A prova digital no projeto para o novo CPP: em busca do necessário equilíbrio
Novos meios de obtenção de provas em um ambiente digital trazem novos riscos para as democracias
Segundo dados produzidos pela parceria entre a ONG Safernet e o Ministério Público Federal[1], o número de notícias anônimas de crimes cometidos pela internet mais do que dobrou em 2020, chegando a 156.692 fatos relatados. Os delitos de pornografia infantil lideram os números. O índice que mais aumentou foi referente aos crimes envolvendo discursos de ódio, como apologias ao nazismo ou condutas racistas. As discriminações contra a mulher cresceram 78,5%. Fraudes eletrônicas seguem em alta também, causando grande angústia aos cidadãos diante de um Estado que não dispõe de meios adequados de investigação e repressão, tornando o mundo digital quase um terreno de impunidade.
Nesta perspectiva, o relatório preliminar do projeto do novo Código de Processo Penal (NCPP), apresentado em 13 de abril de 2021, introduz fundamentais meios de obtenção de prova amplamente consolidados em legislações mais avançadas mundialmente. Em um saudável debate democrático, a sociedade foi chamada para analisar as soluções, sendo relevante o constante esclarecimento do cenário legislativo mundial, mormente em países reconhecidamente eficazes nos temas de proteção de dados pessoais e garantias individuais diante de idênticas soluções trazidas para o âmbito do novo projeto legislativo.
Novos meios de obtenção de provas em um ambiente digital trazem novos riscos para as democracias. Para resolver este problema, o texto proposto traz as necessárias garantias, tais como a reserva obrigatória de jurisdição e a vedação para aventuras jurídicas de captura genérica de dados pessoais massivos, também chamada da “pescaria probatória” ou “efeito hidra”, quando o art. 308 exige que a decisão judicial deve indicar “os motivos, a necessidade e os fins da diligência, estabelecendo os limites da atividade a ser empreendida e o prazo para seu cumprimento” (grifo nosso). São restrições que ainda não existem nos dias de hoje, de modo que o projeto do NCPP reforçará ainda mais as garantias individuais, buscando o equilíbrio necessário com a necessidade da eficiência investigativa.
Como se vê, o risco de adoção de medidas genéricas, cuja ilegalidade já é assente na jurisprudência nacional (STF, Inq-AgR 2245/MG, Rel. Min. Joaquim Barbosa, DJe 09/11/2007 e HC 106.566/SP, Rel. Min. Gilmar Mendes, J. 16/12/2014) encontra-se bem considerado no projeto do NCPP, ao estabelecer requisitos bem específicos que deverão constar até no mandado judicial (art. 309).
Por outro lado, convém reconhecer que os tradicionais meios de obtenção de prova por via da interceptação telefônica da Lei 9.296/96 caminham de modo célere para sua total falência no que tange ao combate aos delitos mencionados. A introdução da criptografia de 256 bits, utilizada largamente hoje em dia por ferramentas de mensagem instantânea e de comunicação de dados por voz, torna a interceptação muitas vezes inútil.
Se de um lado esta tecnologia traz legítimas preocupações a respeito da tutela da privacidade (art. 5º, X da CR), este mesmo avanço é, outrossim, meio de perpetração de delitos das mais variadas matizes que precisam ser combatidos, sob pena de violação do princípio da vedação da proteção deficiente estatal, como decidiu a Corte Interamericana de Direitos Humanos (CIDH), no caso Ximenes Lopes v. Brasil, em 2006, quando condenou o país sob a justificativa de que “O Estado não somente incorre em responsabilidade internacional por violação ao direito à vida quando seus agentes privam alguém de tal direito, mas também quando, apesar de não ter violado diretamente tal direito, não adota as medidas de prevenção necessária e/ou não efetua uma investigação séria, por um órgão independente, autônomo e imparcial, de privações do direito à vida cometidas seja por seus agentes ou por particulares” (grifo nosso).
Para resolver este problema e outros decorrentes do mesmo cenário, o projeto do NCPP introduz modernos meios de obtenção de prova consolidados em diversos países com reconhecidas e sólidas democracias, a exemplo da coleta oculta de dados eletrônicos com a infecção de malware em dispositivos de suspeitos (art. 304, II), para monitorar e adquirir informações no curso da investigação, como ocorre na utilização de Bundestrojaner na Alemanha, regulamentado pelo § 20k da Lei para a Defesa Face aos Perigos do Terrorismo Internacional.
Como se espera que também aconteça no Brasil, o Tribunal Constitucional Alemão definiu limites para o seu uso, assentando que o acesso remoto oculto somente poderá ocorrer mediante ordem judicial e para tutelar interesses jurídicos extremamente relevantes, como perigo de vida ou de liberdade da vítima, aplicando-se o princípio da ponderação com a demonstração da necessidade, adequação e proporcionalidade da medida para a repressão de crimes, como determina o art. 301.
Na Espanha, o art. 588 septies “a” da Ley de Enjuiciamiento Criminal, que entrou em vigor em 08 de dezembro de 2015, possibilitou a utilização de malware como meio de obtenção de prova na apuração de crimes cometidos através de sistema informático ou de qualquer outra tecnologia de informação ou de telecomunicação, ou seja, infrações que geram provas digitais.
Na Estônia, desde janeiro de 2013, o § 126.3, número 5 do Kriminaalmenetluse seadustik (CPP) positiva o uso de malware como meio de obtenção de prova no capítulo 3.1, chamado de atividades de vigilância.
A Finlândia regula o uso de malware na Lei das Medidas Coercivas de 2011, especificamente no capítulo 10, seção 23 e seguintes.
A França, por meio da Loi d’orientation et de programmation pour la performance et la sécurité intérieure (LOPPSI) e dos artigos 706-102-1 a 706-102-9 do CPP, consolidou o uso de malware pelas autoridades investigativas para a recolha de dados do investigado, sejam os que já estão armazenados, sejam os que vierem a ser armazenados no curso da intrusão estatal.
Outro meio de obtenção de prova digital, a coleta por acesso forçado (art. 307), via ataque por força bruta, pressupõe o prévio e injustificado descumprimento de ordem judicial ou impossibilidade de se identificar o controlador ou o provedor em território nacional. A decisão descumprida, por conta do que dispõem os demais artigos do projeto do NCPP, deve individualizar dispositivos, redes e protocolos, determinar a temporalidade do acesso oculto e remoto, bem como garantir, repita-se, a adequação, a necessidade, a finalidade e a proporcionalidade (art. 301 c/c art. 308).
Nesta esteira, cumpre esclarecer que o Brasil se encontra entre os países mais atrasados do mundo na previsão de instrumentos investigativos eficazes para o combate aos delitos mencionados no início desse texto. De fato, a Convenção de Budapeste sobre Crimes Cibernéticos (2001) já prevê o confisco de sistema ou redes de dados. De igual modo, a Lei Portuguesa n. 109/2009 (Lei do Cibercrime) contempla diversas hipóteses de apreensão de dados informáticos independentemente de autorização judicial.
A correta leitura do capítulo das provas digitais do projeto do NCPP não pode jamais perder de vista que ali se trata de atuação necessariamente legitimada e de modo antecedente pelo Poder Judiciário, a quem caberá analisar a presença dos diversos requisitos cominados na própria norma e na Constituição, a fim de tornar a intervenção do Estado lícita.
Assim, é recomendável evitar visões catastróficas de riscos exagerados à privacidade, que serão naturalmente contidos na imprescindível submissão ao controle jurisdicional, onde as garantias constitucionais do contraditório e da ampla defesa afastam os receios de que ocorram atividades de monitoração indevida e estatal de ativistas e jornalistas. Tais fatos, caso ocorram, serão evidentemente ilícitos e inadmissíveis (art. 5º, LVI da CR).
Por fim, resta inequívoco que, em não se dispondo no Brasil de mecanismos eficazes de obtenção da prova digital, como já ocorrem em diversos países com democracia consolidada e respeito aos direitos humanos, a migração do crime cibernético para a territorialidade brasileira será inexorável. Dada a natureza volátil e transnacional da prova digital, havendo impeditivos absolutos ao uso de meios investigativos que em outras searas se autoriza, o Brasil crescerá como um local propício para a hospedagem de dispositivos eletrônicos e servidores maliciosos, objetivando o armazenamento e roteamento de dados relacionados com práticas criminosas de toda a espécie.