Não, ninguém provou que a Meta lê o seu WhatsApp. O que eu encontrei é pior

Um advogado perdeu dez anos de conversas numa manhã. Um vídeo concluiu que a Meta leu o que ele escreveu. Fui checar essa acusação nos documentos técnicos da própria empresa, no código do aplicativo, em decisões de reguladores europeus e em processos no Brasil, nos Estados Unidos e na Índia. O vídeo está errado. E quando você terminar de ler, vai estar mais desconfortável do que antes — não menos.

1. A acusação

O argumento cabe em quatro frases, e é por isso que ele funciona tão bem.

Um advogado brasileiro com atuação pública escreveu alguma coisa numa conversa privada de WhatsApp. Poucos dias depois, abriu o aplicativo e encontrou a conta desativada — dez anos de contatos, grupos de trabalho, arquivos e histórico profissional, sem aviso prévio, sem motivo declarado e sem ninguém a quem perguntar. A tela oferecia um botão de revisão e, do outro lado dele, o silêncio.

Se a Meta puniu por causa do que foi dito ali dentro, então a Meta leu o que foi dito ali dentro. E se leu, a criptografia de ponta a ponta — a promessa de que nem a empresa consegue ver suas mensagens — é propaganda.

Foi essa a conclusão de um vídeo que rodou o Brasil em agosto. E não é uma conclusão idiota. É o raciocínio que qualquer pessoa razoável faria com as informações disponíveis. O advogado não estava sozinho: entre 3 e 4 de agosto, uma onda de desativações atingiu contas em vários países ao mesmo tempo; o pico de reclamações no Downdetector passou de 200 relatos — o único número público que existe. Em nota enviada à imprensa em 3 de agosto — sem publicação em canal próprio —, a empresa disse que "trabalha continuamente para estar à frente daqueles que tentam fazer uso indevido do serviço", que bane contas "para ajudar a proteger os demais usuários" e que "eventualmente" pode "cometer equívocos". Não disse quantas contas foram atingidas, nem em que países, nem qual sinal disparou, nem se algum ser humano olhou.

Quando a empresa não explica, a explicação mais simples ocupa o vazio. E a mais simples é: eles leram.

Vou desmontar esse argumento peça por peça. Ele não se sustenta. Mas o que sobra no lugar dele é uma história bem menos confortável do que "a Meta é mentirosa" — e é uma história que ninguém está contando.

2. Por que o argumento não fecha

Há duas falhas no raciocínio, e a primeira é decisiva.

Basta uma denúncia

Criptografia de ponta a ponta protege a mensagem no caminho. Ela não protege a mensagem depois que chega — porque quem recebeu, obviamente, consegue ler.

Quando alguém aperta "denunciar" numa conversa, o aplicativo de quem denuncia empacota as últimas mensagens daquele fio e manda para o servidor. Já decifradas. Não porque alguém quebrou algo, mas porque quem denuncia sempre pôde lê-las — a mensagem estava no telefone dele. A política de privacidade do WhatsApp registra isso em português claro: a empresa coleta dados "tanto do usuário que denunciou quanto do que foi denunciado".

Ou seja: existe um caminho perfeitamente banal pelo qual a Meta pode ter tido acesso ao conteúdo de uma conversa, sem que nada da promessa técnica tenha sido violado. E existe um caminho ainda mais banal — a moderação automática nem olha conteúdo: olha comportamento. Volume de mensagens, velocidade de envio, quantos usuários bloquearam você, quantas denúncias você acumulou, se sua conta foi criada por automação.

Quem lê, bane com precisão

A segunda falha é mais sutil, e é a que realmente enterra o argumento.

Imagine, por um instante, que a hipótese do vídeo esteja certa: a Meta lê conversas privadas e pune com base nelas. Nesse mundo, essa capacidade é a coisa mais valiosa que a empresa tem — e a mais perigosa. Expô-la significa processo, multa bilionária, êxodo de usuários e provavelmente a morte do produto.

Agora olhe o que aconteceu: contas desativadas em vários países ao mesmo tempo, sem critério visível, com gente inocente no meio, gerando manchete no mundo inteiro.

Isso é a assinatura de um classificador automático mal calibrado. Não é a assinatura de alguém lendo. Quem lê e pune por conteúdo bane um por um, em silêncio, com precisão cirúrgica, e nunca deixa o padrão aparecer. Banir em massa e barulhentamente seria queimar a própria fonte na primeira semana.

Há um precedente histórico que ilustra isso melhor do que qualquer argumento abstrato. Durante a Segunda Guerra, os britânicos quebraram a cifra alemã. E a partir daí passaram a enfrentar um dilema horrível: agir com base na informação decifrada revelaria que a cifra tinha caído. Em vários casos, escolheram não agir. Quem tem uma capacidade secreta valiosa protege a capacidade, não o caso individual.

Conclusão parcial: o banimento não prova leitura. Isso está resolvido, e é o fim do argumento do vídeo.

Guarde bem esse precedente britânico, porque daqui a pouco ele vai se virar contra nós dois.

3. Antes de continuar: como isso funciona de verdade

Para entender por que a história não acaba aqui, você precisa de vinte minutos de criptografia. Sem matemática, prometo.

O cofre e os Correios

Imagine que você quer mandar uma carta e que os Correios são curiosos.

• Criptografia comum — a do e-mail, e agora a das mensagens do Instagram: você lacra a carta, os Correios abrem, leem, lacram de novo e entregam. Eles têm a chave do lacre. Isso protege contra um ladrão que assalte o caminhão. Não protege contra os Correios.
• Criptografia de ponta a ponta — a do WhatsApp e a do Signal: você tranca a carta num cofre que só o destinatário sabe abrir. Os Correios carregam o cofre sem conseguir abri-lo.

As duas chaves

Cada aparelho gera, sozinho, um par de chaves:

• a chave privada, que nunca sai do telefone — nem para a empresa, nem para ninguém;
• a chave pública, que precisa chegar a quem quer falar com você.

O que é trancado com a chave pública de alguém só abre com a chave privada dessa pessoa. Por isso a chave pública pode circular à vontade: ela só serve para trancar, não para abrir.

O protocolo que o WhatsApp usa se chama Signal — o mesmo do aplicativo Signal, criado por criptógrafos independentes, público, auditado por acadêmicos e formalmente verificado. Ele tem duas propriedades bonitas: a chave muda a cada mensagem, sempre para a frente e sem volta, de modo que quem roubar a chave de hoje não lê as mensagens de ontem; e perde o acesso assim que a engrenagem gira de novo.

Repito, porque a crítica só vale se for justa: a matemática está de pé. Não é ali que mora o problema.

O problema mora na agenda de telefones

Aqui está o ponto que dissolve toda a mística, e é o coração deste artigo.

Quando você abre uma conversa nova, seu telefone precisa da chave pública da outra pessoa. De onde ela vem? Do servidor da Meta. Seu telefone pergunta "qual é a chave pública do Fulano?" e usa o que voltar. Não existe mágica, não existe cartório, não existe outra fonte.

Ou seja: quem controla o servidor controla para quem você está realmente escrevendo.

Se o servidor responder com uma chave que não é a do Fulano, mas uma chave que a própria empresa controla, seu telefone vai trancar a mensagem para essa chave, achando que é o Fulano. A empresa abre, lê, tranca de novo com a chave verdadeira do Fulano e reenvia. Você não vê nada. O Fulano não vê nada. A criptografia continua funcionando perfeitamente — só que com um terceiro no meio.

Isso tem nome na literatura há décadas e não é teoria de conspiração: é o ataque canônico contra qualquer sistema de ponta a ponta cujo diretório de chaves seja controlado por uma única empresa. Não é uma falha do protocolo Signal. É o preço de ter uma agenda central. E o protocolo sempre soube disso — tanto que inventou uma defesa.

A defesa: aqueles 60 dígitos que ninguém compara

Abra o WhatsApp, entre numa conversa, toque no nome do contato e procure "Criptografia". Você vai achar um QR code e um número de 60 dígitos.

Esse número é a impressão digital das chaves das duas pontas. Se você e seu contato compararem esse número por um canal que não seja o WhatsApp — pessoalmente, por telefone, por outro aplicativo — e eles baterem, está descartado que alguém trocou a fechadura.

E aqui preciso corrigir um erro que eu mesmo cometi durante esta apuração, porque ele circula muito. Eu tinha concluído, lendo a documentação do protocolo, que esse número não cobria os "dispositivos vinculados" — o WhatsApp Web, o tablet, o segundo celular. Estava errado. Fui ler o código do próprio aplicativo oficial e o que ele compara é a concatenação das chaves de todos os aparelhos de cada lado; qualquer divergência é rejeitada explicitamente. O whitepaper da empresa diz o mesmo. O código de segurança detecta um aparelho fantasma.

Ótimo. Só que agora vem a parte incômoda.

A defesa automática: transparência de chaves

A indústria sabe que ninguém compara 60 dígitos. Por isso existe a transparência de chaves: a mesma família de ideia que hoje protege os sites com cadeado no navegador. O servidor é obrigado a publicar todas as chaves que distribui num registro público, que só cresce e é encadeado criptograficamente. Se ele te entregar uma chave que não está no registro, seu aplicativo percebe. Se ele publicar a chave falsa no registro, ela fica gravada para sempre, à vista de qualquer auditor.

A Meta implementou isso, e merece o crédito: a biblioteca é de código aberto, foi auditada por uma empresa externa em 2023 e — o que mais importa — desde setembro de 2024 existe uma testemunha independente conferindo e assinando os resultados: a Cloudflare. É mais do que a maioria das plataformas faz.

Três limites, e nenhum é detalhe. Primeiro, esse registro cobre a chave do aparelho principal, não a lista de aparelhos vinculados — que é justamente onde um convidado extra moraria. Segundo, ele detecta, não impede: o próprio artigo acadêmico que fundamenta o sistema descreve o objetivo como "detectar (e assim dissuadir)" um servidor desonesto. Terceiro, e é o que engole todos os outros: quem faz a verificação é o aplicativo. É o programa no seu telefone que confere se a chave recebida está no registro e que decide se te avisa. Um aplicativo adulterado simplesmente não reclama.

"Chave silenciosa" não é uma coisa. São quatro.

Confundir essas quatro é o que faz o debate girar em falso. Elas têm dificuldades muito diferentes:

Figura 5. As quatro formas. Nenhuma delas quebra a cifra. Todas adicionam um ouvinte.

E não é hipótese de internet: em 2018 o serviço de inteligência britânico propôs formalmente o mecanismo 3, por escrito, num artigo público, argumentando que "é relativamente fácil para um provedor de serviço adicionar silenciosamente um participante da polícia a uma conversa ou chamada de grupo". A proposta se chamava ghost user — usuário fantasma. Uma coalizão de empresas e entidades, incluindo a própria Meta, assinou uma carta aberta contra ela em 2019.

O que a resposta técnica da época fixou é o ponto que fecha esta seção: um ouvinte fantasma exige que o aplicativo minta — que ele esconda a notificação, que ele não mostre o membro extra. É um ataque à honestidade do programa, não à matemática.

E é por isso que a pergunta certa nunca foi "a criptografia é forte?". A pergunta certa é: como você sabe o que o programa no seu telefone realmente faz?

4. O que a empresa escreveu em fevereiro

Guarde a pergunta acima. Agora vamos aos documentos.

Em 25 de fevereiro de 2026, o WhatsApp publicou uma nova versão do seu manual técnico de criptografia. É um documento público, hospedado pela própria Meta, e quase ninguém relê. Vale relê-lo, porque ele ganhou uma seção que nunca existiu antes: "Definindo criptografia de ponta a ponta".

Ela começa assim:

"O WhatsApp define criptografia de ponta a ponta como comunicações que permanecem cifradas de um dispositivo controlado pelo remetente a um controlado pelo destinatário, onde nenhum terceiro, nem mesmo o WhatsApp ou nossa empresa-mãe Meta, pode acessar o conteúdo no meio do caminho." _{Tradução nossa. Original em inglês: "WhatsApp defines end-to-end encryption as communications that remain encrypted from a device controlled by the sender to one controlled by the recipient, where no third parties, not even WhatsApp or our parent company Meta, can access the content in between."}

Lida sozinha, é a promessa mais forte que a empresa já fez por escrito — e ela é de 2026, não de 2016. Quem esperava encontrar aqui uma garantia apagada vai se decepcionar: nada foi apagado. O documento quadruplicou desde a primeira versão, de 432 para 2.035 linhas, e a frase clássica sobre o servidor não ter acesso às chaves privadas continua lá, em outra seção. Eu fui atrás disso justamente esperando encontrar um apagamento, e não encontrei. Precisa ser dito.

O que mudou não é o que sumiu. É quem define a palavra.

Até 2017, o documento afirmava um resultado sobre o mundo: terceiros e o WhatsApp não conseguem ler as mensagens, e todos os tipos de mensagem estão protegidos. Em 2026, ele afirma uma definição da empresa — e, logo abaixo, lista o que ela não considera ponta a ponta:

"O WhatsApp não considera as comunicações com serviços da Meta, ou com empresas que usam a Cloud API, como criptografadas de ponta a ponta." _{Tradução nossa. Original: "WhatsApp does not consider communications with Meta services, or communications with businesses using Cloud API, to be end-to-end encrypted."}

Leia de novo, devagar. Existe hoje uma classe de conversa dentro do WhatsApp que a própria empresa declara não ser protegida de ponta a ponta. Ela não é hipotética, não depende de conspiração, e tem nome de produto e data de lançamento: qualquer conversa com a inteligência artificial da Meta dentro do aplicativo, e qualquer atendimento comercial operado pela API de nuvem da empresa.

O debate inteiro está olhando para um fantasma — uma chave secreta que ninguém viu — e não percebeu que um convidado documentado entrou pela porta da frente, com crachá, e assinou o livro de visitas.

Há ainda uma ressalva nova e literal no mesmo documento: quando uma empresa delega a operação de sua conta comercial a um fornecedor, "esse fornecedor terá acesso às chaves privadas dela — inclusive se esse fornecedor for a Meta", ainda que essas chaves "continuem não sendo armazenadas no servidor de conversas do WhatsApp" (tradução nossa; no original, "including if that vendor is Meta" e "However, these private keys will still not be stored on the WhatsApp chat server"). Isso vale para usuário empresarial, nunca para o comum — e é honesto registrar a diferença. Mas a direção do movimento é inequívoca: uma promessa universal virou um mapa de exceções.

E um detalhe pequeno, para o leitor brasileiro. A central de ajuda do WhatsApp explica, no mesmo artigo, o que acontece quando você denuncia uma conversa. Em inglês, o texto diz que a Meta pode ler as mensagens denunciadas. Em português, diz que elas são enviadas. Mesmo artigo, mesmo dia, verificado por mim. Uma palavra a menos na língua do leitor.

5. Cinco dias de maio

O calendário de maio de 2026 dispensa teoria.

Quem diz que "o cerco está se fechando sobre a criptografia" não está lendo o calendário.

O Instagram é o único ponto desta história em que a empresa mudou de posição por escrito, sem ambiguidade. Até 2023, a central de ajuda da Meta descrevia assim a conversa criptografada:

"Ninguém pode ler suas mensagens ou ouvir suas chamadas exceto as pessoas que têm essas chaves especiais — nem mesmo a Meta. Nós não conseguiríamos nem se quiséssemos." _{Tradução nossa. Original em inglês: "No one can read your messages or hear your calls except the people who have these special keys - not even Meta. We couldn't even if we wanted to."}

Em 8 de maio de 2026, conseguiram. Não porque quebraram algo: porque desligaram. O que aquela frase media não era um limite de engenharia — era uma decisão de produto, e decisões de produto se revogam numa reunião. Hoje a página do recurso no Instagram tem quatro frases operacionais sobre como baixar as conversas antigas, e encaminha o usuário: "Para as outras opções de conversa criptografada de ponta a ponta da Meta, conheça o WhatsApp."

6. Possível, provável, indecidível

Aqui é onde quase todo texto sobre este tema erra, inclusive os que atacam a empresa.

A pergunta "a Meta lê as mensagens do WhatsApp?" é tratada como se tivesse duas respostas. Ela tem três, e a evidência pública separa muito mal duas delas.

Sobre a capacidade, existe uma referência acadêmica séria, e ela precisa ser citada com a mesma honestidade que se cobra dos outros. Um trabalho apresentado na Eurocrypt 2025 — uma das principais conferências de criptografia do mundo, com revisão por pares —, feito por engenharia reversa do cliente web do WhatsApp, registra que "é possível que o servidor redefina a identidade criptográfica de um usuário" e que "os clientes, por padrão, não exibem essa mudança aos usuários".

A ressalva, que costuma sumir quando essa frase circula: isso está na seção de escopo e limitações do próprio trabalho, cuja verificação os autores dizem expressamente ter ficado fora do escopo da análise; o objeto examinado foi o cliente web arquivado em maio de 2023; e engenheiros do WhatsApp revisaram e confirmaram a descrição do protocolo. É uma afirmação de fonte qualificada sobre uma capacidade — não uma demonstração de que ela é exercida, e não uma auditoria do aplicativo que está no seu bolso.

Ou seja: o mecanismo existe, é silencioso por padrão, e ninguém provou que alguém o usou.

7. Nenhum sinal separa

Se a evidência técnica não decide, resta o comportamento. É o teste que qualquer repórter faria: uma empresa que realmente não pode ler deveria se comportar de forma diferente de uma que pode e não diz. A primeira brigaria na Justiça, seria bloqueada, pagaria caro por não conseguir entregar. A segunda cooperaria discretamente.

Fui atrás de cada um desses sinais. O resultado é o achado mais importante desta apuração — e é negativo.

Figura 9. Nenhum separa. Todos são compatíveis com as duas hipóteses.

E a ausência do único sinal que teria peso — um caso concreto de conteúdo obtido do servidor — também não prova nada. Lembra do precedente britânico da Segunda Guerra, lá do começo? Ele corta para os dois lados. Se a capacidade existisse e fosse usada com parcimônia contra alvos específicos, é exatamente assim que o mundo pareceria: sem caso nenhum.

Isso não é fatalismo. É o resultado central deste artigo:

A discussão não se resolve com mais notícia. Ela está desenhada para não se resolver.

Não porque o assunto seja complicado. Porque as informações que decidiriam a questão não são públicas — e não são públicas por escolha de quem poderia torná-las públicas.

8. A empresa já disse uma coisa e fez outra

Nada disso diz que a Meta lê suas mensagens. Mas existe um histórico que legitimamente muda o ponto de partida — não sobre o WhatsApp, e sim sobre o peso que se deve dar à palavra da empresa em afirmações técnicas.

Maio de 2017: €110 milhões. Em 2014, ao comprar o WhatsApp, a Meta declarou às autoridades europeias que cruzar automaticamente as identidades de usuários do Facebook e do WhatsApp era tecnicamente inviável. A Comissão Europeia concluiu depois que "a possibilidade técnica de casar automaticamente as identidades já existia em 2014, e que funcionários do Facebook estavam cientes dessa possibilidade". A empresa reconheceu formalmente a infração — procedimental, registre-se —, qualificada pela Comissão como "no mínimo negligente". É o precedente exato de uma afirmação técnica pública que não correspondia à capacidade real, feita sobre o próprio WhatsApp.

2016 a 2019: interceptação de tráfego cifrado de concorrentes. Documentos de um processo nos Estados Unidos mostram a empresa instalando um certificado raiz nos aparelhos de usuários de um aplicativo seu para ler tráfego cifrado de rivais. Preciso ser explícito aqui, porque a comparação fácil seria desonesta: esse caso não é o WhatsApp. O alvo era dado de mercado de concorrentes, não conversa de usuário, e a conduta não foi julgada no mérito. O que o episódio sustenta é modesto e suficiente: diante de um incentivo forte, tendo a criptografia como obstáculo, a empresa não recuou por princípio.

E há uma tensão que dispensa intermediário, porque os dois lados são documentos — um da empresa, outro do Supremo Tribunal Federal.

Em 5 de abril de 2016, o manual técnico do WhatsApp já dizia que o usuário tem a opção de verificar as chaves "de modo que seja capaz de confirmar que um terceiro não autorizado (ou o WhatsApp) não iniciou um ataque de homem-no-meio". A empresa nomeia a si mesma como possível autora do ataque — e a defesa que oferece é opcional e manual: aqueles 60 dígitos.

Quatorze meses depois, em junho de 2017, o cofundador Brian Acton participou da audiência pública do STF sobre criptografia. Conforme sintetizado no voto do relator, ministro Edson Fachin — em discurso indireto, não em transcrição —, ele sustentou que não seria possível desabilitar a criptografia para usuários específicos, "ressaltando que qualquer alteração nas chaves de segurança que pudessem permitir a interceptação seria percebida e corrigida pelo sistema de verificação de código do aplicativo".

A colisão não está na palavra "desabilitar" — nesse ponto ele está certo, e um ouvinte silencioso adicional justamente não desabilita cifra alguma: ela continua ligada, e o que se quebra é a autenticação. A colisão está na cláusula da detecção. O trabalho da Eurocrypt registra o oposto, e o próprio manual de 2016, na mesma página, deixa claro que a verificação é opcional. Nada é "corrigido" sozinho.

A leitura mais econômica desse episódio não é conspiração. É excesso de confiança comercial: a empresa apresentou como impossibilidade, diante de uma suprema corte, aquilo que ela mesma documenta em letra miúda como uma garantia condicional, dependente de um gesto manual que quase ninguém faz.

9. Por que continua assim

Chegamos à única pergunta deste artigo que tem resposta precisa e verificável.

Se a impossibilidade de saber é o problema, de onde ela vem? De três escolhas — todas da empresa, todas reversíveis por ela a qualquer momento:

1. O aplicativo é fechado. Não existe o código-fonte do cliente do WhatsApp. A organização oficial da Meta no GitHub tem mais de 25 repositórios públicos — compiladores, ferramentas de Erlang, SDKs comerciais, figurinhas — e zero linhas de cliente.
2. Não existe build reproduzível. No Signal é possível pegar o código publicado, compilar no seu computador e conferir se o resultado bate com o aplicativo que está na loja. No WhatsApp não há nem o primeiro degrau.
3. Cada atualização é um ato de fé novo. Mesmo que alguém auditasse a versão de hoje, a de amanhã chega sozinha, assinada pela mesma empresa, sem revisão externa.

Procurei, e não encontrei, qualquer declaração pública da Meta explicando por que o cliente do WhatsApp é fechado. Não há justificativa oficial de segurança, de combate a abuso, de propriedade intelectual. A ausência de justificativa é, ela mesma, um dado.

Uma explicação possível — e ela não acusa ninguém de nada: a impossibilidade de auditar não é um resíduo histórico. É um ativo. Uma empresa que não pode ser verificada colhe os dois benefícios ao mesmo tempo: o marketing de "nem nós conseguimos ler" e a liberdade operacional de nunca precisar provar. Tornar o sistema auditável destruiria esse valor. Isso explica a inércia sem afirmar conduta nenhuma, e é a explicação mais econômica que sobrou de pé.

10. A inversão que ninguém espera

A esta altura o leitor já montou uma narrativa: as empresas recuam, os governos apertam, a criptografia está cercada.

Em 2026, no Brasil e na Europa, aconteceu o contrário.

• O Regulamento (UE) 2026/1881, de 24 de julho, exclui do seu escopo as comunicações com criptografia de ponta a ponta — e um de seus considerandos proíbe que o texto seja lido como enfraquecimento dela. A cláusula veio do Parlamento Europeu e foi o preço da adoção.
• No Chat Control, a proposta europeia de longo prazo, a varredura obrigatória de conteúdo cifrado já caiu do texto acordado no Conselho.
• No Brasil, a Lei 15.211/2025 — a "Lei Felca", acusada nas redes de ter criado a vigilância de mensagens — não contém a palavra "criptografia". Nem ela, nem os cinco decretos de 2026 que a cercam. E seu artigo 37, parágrafo único, veda que a regulamentação imponha "mecanismos de vigilância massiva, genérica ou indiscriminada". A lei proíbe exatamente o que o boato diz que ela criou.
• O Decreto 12.975/2026, que deu à ANPD competência sobre plataformas, exclui expressamente a mensageria interpessoal privada dos deveres que cria, "resguardadas pelo sigilo das comunicações, nos termos do art. 5º, XII, da Constituição".

A lei está protegendo a mensagem privada. Quem recuou foi a empresa.

11. Três relógios correndo

Em 21 de agosto, a Autoridade Nacional de Proteção de Dados notificou 22 plataformas, entre elas o Instagram e o WhatsApp — este último apenas pela funcionalidade "Canais públicos" —, com prazo de dez dias úteis. O inteiro teor dos ofícios não foi publicado; segundo a Gazeta do Povo, entre as perguntas está a pergunta deste artigo: a análise das manifestações recebidas é humana ou automatizada? E aqui está o limite que precisa ser dito na mesma frase: nas plataformas que oferecem mensagem privada, a apuração fica nos canais públicos. A autoridade faz a pergunta certa na superfície errada — a moderação das conversas privadas, que é o caso de agosto, continua sem ninguém perguntando.

Nos Estados Unidos, uma ação coletiva contra a Meta, no Distrito Norte da Califórnia, alega que funcionários acessam mensagens do WhatsApp por uma ferramenta interna — e tem dois autores domiciliados no Brasil. A cobertura mundial parou na manchete "processo rejeitado", e está errada: em 23 de julho a juíza federal Rita F. Lin indeferiu a petição inicial com autorização para emenda, negou as sanções pedidas pela empresa, e escreveu que "quebrar a criptografia de ponta a ponta não é o único meio pelo qual isso poderia acontecer". A emenda foi protocolada em 4 de agosto — e em 25 de agosto, no mesmo dia em que esta reportagem procurou a empresa, a Meta pediu de novo a extinção do processo, desta vez em definitivo. A audiência está marcada para 20 de outubro. A peça de defesa merece leitura, porque nela a empresa se apoia exatamente na lista de exceções deste artigo: sustenta que o acesso relatado pela testemunha é "inteiramente compatível com receber acesso apenas a mensagens que as rés declaram não ser criptografadas de ponta a ponta" — porque foram denunciadas por usuários, ou trocadas com empresas. _{Tradução nossa. Original: "fully consistent with receiving access only to messages that Defendants disclose are not end-to-end encrypted because, for example, users choose to report messages or exchange messages with certain businesses."} O contrapeso, obrigatório: a investigação federal americana sobre o mesmo tema foi encerrada em 28 de abril de 2026 — e é a própria petição que registra isso, em nota de rodapé.

Em 17 de setembro, pelo artigo 31 do ECA Digital, as plataformas terão de publicar relatório de transparência com o número de contas moderadas. É a data em que talvez se saiba quantos brasileiros foram desativados em agosto.

E há um precedente que ninguém ligou ao caso: em 30 de março de 2026, o Tribunal de Justiça de Mato Grosso manteve condenação contra o Facebook Brasil sustentando que o Marco Civil da Internet impõe o dever de informar o motivo específico do bloqueio de uma conta. É exatamente a lacuna do caso de agosto.

Direito de resposta. A Meta foi procurada em 25 de agosto de 2026 (press@meta.com), com sete perguntas sobre o sinal que motivou as desativações de agosto, sobre a análise das denúncias e sobre a abertura do código do cliente. O canal que publicou o vídeo foi procurado no mesmo dia, pelo formulário de contato do seu site. Aos dois foi dado prazo até 1º de setembro de 2026, 18h. Até o fechamento desta edição nenhum dos dois havia respondido — o prazo ainda corre, e qualquer resposta que chegue será acrescentada aqui, na íntegra e sem cortes.

O advogado desativado não foi procurado por esta reportagem. A versão dele entra pelo que ele mesmo tornou público: em 20 de agosto de 2026, às 17h34, num post aberto dirigido ao presidente dos Estados Unidos, Tiago Pavinatto escreveu que o grupo Meta "baniu este jornalista das suas atividades, além de, é claro, violar seus direitos mais pessoais" — e, na versão em inglês do mesmo post, que a empresa o cortou "de seus contatos, fontes e arquivos de investigação" (tradução nossa). No mesmo post ele anexa a reportagem da Folha de S.Paulo daquele dia, segundo a qual irá processar a Meta. Note-se o que ele não diz: em nenhum momento afirma que a empresa leu o conteúdo das suas mensagens — a queixa dele é o banimento, a perda de acesso e a violação de direitos. https://x.com/Pavinatto/status/2090538105602285787

12. O que cobrar

Se a impossibilidade de auditar é uma escolha, ela tem preço e tem endereço. E a cobrança precisa ser a certa, porque a errada é pior do que nenhuma.

Pedir apenas "abram o código-fonte" não resolve — e entrega à empresa a chance de fazer teatro de transparência. Código publicado não prova nada sobre o programa que está no seu telefone: entre um e outro há um compilador, uma loja de aplicativos e uma assinatura digital.

Nenhum dos três é utópico. O Signal faz os três no Android — e é honesto registrar que não faz no iOS. A própria Meta já provou que sabe: o WhatsApp Web publica um manifesto de hashes que permite conferir que o código servido é o mesmo para todo mundo; e em agosto de 2026, ao lançar um detector de golpes que roda dentro do aparelho, publicou os pesos do modelo e um registro público das versões — uma arquitetura que torna impossível entregar um modelo dirigido a uma pessoa específica.

A empresa sabe construir sistemas verificáveis. Construiu, voluntariamente, no produto que menos gente usa e no recurso mais novo. Não no aplicativo de mensagens mais usado do país.

O que este texto não afirma

Não afirma que existe uma chave silenciosa no WhatsApp. Não afirma que a Meta lê mensagens pessoais. Não afirma que a empresa apagou promessas do próprio manual — ela não apagou, e quem disser isso será desmentido com um print.

Afirma três coisas, verificáveis por qualquer leitor com um navegador:

• que a empresa passou a definir sozinha o que conta como conversa protegida, e a listar exceções que ela mesma reconhece;
• que nenhuma observação disponível ao público distingue uma empresa que não pode ler de uma que pode e não diz;
• que as três escolhas que produzem essa impossibilidade são dela, e reversíveis por ela.

O rapaz do vídeo errou na conclusão. Mas ele acertou no incômodo — e o incômodo tem uma causa que não é a criptografia. A garantia que nos venderam como matemática sempre foi, na melhor das hipóteses, uma promessa corporativa. Promessas corporativas se revogam.

Em 8 de maio de 2026, uma delas foi.

Reportagem apurada em fontes primárias: manuais técnicos do WhatsApp de 2016 a 2026, capturas arquivadas e leitura direta da central de ajuda do Instagram, código do cliente oficial, decisão da Comissão Europeia de 2017, autos de 3:26-cv-00751-RFL (N.D. Cal.), Regulamento (UE) 2026/1881, Lei 15.211/2025 e decretos de 2026, e ofícios da ANPD de 21/08/2026. O dossiê de verificação, com os hashes de cada fonte, está disponível mediante pedido.