Schnüffel mich nicht aus

Der 11. September hat die Welt erschüttert; auch Brasilien. Die Auswirkungen der Terroranschläge waren noch lange nach diesem Tag zu spüren. Das lateinamerikanische Land war noch dabei, seine jüngsten autoritären Erfahrungen zu verarbeiten, nachdem es jahrzehntelang unter einem Militärregime gelitten hatte, und war hin- und hergerissen zwischen dem Weg der öffentlichen Sicherheit und der Massenüberwachung auf der einen Seite und dem der Bekräftigung der Menschenrechte, insbesondere der Privatsphäre, auf der anderen.

Wir zeigen, wie die Folgen der Terroranschläge auf einem anderen Kontinent, wenn auch indirekt, eine Bewegung zugunsten des Schutzes der Privatsphäre und des Datenschutzes auslösten, die zur Verabschiedung der brasilianischen Internet Bill of Rights und der allgemeinen Datenschutzgesetzgebung führte. Darüber hinaus heben wir eine interessante Dualität hervor, die sich in dem Land herausgebildet hat: Einerseits die Schaffung eines robusten Datenschutzsystems und andererseits die uneingeschränkte Akzeptanz der Gesichtserkennungstechnologie.

Von einem strafrechtlichen zu einem zivilrechtlichen Rahmen für die Verwaltung des Internet

Im Jahr 2007 stellte Senator Eduardo Azeredo im Hintergrund einer wachsende Bewegung zur Regulierung des Internets in Brasilien seinen Plan zur Änderung eines vom Abgeordneten Luiz Piauhylino 1999 vorgelegten Gesetzes vor. Der neue Text, der als “Azeredo-Gesetz” bekannt wurde, sollte den Cyberspace aus strafrechtlicher Sicht regeln und eine Reihe von Straftaten mit Strafen von bis zu vier Jahren Haft für Bürger vorsehen, die beispielsweise absichtlich den internen Schutz von Mobiltelefonen umgehen (eine Praxis, die als “Jailbreaking” bekannt ist).

Wie Ronaldo Lemos feststellte, “hätte das Gesetz mit seinem weit gefassten Geltungsbereich Millionen von Internetnutzern in Brasilien zu Kriminellen gemacht” und die Innovation im Bereich der neuen digitalen Technologien behindert, indem es “zahlreiche für Forschung und Entwicklung notwendige Praktiken illegal gemacht hätte“. Aus Angst um die Zukunft der Internet-Gesetzgebungveröffentlichte Lemos einen Meinungsartikel in der Zeitung Folha de S.Paulo, in dem er vorschlug, das “Azeredo-Gesetz” durch einen “zivilen Rahmen für das Internet” zu ersetzen, und leistete damit Pionierarbeit für das Konzept des späteren Marco Civil da Internet.

Der Marco Civil war der erste brasilianische Versuch, einen Gesetzesentwurf per Crowdsourcing zu verfassen. Der Text war das Ergebnis einer bemerkenswerten Anstrengung mehrerer Interessengruppen, die dank einer Online-Plattform, die zur Durchführung einer öffentlichen Konsultation zu diesem Thema eingerichtet wurde, zum Tragen kam. Wie Souza et al. sich erinnern, “konnten die Teilnehmer dem vorgeschlagenen Wortlaut zustimmen oder widersprechen und Änderungen vorschlagen” und außerdem “die Kommentare der anderen sehen, so dass ein echtes Gespräch zwischen ihnen entstehen konnte”¹⁾.

Die Snowden-Enthüllungen und die Reaktion von Präsidentin Rousseff

Der Marco Civil kam jedoch erst 2013 im Kongress in Schwung, als er von Präsidentin Dilma Rousseff als Teil der Reaktion ihrer Regierung auf die Snowden-Enthüllungen ausgewählt wurde. Es ist bekannt, dass die Vereinigten Staaten die Massenüberwachung nach den Terroranschlägen vom 11. September 2001 noch weiter ausgebaut haben. Gemäß Abschnitt 215 des Patriot Acts – der vom damaligen Präsidenten George W. Bush unterstützt und vom Kongress praktisch ohne Debatte verabschiedet wurde – wurden Geheimdienste und Strafverfolgungsbehörden ermächtigt, persönliche Kommunikationsdaten von US-Dienstanbietern anzufordern, um terroristische Zellen und Organisationen zu identifizieren, zu überwachen und zu zerschlagen.

Die Befürchtungen vieler Aktivisten in den USA und im Ausland wurden bestätigt, als Edward Snowden dem ehemaligen Guardian-Journalisten Glenn Greenwald geheime Dokumente der National Security Agency (NSA) zuspielte: Abschnitt 215 wurde von den US-Geheimdiensten weit über seine ursprüngliche Absicht hinaus genutzt. Überraschend war jedoch das außergewöhnliche Ausmaß der Überwachungskampagne: Sie soll Tausende von Menschen außerhalb der US-Grenzen erreicht haben, darunter führende Politiker wie Bundeskanzlerin Angela Merkel und die brasilianische Präsidentin Dilma Rousseff. Die NSA war in der Lage, ihre Reichweite mit Hilfe amerikanischer Unternehmen, die ihre Dienste Telekommunikationsanbietern in anderen Ländern, einschließlich Brasilien, anboten, weltweit auszuweiten.

Präsidentin Rousseff prangerte an, was sie als Verletzung der Souveränität des Landes empfand, und sagte im selben Jahr einen offiziellen Besuch in Washington D.C. ab. In ihrer Eröffnungsrede vor der UN-Generalversammlung in New York sprach sie das Thema der digitalen Überwachung an und berief sogar eine internationale Konferenz zu diesem Thema ein, die “NetMundial”. Innenpolitisch sollte das Marco Civil als Kernstück der brasilianischen Reaktion auf die Überwachung des Landes dienen, und die Regierung von Präsidentin Rousseff drängte den Kongress, es zu verabschieden. Um jedoch einen wesentlichen Schritt in diese Richtung zu machen, schlug die Regierung eine Änderung des Textes vor: die Hinzufügung spezifischer Bestimmungen über die Erhebung und Verarbeitung personenbezogener Daten.²⁾

Zu dieser Zeit gab es in Brasilien kein allgemeines Datenschutzgesetz, so dass die in Marco Civil eingefügten Bestimmungen die ersten ihrer Art waren. Darüber hinaus werden in Artikel 7 des Gesetzes eine Reihe von Rechten der Internetnutzer gewahrt, darunter das Recht auf Privatsphäre und Privatleben, das Recht auf Vertraulichkeit der Kommunikation und das Recht auf Nichtweitergabe personenbezogener Daten an Dritte ohne deren Zustimmung. Alles in allem wurden die Snowden-Enthüllungen nach den Worten von Dan Arnaudo und Roxana Radu “zu einem wichtigen Katalysator, um die Internet Bill of Rights zu einer Priorität und einem Eckpfeiler der brasilianischen Innenpolitik zu machen, was zu einer Abstimmung und Verabschiedung im Jahr 2014 führte“.

Schaffung eines nationalen Datenschutzgesetzes

Folglich kann man mit Fug und Recht behaupten, dass die Ereignisse nach dem 11. September in den USA, insbesondere die willkürliche Anwendung von Abschnitt 215 des Patriot Act durch NSA-Beamte und die Snowden-Enthüllungen, den perfekten Sturm ausgelöst haben, der Brasilien schließlich zur Entwicklung und Verabschiedung bahnbrechender gesetzlicher Bestimmungen zum Datenschutz veranlasste, die in Lateinamerika insgesamt und in anderen Teilen der Welt großen Einfluss hatten³⁾. Marco Civil war jedoch nur der erste Schritt zum Aufbau eines wirklich umfassenden Rahmens für den Datenschutz in dem Land, denn es enthielt nur hochrangige Rechte und Grundsätze wie das Recht auf “klare […] Informationen über die Erhebung, Verwendung, Speicherung und Verarbeitung personenbezogener Daten”.

Sicherlich war Marco Civil nie dazu gedacht, ein allgemeines Datenschutzgesetz zu werden. In Artikel 3, Abschnitt III des Gesetzes heißt es, dass der “Schutz personenbezogener Daten, wie gesetzlich vorgesehen”, einer der Grundsätze ist, die der Internetverwaltung in Brasilien zugrunde liegen. Dies sollte ein Hinweis sein das nach Marco Civil immer ein anderes, spezifisches Gesetz geplant war, dessen ziel es sein sollte einen allgemeinen Rahmen für den Datenschutz im Land zu schaffen. Dieses Gesetz wurde 2018 verabschiedet und ist als Lei Geral de Proteção de Dados (LGPD) oder Allgemeines Datenschutzgesetz bekannt. Das LGPD profitierte von den Diskussionen um die Allgemeine Datenschutzverordnung (GDPR) in der Europäischen Union, wie der Gesetzestext beweist; sogar die Topologie der brasilianischen Gesetzgebung ähnelt ihrem europäischen Pendant.

Laut dem ersten Artikel der LGPD regelt das Gesetz “die Verarbeitung personenbezogener Daten, auch auf digitalem Wege, durch eine natürliche oder juristische Person des öffentlichen oder privaten Rechts zum Schutz der Grundrechte auf Freiheit und Privatsphäre und der freien Entfaltung des Menschen“. Neben der Verankerung einer Reihe von Rechten für die betroffenen Personen und Pflichten für die für die Datennutzer wird mit dem Gesetz auch die Autoridade Nacional de Proteção de Dados (ANPD) oder Nationale Datenschutzbehörde geschaffen. Das ANPD ist eine öffentliche Einrichtung, die mit der Aufgabe betraut ist, die Umsetzung der Rechtsvorschriften zu überwachen und neue Leitlinien zu spezifischen und hochkomplexen Fragen wie den Datenschutzpflichten für kleine und mittlere Unternehmen vorzuschlagen.

Doch das LGPD greift zu kurz, wenn es um die öffentliche Überwachung und die damit verbundenen Herausforderungen geht, die 2013 nach dem NSA-Skandal die Bewegung für Datenschutz und Privatsphäre in Brasilien auslösten. Artikel 4, Abschnitt III des Gesetzes schließt vom Anwendungsbereich des LGPD die Verarbeitung personenbezogener Daten aus, die ausschließlich zu Zwecken der öffentlichen Sicherheit, der Landesverteidigung, der Staatssicherheit sowie der Ermittlung und Verfolgung von Straftaten erfolgt.

Brasilien hat einen langen Weg zurückgelegt, seit Präsidentin Rousseff und andere brasilianische Staatsangehörige angeblich in die Spionagetätigkeit der NSA verwickelt waren. Nichtsdestotrotz liegt der Schatten der Massenüberwachung noch immer schwer auf dem Land.

Der Aufstieg der öffentlichen Überwachungstechnologie in Brasilien

In den letzten Jahren hat der Einsatz öffentlicher Überwachungstechnologien in ganz Brasilien erheblich zugenommen, insbesondere von Gesichtserkennungssystemen, die in Straßenüberwachungskameras eingebaut sind. Eines der denkwürdigsten Beispiele ereignete sich während des Karnevals 2019 in der Stadt Salvador, Bahia. Ein Mann, der wegen Mordes gesucht wurde, wurde von einer Gesichtserkennungskamera identifiziert, als er durch einen der vielen Kontrollpunkte ging, die zur Überwachung der Straßenfestlichkeiten errichtet worden waren. Er war als Zigeunerin verkleidet und trug eine Wasserpistole bei sich. Nachdem seine Identität von den Behörden bestätigt worden war, wurde er von einigen Polizeibeamten angesprochen und in Gewahrsam genommen. Solche Beispiele werden von den Behörden häufig als Rechtfertigung für die Einführung der Gesichtserkennungstechnologie im Land herangezogen.

Es ist jedoch bekannt, dass neue Technologien, die auf Gesichtserkennungssoftware basieren, viele Risiken bergen. Das bekannteste Problem sind die datenbasierten Vorurteile, die KI-Programme gegenüber Minderheiten und Frauen haben. Laut einer Analyse von MIT-Forschern aus dem Jahr 2018 weisen die von Unternehmen wie Microsoft und IBM entwickelten Softwares eine Fehlerquote von 35 % bei der Identifizierung schwarzer Frauen auf, während die Fehlerquote bei der Identifizierung weißer Männer nur 1 % beträgt. Es ist wichtig anzumerken, dass die schwarze Bevölkerung in der brasilianischen Gesellschaft bereits an den Rand gedrängt wird und folglich unverhältnismäßig häufig von Strafverfolgungsbehörden bestraft wird. Daten aus dem Jahr 2019 zufolge sind 66,7 % der in Brasilien inhaftierten Personen schwarz. Darüber hinaus waren im Jahr 2020 78,9 % der von der Polizei getöteten Personen im Land schwarz.

Dies ist einer der Gründe, warum zivilgesellschaftliche Organisationen die Regierung von São Paulo anprangerten, weil sie 2020 ein öffentliches Ausschreibungsverfahren für die Installation eines komplexen Gesichtserkennungsnetzes in ihrem U-Bahn-System eingeleitet hatte, das später ausgesetzt wurde. Im Jahr 2021 forderten zivilgesellschaftliche Organisationen den Gouverneur auf, sein Veto gegen ein neues staatliches Gesetz einzulegen, das die Installation solcher Kameras in der U-Bahn ohne jegliche Sicherheiten und Garantien erlauben würde.

An anderen Orten waren ähnliche Ausschreibungsverfahren jedoch erfolgreich. Dies ist der Fall in Mata de São João, einer kleinen Stadt im Bundesstaat Bahia, die in ihren öffentlichen Schulen ein Gesichtserkennungssystem eingeführt hat, um die Schüler zu überwachen, wenn sie in die Schule kommen und sie verlassen. Wenn die Kinder von den Kameras an den Schultoren identifiziert werden, wird automatisch eine Textnachricht an ihre Eltern und an das Schulpersonal gesendet. Wie Rest of World feststellt, “debattiert ein Großteil der Welt über die Gefahren der biometrischen Überwachung und der digitalen Eingriffe in die Privatsphäre, während brasilianische Beamte aller politischen Richtungen die Gesichtserkennungstechnologie mit offenen Armen empfangen“.

Insgesamt erinnert der Fall von São Paulo daran, dass die von der LGPD hinterlassene Lücke dringend geschlossen werden muss. Im Jahr 2020 wurde ein Ausschuss von Juristen gebildet, um einen Gesetzentwurf zur Regelung des Datenschutzes in den Bereichen öffentliche Sicherheit und Strafverfolgung zu erarbeiten. Der Gesetzentwurf muss dem Kongress noch formell vorgelegt werden, aber einige Neuerungen sind erwähnenswert. Erstens muss gemäß Artikel 42 des Vorschlags dem Einsatz von Überwachungstechnologie eine spezielle gesetzliche Genehmigung vorausgehen, die auf einer Risikobewertung beruht. Zweitens verbietet Artikel 43 den Einsatz solcher Technologien zur Identifizierung von Bürgern auf fortlaufender Basis und in Echtzeit, wenn keine Verbindung zu einer laufenden strafrechtlichen Untersuchung besteht.

Alles in allem hat sich Brasilien in den letzten zehn Jahren von der Überwachung durch NSA-Agenten zum “Schnüffeln” seiner eigenen Bürger durch den Einsatz von Massenüberwachungstechnologie entwickelt. Dennoch gibt es einen roten Faden, der sich durch diese verschiedenen Ereignisse zieht: Die Terroranschläge vom 11. September 2001 lösten, wenn auch nur indirekt, eine Bewegung zugunsten des Datenschutzes und des Schutzes der Privatsphäre innerhalb der nationalen Rechtsordnung aus und machten sie widerstandsfähiger gegenüber den Herausforderungen, denen das Land heute gegenübersteht.

Bei diesem Text handelt es sich um eine Übersetzung des Beitrags, ‚Don’t Snoop on Me‘ , durch Michael Borgers.