Opinião e Análise

Experimente o JOTA PRO por 10 dias e decida com mais segurança.

Luca Belli

Natalia Couto

Breno Pauli Medeiros

Erica Bakonyi

Apesar dos enormes desafios que ainda precisam ser enfrentados, o Brasil vem passando por um período de considerável <a href="https://www.jota.info/opiniao-e-analise/colunas/direitos-tecnologias/o-momento-da-ciberseguranca-no-brasil-chegou">evolução e amadurecimento em cibersegurança</a>. O Comitê Nacional de Cibersegurança (CNCiber), instituído pela Política Nacional de Cibersegurança, promoveu a atualização da Estratégia Nacional de Cibersegurança (E-Ciber) e elaborou uma minuta de anteprojeto de Lei Geral de Cibersegurança, com objetivo de estabelecer direitos e deveres em matéria de cibersegurança em âmbito nacional, além de propor a criação de uma Agência Nacional de Cibersegurança. Esses temas foram <a href="https://www.jota.info/opiniao-e-analise/colunas/direitos-tecnologias/o-momento-da-ciberseguranca-no-brasil-chegou">abordados em artigo anterior</a> neste espaço.
A regulação da cibersegurança tem se concentrado prioritariamente na proteção de sistemas e redes de infraestruturas críticas e de serviços essenciais, sejam públicos ou privados. Todavia, essa hipertrofia da salvaguarda dos ativos tecnológicos em detrimento da tutela jurídica do elemento humano gera evidente dissonância com a E-Ciber.
Um dos eixos temáticos da Estratégia é, justamente, a proteção e a conscientização do cidadão e da sociedade (artigo 1º, I, do Decreto 12.753/2026), cujo objetivo é criar condições seguras para o uso de serviços digitais (artigo 3º do Decreto 12.573/2025). O diploma aponta, assim, para a necessidade de ampliar o escopo do debate, o que exige superar a visão tradicional que restringe a cibersegurança a uma preocupação corporativa.
Para que tal ampliação seja possível, é necessário superar a atual configuração da <a href="https://www.jota.info/tudo-sobre/ciberseguranca">cibersegurança</a> como uma preocupação essencialmente voltada às pessoas jurídicas. Enquanto organizações contam com programas de gestão de riscos, equipes de resposta a incidentes e capacitação contínua, o cidadão comum costuma ficar desprovido de ferramentas para identificar e reagir a ameaças digitais. Surgem, então, alguns questionamentos fundamentais: o que é preciso para garantir mais segurança ao indivíduo? E quais direitos, deveres e remédios estão relacionados às ameaças cibernéticas?
Essas perguntas orientam o novo projeto de pesquisa em andamento no Centro de Tecnologia e Sociedade da FGV Direito Rio (CTS-FGV), intitulado “Cibersegurança do Indivíduo: direitos, deveres e remédios”, cujos primeiros resultados foram divulgados em um webinar por meio do lançamento de uma cartilha e de um policy paper<a href="#_ftn1" name="_ftnref1">[1]</a>.
<h2>Cibersegurança e foco no consumidor </h2>
O estudo adota uma abordagem centrada no ser humano, segundo a qual o acesso à internet e o uso de ativos digitais desempenham um papel instrumental ao permitir o exercício da cidadania e o pleno gozo de direitos fundamentais. Cabe ao Estado definir estruturas de governança e regulação aptas a proteger os direitos e o bem-estar dos indivíduos, inclusive por meio de remédios efetivos, como sustentamos em publicações anteriores. Nessa perspectiva, a cibersegurança do indivíduo exige três elementos articulados: conscientização sobre as ameaças, conhecimento dos direitos e remédios jurídicos transparentes e acessíveis.
<a href="https://www.google.com/preferences/source?q=jota.info">Quer receber reportagens do JOTA com mais frequência? Clique aqui e selecione o JOTA como fonte de informação no Google Notícias</a>
A pesquisa sobre Cibersegurança do Indivíduo abrange cinco grupos prioritários: <a href="https://www.jota.info/tudo-sobre/crianca-e-adolescente">crianças e adolescentes</a>, mulheres, pessoas idosas, pessoas neurodivergentes e <a href="https://www.jota.info/tudo-sobre/consumidor">consumidores</a>. Três desses grupos foram mencionados expressamente pela E-Ciber (artigo 3º do Decreto 12.573/2025). Os outros dois, embora não figurem nesse rol, já são reconhecidos pelo ordenamento jurídico como expostos a riscos no ambiente digital: as mulheres, pela proteção conferida pelo Decreto 12.976/2026, e os consumidores, pelo reconhecimento de sua vulnerabilidade perante fornecedores de produtos e serviços no Código de Defesa do Consumidor (CDC).
O direito brasileiro reconhece desde 1990 a vulnerabilidade do consumidor nas relações com fornecedores de produtos e serviços. A vulnerabilidade é estabelecida como princípio da Política Nacional das Relações de Consumo no artigo 4º, I, do Código de Defesa do Consumidor. Como as transações comerciais passaram a ocorrer, em grande parte, no meio digital é natural que essa vulnerabilidade se reproduza no comércio eletrônico e, mais do que isso, seja agravada por ele.
A própria arquitetura das plataformas digitais direciona os usuários ao consumo mediante técnicas que envolvem o uso de dados e de sistemas de recomendação baseados no perfil comportamental do consumidor. Além disso, o ambiente digital altera o modo e objeto do consumo, facilitando a elaboração e uso de interfaces enganosas. Assim, não se pode presumir que as escolhas do consumidor nas contratações on-line sejam plenamente livres e informadas se lhe faltam condições para compreender o ambiente e o objeto dessas contratações.
Um exemplo clássico são as práticas de manipulação de consumidores por meio de engenharia social, que se tornam mais verossímeis com o uso de inteligência artificial. No phishing, há personificação e disseminação em escala de mensagens enganosas, de modo que a vítima é induzida a erro e pode acabar transferindo vantagem patrimonial a cibercriminosos, configurando-se, em regra, o crime de estelionato.
Um achado central do estudo revela que a maioria das medidas vigentes atua de forma reativa, reprimindo o dano após a sua ocorrência. Disso decorre a necessidade imperativa de estratégias preventivas. Embora indispensáveis, as políticas de cibereducação não devem ser adotadas isoladamente, sob o risco de sobrecarregar a vítima com a responsabilidade de se defender de fraudes cada vez mais sofisticadas.
Além disso, o ordenamento jurídico estabelece deveres gerais de segurança, mas raramente impõe a fornecedores e provedores obrigações específicas de considerar a segurança no desenho do serviço. Duas leis indicam o caminho a seguir para corrigir o rumo. O artigo 46 da Lei Geral de Proteção de Dados impõe aos agentes de tratamento deveres de segurança desde a fase de concepção do produto ou do serviço (§ 2º), embora seu objeto seja a proteção de dados pessoais, e não a do patrimônio do consumidor.
<a href="https://conteudo.jota.info/marketing-lp-newsletter-ultimas-noticias?utm_source=jota&amp;utm_medium=lp&amp;utm_campaign=23-09-2024-jota-lp-eleicoes-2024-eleicoes-2024-none-audiencias-none&amp;utm_content=eleicoes-2024&amp;utm_term=none">Assine gratuitamente a newsletter Últimas Notícias do JOTA e receba as principais notícias jurídicas e políticas do dia no seu email</a>
Já o ECA Digital (Lei 15.211/2025) passou a exigir, para produtos e serviços digitais acessíveis a crianças e adolescentes, deveres de segurança por desenho e de mitigação de riscos que não têm equivalente para o consumidor adulto. Lacuna semelhante existe no regime das plataformas. Após o julgamento do STF sobre o art. 19 do Marco Civil da Internet, anúncios pagos e impulsionados passaram a contar com presunção de responsabilidade do provedor, mas os anúncios,  perfis ou a lojas falsas hospedados gratuitamente seguem fora do regime de falha sistêmica fixado pelo Tribunal.
<h2>Da reparação à prevenção</h2>
Desse diagnóstico decorrem recomendações iniciais dirigidas a cada ator. Ao Executivo, foi proposto incluir o consumidor no rol de vulneráveis da E-Ciber, adotar uma taxonomia oficial das ameaças cibernéticas ao consumidor, com critérios explícitos, instituir um programa permanente de conscientização sobre fraudes digitais e estender, por via regulatória, a lógica de segurança desde a concepção ao processo de contratação e ao patrimônio do consumidor.
Ao Legislativo, foi sugerido generalizar para o consumidor adulto os deveres de segurança por desenho do ECA Digital, no que se refere à prevenção de fraudes patrimoniais, e estabelecer dever de prevenção para o provedor que hospeda gratuitamente conteúdo fraudulento e/ou criminoso.
Ao Judiciário, foi recomendado preservar a coerência com a Súmula 479 e o Tema 466 do STJ nas operações não autorizadas, sem admitir que a sofisticação da fraude desloque o risco para a vítima, e uniformizar, preferencialmente em recurso repetitivo, os critérios de responsabilidade nas fraudes por engenharia social.
Ao setor privado, foram propostas a verificação prévia de anunciantes e vendedores, a detecção de réplicas de interfaces legítimas, a criação de canais de denúncia com prazos de resposta para ocorrências de ameaças cibernéticas, inclusive golpes, a substituição de campanhas pontuais por programas permanentes de conscientização e a emissão de alertas aos consumidores sobre ameaças cibernéticas durante o uso de serviços digitais.
Quanto à conscientização, destaca-se que a experiência brasileira oferece lições valiosas. O Programa Nacional de Imunizações e o controle do tabagismo, por exemplo, mostram que mudanças duradouras de comportamento dependem de ao menos três condições: nomenclatura uniforme, para que os mesmos fenômenos sejam reconhecidos pelos mesmos nomes em todos os canais; permanência, com renovação contínua da mensagem, inclusive por meio de símbolos como o Zé Gotinha; e atenção ao momento, já que a advertência mais eficaz é aquela exibida no instante em que a pessoa está prestes a transferir, instalar ou informar. Esta última condição desloca parte da conscientização para dentro do próprio serviço e aproxima a cibereducação do dever de desenho.
Essa preocupação com o indivíduo, os consumidores e os demais grupos vulneráveis dialoga com os grupos de trabalho temáticos do CNCiber, cujas discussões, em especial no GTT de Cibereducação, enriqueceram a elaboração da pesquisa em curso. A existência de um grupo dedicado especificamente a estratégias de disseminação de materiais educativos indica que o desafio não é apenas produzir conteúdo, mas fazê-lo chegar a quem mais precisa.
Em 2026, o Comitê criou ainda um grupo, coordenado pela Anatel e com a participação do CTS-FGV, voltado à elaboração de estratégias para a disseminação  de materiais educativos para crianças e adolescentes, e outro, coordenado pelo GSI e pelo Ministério da Justiça e Segurança Pública, dedicado ao combate a golpes digitais que se valem da personificação de órgãos de governo. Há, portanto, uma convergência institucional que precisa ser aproveitada, em consonância com o amadurecimento da cibersegurança no Brasil.
A conclusão desta primeira etapa é clara: a cibersegurança do consumidor não pode depender apenas de sua capacidade de reconhecer golpes. É preciso passar de um modelo centrado na reparação posterior ao dano para uma abordagem preventiva e compartilhada, que atribua responsabilidades efetivas a quem concebe, disponibiliza e opera os serviços digitais. Afinal, um ambiente digital seguro não se constrói exigindo hipervigilância da vítima, mas garantindo segurança desde a concepção dos serviços.
_____________________________________________________________________
<a href="#_ftnref1" name="_ftn1">[1]</a> BELLI, Luca; COUTO, Natália; MEDEIROS, Breno Pauli; BAKONYI, Erica. A cibersegurança do indivíduo: ameaças, direitos e remédios. Rio de Janeiro: CTS-FGV, 2026. Policy Brief N. 2.

JOTA PRO Tecnologia | Produto | outubro/26

centro de dados magnific

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

A cibersegurança do consumidor não pode depender apenas de sua capacidade de reconhecer golpes

A cibersegurança do indivíduo: um desafio que ultrapassa os ativos digitais

A cibersegurança do consumidor não pode depender apenas de sua capacidade de reconhecer golpes. É preciso evoluir para uma abordagem preventiva e compartilhada,