As companhias aéreas não tiveram seus dados vazados. Elas são donas da empresa que vendeu.
A SEC comprou acesso a mais de um bilhão de registros de emissão de passagens, incluindo voos inteiramente entre países estrangeiros. O corretor se chama ARC e pertence à Delta, United, American, etc
As companhias aéreas não tiveram seus dados vazados. Elas são donas da empresa que vendeu.
A SEC comprou acesso a mais de um bilhão de registros de emissão de passagens, incluindo voos inteiramente entre países estrangeiros. O corretor se chama ARC e pertence à Delta, United, American, Southwest, Alaska e JetBlue, com Air France, Lufthansa e Air Canada no conselho. Não houve invasão, não houve falha, não houve terceiro mal-intencionado. Houve modelo de negócio.
A palavra que não aparece em nenhuma parte dessa história é “vazamento”.
Não houve invasão de sistema. Não houve funcionário desonesto. Não houve fornecedor descuidado deixando um bucket S3 aberto.
A Airlines Reporting Corporation, a ARC, é a câmara de compensação que fica entre as companhias aéreas americanas e as agências de viagem. Toda vez que alguém compra passagem numa Expedia, numa Kayak ou na ferramenta corporativa de reservas da empresa onde trabalha, a ARC registra a transação. É ela que faz o dinheiro chegar na companhia certa.
E é ela que vendia esses registros para o governo, num produto chamado Travel Intelligence Program.
O detalhe que muda tudo, e que quase nenhuma cobertura colocou na abertura: a ARC pertence às companhias aéreas. Delta, United, American, Southwest, Alaska, JetBlue. No conselho, também Air France, Lufthansa e Air Canada.
Você não teve seu dado vendido por um estranho.
Você teve seu dado vendido por uma empresa que a sua companhia aérea possui.
A política de privacidade que você aceitou sem ler foi escrita por uma acionista do revendedor.
O que a SEC comprou, e por que a SEC é o problema
Os documentos obtidos pela 404 Media via pedido de acesso à informação mostram que a Comissão de Valores Mobiliários americana adquiriu acesso a mais de um bilhão de registros de emissão de passagens.
Cada registro traz nome do passageiro, número do cartão de crédito usado na compra, cidade de origem, cidade de destino, data, número do voo e a agência vendedora.
E o documento é explícito quanto ao alcance: “os dados de emissão de bilhetes da ARC incluem não apenas voos domésticos nos EUA e voos internacionais de e para os EUA, mas também voos inteiramente entre ou dentro de países estrangeiros“.
Guarde essa frase. Voltaremos a ela na parte que interessa ao Brasil.
Agora a parte que ninguém enfatizou o suficiente.
A ARC sempre defendeu o programa com o mesmo argumento. Segundo a empresa, o TIP “foi criado após os ataques terroristas de 11 de setembro de 2001” e usado pela comunidade de inteligência para prevenir “tráfico de pessoas, tráfico de drogas, lavagem de dinheiro, exploração sexual, ameaças à segurança nacional, terrorismo”.
Nada nessa lista é a SEC.
A SEC é o regulador do mercado de capitais. Ela investiga uso de informação privilegiada, fraude contábil, manipulação de preço, oferta irregular de valores mobiliários. É um órgão importante e legítimo, e não tem absolutamente nada a ver com terrorismo.
Esse é o percurso completo do desvio de finalidade, documentado, em uma única história: um banco de dados construído com justificativa antiterror, dezoito anos depois, sendo usado pelo xerife da bolsa.
E não é um caso isolado de má interpretação. O IRS, a Receita americana, admitiu ao senador Ron Wyden ter violado a lei federal e a própria política interna ao comprar dados da ARC.
Quando a justificativa é “terrorismo” e o comprador é a Receita e a Comissão de Valores Mobiliários, a justificativa não é uma justificativa. É uma senha de entrada.
O produto não era consulta. Era vigilância contínua.
Aqui está a parte tecnicamente mais grave, e ela está escondida no meio do documento.
O TIP não vendia apenas busca histórica. Ele vendia alerta.
Segundo o documento, o programa era capaz de enviar resultados de busca diários vinculados a uma lista específica de nomes. “A ARC envia relatórios diários sobre quaisquer passagens aéreas compradas por indivíduos nas últimas 24 horas.”
E a SEC contratou de 1 a 25 buscas diárias nesse serviço.
Pare e traduza isso.
Não é um investigador pedindo o histórico de viagem de um suspeito depois que o crime aconteceu. É uma lista de até 25 pessoas nomeadas, monitoradas todos os dias, com aviso automático sempre que qualquer uma delas compra uma passagem.
Isso é uma lista de vigilância operada por assinatura.
E, combinado com o fato de que os registros da ARC cobrem viagens futuras, não só passadas, o produto responde à pergunta que nenhum banco de dados de vigilância convencional responde bem.
Não “onde essa pessoa esteve”.
“Onde essa pessoa vai estar, e quando.”
Tudo isso provavelmente sem mandado, porque comprar não é apreender. Essa é a brecha inteira, e ela cabe numa preposição.
Quando o Estado pega, precisa de juiz. Quando o Estado compra, precisa de nota fiscal.
A ARC vende para o Brasil? A resposta é não, e é pior do que sim
Essa era a pergunta óbvia e ela tem uma resposta específica.
A ARC não credencia agências brasileiras e não vende dados ao governo brasileiro. As regras de credenciamento da própria empresa exigem que a agência esteja localizada e autorizada a operar nos Estados Unidos, Ilhas Virgens Americanas, Porto Rico ou Samoa Americana. Não encontrei nenhum registro público de contrato entre a ARC e qualquer órgão brasileiro, e não vou afirmar o que não consegui verificar.
Só que a conclusão confortável, “então isso não é problema nosso”, está errada.
Volte àquela frase do documento: os dados incluem voos inteiramente entre ou dentro de países estrangeiros.
Como um voo São Paulo–Lisboa entra num banco de dados americano de compensação de bilhetes?
Simples. Pelo lugar onde o bilhete foi emitido, não pelo lugar onde o avião decolou.
Se o brasileiro comprou pela Expedia americana, se a passagem saiu da ferramenta corporativa de uma multinacional com contrato de gestão de viagens nos Estados Unidos, se a agência emissora era credenciada pela ARC, aquele voo virou registro da ARC. Com nome, cartão, rota e data.
O Brasil não era cliente. O Brasil era estoque.
E essa é uma posição estruturalmente pior. Cliente negocia, audita, cancela contrato, responde politicamente. Estoque não sabe que existe.
O espelho brasileiro tem nome, e ninguém nunca olhou para ele
Se a ARC é a câmara de compensação americana, existe uma pergunta natural: e aqui?
Aqui é a IATA, através do BSP, o Billing and Settlement Plan. É a mesma função: intermediar a emissão e o acerto financeiro entre agências credenciadas e companhias aéreas. Toda agência IATA no Brasil opera dentro dele.
E, assim como nos Estados Unidos, sobre esse encanamento existe um produto comercial de dados.
Chama-se PaxIS, Passenger Intelligence Services. É descrito pela própria IATA como a base de inteligência de mercado de passageiros mais abrangente disponível, construída com dados capturados via BSP, cobrindo mais de 400 companhias aéreas, com informações de passagem e de agência: tarifa, origem, conexão, destino, classe.
Duas ressalvas de honestidade, porque aqui a precisão importa mais do que o efeito.
Primeira: o PaxIS é comercializado como inteligência de mercado para planejamento de malha e gestão de receita das companhias aéreas, não como produto de rastreamento de indivíduos nomeados vendido a governos. Não há equivalência entre PaxIS e TIP, e afirmar que há seria inventar.
Segunda: ele já foi contestado. A Comissão Europeia considerou a IATA em infração no uso do PaxIS e determinou a remoção dos dados oriundos de agências europeias.
Ou seja: a Europa olhou para o mesmo tipo de encanamento, achou que havia problema e agiu. O Brasil nunca olhou.
Temos a mesma infraestrutura de intermediação, com um produto comercial de dados construído em cima dela, operando sobre um dos maiores mercados domésticos de aviação do mundo, e não existe registro público de que a ANPD, o CADE ou a ANAC tenham feito uma única pergunta formal sobre o assunto.
Não estou dizendo que existe um TIP brasileiro. Estou dizendo que ninguém verificou, e que a diferença entre “não existe” e “ninguém verificou” é a distância entre uma constatação e uma esperança.
O que a LGPD faria, se alguém acionasse
Vale registrar o que a lei brasileira já diz, porque a resposta é menos confortável do que parece.
A LGPD exige base legal para tratamento e finalidade específica e informada. Dado de deslocamento de pessoa identificada, com nome e meio de pagamento, é dado pessoal sem qualquer dúvida. Compartilhamento com terceiros para finalidade distinta da contratada exige, na prática, consentimento específico ou uma base legal robusta que dificilmente se sustenta.
Em tese, o modelo do TIP não sobreviveria à LGPD. Em tese.
O problema é que “em tese” nunca protegeu ninguém. Nos Estados Unidos, o programa só acabou depois de reportagens sucessivas da 404 Media e pressão de parlamentares. A ARC encerrou o TIP no fim de 2025. Não foi tribunal, não foi regulador, não foi auditoria. Foi jornalismo com pedido de acesso à informação e um senador incomodando.
Aqui não temos nem o pedido de acesso à informação, porque não há órgão brasileiro no contrato para ser questionado.
Quem ganha e quem perde
Ganharam as companhias aéreas, que monetizaram duas vezes o mesmo passageiro: uma na passagem, outra na revenda do registro da passagem, através de uma empresa que elas controlam.
Ganharam as agências de intermediação, que ficaram fora da história inteira apesar de serem a origem do dado.
Ganharam órgãos públicos que obtiveram, por contrato comercial, uma capacidade que exigiria autorização judicial se fosse obtida por requisição.
Perdeu o passageiro, que não teve como recusar, porque a coleta é condição da transação. Não existe versão do bilhete aéreo em que você viaja sem gerar registro de compensação.
Perdeu o próprio conceito de mandado judicial, que continua existindo, intacto e irrelevante, contornado por uma nota de compra.
E perdeu, muito especificamente, o brasileiro, que apareceu nesse banco de dados sem ser cliente, sem ser alvo, sem ser avisado e sem ter a quem reclamar.
O que essa história realmente revela
O debate público sobre privacidade continua preso a uma imagem dos anos 1990: o hacker, a invasão, o vazamento, a falha.
Essa história não tem nada disso.
Tem uma câmara de compensação fazendo exatamente o trabalho para o qual foi criada, com governança formal, conselho de administração, produto catalogado, contrato assinado e nota fiscal emitida.
O dado não escapou. Ele foi entregue no balcão, com recibo.
E o mecanismo por trás é o mesmo em qualquer setor: sempre que existe um intermediário técnico obrigatório entre você e o serviço, existe um registro que ninguém pediu, que ninguém pode recusar e que tem valor de mercado. Na passagem aérea é a câmara de compensação. No cartão é a bandeira. No telefone é a operadora. No pagamento instantâneo é o arranjo.
O erro é achar que isso é uma questão de segurança da informação. É uma questão de propriedade.
Enquanto a discussão for “seus dados estão seguros?”, a resposta continuará sendo sim, e continuará sendo verdade, e continuará sendo irrelevante.
A pergunta certa é outra, e ela é bem mais desconfortável.
Quem é o dono do registro que a sua vida produz enquanto você apenas tenta chegar em algum lugar?
Três perguntas:
Se a sua companhia aérea é sócia da empresa que revendeu o seu itinerário, a quem exatamente você reclama?
Comprar um dado que só poderia ser apreendido com mandado é uma brecha da lei ou já é a revogação prática dela?
E no Brasil: alguém, em algum órgão, já perguntou formalmente o que é feito com os registros do BSP e quem tem acesso a eles?
O Tech Gossip não trata privacidade como problema de senha. Trata como problema de propriedade, porque é isso que ela é. Se você quer entender quem lucra com o registro que a sua vida produz, acompanhe em www.techgossip.com.br.
#ARC #SEC #Privacidade #LGPD #DataBrokers #CompanhiasAereas #Delta #United #AmericanAirlines #IATA #BSP #PaxIS #Vigilancia #ProtecaoDeDados #Aviacao #TechGossip