Empresas de tecnologia podem ser obrigadas a passar dados de usuários à Justiça?

Se um juiz brasileiro, no curso de uma investigação criminal, precisa do conteúdo privado de comunicações armazenadas por empresas estrangeiras, como ter acesso a esses dados? Essa controvérsia, embora recente, tem se acirrado em respostas contraditórias dos tribunais brasileiros. Ela envolve diversas questões sensíveis sobre a proteção da privacidade, os poderes de investigação do Estado, a soberania nacional e as possibilidades de cooperação internacional. Para tentar unificar o entendimento sobre essa questão, a Federação das Associações das Empresas de Tecnologia da Informação (Assespro Nacional) acionou o Supremo Tribunal Federal (STF), neste mês, por meio da Ação Declaratória de Constitucionalidade (ADC) 51, que é relatada pelo ministro Gilmar Mendes. 

O resultado do julgamento interessa a diversas gigantes do setor de tecnologia, como Google, Facebook, Microsoft e WhatsApp – embora o caso desta última seja ainda mais complicado, pela questão da criptografia de ponta a ponta (entenda aqui). Em uma petição assinada, entre outros advogados, pelo ex-presidente do STF Carlos Ayres Britto, a Assespro pede que o Supremo reconheça a constitucionalidade do Decreto Executivo Federal 3.810/2001 – que recepciona o Acordo de Assistência Judiciária em Matéria Penal (MLAT, na sigla em inglês) entre Brasil e Estados Unidos –, do artigo 237, II do Código de Processo Civil (CPC) e dos artigos 780 e 783 do Código de Processo Penal (CPP). Na prática, pedem que os juízes consigam dados por meio da cooperação internacional, e não pela requisição direta a filiais brasileiras dessas empresas. 

Leia também: Juízes decidirão se policial pode vasculhar celular de acusado de crime

Os dispositivos discutidos na ADC 51 compõem os mecanismos à disposição de autoridades brasileiras para coletar provas que estão no exterior – como depoimentos, documentos e buscas e apreensões. A interface entre os Estados, em matéria de cooperação judiciária internacional, é feita pelas respectivas “autoridades centrais” – no Brasil, o Departamento de Recuperação de Ativos e Cooperação Jurídica Internacional (DRCI) do Ministério da Justiça (MJ), que recebe os pedidos da Justiça e os encaminha para outros países, de acordo com regras muitas vezes estabelecidas por tratados bilaterais. Só em matéria de cooperação penal, o Brasil é parte de 21 acordos bilaterais e de 12 acordos multilaterais. 

Dados digitais 

O surgimento e a disseminação da internet complicaram as coisas na mesma medida em que aumentam exponencialmente a produção de dados de usuários: 

• Dados públicos, que são acessíveis por qualquer pessoa conectada à internet;
• Dados cadastrais, como nome e endereço; 
• Metadados, que são gerados pela navegação e permitem a identificação de usuários, como o IP; 
• Registros privados de comunicações, como o conteúdo de mensagens do WhatsApp, de e-mails ou de conversas e grupos privados no Facebook. 

Todos esses dados podem ser necessários para a produção de provas em processos judiciais, mas os provedores de aplicações de Internet (nome técnico de empresas responsáveis pelos sites da rede mundial) que estão sediadas no exterior alegam que não podem entregar os registros privados de comunicação sem contrariar a lei dos Estados Unidos, o Stored Communications Act, de 1986.

O Ministério Público brasileiro ainda não se manifestou oficialmente no processo, mas para o procurador Vladimir Aras, que foi secretário de cooperação internacional da Procuradoria-Geral da República (PGR) durante a gestão Rodrigo Janot, as obrigações constituídas em território brasileiro devem ser cumpridas no Brasil. 

“Pela Lei de Introdução às Normas do Direito Brasileiro, não se trata de uma competência internacional da Justiça brasileira, mas de uma competência doméstica”, afirma. 

“Além disso, o próprio artigo 11 do Marco Civil da Internet deixa claro que os atos de coleta, armazenamento e disponibilidade de dados em função de oferta de aplicações de internet no Brasil estão sujeitos à jurisdição brasileira, especialmente para aquelas empresas que têm escritório no Brasil, como é o caso do Facebook”, diz. 

Art. 11. Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, de dados pessoais ou de comunicações por provedores de conexão e de aplicações de internet em que pelo menos um desses atos ocorra em território nacional, deverão ser obrigatoriamente respeitados a legislação brasileira e os direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas e dos registros. 

§ 1o O disposto no caput aplica-se aos dados coletados em território nacional e ao conteúdo das comunicações, desde que pelo menos um dos terminais esteja localizado no Brasil. 

§ 2o O disposto no caput aplica-se mesmo que as atividades sejam realizadas por pessoa jurídica sediada no exterior, desde que oferte serviço ao público brasileiro ou pelo menos uma integrante do mesmo grupo econômico possua estabelecimento no Brasil. 

Segundo o procurador, o descumprimento das obrigações previstas no artigo 11 daria ensejo à aplicação das sanções do artigo 12 da lei: 

Art. 12. Sem prejuízo das demais sanções cíveis, criminais ou administrativas, as infrações às normas previstas nos arts. 10 e 11 ficam sujeitas, conforme o caso, às seguintes sanções, aplicadas de forma isolada ou cumulativa: 

I - advertência, com indicação de prazo para adoção de medidas corretivas; 

II - multa de até 10% (dez por cento) do faturamento do grupo econômico no Brasil no seu último exercício, excluídos os tributos, considerados a condição econômica do infrator e o princípio da proporcionalidade entre a gravidade da falta e a intensidade da sanção; 

III - suspensão temporária das atividades que envolvam os atos previstos no art. 11; ou 

IV - proibição de exercício das atividades que envolvam os atos previstos no art. 11. 

Parágrafo único. Tratando-se de empresa estrangeira, responde solidariamente pelo pagamento da multa de que trata o caput sua filial, sucursal, escritório ou estabelecimento situado no País. 

Já para Jacqueline Abreu, doutoranda em Direito pela USP e pesquisadora do InternetLab, apesar de o artigo 11 do Marco Civil da Internet de fato garantir a jurisdição de autoridades brasileiras sobre esses dados, a legislação de outros países poderia incidir na proteção dos mesmos dados, o que criaria um conflito de normas.

“Se a empresa está sujeita a duas leis em conflito, a única via de solução é a via diplomática”, diz. “Além disso, o Marco Civil da Internet garante, no seu artigo 3º, certa deferência a outras normas, um reconhecimento de que existem tratados internacionais importantes nessas matérias”, afirma. 

Art. 3º A disciplina do uso da internet no Brasil tem os seguintes princípios:

(...) 

Parágrafo único. Os princípios expressos nesta Lei não excluem outros previstos no ordenamento jurídico pátrio relacionados à matéria ou nos tratados internacionais em que a República Federativa do Brasil seja parte. 

Empresas 

De fato, a Assespro argumenta que, nesses casos, o procedimento correto a ser adotado é a cooperação internacional, porque “a competência para determinar a entrega de dados é da autoridade competente no território em que o provedor de aplicação, com legítima autorização para controlar os dados, estiver localizado”.

Segundo a Assespro, a lei dos Estados Unidos não permite que as empresas forneçam o conteúdo de comunicações, a não ser que exista uma ordem judicial de tribunal americano ou que o caso seja excepcional (veja abaixo). O descumprimento da lei americana traria consequências para as sedes perante a Justiça dos Estados Unidos. 

No entanto, muitos tribunais brasileiros, inclusive o Superior Tribunal de Justiça (STJ), entendem, em algumas decisões, “não ser o MLAT ou o procedimento da carta rogatória a via processual cabível para a obtenção do conteúdo de comunicações privadas sob controle de provedor de aplicação estabelecido fora do território nacional”, porque “a não entrega desses dados no Brasil e de forma direta por pessoa jurídica afiliada à provedora do aplicativo situada em território estrangeiro afrontaria à soberania nacional brasileira”. 

Para a filial do Facebook no Brasil, que foi aceita como amicus curiae no processo, “[h]á conflito de normas domésticas no Brasil e nos Estados Unidos da América, que é resolvido pelo direito internacional. É justamente por isso que a observância do Decreto nº 3810/2001, pelas autoridades nacionais, revela-se indispensável”. 

A empresa alega que “[a]o invés de se valerem do órgão judicial competente em território estrangeiro, as Cortes locais [brasileiras] acabam, por exemplo, exigindo o cumprimento de suas ordens por parte de sociedades brasileiras que integram o mesmo conglomerado econômico das entidades estrangeiras, mas que não possuem capacidade – seja fática, seja jurídica – para fornecer o elemento probatório requerido pela autoridade judicial”, aplicando multas, suspensão de atividades ou mesmo processando criminalmente funcionários. 

O Facebook argumenta ainda que, por outro lado, em situações de emergência, os provedores de aplicação já têm colaborado com as autoridades brasileiras, de acordo com a exceção que a própria lei americana abre ao sigilo dos conteúdos das comunicações: “se o provedor acredita haver situação de emergência envolvendo perigo de morte ou ferimento físico grave do indivíduo”. 

Entre os casos citados pelo Facebook, estão o terrorismo, tentativas de suicídio, tentativas de automutilação, sequestro e crimes contra a dignidade sexual. “O fornecimento voluntário do conteúdo de comunicações também foi fundamental para a identificação dos autores do delito e, por vezes, até mesmo para evitar a consumação do crime”, diz a petição dirigida ao STF. 

“Operadores do Facebook dão cumprimento, anualmente, a milhares de requisições de autoridades brasileiras para fornecimento de dados cadastrais e registros de acesso (“IP logs”). Isso porque o fornecimento de tais dados, que não são definidos como ‘conteúdo de comunicações’ [pela lei dos Estados Unidos], pode ser feito de forma direta e independente de cooperação internacional”, escrevem ainda. 

“A eventual recusa quanto ao fornecimento de conteúdo de comunicações às autoridades brasileiras não decorre de desrespeito, resistência injustificada ou arrogância dos provedores de aplicações de internet. Decorre, na realidade, de restrição legal”, alegam. 

A disputa pelos dados

O procurador Vladimir Aras discorda de que o caso seja de conflito internacional entre normas. “Esses dados estão, na verdade, repartidos em vários lugares. Existem nós múltiplos em vários lugares do mundo para preservar a simultaneidade da informação”, diz. 

“Os dados não estão nos Estados Unidos, eles estão em toda a parte. A internet é o ciberespaço, ele permeia todas as jurisdições simultaneamente, então não dá para adequar a ideia de jurisdição territorial ao que é a internet”, afirma o procurador. 

Sobre a proibição da lei da lei americana a que as empresas forneçam os dados, Aras diz que “não se pode processar legitimamente uma empresa nos Estados Unidos porque cumpriu uma ordem judicial legítima no Brasil (...) Seria muito improvável que eles se sujeitassem a uma responsabilização civil lá [nos Estados Unidos] por terem cumprido a lei a que se sujeitaram quando se constituíram pessoas jurídicas no Brasil”. 

O procurador ainda enfatiza que, se o STF aceitar o pedido da Assespro, isso criaria uma sujeição da jurisdição brasileira à americana e um bloqueio no acesso à Justiça. “Países como Estados Unidos e Canadá já não fazem intercepção de comunicações telemáticas em proveito de países estrangeiros”, diz Aras. 

“[Se o STF aceitar essa interpretação], você criaria um obstáculo a mais não só para a luta contra o crime, mas para a defesa de cidadãos comuns que usam a internet e tenham seus direitos violados. Você criaria um paraíso digital, dificultando a apuração de crimes e infrações”, pondera.

Jacqueline destaca que as dispustas pelos dados armazenados por empresas estrangeiras já levanta problemas na Justiça há algum tempo. “Algumas autoridades brasileiras têm uma certa aversão ao MLAT, porque se diz que o sistema é muito ineficiente”, afirma. 

“Mas se o problema é a ineficiência, a solução juridicamente correta é melhorar o sistema, capacitar as equipes, aumentar os recursos destinados a isso, tanto no Brasil quanto nos Estados Unidos – é investir em iniciativas de respeito mútuo entre nações soberanas que querem que suas leis não sejam simplesmente ignoradas”, afirma. 

Um capítulo dessa dispusta deu as caras na própria formulação do Marco Civil da Internet. “A ideia de obrigar as empresas a manter os dados no Brasil já foi uma ideia corrente. Tentou-se inclusive incluir essa previsão no Marco Civil da Internet, mas esse tipo de previsão é péssima para a política de inovação, porque isso privilegia grandes empresas que têm condição de bancar a criação de servidores no Brasil”, diz a pesquisadora.