A tecnologia que o governo usa para rastrear você sem mandado não vem de um aplicativo secreto de espionagem. Ela está embutida no código dos aplicativos banais que você já instalou no celular — o app do clima, o jogo casual que passou horas jogando, até o app de orações diárias. Esses aplicativos solicitam permissão de localização para oferecer funcionalidades básicas, mas a partir daí, um ecossistema invisível de rastreamento coleta, armazena e vende os dados de localização desses dispositivos, transformando os telemóveis de cidadãos comuns em rastreadores constantes.
A empresa no centro desse ecossistema é a Penlink, uma companhia de inteligência digital com sede nos Estados Unidos que opera um sistema chamado Webloc. O que ela faz, na prática, é rastrear centenas de milhões de celulares em tempo real, cruzando dados de localização coletados por SDKs de publicidade em aplicativos comuns, e vender esse acesso a agências policiais ao redor do mundo.
Um negócio de 200 milhões de dólares
A Penlink nasceu em 1986, em Lincoln, Nebraska, e passou décadas fornecendo tecnologia de vigilância tradicional ao governo dos Estados Unidos: interceptação de chamadas telefônicas, análise de dados de internet capturados durante investigações. Seus clientes incluem FBI, DEA, Serviço Secreto, Marshals e inúmeras delegações policiais estaduais e municipais.
Em 2022, o fundo de private equity de Nova York Spire Capital adquiriu a Penlink, e no ano seguinte fez um negócio de cerca de 200 milhões de dólares pela Cobwebs, uma startup israelense que havia desenvolvido a tecnologia Webloc para trabalho contraterrorista. A fusão das duas empresas mudou o perfil da Penlink: de fornecedor tradicional de vigilância para operadora de um sistema global de rastreamento baseado em publicidade digital.
Segundo documentos de contratos públicos dos EUA, o ICE (Escritório de Imigração e Controle Alfandegário) gastou cerca de 9 milhões de dólares entre 2022 e 2026 em quatro contratos com a Cobwebs e a Penlink para licenciar o Webloc. O ATF (Bureau of Alcohol, Tobacco, Firearms and Explosives) também pilotou o sistema antes de cancelar o contrato após pressão de legisladores — o ATF havia comprado dados que, segundo o senador Ron Wyden, foram obtidos por "meios legalmente duvidosos".
Como funciona o rastreamento invisível
O Webloc funciona de forma simples mas poderosa. Quando você instala um aplicativo gratuito no celular, ele provavelmente solicita acesso à sua localização. O app pode precisar disso para dizer se vai chover amanhã ou para encontrar a igreja mais próxima. Mas o que acontece depois não tem nada a ver com o propósito original do aplicativo.
Os desenvolvedores embutem em seus aplicativos SDKs — kits de desenvolvimento de software — de empresas de publicidade. Esses SDKs coletam informações sobre onde o seu dispositivo está em determinado momento, e depois repassam esses dados para um ecossistema mais amplo de leilões em tempo real (real-time bidding) que alimenta brokers de dados de localização.
A Penlink acessa esses brokers e constrói um perfil de localização contínua de cada dispositivo, identificado por um MAID (Mobile Advertising Identifier), o número único que o sistema operacional atribui ao seu aparelho para fins publicitários. Ao longo dos últimos 12 meses, o sistema pode reconstruir para onde você foi: casa, trabalho, reuniões, templos, protestos. Em demonstrações, a Penlink rastreou pessoas andando na Fifth Avenue em Nova York, se aproximando do Banco Central Europeu em Frankfurt e do Parlamento Britânico em Londres.
Os dados são massivos. Segundo documentos revisados pela Bloomberg News, o Webloc oferece acesso a um fluxo constantemente atualizado de registros de geolocalização de 500 milhões de celulares e outros dispositivos móveis em todo o mundo.
A zona cinzenta legal
O ponto central da controvérsia é jurídico. Em 2018, a Suprema Corte dos EUA decidiu no caso Carpenter vs. United States de que a polícia precisa de mandado para acessar registros históricos de localização de celulares obtidos diretamente de operadoras de telefonia. Mas a Justiça Federal tem argumentado consistentemente que esse princípio não se aplica a dados de localização que as agências compram de fontes comerciais, como a Penlink.
Isso significa que a polícia pode comprar dados de localização sem mandado, sem precisar passar pelo processo judicial que seria exigido se quisesse os mesmos dados diretamente da operadora. Como descreveu Bennett Cyphers, assessor especial da EFF, é "um programa de vigilância em massa por um preço de baixo custo".
Os preços do Webloc começam em cerca de 100 mil dólares por ano, com valores que sobem conforme o número de usuários e a quantidade de dados solicitados. Mas o sistema também se espalhou para agências menores: a Citizen Lab, unidade de pesquisa da Universidade de Toronto, identificou compradores estaduais e municipais em relatório publicado em abril de 2026.
A escala global
A Penlink não atua apenas nos EUA. De acordo com registros de vendas e pessoas familiarizadas com o negócio, a tecnologia tem sido vendida para o Reino Unido, Arábia Saudita, Emirados Árabes, Singapura e outros países. Cada cliente que licencia o sistema Tangles (a suíte principal de análise da Penlink) também pode adquirir o Webloc como complemento.
A defesa da empresa é forte. Sean White, sócio do Spire Capital, afirma que o Webloc foi "materialmente alterado" após a aquisição da Cobwebs. Um porta-voz da Penlink disse à Bloomberg Law que a empresa "tem orgulho do longo relacionamento" com o ATF e que o contrato foi cancelado porque o sistema "não atendeu às nossas necessidades".
Mas a crítica é que o próprio modelo de negócios — extrair dados de localização da publicidade digital para vender a agências de aplicação da lei — existe há anos e foi amplamente documentado por organizações de direitos digitais. Em relatório de março de 2026, a EFF identificou que SDKs de empresas como InMobi, BidMachine, Verve e Huawei's Petal Ads coletam e compartilham a localização do usuário por padrão, sem conhecimento ou consentimento significativo do desenvolvedor do app.
O que isso significa para você
A implicação é direta: se você tem um smartphone, seu celular provavelmente já enviou dados de localização para um sistema que pode ser comprado por uma agência policial — e talvez até pelo governo estrangeiro. A tecnologia não discrimina entre um suspeito de crime e um jornalista, um ativista ou um cidadão comum indo ao trabalho.
A própria Apple tentou frear esse ecossistema em 2021, forçando aplicativos a solicitarem acesso ao MAID dos usuários. O resultado? 96% dos usuários dos EUA optaram por recusar, o que efetivamente desabilitou os identificadores publicitários na maioria dos dispositivos iOS. Mas o mesmo não acontece no Android, onde o rastreamento por MAID continua quase ininterrupto, e muitos dos SDKs de publicidade listados pela EFF operam independentemente da decisão do usuário.
A pergunta que fica é: até que ponto a Convenção Americana de Direitos Humanos e a Constituição de cada país protegem a liberdade de reunião e locomoção contra um sistema que mapeia esses movimentos sem mandado? Se a tecnologia de rastreamento por publicidade digital é tão ubíqua quanto a publicidade digital mesma, e se a legislação de proteção de dados ainda não a alcançou de forma consistente, o futuro próximo pode nos reservar surpresas muito maiores do que 500 milhões de celulares rastreando seus passos para vender anúncios que ninguém pediu para receber.
Fontes: Bloomberg, Electronic Frontier Foundation, LavX News
✓ Fontes independentes cruzadas e verificadas antes da publicação
