Resumo

  • Em 22 de julho de 2024, a Ofcom concluiu que a BT violou a seção 105A(1)(c) do Communications Act 2003 e a Regulação 9 do Electronic Communications (Security Measures) Regulations 2022, e aplicou £ 17.500.000. A condição geral A3.2, sobre acesso de emergência, estava no escopo da investigação, mas não sustentou a conclusão.
  • A Regulação 9 estava em vigor desde 1º de outubro de 2022, nove meses antes do apagão. O instrumento que mordeu foi escrito antes do incidente e exige prova datada de preparação, não uma medição do tempo de queda.

Às 06:24 de 25 de junho de 2023, o sistema primário da BT que trata chamadas de emergência começou a falhar. A própria revisão da BT, publicada em 29 de junho de 2023 às 14:30 (Europe/London), atribuiu a falha a um problema de software complexo e inédito: "It was causing a 'caching' issue which resulted in impacted calls not being routed correctly and the user's call being disconnected." Ou seja, as chamadas afetadas não eram encaminhadas corretamente e a ligação do usuário caía. (BT Group review, 29 June 2023)

As chamadas de emergência voltaram a ser tratadas pelo sistema primário às 16:56 — 10 horas e 32 minutos depois do início. Às 22:14, a BT confirmou a restauração do serviço e o fim da dependência do sistema de backup. Para as chamadas não completadas, a BT apresentou o número provisório de 11.470. É a contagem da própria BT, e não é o mesmo número que o regulador descreveu depois em termos de ligações ou de tentativas.

A Ofcom anunciou a investigação em 28 de junho. (Ofcom investigation announcement, 28 June 2023) O escopo inicial cobria a condição geral A3.2 e as seções 105A e 105C do Communications Act 2003. Em 13 de julho, o escopo foi ampliado para incluir retransmissão de texto, retransmissão de vídeo de emergência, acesso por SMS móvel às organizações de emergência e as condições gerais C5.8 a C5.12. (Ofcom enforcement case page)

A conclusão de 22 de julho de 2024 é literal: "BT has contravened section 105A(1)(c) of the Act and Regulation 9". Na mesma página, a Ofcom registra, sobre a seção 105C, a condição geral A3.2 e as condições C5.8 a C5.12: "At this time, we do not propose to pursue making a finding". Vale ler com precisão. Isso não significa que essas disposições ficaram fora da decisão, nem que estavam fora dos poderes da Ofcom. É a formulação da própria autoridade, naquele momento, sobre o que ela não pretendia levar adiante. Sobre a multa: "As a result of BT's failures, Ofcom has decided to fine the company £17,500,000." (Ofcom penalty announcement, 22 July 2024)

Agora os instrumentos, lado a lado. A condição geral A3.2, na versão consolidada não oficial de 15 de dezembro de 2022, diz: "Regulated Providers must take all necessary measures to ensure: (b) uninterrupted access to Emergency Organisations as part of any Voice Communications Services offered." A mesma consolidação traz, em A3.4, o acesso gratuito do usuário final ao 112 e ao 999. (Ofcom consolidated General Conditions, 15 December 2022)

A Regulação 9(1) diz: "A network provider or service provider must take such measures as are appropriate and proportionate to prepare for the occurrence of security compromises". O número oficial é SI 2022/933: editado em 1º de setembro de 2022, depositado no Parlamento em 5 de setembro e em vigor desde 1º de outubro. (Electronic Communications (Security Measures) Regulations 2022, SI 2022/933) A Regulação 9(2) acrescenta deveres sobre cópias online e offline mantidas no Reino Unido, sua substituição e os meios e procedimentos para identificar, avaliar, mitigar, responder e recuperar de comprometimentos de segurança. Aqui é resumo, não citação.

A ordem das datas explica o resultado. O dever de preparação passou a valer em 1º de outubro de 2022. A falha ocorreu em 25 de junho de 2023. O instrumento em que a Ofcom se apoiou foi escrito antes e desenhado para que a evidência existisse antes também. A condição de acesso de emergência funcionou como escopo de investigação depois do fato.

Isso não é uma boa notícia para a BT. É mais duro do que parece. O dever de preparação anterior pesa mais do que demonstrar, depois, que a rede caiu. O que foi preparado, onde as cópias ficaram, com que procedimento o comprometimento seria identificado, quem responderia pela recuperação: os artefatos que a Regulação 9(2) exige precisam existir com data anterior ao incidente. Os £ 17.500.000 não são o preço de 10 horas e 32 minutos de queda. São o preço de não estar preparado para elas.

Por isso, quem quiser cobrar da BT ou de outra operadora no próximo apagão não deve olhar apenas para o "acesso ininterrupto" da A3.2. Deve pedir cópias com data anterior, procedimentos e registros de recuperação. E o contrário também vale: o simples fato de as chamadas de emergência terem parado não chega a esse tipo de conclusão. A própria tramitação de 22 de julho de 2024, registrada pela Ofcom, mostra onde fica essa linha.

A redação da A3.2 citada aqui é a da consolidação de 15 de dezembro de 2022. Existe uma consolidação posterior, que não foi lida para este artigo, e não se afirma nada sobre como a condição está numerada ou redigida em versões seguintes. O documento decisório completo da Ofcom também não foi lido: as declarações do regulador vêm das páginas de anúncio, da página de acompanhamento do caso e da página da multa, efetivamente consultadas. O registro da empresa está no verbete do diretório.

O 999 parou. A multa não foi por isso. O que o registro regulatório colocou em preço foi outra pergunta: o que estava pronto antes de parar.