quinta-feira, maio 31, 2012

Indicação de artigo: "Discursos de ódio em redes sociais: jurisprudência brasileira"

Gostaria de indicar um artigo da Revista Direito GV online com o título "Discursos de ódio em redes sociais: jurisprudência brasileira". O download pode ser feito aqui.

Os autores analisam com muita propriedade a questão do discurso ofensivo e odioso nas redes sociais através da análise de jurisprudência. É explicado o que é considerado discurso de ódio e sua relação com a internet e o ordenamento brasileiro. Também é realizada uma análise quantitativa acerca da jurisprudência verificada pelos autores. Ao final os autores procuram responder à seguinte pergunta "Qual é o tratamento dado pelo Poder Judiciário ao discurso de ódio veiculado em redes sociais?"

Abaixo a sugestão de citação do artigo, para utilização em produção científica:

SILVA, Rosane Leal da; NICHEL, Andressa; MARTINS, Anna Clara Lehmann  e  BORCHARDT, Carlise Kolbe. Discursos de ódio em redes sociais: jurisprudência brasileira. Rev. direito GV [online], São Paulo, vol.7, n.2, p. 445-468, jul./dez. 2011.

domingo, maio 27, 2012

Podcast Segurança Legal - Responsabilidade das empresas de assistência técnica

   No quarto episódio do podcast Segurança Legal falamos sobre um assunto bem pouco discutido no meio jurídico: a responsabilidade das empresas de assistência técnica.

    O podcast aborda o assunto, em primeiro lugar, destacando o risco que pessoas e empresas possuem ao enviar equipamentos para a assistência técnica. São levantadas algumas soluções técnicas e jurídicas para o problema.

      Por fim, a questão da responsabilidade das empresas é tratada quando os clientes são pessoas físicas e também quando são pessoas jurídicas. Uma vez que nas duas situações o tratamento jurídico é diferenciado, são analisados problemas e inclusive decisões judiciais que abordam o tema.

   O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.

O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui


Shownotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para pesquisa.


O nome da trilha utilizada é "Thing For Itself".

segunda-feira, maio 14, 2012

Podcast Segurança Legal - NewsCheck n. 1

   No terceiro episódio do podcast Segurança Legal iniciamos a série chamada NewsCheck, que consiste na discussão de notícias recentes que envolvem segurança da informação e direito da Tecnologia.

    Dois assuntos são tratados: a invasão da casa do cartunista Laerte e o furto de computadores além do vazamento de fotos da atriz Carolina Dieckamnn.

   O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.

O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui

Nos episódios anteriores, identificamos um problema de áudio: quando reproduzido em equipamentos mono, o som de um dos canais ficava baixo demais. O problema foi resolvido para este episódio. Para os anteriores, basta escutá-lo em equipamento estéreo ou utilizando fones de ouvido.

Shownotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para pesquisa.

O nome da trilha utilizada é "Thing For Itself".

quarta-feira, maio 02, 2012

Podcast Segurança Legal - Privacidade nas redes sociais

    O segundo episódio do podcast Segurança Legal trata sobre a questão da privacidade e da proteção de dados pessoais nas redes sociais. São discutidos os aspectos relacionados ao funcionamento de algumas redes sociais, seu modelo de negócios, a questão da publicidade comportamental além de problemas gerais sobre o tema.

     O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.

O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui.

Shownotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para pesquisa.

O nome da trilha utilizada é "Thing For Itself".

sexta-feira, abril 13, 2012

Podcast Segurança Legal - Consultas Integradas


    Esse episódio trata das repercussões jurídicas e tecnológicas dos problemas ocorridos com o sistema Consultas Integradas, este utilizado pelos órgãos de segurança do Rio Grande do Sul. O referido sistema armazena informações pessoais de todos os cidadãos Rio Grandenses, além de concentrar outros bancos de dados de diversas naturezas (por exemplo, bancos de apenados, pessoas procuradas, armas, Detran, etc). Recentemente, algumas situações de mau uso do referido sistema vieram à tona, o que justifica o debate do assunto.

    O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.


O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui.

ShowNotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para possível pesquisa.

Sargento mobilizado por militares de governo tucano bisbilhotava até crianças - Correio do Brasil - 09/09/2010
Inspeção Especial realizada pelo TCE do RS

Atualização em 02 de Abril de 2012

O nome da trilha utilizada é "Thing For Itself".
 

terça-feira, abril 19, 2011

Responsabilidade das search engines pelo recurso autocomplete

Responsabilidade das search engines pelo recurso autocomplete

Uma interessante decisão acerca da responsabilidade das search engines foi proferida na Itália. Trata-se da responsabilidade acerca do recurso de "autocomplete", disponibilizado pelo Google.

Este recurso, amplamente utilizado e conhecido, permite que no mesmo instante em que o usuário digite o termo de busca, sejam apresentadas sugestões de pesquisas relacionadas com o termo digitado. As sugestões baseiam-se nos termos mais pesquisados e visam dar um apoio ao internauta, tornando assim a experiência de procura mais eficiente e rápida.

No processo em questão, quando era pesquisado o nome de um cidadão, o recurso de autocomplete apresentava associações dando a entender que ele seria um fraudador. Como a situação ocorreu na Itália, O Google invocou a proteção da Diretiva 2000/31 da Comunidade Europeia (diretiva de Comércio Eletrônico), que isenta os provedores de serviço de responsabilidade, quando o conteúdo não for gerado por ele. Na Itália, o decreto legislativo 70/2003, regulamenta a utilização da diretiva, reproduzindo basicamente os termos originais desta.

Segundo o Google, o recurso é constituído de um algoritmo que automaticamente faz associações com termos de pesquisa mais populares. Desta forma, não haveria controle dos termos apresentados e eles seriam produzidos por terceiros.

O autor do processo, por sua vez, argumentou que o Google, ao contrário do que dissera, era o real produtor da funcionalidade de "autocomplete". Da mesma forma, as sugestões do "autocomplete" eram em algumas situações filtradas, quando tratava-se de termos que poderiam infringir a lei autoral. Segundo esse argumento, o recurso não seria totalmente "automático" sendo comprovadamente editado pelo Google.

O debate é interessante e envolve o seguinte dilema: as sugestões apresentadas pelo "autocomplete" tratam-se de conteúdo gerado pelo Google? Mesmo que haja um algoritmo que realize associações, tais associações são realizadas em função de termos de pesquisa feitos por terceiros (e não pelo Google). Além do mais, o recurso de "autocomplete" é baseado em registros estatísticos. Os resultados são transitórios e variarão de acordo com os termos mais pesquisados. Em última instância, caso ninguém realize pesquisas semelhantes ao termo pesquisado, o recurso não apresentará nenhuma sugestão.

No entanto, a decisão rebate a tese de pretensa neutralidade do "autocomplete" e assim também a irresponsabilidade do provedor, na medida em que se há um algoritmo que realiza a pesquisa e as associações, com base em critérios estipulados pelo criador do software, este não pode ser considerado neutro. O fato de que o "autocomplete" realize a escolha de termos de forma automática, e sem a intervenção humana, não significa que ele seja neutro. Desta forma, mesmo que de forma não intencional, a escolha do algoritmo a ser utilizado pelo software, seria razão suficiente para responsabilizar a empresa pelos resultados obtidos através daquele.

A reflexão é importante pois nesta situação, é discutível se o conteúdo foi ou não gerado pelo provedor. Como se viu a utilização de um software que realiza a seleção de conteúdos de forma automática representou que o resultado obtido é conteúdo gerado pelo detentor (desenvolvedor) do software. A imprevisibilidade neste caso, não pode ser invocada, uma vez que alguns termos foram inclusive suprimidos do serviço.

Quem possuir interesse pode acessar a decisão original (em italiano) clicando aqui.

sábado, julho 10, 2010

Delegacia de Repressão de Crimes Informáticos do Rio Grande do Sul

Delegacia de Repressão de Crimes Informáticos do Rio Grande do Sul

Apesar de já amplamente divulgado pela mídia, gostaria de também destacar um fato importante, não só para o direito da tecnologia da informação, como também para a comunidade gaúcha. Anuncio isto também, visto que recebo diversos e-mails de leitores do blog relatando situações em que foram vítimas de crimes praticados através de meios digitais.

Sob o comando do Del. Emerson Wendt, nasce a primeira delegacia especializada em crimes informáticos no Rio Grande do Sul: é a Delegacia de Repressão de Crimes Informáticos do Rio Grande do Sul, DRCI-RS.

O Del. Emerson Wendt é bastante conhecido no que diz respeito à sua atuação em crimes informáticos. Ele é membro consultor da OAB/SP na Comissão de Crimes de Alta Tecnologia. Além do mais, é professor na área de crimes virtuais. É mantenedor do site www.emersonwendt.com.br, onde são tratadas questões relevantes sobre a criminalidade informática.

Tenho absoluta certeza que esta delegacia, recém inaugurada, figurará entre as melhores do Brasil no combate ao crimes informáticos.

A DRCI fica localizada na cidade de Porto Alegre, na sede do DEIC, na Rua Prof. Cristiano Fischer, 1440. O fone de contato é 51-3288-9815. A delegacia  inova ao contar também com um perfil no Twitter,  www.twitter.com/drci_rs.

Agradeço publicamente, a gentileza do Del. Emerson Wendt nas mensagens que trocamos recentemente.

quinta-feira, abril 22, 2010

Google não é responsável por conteúdo publicado no Orkut

Google não é responsável por conteúdo publicado no Orkut

Ressalto uma importante decisão do TJ gaúcho, que reverteu decisão de primeiro grau, que responsabilizava o Google pelo conteúdo publicado por terceiros no Orkut.

Venho já, há algum tempo, defendendo a tese de que os provedores de serviços não devem ser responsabilizados pelo conteúdo publicado por terceiros, mormente quando há a impossibilidade técnica de efetuar o bloqueio prévio de um tipo de conteúdo específico. Defendo que a decisão sobre se um conteúdo é ou não ofensivo deve partir de um juízo humano, subjetivo, através de uma ponderação racional e de valores. Até o momento, desconhecemos a capacidade de um programa de computador conseguir realizar com segurança este juízo. Igualmente, é importantíssima a análise do caso concreto, uma vez que estão em jogo o princípio da liberdade de expressão e a proibição da censura prévia, sem deixar de lado a responsabilização pela prática de um ato ilícito do autor do conteúdo ofensivo.

O provedor deve ser responsabilizado, no entanto, por omissão, caso notificado da ilicitude do conteúdo, abster-se de retirá-lo do ar, como bem ponderou a decisão.

Estou buscando o inteiro teor da decisão para postar aqui no blog.

A notícia pode ser lida no site do TJ gaúcho.

ATUALIZAÇÃO
Consegui o inteiro teor da decisão. O download do PDF pode ser feito aqui.

quarta-feira, fevereiro 24, 2010

A inviabilidade técnica de controle e a condenação do Google na Itália

A inviabilidade técnica de controle e a condenação do Google na Itália

No ano de 2006, alguns estudantes italianos filmaram a si próprios zombando de um colega portador da síndrome de Down, publicando posteriormente o vídeo no GoogleVideo. Poucas horas depois, após um comunicado da polícia, o Google empreendeu todos os esforços para retirar o vídeo do ar além de ajudar as autoridades a identificar os autores do vídeo. O caso ficou conhecido como caso "Vividown".

No entanto, as autoridades italianas, após processarem os autores do vídeo, processaram também três executivos do Google pela publicação dos vídeos. Ressalte-se que no momento da publicação dos vídeos, estes três executivos não sabiam da existência do vídeo e nem tinham meios técnicos para saberem. Não havia dever e nem mesmo ferramentas técnicas (ressalte-se que ainda não há) para que eles pudessem saber de tais situações. Mesmo assim, em 24 de Fevereiro de 2010,  o juiz italiano Oscar Magi, absolveu os três da acusação criminal de difamação, condenando-os, por sua vez, por violação de privacidade. Embora não tenhamos conhecimento dos termos da sentença, os veículos de comunicação internacionais informam que o fundamento da condenação foi o de que o Google não detinha o consentimento de quem aparecia no vídeo para publicá-lo. (ver reportagem da BBC).

Em casos desta natureza, é bom ressaltar, a jurisprudência de diversos países (a brasileira também posiciona-se desta forma) entende que não há a responsabilidade do provedor de serviços. Como o provedor não tem meios técnicos para avaliar todo o conteúdo publicado por seus usuários, aquele só será responsabilizado se APÓS NOTIFICADO da existência de um material ilegal, permanecer inerte não retirando o conteúdo do ar. É após a cientificação do provedor que este tem condições de envidar esforços para retirar o conteúdo ofensivo, uma vez que até então, não possui condições de saber se há algum conteúdo ofensivo publicado em sua estrutura. Como, em situações assim não é o provedor de serviços quem cria ou publica o conteúdo mas sim um terceiro, entende-se que é este que deve ser responsabilizado pela publicação. A analogia clássica feita é com uma banca de jornais: não pode o dono da banca ser responsabilizado pelo conteúdo das publicações por ele vendida. Outra analogia bastante utilizada: não podemos responsabilizar as empresas de correio pelo conteúdo das correspondências, até por que elas não têm conhecimento de seu conteúdo, assim como não podemos fazê-lo com os provedores de serviço na internet.

Além do mais, o fundamento legal de que haveria a necessidade de buscar consentimento de cada um dos participantes de um vídeo ou foto publicados na internet é igualmente impossível de ser sustentado perante os provedores de serviço e também diante da complexidade do ambiente digital. Tal dever, o de obter o consentimento é de quem produz o conteúdo e o publica voluntariamente, e não do provedor de serviços. O provedor de serviços, como um intermediário que é, na presente situação, oferece apenas os meios tecnológicos que permitem que as pessoas publiquem seus conteúdos. O Youtube, por exemplo, não publica nenhum vídeo, hospedando apenas o conteúdo publicado e produzido por terceiros.


Já falamos em outros espaços que, para uma eventual responsabilização de uma empresa pelo controle de conteúdo deve existir um meio técnico que permita que todas as comunicações em questão possam ser analisadas, verificando-se se há alguma potencial violação de algum direito. Como se sabe tal situação é virtualmente impossível a não ser que se acabe com a agilidade, rapidez, baixo custo de acesso e instantaneidade da Internet.

O referido precedente, caso venha a se  sustentar na Itália, fará com que cada provedor de serviço tenha que monitorar e avaliar se cada conteúdo publicado em sua estrutura não ofende algum direito. Realizar esta tarefa seria algo tecnicamente inviável além de representar um custo absolutamente impossível de ser arcado até mesmo pelo Google. Estariam ameaçados também todos os sites que funcionam na modalidade de "user-generated content" como o Youtube, Orkut, Flickr, fóruns de discussão e assemelhados.

O custo marginal de atuar preventivamente em situações assim é muito maior do que o benefício obtido por isto: a internet como conhecemos acabaria, tornando-se um meio de comunicação sem os seus principais predicados. que a tornam tão importante. Neste caso tentar evitar estes danos teria um custo maior do que suportá-los. Além do mais,  todos os usuários da internet seriam prejudicados e não apenas os envolvidos nos ilícitos que se tentam evitar.

Há também um efeito dissuasório negativo no precedente: se cada provedor de serviços achar que pode ser condenado pelo conteúdo publicado por terceiros, impedirá ou dificultará que novos conteúdos sejam publicados, atingindo inclusive os conteúdos lícitos. Além do mais, aqueles provedores que desejarem classificar antecipadamente todo o conteúdo arcarão com os custos desta classificação, obviamente, passando-os posteriormente para a sociedade. A própria gratuidade da internet estaria ameaçada. Se cada texto publicado por um usuário necessitar de avaliação prévia de um funcionário do provedor de serviços, a internet como conhecemos acabará. A liberdade de expressão e a agilidade de circulação de informações, características ínsitas à internet, estariam igualmente ameaçadas.

O professor Danilo Doneda sustenta no artigo "Executivos da Google condenados na Itália: a punição exemplar de um concorrente incômodo", que por trás desta questão há também a influência de outras mídias, no caso a televisão, que temem que as novas mídias possam "pulverizar a sua influência e audiência". O professor Danilo tem razão. Inclusive sabe-se também que as companhias de televisão fazem lobby na Itália para a adoção de legislações mais rígidas de controle da Internet (ver reportagem do The New York Times )

Os institutos jurídicos tradicionais devem ser avaliados sob a nova lógica do ambiente cibernético. A internet não é uma mídia como um jornal ou um canal de televisão, onde o controle prévio é tecnicamente possível. É necessário que haja uma adaptação dos institutos tradicionais, adequando-os, inclusive, às limitações técnicas do ambiente.

Não podemos perder de vista também que o precendente italiano,  trará consequências negativas para toda a comunidade de usuários da Internet afetando a liberdade de expressão e da neutralidade da rede aumentando os custos de utilização da rede.


Evitarem-se tais violações de direitos seria mais custoso para a sociedade do que suportá-las. Decididamente, o caminho de responsabilização dos provedores de serviços não contribuirá para a resolução do problema.

Terminamos com uma frase do juiz americano Guido Calabresi na obra "The cost of accidents", que, com a devida adaptação, pode ser totalmente aplicada na situação aqui tratada:

"Our society is not committed to preserving life at any cost"

segunda-feira, setembro 28, 2009

A última fronteira: Relações entre o Direito e a Tecnologia da Informação



Palestra

No dia 19 de Outubro ministrarei a palestra intitulada "A última fronteira: Relações entre o Direito e a Tecnologia da Informação" na Mérito Estudos, em Porto Alegre. Como tema geral, tratarei dos principais pontos do Direito da Tecnologia da Informação.

A atividade serve como atividade complementar para o curso de direito.

As inscrições podem ser feitas através do telefone (51) 3372-7296 ou no site www.meritoestudos.com.br.

Questões sobre o conteúdo da palestra podem ser enviadas para guilherme@direitodatecnologia.com

quinta-feira, agosto 13, 2009

Decisões impossíveis de serem realizadas e o Direito da Tecnologia

Decisões impossíveis de serem realizadas e o Direito da Tecnologia

Um dos grandes problemas envolvendo o direito da tecnologia é o caso das decisões judiciais que determinam providências impossíveis de serem efetivadas. Essa impossibilidade, na maioria das vezes, reflete-se nas limitações das tecnologias existentes atualmente. Uma decisão judicial não pode determinar algo que seja impossível de ser realizado em função das limitações do próprio código dos programas.

Quem primeirou observou essa questão foi o jurista americano Lawrence Lessig, na obra Code. O código que falamos aqui não são as leis, mas sim o código dos programas do computador. Uma decisão que determine algo não programado no código, não pode acontecer. Assim diz o autor em "Code v2":
In real space,we recognize how laws regulate—through constitutions, statutes, and other legal codes. In cyberspace we must understand how a different “code” regulates— how the software and hardware (i.e., the “code” of cyberspace) that make cyberspace what it is also regulate cyberspace as it is.
Podemos fazer uma analogia com as leis da física. A "lei da gravidade", não pode ser revogada ou anulada pelas leis, estas últimas, assim entendidas como estatutos jurídicos e códigos legais.

Um interessante julgado do Tribunal de Justiça do Rio Grande do Sul, pode ser analisado sob esta ótica. Não divulgaremos o nome do autor e nem número do processo para preservar a integridade moral dos envolvidos, mas o processo dizia respeito ao reconhecimento da impossibilidade do Google de impedir a criação de perfis e comunidades pejorativas sobre uma pessoa no Orkut.

O Desembargador Tasso Caubi Soares Delabary, analisou a questão de forma coerente e sensata. Seu argumento principal é que o Google, como um provedor de serviços que é, não é o autor das manifestações disponibilizadas no Orkut. São os usuários que incluem os conteúdos, sendo estes fruto de sua própria atividade intelectual. O Orkut, sem o conteúdo criado e disponibilizado pelos usuários, não possui nada a disponibilizar. O Orkut não cria os dados, apenas os disponibiliza, os hospeda.

Além disso, embora a decisão não tenha expressamente tratado, devemos mencionar a impossibilidade técnica de impedir que o Orkut venha a impedir futuras publicações consideradas pejorativas sobre uma pessoa. Ressalta-se que não há mecanismo tecnológico (programa) que permita analisar-se uma comunidade do Orkut e verificar que seu conteúdo é "pejorativo". Um computador, até o presente momento, não consegue realizar este juízo de valor de forma suficientemente eficiente. A despeito das incríveis técnicas atuais de inteligência artificial, a subjetividade de considerar um discurso como "pejorativo" ainda não está eficientemente contemplada nas funções dos programas de computador. Até porque, o caráter pejorativo, pode dar-se através de texto, imagem, sons, etc. O autor pode utilizar-se de uma foto, sem fazer referência ao nome da pessoa; pode ainda manifestar-se através de ironias e outras figuras de linguagem.

O Google, por outro lado, poderia efetuar um bloqueio de criação de comunidades e perfis com base em palavras-chaves. No entanto tal bloqueio seria ineficiente, bloqueando todas a comunidades e perfis que tivessem tais palavras e não fossem pejorativos. Além do mais a medida seria ineficiente, uma vez que bastaria o autor utilizar-se de uma foto do ofendido ou ainda, escrever seu nome propositalmente com alguma letra errada.

A proibição constitucional da censura prévia e o respeito à liberdade de expressão, devem ser consideradas na proibição futura de manifestações na Internet. A máxima do neminem laedere, ou seja, do princípio de não lesar outrem, perpassa todas as relações. Por princípio, ninguém pode criar comunidades ofensivas à honra de quem quer que seja, sob pena de sujeitar-se a pagar uma indenização.

O Desembargador cita outra decisão (TJRS, AI, 7001575595, Nona Câmara Cível) , no mesmo sentido, que destaca a questão de que as informações no Orkut são disponibilizadas por terceiros, e não pelo Google. Ademais, destaca também a impossibilidade de bloquear todo o serviço (Orkut) para preservar a imagem de uma pessoa apenas, o que geraria um excessivo ônus à empresa. Lembramos outro exemplo recente, em que o site de vídeos YouTube foi bloqueado em função da disponibilização de um vídeo em que uma apresentadora de televisão praticava sexo com seu namorado em uma praia. A decisão, não logrou o efeito desejado, e após diversas tergiversações jurídicas, o vídeo pode ser facilmente encontrado na Internet.

Devemos lembrar de uma analogia feita por Marcel Leonardi na sua obra "Responsabilidade Civil dos Provedores de Serviço de Internet", que aplica-se perfeitamente ao caso. Ela consiste na seguinte pergunta: pode o dono de uma banca de jornal ser responsabilizado pelo conteúdo dos jornais por ele vendidos? A resposta é negativa. O Google, como provedor de serviços que é, pode ser comparado a uma banca de jornais, não devendo ser responsabilizado pelos "jornais" que disponibiliza. Por outro lado, se devidamente notificado para retirar um conteúdo atual de seus servidores, deve fazê-lo.

No entanto, devemos destacar o aspecto transitório das eventuais impossibilidades de realização de algumas decisões envolvendo o direito da tecnologia. O julgador deve observar o estado atual da tecnologia ao decidir. O que hoje é impossível de ser realizado, amanhã, com a evolução da técnica informática, pode vir a ser possível. Isso é especialmente importante na segurança da informação, onde as técnicas de invasões evoluem na mesma medida em que as técnicas de proteção. Neste campo, nada impede que num futuro, os atuais algoritmos de criptografia (utilizados inclusive em certificação digital e assinaturas eletrônicas) possam ser considerados inseguros e ineficientes para manter a integridade e confidencialidade de mensagens.

Por fim, citamos mais uma vez, Lawrence Lessig, que na mesma obra já referida, diz:
Cyberspace was, by nature, unavoidably free. Governments could threaten, but behavior could not be controlled; laws could be passed, but they would have no real effect. (grifo nosso)
A "invisível mão" do código do computador, define a arquitetura e os limites da Internet. Se uma lei proíbe algo, mas o código permite, dificilmente uma decisão judicial poderá ser realmente eficaz. Caímos daí, no estabelecimento de uma ação tecnologicamente impossível de ser realizada. A viabilidade da prática de uma determinada ação na Internet, está portanto, diretamente relacionada com o código do computador, ou seja, com a permissividade ou não, definida pela própria arquitetura dos computadores e de seus programas.


A íntegra da notícia do Tribunal de Justiça do Rio Grande do Sul que trata da decisão pode ser encontrada aqui.

sábado, maio 30, 2009

A Privacidade como Limitadora do Monitoramento Digital

A Privacidade como Limitadora do Monitoramento Digital

Segue abaixo um pequeno artigo de minha autoria que foi publicado na revista Antebellum de Março/Abril de 2009. A revista Antebellum é editada pela ISSA (Information Security System Association). Ela é uma entidade internacional que agrega profissionais de Segurança da Informação. Ela é composta essencialmente por profissionais atuantes na área da informática e não do direito. Mesmo assim, há uma relação bastante grande entre as duas áreas, visto que grande parte das práticas de segurança devem ser acompanhadas pelo direito.

Meus agredecimentos especiais ao Eduardo Vianna Camargo Neves. Além de diretor da regional sul da ISSA, ele mantém também um dos melhores blogs sobre segurança da informação disponível em http://camargoneves.com/. O Eduardo, gentilmente, convidou-me para participar dessa edição da Revista Antebellum, o que foi motivo de muita satisfação de minha parte.

O PDF da revista pode ser baixado diretamente em http://www.issabrasil.org/antebellum/


A privacidade como limitador do monitoramento digital

O tema da privacidade é bastante extenso e complexo. Não temos aqui a pretensão de esgotar o tema mas sim, fazer breves comentários sobre o assunto. Sabemos que os limites do monitoramento digital dentro do ambiente empresarial esbarram na privacidade e na intimidade dos colaboradores. Mesmo nas empresas, os colaboradores ainda detém estes direitos e em caso de monitoramento, este deve ser feito sob circunstâncias bastante controladas e previamente definidas.

A privacidade e intimidade são direitos protegidos pela nossa Constituição. São alguns dos chamados Direitos da Personalidade. Eles são alguns dos direitos mais básicos da pessoa humana sendo necessários para a preservação da honra e da vida privada. Cabe lembrar que a privacidade é irrenunciável e a sua limitação deve ocorrer por vontade expressa da pessoa, de forma específica e limitada a um determinado fim. As eventuais renúncias (como as necessárias para o monitoramento digital nas empresas) não podem ser gerais, inespecíficas, permanentes, ilimitadas ou abusivas.

Ao mesmo tempo, o empregador tem o direito de monitorar sua estrutura computacional; até porque ele responde pelos atos dos empregados quando estes o praticam sob sua estrutura. O monitoramento da atividade dos empregados tem a função preventiva de identificar potenciais desvios ou riscos para atividade. Vemos, portanto, que os dois direitos (privacidade X direito de monitorar) devem coexistir em harmonia sem que um se sobreponha ao outro. No entanto como fazer com que eles convivam em harmonia?

Em primeiro lugar, o monitoramento deve ser previsto nas Políticas de TI da empresa. A própria ISO 27002 fala em seu item 10.10 sobre a observância de requisitos legais da atividade de monitoramento. Além do mais, o monitoramento deve ser comunicado antecipadamente a sua realização, através de termos de ciência, do contrato de trabalho ou ainda através dos logon banners. Isto tudo para afastar qualquer expectativa de privacidade que o empregado possa ter na utilização dos recursos. No caso de relações entre empresas, se houver necessidade de monitoramento ou interceptação de comunicações (incluo aqui os famosos penetration tests), tal deve ser expressamente previsto em contrato, para evitar a quebra ilegal da privacidade.

Outro ponto importante é a questão do uso pessoal dos recursos da empresa. Se a empresa permite que o funcionário use sua estrutura para atividades pessoais (incluindo acesso a homebanking, comunicações com parentes, advogados ou médicos), tais comunicações não podem ser objeto de monitoramento. A operacionalização desta limitação pode ser um problema para a equipe, sendo a proibição do uso pessoal recomendada.

O monitoramento deve ser feito de maneira mais impessoal possível, automática e sem representar perseguição ou abuso de poder por parte do empregador. Alerta-se que se o empregador comunica que vai monitorar, deve sempre monitorar em bases periódicas, sem discriminação entre cargos ou setores. Caso isso não aconteça há o risco do empregado alegar perseguição, se conseguir provar que o empregador nunca monitorou nenhum funcionário, em nenhuma circunstância, mas em contrapartida monitorou excessivamente um único funcionário. Já publicação de logs e produtos de monitoramento dentro da empresa, como acontece em algumas situações, além de potencialmente causar danos morais ao empregado caso revele informações pessoais, pode até configurar o conhecido assédio moral.

A produção de provas digitais (leia-se aqui também a produção de logs ou monitoramentos) com o desrespeito ao direito à privacidade, torna a prova nula obtida nula, prejudicando os fatos que dependem daquela prova. É a chamada prova ilegal. Além do mais há que se ter bastante cuidado com o monitoramento eis que, quando não autorizado ou feito de maneira desregrada, mesmo no ambiente empresarial, pode tipificar o crime de interceptação telemática ilegal, punido com pena de reclusão de 2 a 4 anos.

terça-feira, março 10, 2009

Curso de Direito da Tecnologia da Informação

Curso de Direito da Tecnologia da Informação



A partir do dia 21 de Março inicia-se o curso de Direito da Tecnologia da Informação, ministrado por mim, na LCSCursos em Porto Alegre. O curso é de pequena duração visando apresentar os pontos mais importantes da disciplina.

Serão três encontros aos sábados pela manhã. Maiores informações - inclusive a ementa do curso - podem ser obtidas diretamente no site da instituição, clicando aqui

sexta-feira, novembro 14, 2008

Transações bancárias não autorizadas e culpa exclusiva do correntista

Transações bancárias não autorizadas e culpa exclusiva do correntista

A jurisprudência brasileira cível ainda é vacilante quando trata da retirada indevida de dinheiro por criminosos através de home-banking. A maior parte dos julgados reconhece a responsabilidade objetiva do banco fazendo a relação de que basta haver o dano e o nexo causal sem a necessidade de existência de culpa por parte do banco. Entende-se que se o sistema permite a manipulação indevida das contas ele seria, por concepção, inseguro.No entanto, a questão não é tão simples assim.

Outros julgados eximem o banco da responsabilidade ao entender que houve culpa exclusiva do correntista. Em geral alega-se que o sistema é totalmente seguro e que a invasão da conta deu-se por negligência do correntista. A Código de Defesa do Consumidor, quando explica a questão da responsabilidade objetiva aplicada aos serviços assim diz no §3°, inc. III do artigo 12:

§3 - O fabricante, o construtor, o produtor ou importador só não será responsabilizado quando provar:
...
III - a culpa exclusiva do consumidor ou de terceiro.

Um dos leading cases sobre a culpa exclusiva do usuário de Internet por negligência é a APC. 70011140902, do TJRS. Assim diz a ementa:

APELAÇÃO. DECLARATÓRIA DE INEXISTÊNCIA DE DÉBITO. TELEFONIA. SERVIÇO NÃO PRESTADO. COBRANÇA. INSCRIÇÃO NO SERASA. Internet. conexão a provedor internacional. vírus. A ligação telefônica internacional para a Ilha Salomão, que ocasionou o alto valor cobrado na fatura emitida pela ré, decorreu de discagem internacional provocada por vírus instalado na máquina do autor. Quem navega na rede internacional (WEB) deve, necessariamente, utilizar um programa 'anti-vírus' para evitar tais acontecimentos. Negligência do autor. Inexistência de ato ilícito atribuível à Embratel. AÇÃO IMPROCEDENTE. APELAÇÃO IMPROVIDA.

No entanto para a caracterização dessa culpa exclusiva deve haver o cumprimento do dever de informar da instituição bancária. O banco deve sempre informar acerca dos riscos de utilização do serviço. Este dever de segurança é um direito básico do consumidor assim explicitado no art. 6°, inc. III:

Art. 6° - São direitos básicos do consumidor:
...
III - a informação adequada e clara sobre os diferentes produtos e serviços, com especificação correta de quantidade, características, composição, qualidade e preço, bem como sobre os riscos que apresentem;

Vemos também a menção no art. art. 9° do CDC:

Art. 9° - O fornecedor de produtos e serviços potencialmente nocivos ou perigosos à saúde ou segurança deverá informar, de maneira ostensiva e adequada, a respeito da sua nocividade ou periculosidade, sem prejuízo da adoção de outras medidas cabíveis em cada caso concreto.

A norma mais esclarecedora talvez seja a do art. 31 do CDC:

Art. 31 - A oferta e apresentação de produtos ou serviços devem assegurar informações corretas, claras, precisas, ostensivas e em língua portuguesa sobre suas características, qualidades, quantidade, composição, preço, garantia, prazos de validade e origem, entre outros dados, bem como sobre os riscos que apresentam à saúde e segurança dos consumidores.

É sabido que na internet é bastante comum a propagação de vírus (ou códigos maliciosos) que realizam as mais variadas funções. Alguns destes tem a função específica de conseguir capturar os caracteres digitados no teclado do computador, passando-os para o criminoso. Os tribunais entendem que caso o banco realize campanhas ostensivas de segurança, ele cumpriria com o dever de informação eximindo-se assim de qualquer responsabilidade em caso de invasão dos computadores dos seus clientes. A pergunta que deve ser feita é a seguinte: Será que um sistema inseguro, pode ter sua insegurança compensada pelo cumprimento do dever de informar? Na nossa opinião, a resposta é negativa.

O dever de informação deve ser satisfeito de maneira que cumpra sua função, nos termos dos artigos acima citados. A informação passada acerca do serviço deve ser eficiente para cientificar completamente o cliente do banco acerca de suas responsabilidades específicas, caso haja. O cliente necessita ter, com a informação prestada, condições de escolha sobre o uso do serviço.

O professor Christoph Fabian (O Dever de Informar no Direito Civil. São Paulo:RT, 2002) ao tratar do dever de informar, assim preceitua:

A instrução deve ser clara, ostensiva, e facilmente compreensível para o consumidor. Tais instruções não devem ficar escondidas entre elogios do produto ou alguma propaganda. p. 147
...
Uma informação é ostensiva quando se exterioriza de forma tão manifesta e translúcida que uma pessoa, de mediana inteligência, não tem como alegar ignorância ou desinformação. p. 150

Nota-se que as campanhas promovidas pelos bancos mais parecem propagandas do que reais advertências sobre o uso do sistema. Com as campanhas atuais, muitas vezes escondidas, não há como garantir a ostensividade da informação exigida pelo CDC. Quem pode, por exemplo, negar a ostensividade das advertências dispostas nas carteiras de cigarro? O autor ainda diz (p. 151) que a expressão "Beba com moderação" disposta nas bebidas, não é bastante ostensiva.

Há um mecanismo bastante interessante chamado pré-logon-banner, muito utilizado em ambientes corporativos e acadêmicos. Tal mecanismo consiste em pequenas janelas com informações, que são mostradas antes de alguém ter acesso ao sistema. Esses pré-logon-banners têm a função de passar informações para quem acessa o sistema. No ambiente corporativo eles têm a função de cientificar os colaboradores de que os sistemas são monitorados, que o uso deve ser apenas para fins profissionais, etc. Destaca-se que a informação é passada antes de se acessar o sistema. Caso a pessoa não concorde com aquelas regras apresentadas, não consegue acessar o sistema. Vemos que um dispositivo semelhante poderia ser adaptado nos sistemas de home-banking. Isso reforçaria o dever de informação do banco pela ostensividade do mecanismo. Não haveria como, antes do correntista acessar o sistema, não ler as recomendações de segurança.

Não percamos de vista também que os controles de Segurança da Informação são bastante complexos. É sabido que em incidentes de segurança, um dos aspectos mais explorados por criminosos é exatamente a parte humana da cadeia. E isso vale não apenas para ataques envolvendo home-banking, mas também para outros sistemas. O processo de explorar as vulnerabilidades humanas para conseguir informações é conhecido como "engenharia social". Aliado a isso deve ser dito que a atividade de tornar um sistema seguro não é tarefa simples. A cada dia descobrem-se novas vulnerabilidades dos sistemas, inconsistências em sistemas operacionais além de novas formas de explorar falhas. Os especialistas em Segurança da Informação dizem inclusive que não existe um sistema 100% seguro; sempre haverá uma forma de quebrá-lo, seja por forma técnica ou mediante a exploração das vulnerabilidades humanas.

A ciência da computação, ao tratar também da segurança da informação, utiliza a seguinte premissa "Nenhuma corrente á mais forte do que seu elo mais fraco". Ao que sabemos essa expressão foi cunhada originalmente por Arthur Conan Doyle (Nenhuma cadeia é mais forte do que seu elo mais fraco). A idéia é que todas as proteções de segurança aplicadas a um sistema tornam-se ineficazes se houver um ou mais controles ineficientes ou fracos. A segurança, então, é um processo que se não observado em todas as suas fases, torna o sistema mais ou totalmente inseguro. Fazendo uma analogia, é como se alguém trancasse todas as portas de sua casa mas deixasse uma janela aberta. Esse "elo mais fraco" é a parte humana e diga-se de passagem, todo o especialista em segurança da informação sabe disso. O banco inclusive sabe muito bem disso. Por saber disso, os sistemas devem ser adaptados e protegidos contra essa vulnerabilidade. A construção dos sistemas deve observar sempre tal vulnerabilidade. A questão é saber se um sistema que permite a exploração desta vulnerabilidade pode ser considerado potencialmente inseguro. Entendemos que tal situação torna sim o sistema inseguro nos termos do CDC. Tal insegurança provém, entre outras coisas, da disparidade de informações que tem o fornecedor e o consumidor. Como se disse, o consumidor não têm condições técnicas de avaliar corretamente os riscos provenientes do uso do home-banking; não há como se exigir do consumidor o conhecimento das técnicas de engenharia social utilizadas pelos criminosos. Isso foge do conhecimento do homem comum, do homem médio. Tais relações baseiam-se na confiança que o consumidor deposita no serviço de home-banking. Como ensina o professor Christoph Fabian, na obra já citada, a informação prestada pelo fornecedor deve atentar para os riscos do uso do produto ou serviço:

Os perigos previsíveis não são apenas aqueles que resultam do uso adequado. Eles abrangem também os perigos de utilizações erradas que podem naturalmente ou facilmente acontecer. p. 148

Por fim, entendemos que a interpretação da questão ainda deve evoluir. A doutrina e a jurisprudência devem ainda reforçar qual a extensão do dever de segurança. É urgente também que se defina se um sistema que permite a invasão através da exploração de vulnerabilidades humanas pode ser entendido como seguro. Ainda, é importante que não se perca de vista a responsabilidade objetiva dos fornecedores de serviços; esquecer-se disto seria esquecer-se de aplicar o CDC às relações consumeiristas.

segunda-feira, novembro 03, 2008

Quebra de sigilo telemático para obter prova em ações cíveis

Quebra de sigilo telemático para obter prova em ações cíveis

Recentemente tivemos notícia de uma decisão do TJSC (APC 2003.005260-7)t ratando sobre a quebra do sigilo telemático para ações indenizatórias. A questão do sigilo de comunicações é bastante discutida no Direito da Tecnologia em face da prática de ações no pretenso anonimato da rede, além dos computadores armazenarem fortes provas dos atos praticados. Este sigilo é protegido pela Constituição (CF art. 5° inc. XII), só podendo ser aberto em circunstâncias especialíssimas.

Em casos envolvendo danos na Internet é bastante comum que se ajuíze ações cautelares de produção antecipada de prova. Em geral ajuíza-se essa ação cautelar contra o provedor visando obter a identificação do dono do IP no momento da prática do ilícito. Após a "personalização" do endereço IP é possível ajuízar a ação indenizatória principal contra o autor do ato que provocou o dano. Interessante mencionar, à título de curiosidade, que a legislação processual americana permite ajuízar ações contra um réu indefinido. Explica-se: na legislação brasileira não é possível com uma única ação obter a identificação do ofensor e, na mesma ação, obter a indenização. São necessárias duas ações, uma para identificar o autor e a outra para obter a indenização. É preciso saber de antemão quem é o réu para iniciar-se um processo. O inconveniente disso é que são necessárias duas ações diferentes, com custas, honorários advocatícios, possibilidade de mais recursos, etc. No direito americano há as chamadas "John Doe Lawsuit". Quando portanto, não se sabe exatamente quem é o réu, ajuíza-se a ação contra contra um réu fictício (ficticious defendant). Quando descobre-se o réu, este é inserido na ação passando esta a correr contra aquele. Há uma economia de tempo e de esforços para se chegar ao resultado pretendido. É claro que a comparação entre o direto brasileiro (baseado no sistema romano-germânico chamado pelos americanos de Civil Law) e o direito americano (baseado no sistema anglo-saxão chamado pelos americanos de Common Law) é inaquada; são sistemas totalmente diferentes e incomparáveis, sendo tecnicamente impossível e inadequado apontar o melhor ou pior. Ressalta-se aqui essa curiosidade apenas por curiosidade, como se disse.

O caso julgado no TJSC tratava sobre uma medida cautelar de produção antecipada de prova visando a apreensão do computador do réu. O autor (que era um provedor) alegava ter sofrido um ataque. Através de uma ação anterior, pôde obter junto ao provedor Terra a identificação do usuário que supostamente efetuou a invasão. Após obter essa identificação, ajuízou a demanda cautelar para obter a busca e apreensão, o que foi deferido. Em grau de recurso, o réu pede a nulidade da busca e apreensão pela inconstitucionalidade da violação dos dados.

O cerne da discussão recai na possibilidade da quebra do sigilo telemático em ações cíveis. Em demandas criminais, a quebra de sigilo é adequada e freqüente; no entanto não o é em ações cíveis. A decisão cita a lei 9296/96 que autoriza a quebra de digilo apenas em casos de investigações criminais e quando os dados estão em tráfego. O conceito de interceptação traduz-se pela captura de dados enquanto estão sendo transmitidos. Se já houve a transmissão, não se fala mais em interceptação de dados, mas sim em busca e apreensão dos dados já gravados. Embora seja uma diferença bastante tênue ela é necessária e importante pois qualifica ou não a utilização da referida lei. É a conhecida distinção entre proteção aos dados e ao tráfego dos dados, ou à comunicação. Entende-se que a citada norma protege o tráfego e não os dados em si. Isso não quer dizer que os dados não sejam protegidos; apenas não o são pelo citado diploma legal.

A decisão termina por referir que não há como realizar a devassa dos dados guardados em computadores pessoais para a obtenção de prova cível. O direito penal, por tutelar de forma diferenciada os bens jurídicos, tem o poder de realizar a quebra de tais sigilos. Tomamos a liberdade de citar um fragmento da fundamentaçào do acórdão que muito bem explica a questão:

"Com efeito, se se liberar as entranhas do computador para produzir prova civil, a intimidade e a privacidade das pessoas estará liquidada. Como exercício especulativo, imagine-se como isso seria utilizado no delicado campo do Direito de Família."

A íntegra da decisão pode ser encontrada aqui.

sexta-feira, agosto 15, 2008

O Orkut utilizado para o cometimento de ações criminosas

O Orkut utilizado para o cometimento de ações criminosas

Neste semana três situações bastante peculiares chamaram atenção por envolverem o Orkut sendo utilizado como meio de cometimento de ações danosas.

A tecnologia, por si só, não é boa nem má: é axiologicamente neutra. Seu aspecto negativo ou positivo é dado pela intenção do usuário; é assim com todas as ferramentas tecnológicas, não sendo diferente com o Orkut.

É sabido que várias ações danosas são diariamente praticadas através do Orkut, entre outras, a criação de perfis falsos, o envio de mensagens e a criação de comunicades ofensivas algumas delas tipificando inclusive alguns dos crimes contra a honra. Também já se viu a ocorrência de crimes de difusão de pornografia infantil, apologia a crime ou criminoso, incitação ao crime, instigação ao suicídio e até tráfico de drogas através da utilização de redes sociais.

A primeira situação ocorreu em Curitiba, onde um homem foi preso por aplicar golpes pela Internet. Conforme notícia da Folha On Line, ele utilizava-se do Orkut para aproximar-se das vítimas tendo aplicado golpes no valor de mais de R$ 80.000,00 em duas médicas da cidade. O cidadão já responde a processos pelo crime de estelionato.

A segunda situação ocorreu em São Paulo, segundo o site da Info Online, onde uma falsa ameaça de bomba foi propagada através desta rede social. Um prédio foi esvaziado em função da comunicação. Segundo a notícia um inquérito foi iniciado para apurar responsabilidades. Possivelmente há a tipificação do crime de comunicação falsa de crime ou contravenção ou, dependendo das circunstâncias a tipificação do crime de ameaça.

O terceiro e último caso, ocorreu em Santa Catarina, conforme informação do site Consultor Jurídico. Um advogado, criou perfis falsos de duas pessoas. Em tais perfis realizou ele uma montagem com fotos pornográficas envolvendo uma das vítimas e no outro atribuiu preferências homossexuais a outro, namorado da primeira vítima. Após investigação policial o autor dos perfis falsos foi preso em flagrante em uma lan house, acusado do crime de falsidade ideológica.

Este último caso merece uma atenção mais aprofundada sobre da tipificação legal destes crimes. Vejamos como está descrito, em nosso Código Penal, o crime de falsidade ideológica. Assim reza o art. 299:

Omitir, em documento público ou particular, declaração que dele devia constar, ou nele inserir ou fazer inserir declaração falsa ou diversa da que devia ser escrita, com o fim de prejudicar direito, criar obrigação ou alterar a verdade sobre fato juridicamente relevante:
Pena - reclusão, de um a cinco anos, e multa, se o documento é público, e reclusão de um a três anos, e multa, se o documento é particular.

Certamente um perfil do Orkut não pode ser considerado como um "documento público ou particular". Embora parecer-nos certa a existência de um grave dano moral às vítimas, devemos notar que não podemos utilizar a analogia para tentar efetuar condenações, como nos ensina o princípio da proibição da analogia "in malan parte". Em sendo assim, a analogia não poderia ser utilizada aqui para abranger como documento particular uma página na internet. O conceito de documento está ligado ao seu suporte fático, não podendo abranger documentos eletrônicos. Ademais para a configuração do crime de falsidade ideológica, deve ter o autor a incumbência de preencher o documento e preenche-o com declaração falsa. Certamente, nesta situação, não tinha o autor a incumbência de criar perfis no orkut para os ofendidos. Ainda a expressão "fato jurídico relevante", deve ser considerada nesta situação. Ao manifestar-se sobre esse crime diz E. Magalhães Noronha, em Direito Penal, v. IV, p. 161: "é mister que a declaração falsa constitua elemento substancial do ato de documento. Uma simples mentira, mera irregularidade, simples preterição de formalidade, etc., não constituirão." Luiz Regis Prado, nos seus comentários ao Código Penal, nos ensina: "A falsidade feita com exclusivo animus jocandi, ou sem qualquer interesse jurídico, não configura o delito. Não é a mera mentira que se pune, mas a ofensa à veracidade naquilo que o ordenamento jurídico entende necessário, o que se depreende da própria exigência legal de que se trate de falsidade relativa a fato juridicamente relevante.
A conduta, mesmo sem a existência de um crime atual que a classifique, provavelmente poderia ser tipificada também como inserção de dados falsos em sistema de informatizado. Nosso código penal passou a definir crime semelhante, quando modificado pela lei 9983/2000. Porém o tipo penal aplica-se apenas a funcionários públicos quando praticarem a conduta em sistemas da administração pública. Assim reza o art. 313-A do CP.

Inserir ou facilitar, o funcionário autorizado, a inserção de dados falsos, alterar ou excluir indevidamente dados corretos nos sistemas informatizados ou bancos de dados da Administração Pública com o fim de obter vantagem indevida para si ou para outrem ou para causar dano:" (AC)
Pena – reclusão, de 2 (dois) a 12 (doze) anos, e multa." (AC)

O substitutivo aos PLS 76/2000, PLS 137/2000 e PLC 89/2003, de autoria do senador Eduardo Azeredo, caso transformado em lei, abrangeria essa conduta como criminosa. O projeto infelizmente não traz o tipificação do crime de inserir dados falsos em sistema informatizado. No entanto, poderíamos realizar a tipificação como crime de falsificação de dado eletrônico ou documento particular. O art. 16 do projeto de lei define como dados informáticos, qualquer representação de fatos, informações ou de conceitos sob forma suscetível de processamento numa rede de computadores ou dispositivo de comunicação ou sistema informatizado. É através da equiparação legal do art. 16 do projeto de dado informático como "representação de fatos" que poderia haver a tipificação. Atualmente, como não há a equiparação legal de "dado" à coisa, e também pelo crime atual de falsificação não trazer em seu bojo a falsificação de "dados" é que não poderia ser realizada a tipificação com base nesse crime.

terça-feira, junho 24, 2008

Legislação Brasileira sobre Crimes Digitais

Legislação Brasileira sobre Crimes Digitais

Como amplamente divulgado pela mídia, o Brasil está prestes a adotar uma legislação sobre Crimes Digitais. O substitutivo dos projetos de lei PLC-89/2003; PLS-137/2000; PLS-76/2000 (que pode ser lido aqui) já foi aprovado pela Comissão de Constituição, Justiça e Cidadania do Senado (a tramitação pode ser acompanhada aqui).

Tal legislação já era esperada há muitos anos (os primeiros projetos datam de 2000) uma vez que diversas condutas ofensivas quando praticadas aqui no Brasil não encontram na legislação a tipificação adequada. Hoje, com a atual legislação, quem invade um site e apaga informações, por exemplo, não comete nenhum crime.

Ao mesmo tempo que o projeto vem para preencher uma grande lacuna na legislação, ele traz alguns problemas que poderiam (e ainda podem) ser evitados.

Um dos primeiros problemas é que o substitutivo nada trata acerca da questão dos Direitos Autorais. O projeto poderia ter avançado para tratar também sobre a delicada questão dos crimes envolvendo Direitos Autorais. Talvez a descriminalização de algumas condutas, bem como da especificação do conceito de "violação de direitos autorais" fossem bem-vindas.

No entanto o grande problema do substitutivo é a questão da obrigação de armazenamento dos logs. Hoje, a Comissão de Tecnologia da Informação do Conselho Federal da OAB, da qual fazem parte duas grandes autoridades brasileiras no Direito da Tecnologia, Marcel Leonardi e Alexandre Atheniense, divulgou uma nota acerca do substitutivo.

O cerne da questão é o caput do art. 22 do substitutivo que estabelece a obrigatoriedade dos provedores de acesso armazenarem seus logs por no mínimo 3 anos. O problema é que da forma como foi redigido, o artigo limita essa obrigação apenas aos provedores de acesso retirando a obrigatoriedade de provedores de conteúdo ou de serviços. Portanto, segundo este artigo, os provedores de serviços como as redes sociais por exemplo, não teriam a obrigação de armazenamento.

A íntegra da nota pode ser lida diretamente no blog do Dr. Alexandre Atheniente, clicando aqui, ou através do endereço http://www.alexandreatheniense.com.br/ no link "Últimas Notícias".

sexta-feira, fevereiro 22, 2008

Perda e furto de dispositivos móveis - Notícia

Perda e furto de dispositivos móveis - Notícia

Complementando o último post acerca da perda de dispositivos móveis, trago mais uma notícia de um fato ocorrido no dia 20 de Fevereiro desse ano.
Foi roubado um notebook, na cidade de Nova York, contendo os registros de aproximadamente 171.000 doadores de sangue. A lista era composta apenas por Irlandeses. Como as informações estavam criptografadas, a reportagem salienta que há uma "remota" chance de que venham a ser acessados.
Como forma de mitigar as conseqüências jurídicas do incidente, o Irish Blood Transfusion Service já colocou um 0800 à disposição dos atingidos. No entanto tal incidente representaria um potencial risco jurídico, uma vez que o mau uso desses dados por terceiros, em tese, pode fazer com que órgão venha a ser responsabilizado pela falha na guarda das informações. Digo representaria, uma vez que o fato dos dados estarem criptografados anula praticamente a chance do acesso por terceiros.
Como foi dito no último artigo, os danos financeiros podem ser imensos. Vejam que nesse caso o órgão já começou a disponibilizar uma estrutura de atendimento aos interessados, o que representa custo.
A íntegra da notícia pode ser lida aqui. A fonte é o jornal The Irish Times.

quinta-feira, fevereiro 21, 2008

Perda e furto de dispositivos móveis

Perda e furto de dispositivos móveis

Achei interessante fazer mais algumas considerações sobre este assunto, aproveitando ainda os recentes acontecimentos dessa natureza ocorridos com a Petrobras.

A dependência cada vez mais crescente que as organizações têm da informação digitalizada é inegável. Segredos industriais, planos de negócios, dados financeiros, folhas de pagamento, projetos estratégicos, e-mails corporativos, enfim: praticamente todas as informações necessárias para o funcionamento de uma organização estão armazenados digitalmente. A perda de tais informações pode acarretar perdas econômicas imensas para a empresa.

Não é raro, no entanto, os responsáveis pela TI negligenciarem os cuidados ao armazenamento e transporte de tais dados. E isso ocorre mesmo em face dessa dependência total da informação digitalizada. É muito comum funcionários transitarem portando notebooks recheados de informações estratégicas e confidenciais. As boas práticas de Segurança da Informação aconselham que dispositivos móveis (notebooks, pda's, drives móveis, etc) estejam com seus dados criptografados. Isso faz com que na eventualidade da perda ou roubo dos dispositivos, não haja a possibilidade de haver a leitura dos dados nele armazenados. Caso isso ocorra, a perda se dá apenas no valor do hardware perdido ou furtado. Estes, ao contrário das informações, em geral tem baixo valor para a organização e podem ser facilmente repostos. Uma informação estratégica perdida, como já se disse, pode representar uma perda monetária imensurável.

O que se disse até agora não é novidade para a maioria das empresas. Qualquer análise de risco identifica o potencial risco de carregar informações sensíveis em dispositivos móveis sem contar com procedimentos de criptografia. Com isso pergunta-se: Por que ainda ocorrem incidentes envolvendo perda de informações em dispositivos móveis? Por que as empresas insistem aceitar um risco que pode ser facilmente evitável?

A primeira resposta diz respeito à resistência dos donos da informação de seguirem as regras de proteção estabelecidas nas políticas (quando elas existem). Muitas empresas possuem, em suas políticas as determinações acerca de criptografia de dados mas, no entanto, os envolvidos não compreendem o alcance e importância da norma. Com isso o maior problema é realmente a falha e o erro humano.

Outra resposta, por mais simplória que possa parecer, é que em geral vige nas organizações a idéia de que incidentes ocorrem apenas com os outros. E isso ocorre em todo o mundo, não apenas aqui no Brasil. No dia 14 de Fevereiro, em um hospital da Inglaterra, foi roubado um notebook contendo dados médicos de mais de 5000 pacientes. A perda para o hospital é imensurável! Além do dano à imagem, que pode ser medido pela perda de clientes e de credibilidade, há o risco de processos envolvendo a divulgação indevida dos dados perdidos além é claro do risco de desrespeito à legislação local sobre segurança de dados. Em geral, em tais situações, a empresa afetada contrata consultorias para amenizar as perdas. Quando tal perda ocorre com bancos é comum os bancos contratarem consultorias financeiras especializadas para acompanhar as contas dos clientes tentando previnir eventuais desvios, numa demonstração de boa-fé.

Tal caso lembra uma outra situação ocorrida nos EUA em que um cracker conseguiu interceptar dados médicos de pacientes de um hospital através de uma rede sem fio. O que em um primeiro momento podia indicar um fato sem importância, acabou tornando-se um caso sério de extorsão. O criminoso selecionou os dados de pacientes que eram portadores do vírus da AIDS e, com isso, passou a chantageá-los para não divulgar publicamente tal informação. Importa lembrar que os EUA possuem uma norma federal regulando o controle de informações médicas dos pacientes: é o conhecido HIPPA (Health Insurance Portability and Accountability Act).

Do ponto de vista jurídico é importante citar que a negligência no que diz respeito à guarda de dados é jurídicamete relevante. Caso trate-se de relação negocial comum, irá se apurar a responsabilidade subjetiva dos responsáveis pela informação no caso de seu furto ou perda. Há um dever, mesmo que tácito e não disposto nos contratos, de zelar pelo armazenamento de informações confidenciais Tal dever pode ser entendido com um dever anexo ao dever geral de cuidado, dever este advindo da regra da boa-fé objetiva. Além do mais, a perda de informações pode consubstanciar a violação de algum eventual Acordo de Confidencialidade (também conhecido como NDA - Non-disclosure agreement).

Na seara consumeirista, vige o conceito de responsabilidade objetiva. Isso significa que não se discutirá a existência de culpa sobre a perda ou divulgação indevida dos dados em uma relação de consumo. Basta haver o dano e o nexo causal.

Em face disso nota-se que os responsáveis pelo setor de TI das organizações devem sempre observar as melhores práticas do setor acerca da proteção e segurança das informações armazenadas em dispositivos móveis.


Um dia após o fechamento desse post, precisamente 21 de Fevereiro de 2008, a Computerworld publicou uma notícia intitulada "A lição do roubo na Petrobras". A notícia versa sobre a gestão da segurança da informação e seu conteúdo complementa de certa forma o que foi aqui escrito.
A notícia pode ser vista clicando aqui.

sexta-feira, fevereiro 15, 2008

Informações confidenciais, dispositivos móveis e o caso Petrobras

Informações confidenciais, dispositivos móveis e o caso Petrobras

A mistura de informações confidenciais e dispositivos móveis pode ser realmente explosiva caso não existam controles técnicos adequados. Há muito tempo o noticiário internacional tem trazido notícias sobre incidentes envolvendo furtos e perda de dispositivos móveis. Os profissionais de Segurança da Informação estão bastante habituados em encontrar situações assim. Há casos célebres envolvendo perda de fitas com dados sobre empregados, notebooks contendo dados do seguro social, etc. O FBI, por exemplo, sofreu 160 incidentes assim em quatro anos (http://idgnow.uol.com.br/seguranca/2007/03/12/idgnoticia.2007-03-12.8167257255/).

No Brasil recentemente tivemos um caso envolvendo o furto de um notebook da Polícia Militar do RJ. Segundo a reportagem o comandante Geral da PM teve seu notebook furtado e as informações sigilosas foram parar nas mãos de criminosos da Favela da Rocinha.

Erros humanos quase sempre estão presentes em casos envolvendo perda de informações confidenciais. Uma pesquisa do IT Policy Compliance Group demonstrou uma estatística interessante sobre a perda de dados: 50% dos incidentes dessa natureza são causados por erros humanos enquanto que a violação das políticas é responsável por 25% dos incidentes (http://idgnow.uol.com.br/seguranca/2007/03/12/idgnoticia.2007-03-12.8167257255/).

Em face disso é que a preocupação com a Segurança da Informação não deve ser apenas da equipe de tecnologia. Além do mais o foco de preocupação não deve ser apenas em cima de computadores, mas em cima do processo como um todo. Nesse passo a Segurança da Informação, deve abranger não apenas a informação digitalizada. Como a própria norma ISO IEC NBR 17799 nos ensina, processos de segurança envolvem Segurança Física, Segurança em Recuros Humanos, análise de requisitos legais em contratos, etc.

Um dos principais motivos para que os profissionais do Direito da Tecnologia devam se preocupar com esses assuntos é a grande auxílio preventivo que atividade jurídica presta em situações dessa natureza. A elaboração de contratos de outsourcing prevendo os termos de responsabilização de cada parte incluindo multas, é um ponto muito importante nessa atividade. A previsão, também nos contratos, da observância das normas internacionais de segurança pode ser interessante para nortear a conduta dos envolvidos. Também o auxílio da equipe de Segurança da Informação através da orientação jurídica é outro ponto importante. Ao mesmo tempo uma análise do eventual risco jurídico envolvendo processos TI é uma atividade que se realizada com a devida atenção pode evitar perdas no futuro. Casos como esse podem gerar muitos processos judiciais além do dano à imagem, sem contar é claro com os impactos econômicos.

Por outro lado, os especialistas em Segurança da Informação que trabalham com análise de risco sabem que são tomadas decisões sobre de quais os riscos serão suportados ou não pela organização. Uma empresa dificilmente irá controlar e evitar a concretização de todas as ameaças envolvendo a Segurança da Informação. Isso seria virtualmente impossível. Em algumas situações a empresa pode aceitar suportar um risco advindo de determinada ameaça. Nesses casos é realizada também uma análise em relação ao custo do controle do risco em questão: caso seja mais caro controlar o risco do que aceitá-lo provavelmente a organização pode não realizar ações de controle. Ao mesmo tempo há diversas variáveis envolvendo probabilidade, ativos atingidos, grau de importância do ativo que suportaria o risco, etc. Todas essas atividades podem ser previstas contratualmente. Não é raro prestadores de serviços terem que aderir às políticas de segurança da informação das empresas e isso é determinado nos contratos.

É importante notar que incidentes envolvendo a perda ou furto de dados confidenciais envolvem, entre outras coisas: as disposições contratuais que regem a relação entre as partes envolvidas (e avaliação das práticas de outsourcing); a reavaliação e observação das práticas de Segurança de Informação da organização; o dano à imagem da empresa bem como as repercussões que o ocorrido podem causar no mercado (queda no valor de ações, relação com investidores, etc). Além de tudo isso há também repercussões criminais sobre tais incidentes.

Sabe-se que a manipulação e armazenamento de informações confidenciais em dispositivos móveis na maioria dos casos utiliza recursos de criptografia para a segurança. Criptografar informações em dispositivos móveis é um processo relativamente simples e que pode ser feito com baixo custo para uma organização. Existem atualmente ferramentas gratuitas e disponíveis na plataforma de software livre, oferecendo inclusive recursos bastante avançados.

Para a correta aplicação e gerenciamento dos recursos criptográficos o ideal é que tal seja previsto na Política de Segurança. Porém ambiente corporativo conhece há muito os problemas relativos a sua efetiva aplicação e cumprimento. Lembro-me de um excelente artigo publicado no blog do especialista em Segurança da Informação, Anderson Ramos. O nome do artigo é "Como não implementar medidas de segurança". Lá ele faz um apanhado de algumas situações e dificuldades na aplicação de controles de segurança da informação. A visão do autor elucida bastante as reais dificuldades encontradas na atividade.

Nos famosos casos americanos em que notebooks são perdidos ou furtados é comum as imprensa relatar que apesar da Política da Empresa prever diretrizes acerca da criptografia de dados, os dados envolvidos não estavam criptografados. Essa é outra demonstração das dificuldades envolvendo a aplicação de controles de segurança da informação. Na presente situação, não tivemos conhecimento ainda dos termos da Política de Segurança da Informação da Petrobras. No entanto, é bastante provável que ela preveja o armazenamento criptografado em dispositivos móveis. Em geral as Políticas de Segurança são baseadas na norma ISO IEC NBR 17799 que trata sobre esse assunto. Além do mais a impresa não noticiou mas é possível que tais equipamentos furtados estejam com seus dados criptografados o que faz com que esses dados estejam virtualmente inacessíveis.

Quanto aos aspectos criminais do ocorrido, em primeiro lugar, uma informação básica é que não se trata de roubo de informações. O roubo envolve violência ou grave ameaça à pessoa, o que, em princípio, não houve. Em segundo lugar, se houvesse o roubo, ele seria dos equipamentos e não das informações. Nesse caso, com as informações preliminares, houve (entre outros crimes) um furto qualificado pela destruição de obstáculo. A Polícia Federal, trabalha com várias linhas de investigação. Uma delas é realmente a ocorrência de um furto sem que os envolvidos soubessem que se tratava de equipamentos contendo informações sigilosas. Mesmo assim, a linha principal é que realmente a ação tenha sido direcionada para a apropriação das informações.

É importante destacar também que ações como essa podem ocorrer com muito mais freqüência do que imaginamos. Uma ação bem sucedida de apropriação de informações especificamente realizada no ambiente digital pode ser feita sem deixar praticamente nenhum vestígio. A interceptação de e-mails e de conversas de Instant Messengers, pode ocorrer através da instalação de spywares ou vírus. Redes sem fio também são um vetor para esse tipo de interceptação. Os ataques tem se tornado cada vez mais direcionados. E em geral, ao contrário do que muitas políticas pregam, informações confidenciais transitam por e-mail não criptografados o que, potencialmente, é um risco para a segurança dessas informações.

Até esse momento consegui identificar que provavelmente o crime seja tipificado como crime contra a segurança nacional (Lei 7170/83) (além do crime de formação de quadrilha). Diz-se isso uma vez que segundo a imprensa comenta, estariam em jogo informações atinentes à segurança nacional entregues à grupo estrangeiro. O art. 13 dessa lei dessa lei é claro em definir:

Art. 13 - Comunicar, entregar ou permitir a comunicação ou a entrega, a governo ou grupo estrangeiro, ou a organização ou grupo de existência ilegal, de dados, documentos ou cópias de documentos, planos, códigos, cifras ou assuntos que, no interesse do Estado brasileiro, são classificados como sigilosos.
Pena: reclusão, de 3 a 15 anos.
Parágrafo único - Incorre na mesma pena quem:
...
IV - obtém ou revela, para fim de espionagem, desenhos, projetos, fotografias, notícias ou informações a respeito de técnicas, de tecnologias, de componentes, de equipamentos, de instalações ou de sistemas de processamento automatizado de dados, em uso ou em desenvolvimento no País, que, reputados essenciais para a sua defesa, segurança ou economia, devem permanecer em segredo.


Caso não se trate de informações envolvendo a segurança nacional entendo que o crime seria caracterizado na Lei de Propriedade Industrial (9279/96). Em geral esta última lei classifica tais crimes como concorrência desleal. Não há, portanto, no Brasil uma lei definindo o crime de Espionagem Industrial. A tipificação que mais se adequa ao caso, conforme a lei de Propriedade Industrial está no art. 195. Vejamos:

Art. 195. Comete crime de concorrência desleal quem:
XI - divulga, explora ou utiliza-se, sem autorização, de conhecimentos, informações ou dados confidenciais, utilizáveis na indústria, comércio ou prestação de serviços, excluídos aqueles que sejam de conhecimento público ou que sejam evidentes para um técnico no assunto, a que teve acesso mediante relação contratual ou empregatícia, mesmo após o término do contrato;
XII - divulga, explora ou utiliza-se, sem autorização, de conhecimentos ou informações a que se refere o inciso anterior, obtidos por meios ilícitos ou a que teve acesso mediante fraude;
...
Pena - detenção, de 3 (três) meses a 1 (um) ano, ou multa.

Por fim o presente caso deve servir como fonte de reflexão não só para os advogados que atuam no Direito da Tecnologia como também nos profissionais de Segurança da Informação. É a prova de que a má-gestão da Segurança da Informação pode trazer conseqüências muito maiores do que o comumente imaginado.


Related Posts Plugin for WordPress, Blogger...