Atualização: A ferramenta do Facebook que recebia dados do autenticacao.gov.pt já foi retirada
O site do sistema de autenticação do Estado, o autenticacao.gov.pt, está a partilhar com o Facebook informações pessoais de quem acede à página. A denúncia foi feita pelo investigador João Pina na rede social Twitter e entretanto confirmada pela Exame Informática/Visão junto de outro especialista em informática, mas que não quis ser identificado. E qualquer utilizador poderá verificar esta ligação usando, por exemplo, o Modo Programador do browser Chrome (como mostrado na imagem).
O site autenticacao.gov.pt tem integrado um kit de desenvolvimento de software (SDK) do Facebook que faz com que algumas informações dos visitantes do site sejam partilhadas com a rede social. De acordo com João Pina e a fonte ouvida pela Exame Informática/Visão, pelo menos o endereço de protocolo de internet (IP) e a versão do browser do utilizador são partilhados com o Facebook.
«Sempre que vou a um site estou a dar certos dados. Agora, não tenho que dá-los a terceiros, que é o que está a acontecer aqui. Os meus dados estão a ir para terceiros. Ainda para mais o Facebook está no meio destas polémicas todas da privacidade de dados», começa por defender João Pina. «Não há razão técnica que justifique estar a fazer isso», acrescentou.
«A primeira coisa que o SDK do Facebook faz, quando o site é aberto, é introduzir um iframe dentro dessa página. Esse iframe contém uma ligação para o facebook.com e a partir deste momento o Facebook sabe que, se a pessoa estiver autenticada no Facebook, está a aceder àquela página», detalhou João Pina. No caso dos utilizadores com sessão iniciada na rede social, o Facebook consegue depois fazer uma correspondência com os restantes dados que já tem dessa pessoa.
Mesmo um utilizador que não tenha perfil no Facebook e aceda ao autenticacao.gov.pt vai ter o endereço de IP e versão do browser partilhados com a rede social. «É necessário, eu que não uso Facebook, estar a dar esses meus dados ao Facebook?», questiona o investigador.
Na descoberta que fez, João Pina defende também que a Agência para a Modernização Administrativa (AMA), instituto responsável pela modernização administrativa em Portugal e pelo site em questão, está a registar o email que o utilizador tem associado ao Facebook. «No código, está lá, que eles (AMA) estão a ir buscar o e-mail do utilizador autenticado no Facebook», reforça.
A Exame Informática/Visão já questionou a AMA sobre a partilha de dados com o Facebook e sobre as restantes descobertas feitas por João Pina. Num primeiro contacto a agência remeteu todo o «esclarecimento técnico» para a informação disponível no site da plataforma de autenticação do Estado.
Na página é dito que «o autenticação.gov disponibiliza outros meios de autenticação, como a utilização de um user (Utilizador) e password (Palavra-Chave) ou das redes sociais, disponíveis em serviços onde apenas é relevante conhecer o e-mail do utilizador, como por exemplo subscrições de newsletter, recorrendo à incorporação de métodos e código destas redes sociais».
Mas num separador de informação dedicado especificamente às redes sociais, é dito que «não são enviados dados para as redes sociais, de acordo com as melhores práticas. Apenas é incorporado código das redes sociais no autenticação.gov, o qual pode ser usado caso o método de autenticação selecionado pelo utilizador seja através de uma rede social».
Além do autenticacao.gov.pt, João Pina diz ainda que o mesmo SDK está integrado no site do governo – portugal.gov.pt – e que ambas as páginas têm também a plataforma de análise de dados Analytics da Google. Mas João Pina vê maior gravidade na plataforma de SDK do Facebook pela associação que a rede social pode fazer do acesso ao site com outras informações que já tem dos utilizadores e pelos escândalos de privacidade que tem vivido nos últimos anos.
«Podem até lançar campanhas de publicidade, a tal segmentação, com a informação de quem vai àqueles sites», concluiu o investigador.
No Modo Programador do browser Google Chrome é visível a ligação do site Autenticacao.gov.pt com o Facebook
* Com Sara Belo Luís
