Summary

  • A CRTC passou a permitir qualquer método de bloqueio que respeite necessidade, precisão e privacidade do consumidor.
  • A operadora deve comprovar que um fornecedor externo tem a qualificação técnica necessária e não possui conflito que prejudique uma atuação isenta.
  • O público recebe informações gerais sobre métodos e fornecedores; a Comissão obtém dados mais detalhados em relatórios confidenciais.

O sistema que interrompe uma conexão pode depender de vários participantes. Um fornecedor pode entregar uma lista de indicadores, outro produto pode identificar padrões de tráfego e um equipamento da operadora pode executar a regra. Quando um acesso legítimo é bloqueado, a decisão técnica pode ter sido preparada fora da empresa, mas o cliente continua diante da rede da operadora. É ela que precisa reconstruir a cadeia e explicar por que escolheu aquele serviço.

O artigo 36 da Telecommunications Act estabelece a base jurídica: salvo autorização da Comissão Canadense de Radiodifusão e Telecomunicações (CRTC), a operadora não pode controlar o conteúdo nem influenciar o significado ou a finalidade das telecomunicações que leva ao público. Na decisão 2022-170, a CRTC colocou o bloqueio de tráfego de botnets sob essa regra e definiu princípios de necessidade, precisão, transparência, privacidade e prestação de contas.

O primeiro modelo era mais restrito. A decisão 2025-142 autorizou o uso de listas de indicadores de comprometimento que seguissem critérios próprios, fossem mantidas pela operadora ou por terceiros. Para os clientes de uma empresa participante, o bloqueio seria aplicado por padrão, sem opção individual de aderir ou sair. Depois, a consulta 2025-143 abriu a discussão para outras técnicas, como bloqueio de portas, endereços de origem falsificados, assinaturas de arquivo e anomalias de volume, além de privacidade, inspeção profunda e relatórios.

A decisão 2026-140, em vigor desde 18 de junho de 2026, adotou uma regra neutra em relação à tecnologia. As operadoras podem usar qualquer método que respeite necessidade, precisão e privacidade do consumidor. O texto menciona bloqueio de portas, de endereços de origem falsificados e de tráfego com volume anômalo. Não afirma que todas as empresas usem todas essas técnicas nem indica um produto obrigatório.

A nova margem de escolha vem acompanhada de um dever de diligência. Pela seção 2.3 do regulamento, um fornecedor terceirizado precisa demonstrar qualificação técnica e não pode ter conflitos capazes de comprometer a imparcialidade da operação em benefício dos canadenses. A decisão cita, por exemplo, estrutura societária e contexto geopolítico. A seção 2.2 atribui à operadora o ônus de demonstrar que suas medidas seguem os princípios. Não haverá uma lista pública de fornecedores previamente certificados pela CRTC. Cada empresa deve saber quem fornece o sinal, o software ou o equipamento e explicar por que essa dependência é aceitável.

Isso alcança mais do que listas de ameaças. O fornecedor pode operar uma base de indicadores, um sistema de análise de tráfego, um equipamento de rede ou um serviço de monitoramento terceirizado. O regulamento inclui sistemas, equipamentos e softwares de terceiros usados para implementar o bloqueio. A operadora precisa mapear o caminho entre o dado recebido e a regra aplicada. Citar o nome de uma ferramenta no contrato não prova que seus indicadores são precisos ou que o fornecedor não tem interesses incompatíveis.

Há duas camadas de transparência. No site, a operadora precisa explicar em linguagem clara o escopo do bloqueio, descrever os métodos em termos gerais, informar se usa fornecedores externos e se algum deles está fora do Canadá, além de apresentar o canal para contestar um falso positivo ou bloqueio excessivo. A CRTC não quer que a divulgação revele detalhes que ajudem um atacante a driblar as defesas. Assim, o público conhece a natureza do controle, mas não seus parâmetros operacionais.

Já o relatório anual enviado à Comissão, sob sigilo, deve identificar métodos, fornecedores e produtos, contar indicadores de comprometimento bloqueados e reclamações de falso positivo ou bloqueio excessivo, e justificar a conformidade. A entrega deve ocorrer em até 30 dias corridos após o fim de cada período. A CRTC pode divulgar parte das métricas ou publicar uma síntese do setor. As operadoras também precisam revisar seus sistemas periodicamente. A inspeção profunda de pacotes fica restrita a situações excepcionais e, se usada, deve se limitar aos cabeçalhos, sem examinar o conteúdo das comunicações.

O regulamento também impede a operadora de bloquear o uso legítimo de VPN ou de resolvedores DNS alternativos para contornar a filtragem.

O comissário Bram Abramson concordou com a ampliação dos métodos, mas discordou da redução de transparência e da estrutura de supervisão. Em seu voto dissidente, defendeu relatórios que acompanhassem alterações de métodos e fornecedores e classificassem o desfecho das reclamações. Essas propostas não foram incorporadas. Elas ajudam a delimitar a pergunta de governança: a CRTC conseguirá avaliar a qualidade da relação com o fornecedor ao longo do tempo, ou receberá apenas a lista anual e a justificativa da operadora?

Para a operadora, terceirizar não é, por si só, o risco. O risco aparece quando ninguém consegue reconstituir que produto, dado ou mudança levou a bloquear uma conexão. Um dossiê de fornecedor deve ligar cada método ao seu propósito, aos dados de entrada, ao fornecedor, à data da revisão, ao processo de reclamação e a uma alternativa de substituição. Contratos podem exigir aviso de mudança de controle, subcontratação, fonte de ameaças ou retenção de dados. Essas salvaguardas não garantem a decisão correta; ajudam a identificar quem alterou o sistema e a trocar o fornecedor sem desmontar toda a proteção.

Para os fornecedores, o acesso ao mercado passa a depender também da documentação. A operadora precisa explicar a experiência técnica, a estrutura de controle e os interesses do fornecedor, além de informar os produtos utilizados nos relatórios sigilosos. Empresas que aceitam auditoria e conseguem demonstrar como trabalham podem ter vantagem. Ao mesmo tempo, os custos de conformidade podem favorecer fornecedores maiores, já preparados para manter certificações e equipes de garantia. A decisão não fornece dados para medir esse efeito.

O primeiro período de relatório termina em 31 de dezembro de 2026; os documentos devem ser apresentados nos 30 dias seguintes. Eles mostrarão quais métodos e fornecedores as empresas declaram usar, mas não medirão automaticamente a precisão nem a proporção de tráfego legítimo bloqueado. A CRTC ampliou a liberdade técnica e manteve a responsabilidade sobre a cadeia de fornecedores com cada operadora. O teste será saber se essa responsabilidade vira revisão contínua quando mudarem o fornecedor, seus controladores, suas fontes de dados ou o método de bloqueio.

Fontes