André Giacchetta

Joana Elisa Ferreira Guilherme

Em sessão realizada no último dia 23 de fevereiro, o Supremo Tribunal Federal (<a href="https://www.jota.info/stf">STF</a>) finalizou o julgamento da Ação Declaratória de Constitucionalidade 51, na qual se discutiam os procedimentos para requisição de dados e comunicações armazenadas por empresas de tecnologia no exterior, no âmbito de investigações instauradas e ordens expedidas por autoridades brasileiras, partindo da análise da constitucionalidade das disposições que regulam os mecanismos de cooperação internacional para obtenção dessas informações.
A ação foi ajuizada pela Federação das Associações das Empresas Brasileiras de Tecnologia da Informação (Assespro), requerendo o reconhecimento da constitucionalidade dos mecanismos de obtenção de provas já previstos na legislação brasileira, especialmente o Acordo de Assistência Judiciária em Matéria Penal firmado entre os governos do Brasil e dos Estados Unidos, conhecido como MLAT e, por consequência, que a corte estabelecesse a impossibilidade de requisição direta de dados, pelas autoridades brasileiras, a empresas de tecnologia estrangeiras e suas respectivas representantes no Brasil.
O resultado do julgamento, entretanto, foi o reconhecimento da constitucionalidade dos artigos sob análise e a ratificação da possibilidade de requisição direta de dados e comunicações eletrônicas de autoridades nacionais a empresas de tecnologia, por intermédio de suas subsidiárias e representantes no Brasil, ainda que os dados em questão sejam controlados por empresas estrangeiras, nos casos específicos do Artigo 11 do <a href="https://www.jota.info/tudo-sobre/marco-civil-internet">Marco Civil da Internet</a> e Artigo 18 da Convenção de Budapeste.
A corte interpretou tais disposições como autorizadoras da citada “requisição direta” – ou seja, a requisição de dados controlados por empresa estrangeira sem a utilização dos mecanismos diplomáticos de obtenção de provas –, nos casos de atividade de coleta e tratamento de dados no país, de posse ou controle dos dados por empresa com representação no Brasil e de crimes cometidos por indivíduos localizados em território nacional, nos exatos termos da certidão de julgamento disponibilizada<a href="#_ftn1" name="_ftnref1">[1]</a>.
Os ministros acompanharam o voto de parcial procedência do relator, ministro Gilmar Mendes, por meio do qual pontuou que a matéria deveria ser analisada considerando a natureza “não territorial” dos dados cibernéticos, bem como a ineficiência e demora observada na utilização de procedimentos como o MLAT.
Assim, ainda que as disposições que regulam os mecanismos de cooperação internacional e a expedição de carta rogatória como meios de obtenção de prova tenham sido consideradas constitucionais, especialmente quando a comunicação ou a prestação dos serviços não tenha ocorrido em território nacional, a Corte expressamente reconheceu a possibilidade de que os dados e comunicações eletrônicas sejam requisitados diretamente, especificamente nos casos abrangidos pelos artigos 11<a href="#_ftn2" name="_ftnref2">[2]</a> do Marco Civil da Internet e 18<a href="#_ftn3" name="_ftnref3">[3]</a> da Convenção de Budapeste já mencionados.
Há que se notar, entretanto, que tais artigos não preveem de maneira expressa a conclusão à qual a corte chegou. Na verdade, enquanto o artigo 18 da Convenção de Budapeste prevê a adoção, pelos signatários, de medidas legislativas necessárias para que suas autoridades possam ordenar o fornecimento de dados que estejam em posse ou sob controle de empresas que prestam serviços em território nacional, ou de pessoas localizadas em seu território – e, portanto, não se aplicaria quando o controlador for empresa estrangeira –, o artigo 11 do Marco Civil da Internet estabelece regra de aplicabilidade da legislação brasileira a atividades de tratamento e comunicações realizadas no Brasil.
Especificamente em relação ao artigo 11, não parece que a intenção do legislador brasileiro tenha sido tratar sobre obtenção de provas, regras de competência jurisdicional ou de solidariedade, mas, sim, resguardar um nível mínimo de proteção ao tratamento de dados pessoais realizado no Brasil, ainda que sob controle de empresa estrangeira, quando houver prestação de serviços ao público brasileiro ou quando a empresa possuir filial ou representante no Brasil. Trata-se, portanto, de um meio de garantir a efetiva aplicação da lei e a proteção de dados pessoais, obrigando empresas estrangeiras a, por exemplo, observarem as regras relacionadas às bases legais para tratamento, obtenção do consentimento do titular e inviolabilidade do sigilo de dados e comunicações privadas.
Nesse sentido, Carlos Eduardo Elias de Oliveira<a href="#_ftn4" name="_ftnref4">[4]</a>, integrante do Núcleo de Consultoria Legislativa do Senado Federal, ao analisar os principais aspectos do Marco Civil da Internet após a sua promulgação, referenciou o artigo 11 como “elemento de conexão específico e exclusivo para aplicação da legislação brasileira relativa à coleta, guarda, armazenamento ou tratamento de registros dados pessoais ou comunicações”. Assim, a legislação brasileira deverá ser observada quando qualquer um dos atos referenciados no dispositivo legal ocorrer em território nacional, ainda que a empresa responsável não tenha subsidiária ou filial no Brasil, desde que oferte serviço de forma direcionada e específica ao público brasileiro.
A obrigação de aplicabilidade da lei brasileira, por outro lado, não estabelece regra de solidariedade entre a empresa de tecnologia e as demais integrantes do grupo econômico – mesmo porque, conforme preceitua o Código Civil, “A solidariedade não se presume; resulta da lei ou da vontade das partes”<a href="#_ftn5" name="_ftnref5">[5]</a>– tampouco autoriza expressamente a requisição de dados sob o controle de empresa estrangeira sem que sejam observadas as formalidades legais.
Portanto, a solução trazida pelo Supremo aparenta ter sido a possível no presente momento, mas não necessariamente a ideal, sendo certo que as discussões sobre a regulação do tema não se encerram por aqui. Tanto é assim que o próprio ministro Gilmar Mendes ressaltou a necessidade de desenvolvimento de medidas para o aperfeiçoamento do quadro legislativo, fazendo referência expressa ao projeto da Lei Geral de Proteção de Dados para Fins Penais (LGPD Penal), bem como a novos acordos bilaterais ou multilaterais a serem firmados pelo governo.
Em termos práticos, a decisão ratifica o que já vem acontecendo há algum tempo em procedimentos envolvendo a requisição de dados e comunicações de usuários na internet, autorizando o direcionamento da ordem diretamente à empresa brasileira que representa o provedor de aplicação no país, ainda que os dados sejam controlados por empresa estrangeira. Não obstante, com uma decisão nesses termos do STF, certamente é esperado que tais requisições diretas de dados pelas autoridades competentes aumentem de maneira substancial.
Vale ressaltar também que, em tese, para que a requisição direta de dados seja autorizada, é essencial que haja um ponto de conexão com o Brasil. No entanto, é possível que existam casos nos quais as empresas brasileiras sejam obrigadas a fornecer dados de usuários ainda que não haja evidência de acesso da conta em questão no Brasil, se existirem evidências da prática de crimes em território nacional, por exemplo, o envio de mensagens ilícitas a usuários localizados em território nacional, ou caso a companhia tenha representação no Brasil.
Assim, pela interpretação concedida pelo STF, no entender desta opinião, o alcance dos artigos sob análise foi ampliado, na medida em que não preveem de maneira específica questões relacionadas à jurisdição ou à obtenção de provas.
Ainda que se reconheça a importância de ajustes legislativos na temática e a necessidade de tratamento da questão com maior celeridade e eficiência – inclusive tendo em vista o cenário atual, com a atuação do Supremo em investigações de extrema importância e que demandam o fornecimento dessas informações de maneira célere, como o inquérito das fake news – convém sinalizar uma certa fragilidade na decisão, ao ampliar de maneira demasiada a extensão dessas disposições legais.
De todo modo, não está totalmente claro, até o momento, qual será a extensão dos efeitos práticos dessa decisão, o que poderá ser determinado somente a partir da experiência futura, sem prejuízo do aperfeiçoamento da matéria pelo Legislativo, a fim de se garantir maior segurança jurídica nas requisições, sem perder de vista o princípio da legalidade e a importância da eficiência nos procedimentos a serem adotados.
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Disponível em: <a href="https://portal.stf.jus.br/processos/detalhe.asp?incidente=5320379">https://portal.stf.jus.br/processos/detalhe.asp?incidente=5320379</a>
<a href="#_ftnref2" name="_ftn2">[2]</a> “Art. 11. Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, de dados pessoais ou de comunicações por provedores de conexão e de aplicações de internet em que pelo menos um desses atos ocorra em território nacional, deverão ser obrigatoriamente respeitados a legislação brasileira e os direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas e dos registros.
<ul>
<li>
1º O disposto no caput aplica-se aos dados coletados em território nacional e ao conteúdo das comunicações, desde que pelo menos um dos terminais esteja localizado no Brasil.
</li>
<li>
2º O disposto no caput aplica-se mesmo que as atividades sejam realizadas por pessoa jurídica sediada no exterior, desde que oferte serviço ao público brasileiro ou pelo menos uma integrante do mesmo grupo econômico possua estabelecimento no Brasil (...)”.
</li>
</ul>
<a href="#_ftnref3" name="_ftn3">[3]</a> “Cada Parte adoptará as medidas legislativas e outras que se revelem necessárias para habilitar as suas autoridades competentes para ordenar:
<ol>
<li>
a) A uma pessoa que se encontre no seu território que comunique os dados informáticos específicos, na sua posse ou sob o seu controlo e armazenados num sistema informático ou num outro suporte de armazenamento de dados informáticos; e
</li>
</ol>
<ol>
<li>
b) A um fornecedor de serviços que preste serviços no território da Parte, que comunique os dados na sua posse ou sob o seu controlo, relativos aos assinantes e respeitantes a esses serviços”. Disponível em <a href="https://www.coe.int/fr/web/cybercrime/the-budapest-convention">https://www.coe.int/fr/web/cybercrime/the-budapest-convention</a>.
</li>
</ol>
<a href="#_ftnref4" name="_ftn4">[4]</a> OLIVEIRA, Carlos Eduardo Elias de. Aspectos Principais da Lei nº 12.965, de 2014, o Marco Civil da Internet: subsídios à comunidade jurídica. Brasília: Núcleo de Estudos e Pesquisas/CONLEG/ Senado, abr./2014 (Texto para Discussão nº 148). Disponível em: www.senado.leg.br/estudos. Acesso em 12 de março de 2023.
<a href="#_ftnref5" name="_ftn5">[5]</a> “Art. 265. “A solidariedade não se presume; resulta da lei ou da vontade das partes.”

proteção de dados

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Decisão do Supremo traz efeitos práticos relevantes às empresas de tecnologia com atuação no Brasil

O julgamento da ADC 51 pelo STF

Decisão do Supremo na ADC 51 traz efeitos práticos relevantes às empresas de tecnologia com atuação no Brasil