Há uma experiência que quase toda a gente já viveu e de que quase ninguém fala: receber uma mensagem que, manifestamente, não lhe era destinada.
Às vezes é inofensivo — «Encontramo-nos às 19h à frente do cinema?» de um desconhecido. Outras vezes é bem menos inofensivo: um código de acesso a uma conta bancária, um resultado de análises médicas, uma convocatória, uma mensagem de rutura, a fotografia de uma criança. Não pediu nada, não pirateou nada, não intercetou nada. A mensagem chegou até si porque alguém se enganou num algarismo, ou porque o seu número pertenceu a outra pessoa antes de si.
E então surge uma série de perguntas às quais ninguém nunca lhe respondeu. Tenho o direito de ler? Devo responder? Corro algum risco? Como faço para que isto pare?
Porque é que o seu número recebe as mensagens de outra pessoa
Existem quatro causas principais, e elas não exigem as mesmas respostas.
O número reciclado. É de longe o caso mais frequente e mais duradouro. Em França, um número de telemóvel cancelado não é destruído: regressa ao stock do operador, que deve respeitar um prazo de «quarentena» antes de o reatribuir. A ARCEP enquadra este mecanismo no seu plano nacional de numeração, mas o prazo é de apenas alguns meses. Passado esse período, o seu número novinho em folha já tem uma vida anterior: uma inscrição num ginásio, uma conta de cliente num fornecedor de energia, um registo numa plataforma de entregas, um processo num laboratório de análises. Todas estas bases de dados continuam a escrever ao antigo titular — ou seja, a si.
O erro de digitação. Um algarismo trocado ao balcão de uma farmácia, uma receita ditada ao telefone, um formulário preenchido à pressa. A mensagem parte para um desconhecido que nem sequer sabe que existe um problema.
A base de clientes nunca depurada. Uma empresa dispõe de um número obtido há oito anos e nunca verificou se continuava válido. O RGPD impõe, no entanto, uma exigência de exatidão dos dados (artigo 5.º, n.º 1, alínea d): os dados inexatos devem ser «apagados ou retificados sem demora». Na prática, esta obrigação é massivamente ignorada nas bases de marketing.
O SMS fraudulento disfarçado de engano. É o quarto caso, e o mais manhoso. Uma mensagem do género «Olá, é a Marie, continuamos combinados para amanhã?» não é um engano: é a isca de uma burla relacional, muitas vezes orientada para um esquema de investimento em criptomoedas. O cenário, designado pig butchering na literatura de cibersegurança, começa sempre com uma falsa mensagem enviada «por engano» para iniciar a conversa.
Distinguir estes quatro casos é a primeira coisa a fazer, porque no último a conduta a adotar é radicalmente diferente.
O que diz o direito francês: ler não é uma falta, explorar é
Muita gente acredita que abrir uma mensagem que não lhe é destinada já constitui uma infração. É falso, e a nuance merece ser bem esclarecida.
O sigilo da correspondência está protegido pelo artigo 226-15 do Código Penal francês, que pune com um ano de prisão e 45 000 € de multa «o facto, cometido de má-fé, de abrir, suprimir, atrasar ou desviar correspondência chegada ou não ao destino e dirigida a terceiros». Dois elementos contam aqui:
- a má-fé: é necessária uma intenção. Receber passivamente um SMS no próprio telemóvel e lê-lo na notificação nada tem de intencional;
- o desvio: o texto visa quem vai buscar a correspondência alheia, não quem a recebe por engano.
Em suma: não cometeu qualquer infração ao ler uma mensagem que chegou espontaneamente até si. A linha vermelha situa-se noutro lugar.
O que é ilícito não é ter visto a mensagem. É utilizá-la, redifundi-la, ou servir-se dela para aceder a algo que não lhe pertence.
Três comportamentos fazem a situação mudar de figura:
- Utilizar um código recebido por engano. Se um código de validação bancária ou um código de acesso chega até si e o utiliza, sai de imediato do domínio do engano para entrar no do acesso fraudulento a um sistema de tratamento automatizado de dados (artigo 323-1 do Código Penal) e, consoante o uso, no da burla.
- Redifundir o conteúdo. Publicar uma captura de ecrã de uma mensagem íntima recebida por engano, com o número ou o nome legíveis, pode configurar violação da vida privada (artigo 226-1) e, tratando-se de conteúdo de natureza sexual, difusão sem consentimento (artigo 226-2-1).
- Conservar e explorar dados de saúde. Um resultado de análises que chegue até si continua coberto pelo sigilo médico. Não está pessoalmente sujeito a ele, mas qualquer exploração exporia-o a responsabilidades.
Por outras palavras, o direito protege bastante bem o destinatário involuntário — desde que este se comporte como destinatário involuntário.
Deve responder? A regra das três respostas
É a pergunta mais frequente, e a resposta certa depende do tipo de mensagem.
Caso 1: mensagem pessoal manifestamente humana
Um amigo que escreve a um amigo, um pai que escreve ao filho, um encontro marcado. Aqui, responder não só é permitido como é útil: «Bom dia, este número não é o da pessoa que procura, enganou-se no destinatário.» Uma frase, neutra, sem comentar o conteúdo.
Este tipo de resposta evita o pior: o caso de uma emergência familiar em que ninguém percebe porque é que o outro não responde.
Uma precaução, ainda assim: responda por SMS, não ligue de volta, sobretudo se o número apresentado for estrangeiro ou começar por um prefixo de tarifa majorada.
Caso 2: mensagem automatizada de uma empresa ou organismo
Marcação médica, aviso de fatura, notificação de entrega, código de segurança. Não responda à própria mensagem: a maior parte destes envios parte de números curtos que não recebem respostas, e a sua mensagem cairá no vazio.
O procedimento eficaz consiste em contactar diretamente o organismo pelo seu canal oficial — não através de um link contido no SMS — e pedir a eliminação ou retificação do número. Pode invocar explicitamente o direito de retificação previsto no artigo 16.º do RGPD. Formulação que funciona:
«O vosso organismo envia SMS com dados pessoais relativos a terceiros para o meu número, do qual sou titular desde [data]. Solicito, com fundamento no artigo 16.º do RGPD, a retificação ou eliminação deste número no processo em causa, bem como a confirmação dessa atualização.»
Se a empresa não reagir no prazo de um mês, a CNIL aceita queixas online precisamente por este motivo. Não se trata de um uso marginal do dispositivo: a má gestão das bases de contactos é um motivo de queixa perfeitamente admissível.
Caso 3: mensagem que cheira a guião
«Bom dia, é o doutor Chen?» «Desculpe, este é mesmo o número da Sophie?» «Peço desculpa, número errado… é de que região?»
Não responda nada. Absolutamente nada, nem sequer «número errado». Qualquer resposta confirma que a linha está ativa e é lida por um ser humano, o que aumenta o valor do seu número nas bases revendidas.
Denuncie a mensagem ao 33700, a plataforma oficial francesa de denúncia de SMS indesejados e fraudulentos, gerida pelos operadores sob a égide dos poderes públicos. Reencaminhe a mensagem para o 33700 e depois envie o número do remetente quando a plataforma lho pedir. Pode igualmente apresentar uma denúncia em cybermalveillance.gouv.fr, que centraliza o apoio às vítimas.
O caso particular dos códigos de verificação que não lhe dizem respeito
Receber um código de utilização única destinado a outra pessoa é banal quando se herda um número reciclado — e é o cenário mais delicado.
Primeiro, uma boa notícia: isso significa geralmente que um antigo titular não atualizou as suas contas online, e não que estão a tentar piratear-lhe algo.
Mas há duas situações que devem alertá-lo:
| O que recebe | O que provavelmente significa | Reação |
|---|---|---|
| Um código isolado, uma vez por mês | Conta antiga nunca atualizada | Contactar o serviço, pedir a eliminação |
| Uma rajada de códigos em poucos minutos | Tentativa de acesso em curso a uma conta associada a este número | Não fazer nada com o código, avisar o serviço em causa |
| Um código acompanhado de uma chamada «do serviço de segurança» | Tentativa de burla dirigida a si | Desligar, nunca comunicar o código |
O terceiro caso merece ser conhecido: os burlões desencadeiam voluntariamente o envio de um código e depois telefonam à vítima fazendo-se passar pelo serviço de segurança do banco ou da plataforma, pedindo o código «para verificação». Nenhuma instituição francesa alguma vez pedirá que leia um código por telefone. É a regra número um, e é lembrada tanto pela Fédération bancaire française como pelas seguradoras.
Se herdou um número e recebe regularmente códigos, vale também a pena fazer uma auditoria às suas próprias contas: passar as autenticações de duplo fator do SMS para uma aplicação dedicada, ou até para uma chave de segurança física FIDO2, elimina o problema pela raiz. Um guia de cibersegurança no dia a dia é um investimento razoável se o tema lhe parecer opaco: o SMS continua a ser o fator de autenticação mais frágil do ecossistema atual, e a ANSSI já não o recomenda como segundo fator para usos sensíveis.
Retomar o controlo quando o seu número é um número reciclado
Se as mensagens chegam em fluxo contínuo e provêm de várias fontes, não se trata de um engano pontual: o seu número anda por dezenas de bases de dados. O método que funciona desenrola-se em quatro tempos.
1. Fazer o inventário durante duas semanas. Anote cada remetente, a natureza da mensagem e a frequência. Um simples caderno de notas com espiral chega, mas o importante é o registo: servir-lhe-á para definir prioridades e, eventualmente, para documentar uma queixa à CNIL.
2. Tratar os emissores identificáveis um a um. Para cada organismo reconhecível, envie o pedido de retificação RGPD. É fastidioso, mas é o único gesto que trava definitivamente o fluxo. Conte três a quatro semanas por processo.
3. Ativar os filtros do telemóvel. Tanto o iOS como o Android permitem filtrar os remetentes desconhecidos num separador à parte e bloquear um número em dois gestos. No Android, o filtro antispam do Mensagens Google interceta boa parte dos envios automatizados. No iPhone, a opção «Filtrar remetentes desconhecidos» nas definições de Mensagens faz o mesmo trabalho. Estes filtros não eliminam nada, mas tornam o ruído suportável.
4. Inscrever o número no Bloctel. O dispositivo público de oposição ao marketing telefónico não cobre os SMS de marketing da mesma forma que as chamadas, mas melhora o conjunto. Desde a entrada em vigor das alterações legislativas sobre o consentimento prévio, o marketing sem acordo explícito é sancionado de forma cada vez mais firme pela DGCCRF.
E se for você a enviar para o número errado?
O problema tem um reverso simétrico de que se fala ainda menos.
Se se aperceber de que enviou uma mensagem sensível ao destinatário errado, saiba que um SMS entregue não pode ser recuperado: a rede não conhece a função «anular envio». O RCS, no Android, permite em certas configurações eliminar uma mensagem para toda a gente, mas apenas se ambos os interlocutores estiverem em RCS — o que raramente acontece com um desconhecido.
O que continua a ser possível:
- enviar imediatamente uma segunda mensagem a pedir, com delicadeza, a eliminação da primeira;
- se a mensagem continha um código ou um identificador, invalidar esse código sem esperar, desencadeando uma nova autenticação;
- se a mensagem continha dados profissionais, avisar o encarregado da proteção de dados da sua organização: uma divulgação acidental de dados pessoais a terceiros constitui uma violação de dados na aceção do artigo 33.º do RGPD, potencialmente notificável à CNIL no prazo de 72 horas.
A melhor defesa continua a ser preventiva: verificar os três últimos algarismos antes de enviar uma mensagem com informação sensível e nunca transmitir por SMS um identificador, um código de acesso ou um número completo de cartão. Para as palavras-passe e identificadores partilhados em família ou entre colegas, um gestor de palavras-passe ou um simples caderno de palavras-passe seguro guardado em casa elimina por completo a necessidade de os fazer circular por mensagem.
O que há a reter
- Receber e ler uma mensagem que não lhe é destinada não é uma infração; explorá-la, redifundi-la ou utilizar um código recebido é que é.
- Para uma mensagem humana isolada: uma resposta neutra e curta, sem comentar o conteúdo.
- Para uma mensagem automatizada: contactar o organismo pelo canal oficial e invocar o direito de retificação (artigo 16.º do RGPD).
- Para uma mensagem que procura iniciar conversa: não responder nada, reencaminhar para o 33700.
- Nenhum código de verificação se comunica por telefone, nunca, a ninguém.
- Se o seu número for reciclado, só uma limpeza metódica das bases emissoras põe fim ao fluxo; os filtros do telemóvel apenas mascaram o ruído.
Um SMS mal endereçado nunca é mais do que um erro entre os milhões que um sistema produz todos os dias. Mas é também, por vezes, um fragmento da vida de outra pessoa que aterra no seu ecrã. A atitude certa cabe numa frase: assinalar o erro, não explorar nada e fazer o necessário para que não se repita.
