Sobre privacidade digital, muito se afirma e pouco se comprova. Um lado vende pânico, o outro vende produtos, e os dois trabalham com números que ninguém confere. Este artigo tenta o contrário: mostrar o que um aparelho realmente envia, o que um sistema operacional reforçado muda nisso, o que ele expressamente não muda e quanto isso custa no dia a dia.
Primeiro, o resultado incômodo: o maior ganho não está no sistema operacional. Está em duas ou três decisões que não custam nada e que a maioria das pessoas nunca toma.
O que foi medido
O estudo mais citado é de Douglas Leith, do Trinity College Dublin, publicado em 2021 e revisado por pares na conferência SecureComm. Ele registrou o tráfego de dados de um aparelho Android e de um iPhone, com a telemetria desativada e sem nenhuma conta conectada.
O resultado em repouso: o Android enviou cerca de 1 MB em doze horas, o iOS cerca de 52 KB. Os dois aparelhos fizeram contato, em média, a cada quatro minutos e meio. Nas duas plataformas foram transmitidos, entre outros dados, IMEI, número de série do hardware, número de série do SIM e número de telefone.
A honestidade pede o outro lado. O Google contestou o volume: o pesquisador teria calculado errado o overhead de TCP/IP, e a diferença seria de uma ordem de grandeza. Leith respondeu que conta os dados úteis, enquanto o Google inclui os cabeçalhos do protocolo. O decisivo é o que nunca foi contestado nessa disputa: que esses dados são enviados. A discussão foi sobre a quantidade, não sobre o fato. A Apple nunca respondeu aos vários pedidos de posicionamento; quem afirma que a Apple rejeitou o estudo não tem fonte para isso.
A objeção de sempre é que a medição é de 2021. Para o Android, essa objeção está resolvida: Leith mediu de novo em 2025, num Pixel 7 com Android 14, com publicação na revista científica Computers & Security. Resultado: cookies de publicidade, identificadores de rastreamento de cliques e IDs de aparelho ligados a anúncios são armazenados no aparelho e enviados de volta, nas configurações de fábrica, em repouso, sem que nenhum app do Google tenha sido aberto, sem consentimento e sem opção de recusa. Para o iOS não existe medição igualmente recente, porque os iPhones modernos não se deixam mais abrir para isso. Quem afirma no presente que "o Android envia vinte vezes mais que o iOS" estica a fonte além do que ela diz.
Chama a atenção que o Google documenta parte disso por conta própria. A descrição do serviço de configuração de aparelhos Android lista a coleta de IMEI, número de série, endereços MAC, dados do SIM e da operadora, endereço IP e identificador de assinante abreviado. Nenhuma opção de recusa está prevista ali.
A contradição que melhor descreve o assunto
Não é preciso drama, só dois documentos lado a lado.
A política do próprio Google Play determina que o ID de publicidade não pode ser associado a dados pessoais nem a identificadores permanentes do aparelho, como número de série, endereço MAC ou IMEI. É exatamente por isso que ele pode ser redefinido.
Um estudo revisado por pares de 2023, publicado na PLOS ONE, mediu em aparelhos Samsung, Xiaomi, Realme e Google que um identificador de hardware de longa duração viaja na mesma conexão que o ID de publicidade redefinível. Os autores descrevem a consequência com sobriedade: isso esvazia o propósito dos identificadores redefiníveis. Quem redefine o ID de publicidade corta um fio que, de qualquer forma, já tem outro ao lado.
Para onde vão os dados
A maior parte da coleta não acontece no sistema operacional, mas nos apps, qualquer que seja o sistema instalado. Um app executa código de terceiros dentro do próprio processo, com as permissões dele. Um site não faz isso.
Quanto isso gera não precisa ser estimado. Num estudo com mais de 86.000 apps da Play Store alemã, apresentado no USENIX Security 2021, 34,3 por cento enviaram dados pessoais a empresas de publicidade antes de haver qualquer consentimento.
A revenda também está documentada, e o caso mais bem documentado vem da Alemanha. Reportagens do netzpolitik.org e da rádio pública bávara Bayerischer Rundfunk obtiveram num marketplace de dados um conjunto com 3,6 bilhões de pontos de localização de 11 milhões de IDs de publicidade na Alemanha, como amostra gratuita. Nada foi hackeado, nada vazou: era uma amostra comercial.
O mecanismo técnico por trás disso pode ser consultado por qualquer pessoa, porque a especificação dos leilões de publicidade em tempo real é pública. Um registro de pedido de lance traz, entre outras coisas, o ID de publicidade em texto aberto, latitude e longitude com indicação de precisão, endereço IP, modelo do aparelho, operadora e a identificação do app em que o anúncio aparece. Todo participante do leilão vê esses dados, mesmo que não vença o lance.
Sobre a fiscalização nos Estados Unidos, vale uma ressalva que raramente acompanha o tema: os processos conhecidos contra comerciantes de dados de localização terminaram todos em acordos sem multa e sem reconhecimento de culpa. São acusações de uma autoridade, não fatos comprovados. E os acordos trazem uma exceção expressa para fins de segurança nacional.
GrapheneOS: o que é
O GrapheneOS é um sistema Android de código aberto, voltado para a segurança, mantido por um projeto sem fins lucrativos com cerca de quinze pessoas em tempo integral e financiado inteiramente por doações. Hoje ele roda apenas em aparelhos Google Pixel, e o motivo é técnico: só neles o bootloader pode, depois da instalação, ser bloqueado de novo, com uma chave de assinatura própria gravada no Secure Element. Só assim o Verified Boot funciona por completo. O projeto considera expressamente que um bootloader desbloqueado é uma instalação incompleta.
Duas coisas que desatualizam a descrição mais difundida:
A dependência do Pixel está acabando. Em março de 2026 o projeto anunciou uma parceria de longo prazo com a Motorola Mobility; os primeiros aparelhos são esperados para 2027. Não é exclusiva, e nenhum dinheiro vai para o GrapheneOS.
A vantagem em atualizações diminuiu. Desde junho de 2025, o regulamento europeu de ecodesign exige pelo menos cinco anos de atualizações de segurança para todos os smartphones colocados no mercado da UE. A vantagem do Pixel passa a ser sete contra cinco anos, e não mais sete contra dois.
O que o GrapheneOS realmente resolve
Google Play sem privilégios especiais. No Android comum, os serviços do Play são privilegiados e formam a base de funções do sistema. No GrapheneOS, se você os instalar, eles rodam como um app comum dentro da sandbox, segundo o projeto sem nenhum acesso especial, limitados ao perfil em que você os instalou. O sistema nunca os usa como base própria.
Localização sem o Google. Os pedidos são desviados para uma implementação própria, a posição é calculada no aparelho e apenas um identificador de rede é transmitido.
Permissões que o Android não conhece. O acesso à rede e aos sensores pode ser retirado de cada app; os apps recebem então valores nulos em vez de dados dos sensores. Somam-se escopos de armazenamento e de contatos, um alocador de memória reforçado e perfis separados, cada um com chaves próprias.
Menos Google em segundo plano. Para teste de conectividade, sincronização de horário, almanaque GNSS e assistência de localização na rede móvel, o GrapheneOS usa servidores próprios e impede a transmissão do identificador de assinante e do número de telefone.
Extração de dados de aparelhos bloqueados. Aqui está o efeito comprovável mais forte: tentativas de PIN limitadas, limitação de taxa no Secure Element, reinício automático após inatividade. Segundo documentos vazados de um fornecedor de perícia forense, aparelhos bloqueados com versão atual do GrapheneOS não podem ser lidos. A procedência desses documentos é fraca: servem como indício, não como prova.
O que o GrapheneOS expressamente não resolve
Esta seção falta em quase toda apresentação, e o projeto é notavelmente franco sobre ela.
A rede móvel. A documentação diz textualmente que a conexão com a rede da operadora exige, inevitavelmente, que você se identifique para ela, e que o modo avião é a única forma de escapar da localização pela rede móvel. Chamadas e SMS tradicionais deveriam ser evitados, porque dependem da confiança na operadora.
A mesma coisa, escrita por juristas, como pura descrição técnica: na decisão Carpenter, a Suprema Corte dos Estados Unidos constata que um telefone gera dados de célula apenas por estar funcionando, sem nenhuma ação do usuário além de ligá-lo, e que não há como evitar esse rastro, a não ser desconectando o aparelho da rede.
LTE-only não protege contra IMSI catchers. O projeto deixa claro que a função serve apenas para reduzir a superfície de ataque e não deve ser entendida como forma de confiar na rede móvel. Quem a vende de outro jeito vai além do que diz o próprio fabricante.
DNS criptografado ajuda pouco por enquanto. Também nas palavras do projeto: como o endereço de destino e o nome do servidor continuam visíveis, o DNS criptografado "ainda não vale muito" e não substitui VPN nem Tor. Além disso, o comportamento de filtragem revela que há filtragem, o que por si só serve para reconhecer o aparelho.
Vazamentos de VPN não estão resolvidos de vez. Textualmente: o projeto não considera isso, por ora, um recurso completo.
O reconhecimento continua possível. As medidas contra identificadores do aparelho seriam um bônus secundário; restam muitos canais laterais para reconhecer um aparelho entre apps diferentes.
Anonimato não é prometido. O projeto não faz essa promessa em lugar nenhum, e a frase sobre o modo avião é, na prática, a recusa dela. Quem procura anonimato procura algo diferente de um sistema operacional.
O eSIM continua precisando de componentes proprietários do Google. O gerenciamento vem desativado de fábrica e pode ser ligado, mas exige componentes inalterados do firmware do Pixel. A afirmação de que o GrapheneOS tem uma implementação própria de eSIM é falsa; o que caiu foi apenas a dependência do Google Play.
E ele não contorna verificações de hardware. Expressamente não, porque isso seria frágil e quebraria o tempo todo. É uma posição honesta, e leva direto à próxima seção.
O preço honesto: apps de banco
O Google mantém uma interface pela qual os apps verificam o estado do aparelho. Ela tem vários níveis. O intermediário exige, nas palavras do próprio Google, uma imagem certificada do fabricante; um bootloader bloqueado não basta. O GrapheneOS passa no nível básico e não passa nos dois superiores, não por falta de segurança, mas por falta de licenciamento.
Existe um caminho tecnicamente superior, oferecido pelo próprio Android: a atestação de hardware padronizada. Com ela, um app verifica o estado de boot diretamente, por criptografia, e pode aceitar as chaves de sistemas alternativos sem passar por um serviço do Google. O GrapheneOS publica suas chaves assinadas e em formato legível por máquina, justamente para que os bancos possam fazer isso.
A situação em números, segundo o próprio projeto no fim de julho de 2026: cerca de dez por cento dos apps de banco verificam a integridade do aparelho, e cerca de noventa por cento funcionam. A tendência não estaria nem claramente melhor nem pior: mais bancos adotam a verificação do Google e, ao mesmo tempo, mais bancos aceitam a atestação de hardware como alternativa.
Para saber se o seu banco funciona, existe a lista mantida pela comunidade e citada pelo GrapheneOS, organizada por país, com os apps de banco e de autenticação que os usuários relatam como funcionando ou não. Essa lista é gerada pelos usuários, e o GrapheneOS não assume expressamente nenhuma garantia por ela. Serve como orientação, não como promessa.
Pagamento por aproximação pelo Google Pay não funciona. Na Europa isso pesa menos do que em outros lugares, porque muitos bancos, como as caixas econômicas e as cooperativas de crédito alemãs, têm apps próprios de pagamento por NFC, e o Curve Pay e o PayPal também funcionam. Fora da Europa, o projeto não conhece nenhuma solução. Para quem mora no Brasil, esse é o ponto a conferir antes de tudo.
A situação muda, e nas duas direções: no início de agosto de 2026, um grande provedor de pagamentos passou a excluir o GrapheneOS, enquanto vários bancos tradicionais o liberaram expressamente. Quem depende de um app específico testa isso antes da troca e, na dúvida, mantém um segundo aparelho.
Três afirmações comuns que não se sustentam
"O Android Auto só funciona com cabo." Errado. As duas formas são suportadas; a conexão sem fio só exige mais permissões.
"A câmera é pior." Meio certo, e é exatamente aí que está o erro. O mesmo app entrega a mesma qualidade que no sistema original, e o app de câmera do Pixel funciona sem que o Google Play precise estar instalado. A câmera própria do GrapheneOS é mais enxuta de propósito: menos quadros por foto em HDR, e panorama, astrofotografia ou Motion Photos não estão no planejamento.
"Desbloquear o bootloader anula a garantia." Não existe nenhuma declaração do Google nesse sentido. As condições de garantia para o Espaço Econômico Europeu estabelecem que a garantia voluntária do fabricante não afeta os direitos legais de garantia; ficam excluídos os danos causados por modificações. O GrapheneOS afirma que os aparelhos Pixel continuam cobertos, mas não há confirmação do Google sobre isso. Trate como questão em aberto, não como questão resolvida.
O que rende mais do que qualquer sistema operacional
Em ordem de efeito por esforço.
1. Signal para tudo o que for sensível. Os dois grandes mensageiros criptografam o conteúdo. A diferença está nos metadados, e ela pode ser verificada, porque o Signal publica as ordens judiciais e as próprias respostas. Em todos os casos documentados de 2016 a março de 2026, o Signal só pôde entregar duas coisas: data do cadastro e última conexão. No caso mais recente, foram pedidos dados de 37 números de telefone; sete contas não existiam e, para 24, não havia dados. Para comparar, o WhatsApp lista na própria política de privacidade europeia o que é coletado: como você interage com outras pessoas, horário, frequência e duração das suas atividades, além de modelo do aparelho, nível de bateria, intensidade do sinal, rede móvel e endereço IP. Quem não guarda nada não tem nada a entregar. É o único item desta lista cuja prova existe na forma de autos judiciais.
2. Menos apps, mais navegador. O passo estruturalmente mais eficaz, que quase ninguém dá. Um componente de terceiros embutido herda todas as permissões que você concede ao app; a Apple reconhece nas próprias regras que isso constitui rastreamento mesmo quando o desenvolvedor nem usa o componente para esse fim. Um app apagado é a única medida com efeito de cem por cento.
3. Autenticação em dois fatores resistente a phishing. Chaves de segurança físicas e passkeys ficam vinculadas ao domínio; uma página de login falsificada não consegue gerar uma confirmação válida. Isso é criptografia, não uma heurística de detecção. O Google relata, a partir de estudo próprio, que nenhum usuário que usava exclusivamente chaves de segurança caiu em phishing direcionado. Para um patrimônio maior, o cenário de catástrofe realista é o sequestro de conta, não a publicidade personalizada. Observação: o estudo do Google de 2019, muito citado, com os números de cem por cento testou confirmações por telefone, não chaves de segurança; as duas provas vivem sendo misturadas.
4. Permissões de localização e apps sem uso. Localização aproximada em vez de precisa, "só durante o uso", liberações únicas. O Android retira automaticamente as permissões de apps que ficam meses sem uso e apaga o cache deles. Diante da precisão com que dados de localização são negociados, a opção aproximada é a configuração isolada mais eficaz.
5. Apagar o ID de publicidade: eficaz, mas limitado. No Android, todo acesso passa a devolver uma sequência de zeros; no iOS vale o mesmo sem permissão de rastreamento concedida. O efeito é mensurável: depois da introdução do pedido de permissão, a transmissão do identificador de publicidade do iOS caiu de um quarto dos apps para zero. Mas o número de componentes de rastreamento ficou praticamente igual, e o identificador de hardware descrito acima continua viajando junto. Dois minutos de esforço, avaliados com honestidade. No iOS vale também desligar a chave separada para a publicidade personalizada da própria Apple, que o pedido de rastreamento não abrange.
6. Higiene de conta. A exclusão automática dos dados de atividade reduz o estoque no maior coletor individual. Com a precisão necessária: o Google diz que pretende remover os dados da visualização e se reserva expressamente um armazenamento mais longo para fins legais.
7. Escolha do navegador. O Safari bloqueia por completo os cookies de terceiros e apaga, após sete dias sem interação, o armazenamento criado por script; o Firefox separa os cookies por site. Nenhum dos dois ajuda contra o provedor em que você está logado.
8. DNS criptografado, o item mais superestimado. Útil para filtrar, mas não esconde endereços de destino nem torna ninguém anônimo. O GrapheneOS diz isso sobre a própria função com mais clareza do que a maioria dos fornecedores diria.
9. A camada da rede móvel. Aqui não existe solução no aparelho, e isso não é uma medida, mas um limite. O modo avião corta de fato a conexão de rádio, ao preço de você ficar inacessível.
Uma palavra sobre a lei brasileira, porque ela define o que fica guardado sobre você mesmo com o melhor aparelho. O Marco Civil da Internet (Lei 12.965/2014) obriga o provedor de conexão a manter os registros de conexão por um ano (art. 13): data e hora de início e fim de cada conexão, a duração e o endereço IP usado. Os provedores de aplicações constituídos como empresa precisam guardar os registros de acesso a aplicações por seis meses (art. 15). Polícia, autoridade administrativa ou Ministério Público podem pedir que esses registros sejam guardados por mais tempo, e a entrega a quem pede depende sempre de autorização judicial. Nenhum sistema operacional muda essa guarda: ela acontece do lado da operadora e do provedor, não no seu telefone.
Como isso se relaciona com proteção patrimonial
Privacidade digital não é proteção patrimonial, e seria pouco sério afirmar isso. Ela reduz dois riscos concretos: o sequestro de contas e a reunião de informações num perfil que outros exploram. O primeiro é um risco financeiro real; o segundo é mais uma questão de soberania.
O que a privacidade digital expressamente não faz: ela não protege nenhum patrimônio do acesso legal. O que os órgãos públicos sabem sobre o seu patrimônio depende de obrigações de declaração e de registro, não do seu telefone; até onde isso chega hoje, mostramos na página sobre o registro patrimonial da UE. E se um patrimônio fica vulnerável numa emergência, quem decide é a estrutura em que ele é mantido: é disso que tratam a proteção patrimonial, as estruturas de proteção e os investimentos no exterior.
Quem confunde as duas coisas investe esforço no lugar errado. Um telefone blindado com um patrimônio desprotegido é uma combinação bem pior do que o contrário.
Quão acessível o seu patrimônio realmente é, esclarecemos na consultoria pessoal. A consultoria é feita em inglês.
Perguntas frequentes
Os apps de banco funcionam no GrapheneOS?
Na maioria, sim. O próprio projeto estima em cerca de dez por cento a parcela de apps de banco que não funcionam e vê a evolução, no conjunto, como estável. Qual app funciona em cada país aparece na lista mantida pela comunidade, que é gerada pelos usuários e não traz garantia. O Google Pay não funciona; o pagamento por aproximação funciona pelos apps de muitos bancos europeus e pelo Curve Pay e pelo PayPal, mas fora da Europa o projeto não conhece solução.
O GrapheneOS me deixa anônimo?
Não, e o projeto também não afirma isso. Ele dificulta a criação de perfis pela plataforma e pelos apps. Não muda nada no que a sua operadora vê: segundo o próprio projeto, o modo avião é a única forma de escapar da localização pela rede móvel. E não muda nada nas contas que estão no seu nome.
Por que só aparelhos Google Pixel?
Porque só neles o bootloader pode ser bloqueado de novo depois da instalação, com uma chave própria, o que é condição para o Verified Boot completo. Isso está mudando: desde março de 2026 existe uma parceria com a Motorola Mobility, e os primeiros aparelhos são esperados para 2027.
A garantia acaba se eu desbloquear o bootloader?
Não existe declaração do Google sobre isso. As condições de garantia para o Espaço Econômico Europeu estabelecem que a garantia voluntária do fabricante não afeta os direitos legais de garantia; ficam excluídos os danos causados por modificações. O GrapheneOS afirma que os aparelhos Pixel continuam cobertos, mas não há confirmação do Google.
Um telefone seguro protege o meu patrimônio?
Não. Ele reduz o risco de sequestro de conta e diminui a criação de perfis. O que os órgãos públicos sabem sobre o seu patrimônio depende de obrigações de declaração e de registro, e se o patrimônio fica vulnerável depende da estrutura em que ele é mantido. Nenhum sistema operacional influencia nenhuma das duas coisas.