacuna entre um "usuário autorizado" e um usuário confiável torna-se um risco sistêmico, e não um problema de recursos humanos.
O caso Bakely terminou sem julgamento, e o policial acusado de rastreá-la não está mais vivo para responder às acusações. Mas a arquitetura que tornou possíveis centenas de consultas ainda está em operação em departamentos de todo o país. Até que o acesso seja reprojetado em torno de finalidade, privilégio e supervisão externa, a próxima pessoa a ser rastreada provavelmente será rastreada por alguém que nunca precisou derrotar as defesas do software — apenas os limites de sua própria descrição de cargo.
Este artigo é baseado em reportagem da Fast Company. Leia o artigo original.
Originally published on fastcompany.com
