Ursula Ribeiro de Almeida

Recentemente foram reveladas mensagens trocadas pelo aplicativo WhatsApp instalado em celulares pessoais entre assessores do ministro Alexandre de Moraes do Supremo Tribunal Federal (<a href="https://www.jota.info/tudo-sobre/stf">STF</a>) para elaboração de relatórios sobre o inquérito das fake news.
Há suspeita sobre se a fonte da reportagem seria originada de vazamentos ilegais das mensagens. Por isso, o ministro Moraes determinou a abertura de inquérito pela Polícia Federal para investigar possível vazamento das mensagens, já que se trata de conversas confidenciais entre juízes e assessores do ministro para exercício das suas atividades. Na sequência, a PF requereu a apreensão do celular pessoal do investigado para realização de perícia.
<h3><a href="https://conteudo.jota.info/marketing-lp-newsletter-ultimas-noticias">Assine a newsletter Últimas Notícias do JOTA e receba as principais notícias jurídicas e políticas do dia no seu email</a></h3>
Dentre os diversos debates jurídicos e políticos que emergiram, o caso traz à luz a criticidade do uso de aplicativos e dispositivos próprios para atividades de trabalho que envolvem informações sigilosas e confidenciais.
Tanto entes públicos como empresas privadas dispõem de ativos que podem ser utilizados por servidores, empregados e colaboradores para execução de atividades de trabalho. Os ativos compreendem bens tangíveis e intangíveis com valor comercial. São considerados ativos: imóveis, máquinas, ferramentas, computadores, celulares corporativos, licença de software, direito de marca, dentre outros.
Devido à ampla digitalização das relações comerciais e pessoais, os ativos virtuais se tornaram indispensáveis para transações e operações de empresas, indústrias, comércio e entes públicos. São ativos virtuais computadores, e-mail, software, servidores, aplicativos e outros recursos tecnológicos digitais. Um ataque hacker ou outro incidente de segurança pode comprometer operações e provocar prejuízos financeiros e humanos significativos. Por isso, as medidas de segurança da informação e as boas práticas na gestão de ativos virtuais têm caráter estratégico.
A gestão responsável de ativos virtuais corporativos é indispensável para atender ao dever de sigilo ou confidencialidade aplicáveis a alguns dados e informações. No âmbito do Poder Judiciário, por exemplo, há o dever legal de resguardar o sigilo de informações relacionadas a casos que tramitam sob segredo de justiça em processos eletrônicos (art. 5°, LX, da <a href="https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm">Constituição Federal</a>).
Já no caso de organizações privadas, pode haver também o dever legal de sigilo, como no caso de escritórios de advocacia, hospitais e instituições financeiras em relação às informações dos clientes ou pacientes armazenadas em computadores e sistemas internos. É possível ainda que o dever de confidencialidade seja decorrente de contratos (Non Disclosure Agreement ou NDA), cujas informações confidenciais muitas vezes são compartilhadas por e-mail, pastas em nuvem ou outro meio digital.
Ademais, a Lei Geral de Proteção de Dados Pessoais (<a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>) impõe a entes públicos e privados boas práticas na governança de dados pessoais e sensíveis. O direito à proteção de dados, inclusive nos meios digitais, se tornou um direito fundamental previsto no artigo 5°, inciso LXXIX, da Constituição Federal, que foi introduzido pela Emenda Constitucional 115, de 2022.
Além das imposições legais, as organizações buscam adotar boas práticas de gestão de ativos para a devida conservação do seu patrimônio, eficiência e competitividade de mercado. Nessa esteira, destacamos as normas da família ISO sobre uso de ativos:
<ul>
<li>ISO 55000 - Gestão de Ativos - Visão Geral, Princípios e Terminologia;</li>
<li>ISO 55001 - Requisitos para estabelecer, implementar e manter um Sistema de Gestão de Ativos;</li>
<li>ISO 55002 - Gestão de Ativos - Sistemas de Gestão - Diretrizes para Aplicação da ISO 55001;</li>
<li>ISO 17021 - Avaliação de Conformidade - Requisitos para Organismos que fornecem auditoria e certificação de sistemas de gestão;</li>
<li>ISO 17021-5 - Requisitos de Competência para auditoria e certificação de Sistemas de Gestão de Ativos.</li>
</ul>
A governança e boas práticas na gestão de ativos digitais exigem investimentos e monitoramento contínuo de equipamentos corporativos, realização de backup, atualização de software, testes de segurança, dentre outras medidas de segurança da informação. Também é necessário treinar e conscientizar colaboradores e servidores públicos sobre boas práticas no uso dos ativos digitais da organização. Aqueles que não observarem as regras e diretrizes estabelecidas nas normas e políticas internas podem estar sujeitos a penalidades.
Porém, a utilização de celulares pessoais, com todos os seus aplicativos, pode ser um ponto cego na gestão das informações sigilosas e confidenciais da organização.
No caso que tratamos no início deste artigo, um servidor público utilizou um aplicativo privado (WhatsApp) de uma empresa estrangeira (Meta) no seu telefone celular pessoal para tratar de informações sigilosas de investigação, que estão submetidas a segredo de justiça.
É recorrente que empregados, servidores públicos e colaboradores utilizem seu celular pessoal para tratar de diferentes atividades de trabalho, o que pode incluir informações sigilosas e confidenciais sobre as quais a organização a qual está vinculado não tem controle de segurança e rastreabilidade. Também é cada vez mais comum a utilização de recursos de <a href="https://www.jota.info/tudo-sobre/inteligencia-artificial">inteligência artificial</a> (IA) próprios para o trabalho, como ferramentas para transcrição de reuniões e elaboração de textos.
Em caso de perda, furto, roubo ou incidente de segurança com celular pessoal ou aplicativos próprios utilizados pelo colaborador ou servidor público, as informações sigilosas e confidenciais podem ser expostas indevidamente a terceiros e sem a ciência da organização.
No caso de ferramentas de IA, as informações podem ser utilizadas para aprimorar algoritmos e corromper a confidencialidade de informações estratégicas. Com isso, deixam de ser adotadas as medidas necessárias para gerenciar dados e informações de empresas e órgãos públicos, o que pode configurar violação às obrigações legais e contratuais.
No âmbito do Poder Público, é necessário repensar a utilização de ativos virtuais, especialmente de celular pessoal e aplicativos não oficiais. A atualização de normas e diretrizes para servidores públicos é indispensável para proteger segredos de estado, segredo de justiça, sigilo fiscal e tantas outras informações sobre a Administração Pública e dos cidadãos.
Já no caso de entes privados, a proibição do uso de celular pessoal e aplicativos é a medida mais segura para garantir que as informações organizacionais estejam sob controle e rastreabilidade. Entretanto, a proibição absoluta pode não ser viável.
Por isso, é importante estabelecer em políticas e normas internas como os ativos virtuais podem ser utilizados. A Política de Segurança da Informação (PSI) descreve as regras para o uso de ativos corporativos, e também pode prever critérios para uso de celular e/ou aplicativos pessoais. Recomenda-se ainda estabelecer Política de Classificação da Informação para que haja clareza em relação àquelas que são confidenciais.

smartphone apps

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

A criticidade do uso de aplicativos e dispositivos próprios para atividades de trabalho que envolvem dados sigilosos

Lições do caso Tagliaferro sobre uso de celular pessoal e informações confidenciais

A criticidade do uso de aplicativos e dispositivos próprios para atividades de trabalho que envolvem dados sigilosos