No Brasil, além da adaptação das leis do mundo analógico, as principais normas criadas pelo Congresso Nacional são as seguintes:
Lei dos crimes informáticos: estabelece que certas condutas surgidas com a tecnologia serão consideradas crimes, como invadir o dispositivo de informática (PC, notebook, celular etc.) alheio e interromper fraudulentamente o serviço telefônico, telegráfico ou de internet;
Marco civil da internet: fixa as diretrizes básicas do uso da internet no Brasil, bem como determina que esse ambiente é regulamentado pelas regras de Direito Civil, do consumidor, comercial, entre outros.
Código de Processo Civil de 2015: em proporção menor, cria normas para o desenvolvimento do processo judicial eletrônico;
Lei de acesso à informação: define a disponibilização das prestações de contas dos entes públicos com o uso da tecnologia da informação.
Não há no Brasil, por exemplo, um tribunal específico destinado a julgar delitos e outras questões que acontecem no ambiente virtual, por exemplo.
Na Polícia Civil, por outro lado, já há núcleos especializados no combate ao cibercrime espalhados pelo Brasil. Um exemplo de aplicação do direito legal no viés legislativo é a criação da Lei Nº 12.737/2012, que ficou conhecida como Lei Carolina Dieckmann.
A lei acrescenta o artigo 154-A ao Código Penal, criando um tipo penal que criminaliza a invasão de dispositivo informático alheio a fim de obter, adulterar ou destruir dados ou informações sem autorização do titular. O nome da famosa atriz se deve porque foi um drama pessoal seu que motivou a aprovação da lei.
Em 2012, ela teve fotos íntimas roubadas por hackers, que exigiram determinada quantia em dinheiro para não as divulgar na rede. A atriz não cedeu à tentativa de extorsão e as fotos se tornaram públicas.
Note que esse é um caso diferente de roubo ou furto convencional, em que o criminoso se faz presente para roubar um pertence físico da vítima. Imagens de um computador ou celular não podem ser pegas na mão, mas os dispositivos podem ser invadidos à distância.
Por conta dessas peculiaridades, os legisladores acharam por bem criar uma descrição específica de delito no qual condutas desse tipo pudessem ser enquadradas.
A pena para o crime de invasão de dispositivo informático é de três meses a um ano de detenção e multa (com agravantes) ou seis meses a dois anos de reclusão e multa em situações mais graves (também com possíveis agravantes que aumentam a pena). Outro exemplo ainda mais significativo de lei criada para uma maior adequação da legislação brasileira à realidade de um mundo cada vez mais conectado é o Marco Civil da Internet.
Não faltam exemplos também de aplicação do direito digital pelo outro viés, da aplicação de normas já consolidadas nas leis do país. Talvez os exemplos mais comuns sejam crimes de calúnia, difamação, injúria ou ameaça, praticados em e-mails, redes sociais e aplicativos como o WhatsApp.
Há também questões no direito do consumidor (compras feitas online), direito do trabalho (verificação de e-mails fora do horário de trabalho), direito de família (infidelidade via sites de aplicativos de relacionamento) e outros. E há também várias situações em que se fica no meio disso, quando a ausência de uma lei específica suscita dúvidas sobre qual o enquadramento legal adequado e motiva a discussão sobre a necessidade de regulamentar a questão.
O exemplo mais clássico é a briga dos taxistas, que precisam de licença especial e obedecem a uma série de regras municipais para operarem, contra o Uber. Em várias cidades do país, o impasse motivou a aprovação de leis para regulamentar o funcionamento do aplicativo, incluindo dispositivo federal, com a Lei 13.640/2018.
Várias vezes, impasses envolvendo o direito digital chegaram a um dos órgãos máximos do sistema judiciário brasileiro: o Superior Tribunal de Justiça (STJ).
A regulamentação das relações jurídicas em ambiente digital ainda é bastante tímida, principalmente se comparada ao volume de inserção das pessoas nessa nova realidade. No entanto, os países vêm, aos poucos, buscando formas de legislar o assunto, embora sofram com a dificuldade de acompanhar a velocidade das mudanças no meio.
Os crimes mais comuns no mundo virtual:
INJÚRIA E DIFAMAÇÃO
Divulgar informações não verdadeiras em relação a uma pessoa física ou jurídica é crime, passível de condenação por reclusão e multa. Com a massificação da internet, muitos foram levados pela falsa impressão de anonimato, e esse se tornou um dos crimes com mais incidência no mundo virtual — ainda que uma pequena parcela das vítimas efetive uma denúncia.
FURTO DE DADOS
Outro crime bastante comum na internet é o de furto de dados. Tipificado como estelionato, consiste em “Obter, para si ou para outrem, vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro, mediante artifício, ardil, ou qualquer outro meio fraudulento”.
Geralmente ocorre por meio de falsos sorteios, promessa de envio de brindes, acesso gratuito a aplicativos, cartões de crédito e afins, mediante o preenchimento de cadastro prévio, com dados pessoais e bancários.
APOLOGIA AO CRIME
Muitos perfis falsos são criados com o objetivo de estimular a prática de crimes como nazismo, pedofilia, racismo, estelionato, terrorismo, entre outros. De modo geral, esse tipo de perfil compartilha orientações sobre a prática de atos ilícitos e como evitar a lei, sempre atuando com acesso privado.
Nesses casos, as denúncias anônimas são o maior aliado da lei, seja reportando a própria plataforma ou diretamente na delegacia de crimes cibernéticos.
PLÁGIO
Infelizmente muito comum no mundo acadêmico, o plágio tomou outra dimensão com o advento da internet, mas o famoso Ctrl+C/Ctrl+V está previsto na Lei nº 9.610/1998, que dispõe sobre a proteção dos direitos autorais — passível de punição com detenção e multa.
O ideal é que você verifique cuidadosamente seus textos, recorrendo às normas da ABNT sempre que necessário e jamais se esquecendo de indicar os devidos créditos ao autor quando fizer uso de conteúdo produzido por terceiros, seja ele um autor famoso ou um amigo.
O cenário atual está cercado por dúvidas sobre como pensar o Direito em uma sociedade tecnológica e cada vez mais ampla. Sem contar que as leis responsáveis por regulamentar as relações digitais ainda são escassas e carecem de maior clareza.
A velocidade com que as tecnologias são incorporadas ao cotidiano das pessoas gera grandes dificuldades, principalmente quando se busca o acompanhamento simultâneo das mudanças. Logo, mesmo com o esforço de legisladores e operadores do Direito, sempre existe uma zona de incerteza sobre as normas em ambiente digital.
Abrangência da regulamentação
A maioria das relações jurídicas encontra seu par em ambiente digital, como trabalhar, realizar comércio, pagar impostos, cometer crimes etc. Por isso, o ramo demanda uma regulamentação bastante abrangente, exigindo a criação ou adaptação de um grande número de normas para uma tutela adequada das condutas humanas.
Visão tradicionalista do Direito
Uma regulamentação adequada do Direito Digital requer a transformação de muitos dos conceitos jurídicos clássicos e sedimentados durante séculos, a fim de ajustá-los às características inerentes aos tempos atuais.
Não por acaso, vencer a resistência filosófica, dentro de uma área tão tradicionalista como o Direito, é um desafio a ser superado, e os profissionais precisam ficar atentos a isso.
A regulamentação das condutas em ambientes de informática apresenta uma série de desafios, quer seja para os legisladores, quer seja para os destinatários da legislação. Consequentemente, os indivíduos e as empresas podem encontrar dificuldades para orientar suas condutas.
NECESSIDADE DE ADAPTAR NORMAS
Como parcela considerável das atividades encontra uma correspondência em meio eletrônico, um dos grandes desafios é a necessidade de adaptar normas de diferentes áreas ao direito digital.
Um caso recente ocorreu com a reforma trabalhista, que trouxe a regulamentação do home office ou teletrabalho. Nesse caso, não só foram criados novos procedimentos, mas foi preciso definir a maneira como a CLT seria aplicada diante dessa nova forma de trabalho.
Outro exemplo é o das compras on-line, que, além de receberem a regulamentação das lojas físicas, devem respeitar o direito de desistência devolver o pedido sem justificativa. Essa regra foi adaptada porque, em sua época, tinham em mente as vendas de porta em porta por mostruário.
Sendo assim, o direito digital exige amplo conhecimento do conjunto de leis, bem como a capacidade de articulação com os conceitos da tecnologia da informação.
ESCASSEZ DE NORMAS ESPECÍFICAS
Em contraste com o volume de normas de outros ramos, existe o baixo número de regulamentações específicas. No Brasil, até agora, os exemplos são o Marco Civil da Internet, a Lei de Crimes Informáticos, a Lei da Transparência e a recente Lei de Proteção de Dados.
Com efeito, a orientação da conduta requer o conhecimento das decisões dos tribunais, a fim de entender os modelos de comportamento para as atividades virtuais. Isso porque o resultado dos casos jurídicos anteriores é o melhor indício sobre quais são as normas válidas nesse campo.
DIFICULDADE DE APLICAR A LEI
As relações em ambiente virtual ocorrem independentemente de território. Um chinês pode invadir computadores no Chile utilizando a conexão com um servidor na Argentina, por exemplo.
Além disso, muitas das infrações são cometidas sem a possibilidade de identificar o infrator e de se tomarem as medidas cabíveis para sua punição.
Com efeito, o cumprimento da lei pode exigir a movimentação de grande burocracia, especialmente a cooperação entre órgãos de investigação de diferentes países.
E-MAILS
O STJ já decidiu sobre a responsabilidade de um provedor de correio eletrônico que não revela dados de usuários que transmitem mensagens ofensivas por e-mail, inocentando a empresa de tecnologia.
Em outro caso, decidiu que o conteúdo de e-mails pode ser usado como prova para fundamentar uma ação de cobrança de dívida.
Em fevereiro de 2018, o STJ decidiu também que a quebra de sigilo de informações da conta de um e-mail armazenado em outro país passa por um acordo de cooperação internacional.
SEGURANÇA NA INTERNET
Em investigações que apuravam o envolvimento de organizações criminosas voltadas ao tráfico de anabolizantes, a 5ª Vara Federal de Guarulhos ordenou o fornecimento de dados de usuários do Facebook.
Em decisão de fevereiro de 2018, o STJ determinou multa de R$ 3,96 milhões à empresa por descumprir a ordem.
LIBERDADE DE EXPRESSÃO X CENSURA
Em 2010, o jornal Folha de São Paulo conseguiu uma liminar contra o site Falha de São Paulo, que faz uma paródia do periódico. O caso chegou à 4ª turma do STJ, que decidiu que se tratava de uma tentativa de censura do jornal paulista.
MONITORAMENTO DE INFORMAÇÕES
A 3ª turma do STJ decidiu contra determinação do Tribunal de Justiça de São Paulo, que obrigava o Facebook a monitorar previamente o conteúdo publicado por seus usuários.
Por ser um ramo novo, o direito digital ainda não foi integralmente explorado pelos profissionais jurídicos e tampouco seu conhecimento é difundido na população. Logo, há um grande espaço a ser preenchido em futuro próximo.
Entretanto, como a tendência é que, cada vez mais, as pessoas e empresas pratiquem seus atos on-line, a própria advocacia se adaptará e migrará com mais força para esse meio.
É possível notar uma preocupação dos juristas em conhecer os recursos e conceitos da tecnologia da informação. Igualmente, aos poucos, as atividades dos advogados passam por sua própria transformação digital, com o surgimento da chamada lawtech. A advocacia gradualmente se transforma para atender às características do direito digital.
O direito digital é bastante complexo. São inúmeros os impasses legais que envolvem tecnologias online. Com a necessidade de digitalizar os processos e trabalhar em rede para ter mais eficiência e produtividade, as empresas não vão escapar desse tipo de questão.
Por isso, precisam se preparar para ter proteção jurídica contra possíveis casos de vazamento de informações, roubo de propriedade intelectual e outras situações. O Marco Civil da Internet veio para estabelecer algumas regras, embora ainda não seja o ideal. De forma geral, o Direito Digital foi criado para adequar os fundamentos do direito à realidade da sociedade.
Por ser um ramo novo, o direito digital ainda não foi integralmente explorado pelos profissionais jurídicos e tampouco seu conhecimento é difundido na população. Logo, há um grande espaço a ser preenchido em futuro próximo.
Atualmente, os advogados paulatinamente adquirem conhecimento sobre esse novo ramo, à medida que suas áreas de atuação são afetadas. Não por acaso, há poucos especialistas na área.
Entretanto, como a tendência é que, cada vez mais, as pessoas e empresas pratiquem seus atos on-line, a própria advocacia se adaptará e migrará com mais força para esse meio.
Entre as iniciativas recentes, é possível notar uma preocupação dos juristas em conhecer os recursos e conceitos da tecnologia da informação. Igualmente, aos poucos, as atividades dos advogados passam por sua própria transformação digital, com o surgimento da chamada lawtech.
Apesar de englobar questões atuais e que fazem parte do dia a dia das relações humanas, o Direito Digital ainda tem muito desenvolvimento pela frente e propõe um cenário interessantíssimo e desafiador. É um caminho promissor para profissionais criativos, inovadores e visionários.
O GDPR, do inglês General Data Protection Regulation, é uma regulamentação de proteção aos dados dos usuários europeus. A lei que foi aprovada pela União Europeia em 2016 e passou a vigorar a partir de maio de 2018.
É importante entender os impactos que as medidas da GDPR. São elas;
PONDERAÇÃO SOBRE A NATUREZA DO USO DE DADOS
A GDPR leva em consideração tanto a natureza dos dados quanto o propósito de uso deles. Isso diz respeito aos controladores de dados, que determinam os meios de processamento de dados pessoais, e aos processadores de dados, que gerenciam essas informações. A medida visa dar maior segurança e evitar prejuízos, como o ataque Wanna Cry.
As empresas têm que implementar medidas organizacionais e técnicas para garantir a segurança de dados dos cidadãos europeus, caso queiram seguir dentro da lei. Para que esse objetivo seja atingido, os dados precisam ser confiáveis, íntegros, acessíveis e duráveis.
GARANTIA EXTRATERRITORIAL DA PROTEÇÃO DE DADOS
Além dos países pertencentes ao bloco da União Europeia, a GDPR cobrirá também organizações de fora. Qualquer empresa que ofereça mercadorias e serviços aos cidadãos do bloco estará sujeita às leis da GDPR.
Isso vale para os serviços voltados aos cidadãos identificáveis, ou seja, com dados pessoais disponíveis. A GDPR atinge até os serviços oferecidos de forma gratuita aos cidadãos europeus, como acesso a sites, por exemplo.
REDUÇÃO DA COLETA DE DADOS DOS CONSUMIDORES
As organizações que lidam com dados de usuários europeus precisarão reduzir a coleta e retenção de dados relacionados a eles. Além disso, essas informações deverão passar por um consentimento do usuário para que sejam coletadas.
A minimização da coleta e retenção de dados tem como meta fazer com que as organizações recolham apenas os dados necessários para a realização do consumo do produto ou serviço.
EXCLUSÃO DE DADOS DE USUÁRIOS
Além da redução da coleta e retenção de dados dos usuários, a GDPR permite que usuários solicitem a exclusão de seus dados das organizações — isso inclui aqueles publicados na internet.
A GDPR afirma que as organizações que mantêm posse de dados de usuários têm a obrigação de excluí-los dentro do tempo estimado, em especial em caso de pessoas incapazes.
NOTIFICAÇÃO OBRIGATÓRIA EM CASO DE VAZAMENTO DE DADOS
A DPA, Data Protection Authority, é uma autoridade de supervisão nacional responsável pelo monitoramento da aplicação de regras de proteção de dados. Ela precisa ser acionada pelas empresas em caso de vazamento de dados pessoais de seus clientes.
A notificação precisa ser dentro de 72 horas após a detecção do problema. A exceção à regra é quando o vazamento não resulta em risco aos direitos e liberdades dos cidadãos europeus. Nesse caso, a DPA não precisa ser comunicada.
Além disso, os próprios usuários afetados pela adversidade precisam ser notificados, caso haja a possibilidade de acesso não autorizado à informação.
PRESENÇA DE UM GESTOR DE PROTEÇÃO DE DADOS EM EMPRESAS QUE UTILIZAM DADOS EM LARGA ESCALA
O DPO, Data Protection Officer, é um profissional responsável pela gestão da proteção de dados de uma empresa. No caso daquelas que utilizam dados de usuários em larga escala, a GDPR exige que um profissional desse porte seja contratado como parte de sua diretoria.
COMO AS EMPRESAS BRASILEIRAS SÃO AFETADAS PELA GDPR?
A GDPR diz respeito às suas normas quanto aos processadores e controladores de dados de usuários. As organizações, controladoras ou processadoras que estão estabelecidas na União Europeia estão sujeitas às aplicações da GDPR, independentemente se o controle ou processo está ou não dentro da União.
Similarmente, as organizações, controladoras ou processadoras, que residem fora da União Europeia, mas que oferecem serviços e mercadorias para a União ou para seus cidadãos, também estão sujeitas às aplicações da GDPR. Esse é o caso de muitas indústrias brasileiras que exportam produtos para a Europa.
Além das indústrias, outras empresas também serão afetadas, das pequenas até as grandes. Vendas onlines de produtos para a Europa, transações bancárias, anúncios publicitários em sites europeus, prestação de serviços aos cidadãos, aluguel de infraestruturas como computação em nuvem e hospedagem de sites são alguns exemplos de negócios que são afetados pela GDPR.
O QUE FAZER PARA SE ADEQUAR?
É importante se preparar para que as mudanças políticas sejam baseadas em estruturas de responsabilização e regras transparentes que assegurem a integridade das pessoas envolvidas, em caso de vazamento de informação.
Para atender às exigências do GDPR é preciso seguir algumas dicas importantes de adequação. São elas:
- Identificação dos dados: os dados pessoais, de clientes e funcionários, devem ser identificados em todos os locais de dados de acesso à empresa;
- automatização de políticas de dados: dados padrão de segurança, como controle de acesso, segurança, criptografia, retenção e políticas de privacidade devem ser automatizadas como um tratamento especial de informação;
- criação de processos de remoção de dados: os dados pessoais, de clientes e funcionários, devem ser passíveis de remoção em todas as fontes de dados disponibilizadas pela empresa, como banco de dados, redes sociais, sites corporativos etc;
- detecção de dados desnecessários: dados duplicados ou em excesso a respeito de usuários e funcionários devem ser eliminados;
- realização de auditoria de dados: os dados devem ser passíveis de serem auditados e conferidos, seja pela própria empresa ou por terceiros;
- compreensão de risco: análise de riscos de vazamentos e análise acelerada de causas e motivos em caso de vazamentos de dados de usuários.
É de extrema importância que as empresas afetadas pela GDPR se adequem à legislação. As multas pelo descumprimento são pesadas: até 20 milhões de euros. Em caso de organizações, até 4% do volume anual de negócios. Das duas opções, é aplicado o valor mais alto.
Depois de a União Europeia aprovar a GDPR, lei de proteção de dados pessoais, outros países começaram a se movimentar para criar suas próprias legislações voltadas à privacidade. Foi o caso do Brasil, que no ano passado aprovou a LGPD – Lei Geral de Proteção de Dados. Agora, os Estados Unidos estão discutindo algo similar.
Como os Estados Unidos ainda não possuem diretrizes federais para a proteção de dados, a nova lei criaria um marco regulatório para a coleta, tratamento e uso de dados pessoais no país inteiro. Há controvérsias sobre o modelo da legislação, pela atribuição ao FTC e por retirar autonomia dos estados. Ainda assim, é um dos primeiros passos dos legisladores americanos na tentativa de regulamentação das empresas de tecnologia.
A Argentina, que tem leis de proteção de dados pessoais em vigor desde 1994, está à frente dos países da região. Na verdade, segundo a Comissão Europeia, a Argentina e o Uruguai são os dois únicos países da América Latina com níveis adequados de proteção de dados pessoais; porém, com a GDPR, até mesmo seus regulamentos atuais podem estar sujeitos a mudanças. A legislação atual da Argentina protege os dados pessoais armazenados em todas as plataformas de processamento públicas ou privadas. Além disso, os cidadãos têm acesso às suas informações em bancos de dados públicos.
O México é o próximo da lista, tendo aprovado em 2010 a Lei Federal Mexicana de Proteção de Dados Pessoais em Poder de Particulares, ou mais conhecida como Lei Federal de Proteção de Dados. A preocupação do país com a proteção de dados também levou à criação do Instituto Nacional de Transparência, Acesso à Informação e Proteção de Dados Pessoais (INAI), uma entidade autônoma que protege dados pessoais manipulados por indivíduos e pelo governo federal e promove os direitos de privacidade das pessoas.
Na Colômbia, a Autoridade Colombiana de Proteção de Dados utiliza um regulamento que exige que todos os bancos de dados sejam registrados no Registro Nacional de Bancos de Dados. A atual legislação colombiana inclui a proteção dos direitos dos usuários, a criação de obrigações para quem coleta e gerencia dados, a regulamentação da proteção de dados pessoais financeiros e de crédito e o controle do Registro Nacional de Bancos de Dados.
No 15º Encontro Ibero-Americano de Proteção de Dados, organizado pela Rede Ibero-Americana de Autoridades de Proteção de Dados e pelo Conselho de Transparência do Chile, realizado nos dias 19 a 23 de junho de 2017, foram aprovadas as Normas de Proteção de Dados para os Estados Ibero-Americanos. Na reunião, o Chile também anunciou que planeja atualizar suas leis de Proteção de Dados Pessoais, criadas em 1999, para atender aos padrões da Organização para a Cooperação e Desenvolvimento Econômico (OCDE). O país está usando os regulamentos europeus além da GDPR como modelos para a criação da Agência de Proteção de Dados Pessoais do Chile.
O Peru criou sua legislação de proteção de dados em 2011, que concede autoridade e acesso transparente às informações públicas, fortalecendo a proteção de dados pessoais. A estrutura de proteção de dados pessoais do Peru tem como foco proteger os direitos dos sujeitos e garantir o cumprimento das obrigações das empresas de processamento de dados.
A Costa Rica tem a Lei Geral de Proteção de Dados Pessoais, que garante a todas as pessoas seus direitos fundamentais, como autodeterminação, defesa de liberdades e igualdade, em relação a qualquer processamento de dados relacionados a elas ou a seus ativos.
Nos últimos anos, o Panamá tomou medidas legislativas significativas para regulamentar a proteção de dados eletrônicos e o comércio eletrônico. A Autoridade Nacional do Panamá de Transparência e Acesso às Informações publicou a Lei de Proteção de Dados Pessoais em setembro de 2016. Porém, conforme indicou o caso dos documentos confidenciais do Panamá que foram revelados em 2016 (Panama Papers), ainda há muito trabalho a ser feito.
Com os dados se tornando um dos ativos mais valiosos do mundo atual e com riscos de cibersegurança cada vez maiores, a proteção de dados continua exigindo a nossa atenção. Com a atividade cibercriminosa aumentando em escala global, envolvendo alto custo e problemas de reputação da vítima de violação de dados, a proteção de dados se tornou rapidamente uma necessidade. A escala e a frequência das violações de dados que ocorrem atualmente são alarmantes. Mais do que nunca, a cibersegurança não pode ser postergada, pois exige planejamento, pessoas e processos, além de tecnologias de segurança adaptáveis, desenvolvidas para garantir expansão dinâmica das redes digitais atuais, visualização e coordenação de toda a rede distribuída e resposta automática como um sistema de defesa proativo para lidar com as ciberameaças avançadas.
REFERÊNCIAS BIBLIOGRÁFICAS
ALVES, Marcelo de Camilo Tavares. Direito Digital. Goiânia, 2009.
BLUM, Renato Opice (Coord.). Direito Eletrônico. Bauru, SP, 2001.
CORRÊA, Gustavo Testa. Aspectos Jurídicos da internet. Saraiva, São Paulo, 2000.
KAMINSKI, Omar (Org.). Internet legal: o direito na tecnologia da informação. 1. ed. 4. tiragem. Curitiba, Juruá, 2006.
PINHEIRO, Patricia Peck. Direito Digital. 4. Ed. São Paulo. Saraiva, 2010.