quinta-feira, junho 28, 2012

Indicação (e download) de obra sobre Direito da Tecnologia

    Tive notícia do lançamento da fantástica obra "Inclusão Tecnológica e Direito à cultura: movimentos rumo à sociedade democrática do conhecimento". O livro é uma coletânea de artigos muito bem selecionada, e que conta com grandes nomes da área como José de Oliveira Ascensão e Carlos Afonso Pereira de Souza.

    Ele é editado pela Funjab e distribuído por meio de uma licença Creative Commons, o que permite que ele seja distribuído e reproduzido gratuitamente pela Internet, sem que isso represente uma violação de direitos autorais. Recomendo fortemente o download (e leitura).

    O download pode ser feito aqui. O link original da postagem foi feito pelo Grupo de Estudos em Direitos Autorais e Informação, o GEDAI, da Universidade Federal de Santa Catarina e pode ser acessado aqui.

segunda-feira, junho 25, 2012

Podcast Segurança Legal - Acesso remoto de terceiros

    No sexto episódio do podcast Segurança Legal abordamos o assunto "acesso remoto de terceiros".
    Atualmente é grande a parcela de empresas que permitem que terceiros (fornecedores de serviços, parceiros de negócio, clientes, etc) acessem sua infraestrutura de TI. Essa circunstância, quando mal conduzida, pode dar origem uma série de riscos de segurança de informação para todos os envolvidos.
    Analisamos os problemas mais comuns envolvidos nas situações de acesso remoto e propomos soluções tanto tecnológicas quanto jurídicas.
   O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário. 



O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui

sábado, junho 23, 2012

Análise preliminar da decisão do STJ que definiu prazo de 24 para retirada de material ofensivo da Internet

Trago alguns pensamentos que tive, em uma primeira leitura da decisão do STJ que envolveu a definição de prazo para retirada da Internet de conteúdos desabonatórios. Ressalto que se tratam de primeiras reflexões em uma análise preliminar e, nada impede, que eu venha a mudar meu posicionamento diante de uma análise mais apurada da situação. Para aqueles que ainda não leram a decisão, sugiro primeiro sua leitura (são apenas 10 páginas entre ementa e voto) para após fazerem a leitura de meu texto.

Recentemente, o STJ julgou uma ação que tinha por objeto a definição de qual seria o prazo razoável para a retirada de um conteúdo da Internet após o recebimento de notificação pelo provedor de conteúdo (no caso o Google, mantenedor do Orkut). A referida "notificação" consistia naquela realizada por meio da ferramenta "denúncia de abuso". Essas ferramentas são comuns em provedores de conteúdo, tendo por fim a comunicação do provedor sobre eventuais conteúdos ilícitos, uma vez que este não possui um dever anterior de monitoramento do que é publicado. A decisão determinou que se, após a notificação, o provedor não retirar o conteúdo em 24 horas, fica responsável solidariamente com "o autor direto do dano".

Inicialmente, espanta-me o fato de que a decisão ignorou completamente o que vem sendo amplamente discutido por juristas de todo o Brasil na formação do projeto de lei conhecido como "Marco Civil". Evidentemente trata-se de um projeto de lei, mas, no entanto, caminha de forma muito determinada para aprovação e transformação em lei. Seu art. 15 assim estabelece:

"Salvo disposição em contrário, o provedor de aplicações de Internet somente poderá ser responsabilizado por danos decorrentes de conteúdo gerado por terceiro se, APÓS ORDEM JUDICIAL ESPECÍFICA, não tomar as providências para, no âmbito do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontando como infringente."

Como pode ser observado, o Marco Civil estabelece a necessidade de ordem judicial que irá determinar não apenas a pertinência da retirada do material, bem como, definir o prazo adequado diante da complexidade da demanda.

Não se discute o fato de que a decisão procura equacionar e compatibilizar, basicamente, dois interesses: por um lado a liberdade de expressão e, por outro, a proteção daqueles que forem lesados por meio de conteúdos ofensivos. No entanto, não pode ser afastado o fato de que a definição da ilicitude de um material publicado na Internet deve passar obrigatoriamente pelo crivo do judiciário. No afã de proteger os interesses dos ofendidos na Internet, a decisão estabelece a desnecessidade de recorrer ao judiciário, dando aos provedores o poder de "julgar" o que venha a ser um "conteúdo desabonador". O raciocínio é perigoso e, se aplicado a outras situações, pode gerar situações bastante perigosas para a própria liberdade de expressão.

Outro ponto relevante: é possível estabelecer, de antemão e para todos os casos, um tempo específico para a retirada do conteúdo? Não seria mais adequada e correta a análise do caso concreto - como prevê o Marco Civil - para, só assim, verificar se houve negligência ou inércia do provedor? De qualquer forma, o objeto da lide julgada pelo STJ era justamente a definição do que pode ser entendido como "prazo razoável" para que páginas sejam retiradas do ar. E a decisão segue a diretriz de que o provedor, uma vez notificado, deve agir de forma enérgica e urgente. Portanto, a definição do prazo de 24 horas foi assim definida diante das "peculiaridades que cercam a controvérsia" o que não impede que seja necessário um prazo maior para questões mais complexas. Não vejo como afastar a análise do caso concreto para a definição do prazo de retirada do material, questão que só pode ser decidida pelo judiciário.

Pergunto-me também como agirão as empresas, diante desse precedente, que se sentirem prejudicadas com blogs e comunidades que realizam críticas a produtos ou serviços. Talvez a decisão motive uma enxurrada de solicitações de retirada de material por empresas que se sentirem afetadas por críticas, resenhas desabonatórias de produtos, etc. O mesmo pode ser dito, também, em situações de alegadas violações de direitos autorais.

Uma outra pergunta que deve ser feita: qual será a ação do provedor que ficar em dúvida diante da solicitação de retirada de algum material? O provedor decidirá pela preservação da liberdade de expressão ou decidirá pela retirada do material para, com isso, eximir-se de qualquer responsabilidade? A resposta parece evidente.

A responsabilização solidária do provedor pela não retirada do material em 24 horas só dá um incentivo a ele: a retirada de todo e qualquer material que for objeto de notificação. Por que o provedor iria se arriscar a ser solidariamente responsável se ele pode, simplesmente, remover o material? Certamente é mais seguro para o provedor retirar o material e aguardar uma eventual ação baseada na retirada indevida do que não retirar o material e ser solidário com o ofensor. Destaque-se também que o dano pela publicação do material na Internet é sempre alto e a jurisprudência brasileira já vem se posicionando, há muito, em utilizar a função punitiva das indenizações, o que pode ampliar os valores das condenações.

A decisão menciona também que o provedor deve tomar as medidas judiciais cabíveis contra aqueles que "abusarem da prerrogativa de denunciar". Será? Parece-me, em primeira análise, que quem detém a legitimidade para propor eventual medida contra o abuso da prerrogativa de denunciar é a parte prejudicada, ou seja, aquele que teve a informação indevidamente retirada do ar, e não o provedor. Qual o interesse que o provedor teria de tomar um providência legal contra uma falsa denúncia? Não consigo enxergar qualquer interesse do provedor em uma situação assim. Inicialmente o provedor não sofre dano algum em uma situação de falsa denúncia, quem sofre é o titular do conteúdo indevidamente retirado. Para o provedor, pouco importa se o conteúdo estiver ou não publicado. A partir dessa decisão, sua preocupação maior será a de não ser condenado solidariamente com aquele que criou o conteúdo.

Por outro lado, também é possível defender a circunstância de que o usuário deve respeitar os termos de uso da rede social, em especial, aqueles que impedem a publicação de material ofensivo. Se o usuário não respeita os termos e, com isso, causa dano à empresa mantenedora do serviço, tem a empresa direito de obter a reparação dos danos provocados pelo usuário. Mesmo  assim, parece-me menor a probabilidade de ações por pessoas que tiverem perfis ou informações excluídos indevidamente em face de denúncias falsas ou dúbias. Note que para a exclusão de informações pretensamente ilícitas ou desabonatórias, não há mais a necessidade de ação judicial. No entanto continua havendo a necessidade de ação para a apuração do dano em situações de retirada indevida de material em função de denúncia falsa ou abusiva.

É certo, todavia, que os provedores precisarão implementar mecanismos de retirada de conteúdo e comunicação de abuso muito mais complexos bem como reorganizar completamente suas operações. Nada impede, inclusive, que seja dificultada ao máximo a realização das notificações feitas via as tradicionais ferramentas de abuso. No entanto, nada impede também, que o ofendido notifique extrajudicialmente o provedor que, uma vez notificado, deve prontamente retirar o conteúdo do ar. Após o recebimento dessa notificação extrajudicial, o provedor necessitará de uma organização interna muito eficiente para, em apenas 24 horas, retirar o conteúdo em questão.

Apenas à título de argumentação, será que essa disposição não poderia ser usada também em situações envolvendo manifestações de candidatos em período eleitoral? É certo que, como já há lei especial (9.504/97) tratando da matéria, essa deve ser aplicada ao caso concreto. Mas não seria mais fácil para um candidato, utilizar-se da notificação de abuso para solicitar a retirada de conteúdo "depreciativo" ou "ofensivo" em disputas eleitorais? E a propaganda extemporânea também estaria coberta? E o provedor, diante desse dilema, não teria sempre o incentivo pernicioso de retirar o conteúdo do ar para não ser responsável solidário?

Nota-se, igualmente, a importância que os termos de uso do Orkut tiveram no deslinde da questão. O voto da relatora ressalta que nos referidos termos de uso, a empresa destaca que uma vez realizada a denúncia de conteúdo ela pode "removê-lo imediatamente". Esta afirmação feita na política de uso foi levada em consideração pela relatora que entendeu, em face da afirmação, que o Google possui sim meios para a "exclusão imediata de conteúdo". Mesmo assim, merece ser dito, que certamente houve uma interpretação por demais literal dos termos de uso. Sem dúvida que o Google pode retirar o conteúdo "imediatamente" e possui meios para isso. O que necessita de mais tempo, por óbvio, é justamente a análise da pertinência da retirada ou da ilicitude do referido conteúdo.

Outro ponto que deve ser destacado na decisão é que o Google não comprovou de forma objetiva "as dificuldades para remoção dos dados de conteúdo desabonador", o que também apoiou a decisão da remoção urgente. Tivesse provado as dificuldades técnicas de remoção, talvez o desfecho fosse outro.

Em uma análise preliminar, como já disse, tenho a impressão que a decisão do STJ constitui um precedente perigoso. Vejo que a liberdade de expressão pode ser afetada, bem como a própria dinâmica de funcionamento das redes sociais. A responsabilização solidária dos provedores dá a eles o incentivo de retirar qualquer material que for objeto de notificação para, assim, eximir-se de responsabilidade. Além do mais, a decisão vai contra as disposições do Marco Civil da Internet, o que parece ser um verdadeiro retrocesso.

sexta-feira, junho 22, 2012

Norma Complementar nº 15/IN01/DSIC/GSIPR - Uso seguro das Redes Sociais na Administração Federal

Foi publicada no Diário Oficial da União do dia 21 de junho de 2012, a Portaria nº 38 do Conselho de Defesa Nacional (CDN) homologando a Norma Complementar nº 15/IN01/DSIC/GSIPR que estabelece as Diretrizes para o uso seguro das redes sociais nos órgãos e entidades da Administração Pública Federal, direta e indireta.

O download da Norma Complementar pode ser feito diretamente aqui.

terça-feira, junho 12, 2012

Podcast Segurança Legal - Interceptação Telemática

  No quinto episódio do podcast Segurança Legal abordamos o assunto "interceptações telemáticas".

   Como tanto as interceptações telemáticas, quanto as telefônicas, necessitam de autorização judicial e só podem ser realizadas em investigações criminais, convidamos um perito da Polícia Federal para falar sobre o assunto: o sr. Paulo Cesar Herrmann.

     O convidado é Bacharel e Mestre em Ciência da Computação pela UFRGS. Trabalhou como professor universitário ministrando cursos na UNISINOS e UNISC. Trabalha na Polícia Federal desde 2005 como Perito Criminal Federal atuando em perícias de informática e cursos de capacitação EAD.

   O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.

O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui


Shownotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para pesquisa.

segunda-feira, junho 04, 2012

O mercado de vulnerabilidades e o Futuro da Segurança

O presente artigo é uma tradução livre para o português do artigo "The Vulnerabilities Market and the Future of Security" do autor americano Bruce Schneier. A publicação e tradução só foi possível diante da autorização direta do autor. A única condição solicitada por ele foi a indicação do link original do artigo, que pode ser encontrado diretamente aqui. O artigo também foi publicado na revista americana Forbes.

O mercado de vulnerabilidades e o Futuro da Segurança
Por Bruce Schneier
Trad. Guilherme Damasio Goulart e Vinícius da Silveira Serafim


     Diversos artigos têm sido publicados sobre o novo mercado de “zero-day exploits"[1], envolvendo vulnerabilidades computacionais novas e sem correção. Eles não se referem apenas às empresas de software, as quais às vezes pagam recompensas para os pesquisadores que as alertarem sobre vulnerabilidades de segurança, podendo, assim, corrigi-las. Atualmente há também governos -  e empresas que vendem para governos - que compram vulnerabilidades com a intenção de as manterem em segredo para, após, poderem explorá-las.
    
        Esse mercado é maior do que as pessoas têm consciência e está se tornando ainda cada vez maior. Recentemente, a revista Forbes publicou uma lista de preços para os “zero-day exploits”, juntamente com a história de um hacker que recebeu U$ 250.000,00 de um “contratado do governo americano” (no início eu não acreditei na história e na lista de preços, mas fui convencido de que ambas eram verdadeiras). A revista Forbes publicou um perfil de uma empresa chamada Vupen, cujo negócio é vender “zero-day exploits”. Outras empresas estão nesse ramo e vão desde startups como a Netragard e a Endgame até grandes empresas de fornecimento de soluções de defesa como a Northrop Grumman, General Dynamics e Raytheon.

       A situação é muito diferente da ocorrida em 2007, quando o pesquisador Charlie Miller escreveu sobre as suas tentativas de vender os “zero-day exploits”; e também da pesquisa feita em 2010 que revelou não haver muito dinheiro envolvido na venda de “zero day exploits”. O mercado amadureceu substancialmente nos últimos anos. Esse novo mercado perturba a economia envolvida no ato de encontrar vulnerabilidades de segurança e o faz em detrimento de todos nós.

     Há muito venho sustentando que o processo de encontrar vulnerabilidades de segurança em sistemas e softwares aumenta a segurança global. Isso ocorre pois a economia da caça de vulnerabilidades favorece a sua divulgação. Enquanto o principal ganho de se encontrar vulnerabilidades for a notoriedade, a divulgação pública das vulnerabilidades tem um único caminho óbvio. De fato, levou anos para a nossa indústria mover-se de um modelo de divulgação total - anunciando a vulnerabilidade publicamente e suportando as consequências - para um modelo chamado de “divulgação responsável”: dando ao fornecedor de software a vantagem de corrigir a vulnerabilidade. A alteração nessa economia é o que provoca a mudança: em vez de ganhar apenas notoriedade técnica, alguém que tenha sucesso encontrando vulnerabilidades pode obter algum lucro como consultor (e facilita ser um pesquisar de segurança responsável). Mas, independente das motivações, uma vulnerabilidade descoberta significa - na maior parte dos casos - uma vulnerabilidade corrigida. E uma vulnerabilidade corrigida torna todos mais seguros.

   É por isso que o novo mercado de vulnerabilidades é tão perigoso; ele resulta no fato das vulnerabilidades permanecerem secretas e sem correção. Isso é ainda mais lucrativo do que o mercado de vulnerabilidades públicas, o que significa que mais hackers escolherão esse caminho. E ao contrário da recompensa anterior de notoriedade e de trabalhos de consultoria, isso dá aos desenvolvedores de softwares de uma empresa o incentivo de, deliberadamente, criar vulnerabilidades nos produtos em que eles estão trabalhando, para em seguida vendê-los secretamente a algum órgão do governo.

     Nenhum fornecedor executa a revisão de código fonte em um nível necessário para detectar e provar a má intenção nesse tipo de sabotagem. Ainda mais importante, o novo mercado de vulnerabilidades de segurança resulta em uma variedade de órgãos governamentais ao redor do mundo que possuem um forte interesse em que essas vulnerabilidades permaneçam sem correção. Entre esses há desde órgãos que realizam a aplicação ou cumprimento das leis (como o FBI e a polícia alemã que estão tentando construir ferramentas específicas de vigiância da Internet); órgãos de inteligência como a NSA[2], que estão tentando construir ferramentas de vigilância em massa da Internet e até organizações militares que tentam construir armas cibernéticas.

    Todos esses órgãos, por muito tempo, tiveram que lidar com a dúvida entre usar as novas vulnerabilidades descobertas para proteger ou para atacar. Dentro da NSA, isso era tradicionalmente visto como um dilema[3], e o debate se dava entre o COMSEC (communications security) e o SIGINT (signals intelligence), ambos da NSA. Se eles encontrassem uma falha em um algoritmo criptográfico popular, poderiam utlizar essa informação ou para corrigir o algoritmo e tornar a comunicação de todos mais segura, ou eles poderiam explorar a falha para fins de espionagem - enquanto, ao mesmo tempo, isso permitisse que as pessoas que eles desejavam proteger permanecessem vulneráveis. Esse debate se arrastou durante décadas dentro da NSA. Pelo que eu ouvi, até por volta de 2000, o COMSEC vinha ganhando as discussões com folga, mas as coisas mudaram completamente após o 11 de Setembro.[4]

    Todo o sentido na divulgação de vulnerabilidades de segurança é impor uma pressão nos fornecedores para que produzam programas mais seguros. Não que eles só corrijam vulnerabilidades que se tornam públicas - o medo da má publicidade faz com que eles implementem processos mais seguros de desenvolvimento de programas. Trata-se de outro processo econômico: o custo de projetar um programa seguro é, em primeiro lugar, menor do que o custo relacionado com a má publicidade após o anúncio de uma vulnerabilidade mais o custo de escrever e distribuir a correção do software. Eu seria o primeiro a admitir que isso não é perfeito - há ainda muitos programas mal escritos por aí - mas é o melhor incentivo que nós temos.

    Nós sempre esperamos que a NSA (e outros como ela) mantenha em segredo as vulnerabilidades que descobrir. Com o surgimento dessas novas pressões para manter os “zero-day exploits” secretos, e vendê-los para a exploração, haverá ainda menos incentivos para os fabricantes de softwares garantirem a segurança de seus produtos.

      Se por um lado cresce o incentivo para que os hackers mantenham as vulnerabilidades em segredo, por outro, diminui o incentivo para os fabricantes construírem softwares seguros. Conforme colocado em um ensaio recente da EFF[5], isso é “segurança para 1%”, e faz o resto de nós menos seguros.
5
Notas
1. O termo “zero-day exploits” não foi traduzido, sendo mantido no original por uma questão de estilo e devida compreensão. Não se tem visto a tradução desse termo em textos brasileiros, mas seria algo semelhante à "exploração de dia zero". No inglês, também são utilizados os termos “zero-hour”, “day-zero” seguidos de “attack” ou “threat”. Um “zero-day exploit” nada mais é do que uma ameaça que explora uma vulnerabilidade em um sistema informático que era desconhecida até o momento, inclusive pela empresa desenvolvedora do software. Mais informações podem ser lidas em http://en.wikipedia.org/wiki/Zero-day_attack.
2. NSA significa “National Security Agency”.
3. O termo original é “equities issue” e foi traduzido como “dilema” baseado no artigo do mesmo autor chamado "Dual-Use Technologies and the Equities Issue". No aspecto militar, basicamente as tecnologias possuem um uso "dual", e podem ser usadas tanto no ataque quanto na defesa. Em função disso, quando um órgão militar descobre uma vulnerabilidade em uma dessas tecnologias, ele pode tomar duas ações diferentes: a primeira é alertar o fabricante, o que faz com que a vulnerabilidade seja corrigida. Dessa forma, do ponto de vista militar, tanto os cidadãos como os inimigos ficarão mais seguros. A segunda possibilidade é ficar em silêncio e, com isso, aproveitar-se da vulnerabilidade. No entanto, isso deixa tanto a população como os inimigos menos seguros. O dilema ou paradoxo, aqui, refere-se à escolha em divulgar ou não a vulnerabilidade. 
4. Conforme o artigo "Dual-Use Technologies and the Equities Issue" já citado anteriormente, a posição da NSA pós 11 de Setembro, foi a de manter em sigilo as vulnerabilidades. 

5. A sigla EFF refere-se à "Electronic Frontier Foundation".

quinta-feira, maio 31, 2012

Indicação de artigo: "Discursos de ódio em redes sociais: jurisprudência brasileira"

Gostaria de indicar um artigo da Revista Direito GV online com o título "Discursos de ódio em redes sociais: jurisprudência brasileira". O download pode ser feito aqui.

Os autores analisam com muita propriedade a questão do discurso ofensivo e odioso nas redes sociais através da análise de jurisprudência. É explicado o que é considerado discurso de ódio e sua relação com a internet e o ordenamento brasileiro. Também é realizada uma análise quantitativa acerca da jurisprudência verificada pelos autores. Ao final os autores procuram responder à seguinte pergunta "Qual é o tratamento dado pelo Poder Judiciário ao discurso de ódio veiculado em redes sociais?"

Abaixo a sugestão de citação do artigo, para utilização em produção científica:

SILVA, Rosane Leal da; NICHEL, Andressa; MARTINS, Anna Clara Lehmann  e  BORCHARDT, Carlise Kolbe. Discursos de ódio em redes sociais: jurisprudência brasileira. Rev. direito GV [online], São Paulo, vol.7, n.2, p. 445-468, jul./dez. 2011.

domingo, maio 27, 2012

Podcast Segurança Legal - Responsabilidade das empresas de assistência técnica

   No quarto episódio do podcast Segurança Legal falamos sobre um assunto bem pouco discutido no meio jurídico: a responsabilidade das empresas de assistência técnica.

    O podcast aborda o assunto, em primeiro lugar, destacando o risco que pessoas e empresas possuem ao enviar equipamentos para a assistência técnica. São levantadas algumas soluções técnicas e jurídicas para o problema.

      Por fim, a questão da responsabilidade das empresas é tratada quando os clientes são pessoas físicas e também quando são pessoas jurídicas. Uma vez que nas duas situações o tratamento jurídico é diferenciado, são analisados problemas e inclusive decisões judiciais que abordam o tema.

   O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.

O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui


Shownotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para pesquisa.


O nome da trilha utilizada é "Thing For Itself".

segunda-feira, maio 14, 2012

Podcast Segurança Legal - NewsCheck n. 1

   No terceiro episódio do podcast Segurança Legal iniciamos a série chamada NewsCheck, que consiste na discussão de notícias recentes que envolvem segurança da informação e direito da Tecnologia.

    Dois assuntos são tratados: a invasão da casa do cartunista Laerte e o furto de computadores além do vazamento de fotos da atriz Carolina Dieckamnn.

   O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.

O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui

Nos episódios anteriores, identificamos um problema de áudio: quando reproduzido em equipamentos mono, o som de um dos canais ficava baixo demais. O problema foi resolvido para este episódio. Para os anteriores, basta escutá-lo em equipamento estéreo ou utilizando fones de ouvido.

Shownotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para pesquisa.

O nome da trilha utilizada é "Thing For Itself".

quarta-feira, maio 02, 2012

Podcast Segurança Legal - Privacidade nas redes sociais

    O segundo episódio do podcast Segurança Legal trata sobre a questão da privacidade e da proteção de dados pessoais nas redes sociais. São discutidos os aspectos relacionados ao funcionamento de algumas redes sociais, seu modelo de negócios, a questão da publicidade comportamental além de problemas gerais sobre o tema.

     O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.

O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui.

Shownotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para pesquisa.

O nome da trilha utilizada é "Thing For Itself".

sexta-feira, abril 13, 2012

Podcast Segurança Legal - Consultas Integradas


    Esse episódio trata das repercussões jurídicas e tecnológicas dos problemas ocorridos com o sistema Consultas Integradas, este utilizado pelos órgãos de segurança do Rio Grande do Sul. O referido sistema armazena informações pessoais de todos os cidadãos Rio Grandenses, além de concentrar outros bancos de dados de diversas naturezas (por exemplo, bancos de apenados, pessoas procuradas, armas, Detran, etc). Recentemente, algumas situações de mau uso do referido sistema vieram à tona, o que justifica o debate do assunto.

    O podcast conta com a participação de Guilherme Damasio Goulart, mestrando em Direito pela UFRGS, consultor em Segurança da Informação, professor universitário e advogado, além da participação de Vinícius Serafim, Mestre em Ciência da Computação pela UFRGS, consultor em Segurança da Informação e professor universitário.


O mp3 do podcast além de poder ser ouvido no player acima, pode ser baixado diretamente aqui.

ShowNotes

São feitas referências a algumas notícias e documentos, os quais são listados abaixo para possível pesquisa.

Sargento mobilizado por militares de governo tucano bisbilhotava até crianças - Correio do Brasil - 09/09/2010
Inspeção Especial realizada pelo TCE do RS

Atualização em 02 de Abril de 2012

O nome da trilha utilizada é "Thing For Itself".
 

terça-feira, abril 19, 2011

Responsabilidade das search engines pelo recurso autocomplete

Responsabilidade das search engines pelo recurso autocomplete

Uma interessante decisão acerca da responsabilidade das search engines foi proferida na Itália. Trata-se da responsabilidade acerca do recurso de "autocomplete", disponibilizado pelo Google.

Este recurso, amplamente utilizado e conhecido, permite que no mesmo instante em que o usuário digite o termo de busca, sejam apresentadas sugestões de pesquisas relacionadas com o termo digitado. As sugestões baseiam-se nos termos mais pesquisados e visam dar um apoio ao internauta, tornando assim a experiência de procura mais eficiente e rápida.

No processo em questão, quando era pesquisado o nome de um cidadão, o recurso de autocomplete apresentava associações dando a entender que ele seria um fraudador. Como a situação ocorreu na Itália, O Google invocou a proteção da Diretiva 2000/31 da Comunidade Europeia (diretiva de Comércio Eletrônico), que isenta os provedores de serviço de responsabilidade, quando o conteúdo não for gerado por ele. Na Itália, o decreto legislativo 70/2003, regulamenta a utilização da diretiva, reproduzindo basicamente os termos originais desta.

Segundo o Google, o recurso é constituído de um algoritmo que automaticamente faz associações com termos de pesquisa mais populares. Desta forma, não haveria controle dos termos apresentados e eles seriam produzidos por terceiros.

O autor do processo, por sua vez, argumentou que o Google, ao contrário do que dissera, era o real produtor da funcionalidade de "autocomplete". Da mesma forma, as sugestões do "autocomplete" eram em algumas situações filtradas, quando tratava-se de termos que poderiam infringir a lei autoral. Segundo esse argumento, o recurso não seria totalmente "automático" sendo comprovadamente editado pelo Google.

O debate é interessante e envolve o seguinte dilema: as sugestões apresentadas pelo "autocomplete" tratam-se de conteúdo gerado pelo Google? Mesmo que haja um algoritmo que realize associações, tais associações são realizadas em função de termos de pesquisa feitos por terceiros (e não pelo Google). Além do mais, o recurso de "autocomplete" é baseado em registros estatísticos. Os resultados são transitórios e variarão de acordo com os termos mais pesquisados. Em última instância, caso ninguém realize pesquisas semelhantes ao termo pesquisado, o recurso não apresentará nenhuma sugestão.

No entanto, a decisão rebate a tese de pretensa neutralidade do "autocomplete" e assim também a irresponsabilidade do provedor, na medida em que se há um algoritmo que realiza a pesquisa e as associações, com base em critérios estipulados pelo criador do software, este não pode ser considerado neutro. O fato de que o "autocomplete" realize a escolha de termos de forma automática, e sem a intervenção humana, não significa que ele seja neutro. Desta forma, mesmo que de forma não intencional, a escolha do algoritmo a ser utilizado pelo software, seria razão suficiente para responsabilizar a empresa pelos resultados obtidos através daquele.

A reflexão é importante pois nesta situação, é discutível se o conteúdo foi ou não gerado pelo provedor. Como se viu a utilização de um software que realiza a seleção de conteúdos de forma automática representou que o resultado obtido é conteúdo gerado pelo detentor (desenvolvedor) do software. A imprevisibilidade neste caso, não pode ser invocada, uma vez que alguns termos foram inclusive suprimidos do serviço.

Quem possuir interesse pode acessar a decisão original (em italiano) clicando aqui.

sábado, julho 10, 2010

Delegacia de Repressão de Crimes Informáticos do Rio Grande do Sul

Delegacia de Repressão de Crimes Informáticos do Rio Grande do Sul

Apesar de já amplamente divulgado pela mídia, gostaria de também destacar um fato importante, não só para o direito da tecnologia da informação, como também para a comunidade gaúcha. Anuncio isto também, visto que recebo diversos e-mails de leitores do blog relatando situações em que foram vítimas de crimes praticados através de meios digitais.

Sob o comando do Del. Emerson Wendt, nasce a primeira delegacia especializada em crimes informáticos no Rio Grande do Sul: é a Delegacia de Repressão de Crimes Informáticos do Rio Grande do Sul, DRCI-RS.

O Del. Emerson Wendt é bastante conhecido no que diz respeito à sua atuação em crimes informáticos. Ele é membro consultor da OAB/SP na Comissão de Crimes de Alta Tecnologia. Além do mais, é professor na área de crimes virtuais. É mantenedor do site www.emersonwendt.com.br, onde são tratadas questões relevantes sobre a criminalidade informática.

Tenho absoluta certeza que esta delegacia, recém inaugurada, figurará entre as melhores do Brasil no combate ao crimes informáticos.

A DRCI fica localizada na cidade de Porto Alegre, na sede do DEIC, na Rua Prof. Cristiano Fischer, 1440. O fone de contato é 51-3288-9815. A delegacia  inova ao contar também com um perfil no Twitter,  www.twitter.com/drci_rs.

Agradeço publicamente, a gentileza do Del. Emerson Wendt nas mensagens que trocamos recentemente.

quinta-feira, abril 22, 2010

Google não é responsável por conteúdo publicado no Orkut

Google não é responsável por conteúdo publicado no Orkut

Ressalto uma importante decisão do TJ gaúcho, que reverteu decisão de primeiro grau, que responsabilizava o Google pelo conteúdo publicado por terceiros no Orkut.

Venho já, há algum tempo, defendendo a tese de que os provedores de serviços não devem ser responsabilizados pelo conteúdo publicado por terceiros, mormente quando há a impossibilidade técnica de efetuar o bloqueio prévio de um tipo de conteúdo específico. Defendo que a decisão sobre se um conteúdo é ou não ofensivo deve partir de um juízo humano, subjetivo, através de uma ponderação racional e de valores. Até o momento, desconhecemos a capacidade de um programa de computador conseguir realizar com segurança este juízo. Igualmente, é importantíssima a análise do caso concreto, uma vez que estão em jogo o princípio da liberdade de expressão e a proibição da censura prévia, sem deixar de lado a responsabilização pela prática de um ato ilícito do autor do conteúdo ofensivo.

O provedor deve ser responsabilizado, no entanto, por omissão, caso notificado da ilicitude do conteúdo, abster-se de retirá-lo do ar, como bem ponderou a decisão.

Estou buscando o inteiro teor da decisão para postar aqui no blog.

A notícia pode ser lida no site do TJ gaúcho.

ATUALIZAÇÃO
Consegui o inteiro teor da decisão. O download do PDF pode ser feito aqui.

quarta-feira, fevereiro 24, 2010

A inviabilidade técnica de controle e a condenação do Google na Itália

A inviabilidade técnica de controle e a condenação do Google na Itália

No ano de 2006, alguns estudantes italianos filmaram a si próprios zombando de um colega portador da síndrome de Down, publicando posteriormente o vídeo no GoogleVideo. Poucas horas depois, após um comunicado da polícia, o Google empreendeu todos os esforços para retirar o vídeo do ar além de ajudar as autoridades a identificar os autores do vídeo. O caso ficou conhecido como caso "Vividown".

No entanto, as autoridades italianas, após processarem os autores do vídeo, processaram também três executivos do Google pela publicação dos vídeos. Ressalte-se que no momento da publicação dos vídeos, estes três executivos não sabiam da existência do vídeo e nem tinham meios técnicos para saberem. Não havia dever e nem mesmo ferramentas técnicas (ressalte-se que ainda não há) para que eles pudessem saber de tais situações. Mesmo assim, em 24 de Fevereiro de 2010,  o juiz italiano Oscar Magi, absolveu os três da acusação criminal de difamação, condenando-os, por sua vez, por violação de privacidade. Embora não tenhamos conhecimento dos termos da sentença, os veículos de comunicação internacionais informam que o fundamento da condenação foi o de que o Google não detinha o consentimento de quem aparecia no vídeo para publicá-lo. (ver reportagem da BBC).

Em casos desta natureza, é bom ressaltar, a jurisprudência de diversos países (a brasileira também posiciona-se desta forma) entende que não há a responsabilidade do provedor de serviços. Como o provedor não tem meios técnicos para avaliar todo o conteúdo publicado por seus usuários, aquele só será responsabilizado se APÓS NOTIFICADO da existência de um material ilegal, permanecer inerte não retirando o conteúdo do ar. É após a cientificação do provedor que este tem condições de envidar esforços para retirar o conteúdo ofensivo, uma vez que até então, não possui condições de saber se há algum conteúdo ofensivo publicado em sua estrutura. Como, em situações assim não é o provedor de serviços quem cria ou publica o conteúdo mas sim um terceiro, entende-se que é este que deve ser responsabilizado pela publicação. A analogia clássica feita é com uma banca de jornais: não pode o dono da banca ser responsabilizado pelo conteúdo das publicações por ele vendida. Outra analogia bastante utilizada: não podemos responsabilizar as empresas de correio pelo conteúdo das correspondências, até por que elas não têm conhecimento de seu conteúdo, assim como não podemos fazê-lo com os provedores de serviço na internet.

Além do mais, o fundamento legal de que haveria a necessidade de buscar consentimento de cada um dos participantes de um vídeo ou foto publicados na internet é igualmente impossível de ser sustentado perante os provedores de serviço e também diante da complexidade do ambiente digital. Tal dever, o de obter o consentimento é de quem produz o conteúdo e o publica voluntariamente, e não do provedor de serviços. O provedor de serviços, como um intermediário que é, na presente situação, oferece apenas os meios tecnológicos que permitem que as pessoas publiquem seus conteúdos. O Youtube, por exemplo, não publica nenhum vídeo, hospedando apenas o conteúdo publicado e produzido por terceiros.


Já falamos em outros espaços que, para uma eventual responsabilização de uma empresa pelo controle de conteúdo deve existir um meio técnico que permita que todas as comunicações em questão possam ser analisadas, verificando-se se há alguma potencial violação de algum direito. Como se sabe tal situação é virtualmente impossível a não ser que se acabe com a agilidade, rapidez, baixo custo de acesso e instantaneidade da Internet.

O referido precedente, caso venha a se  sustentar na Itália, fará com que cada provedor de serviço tenha que monitorar e avaliar se cada conteúdo publicado em sua estrutura não ofende algum direito. Realizar esta tarefa seria algo tecnicamente inviável além de representar um custo absolutamente impossível de ser arcado até mesmo pelo Google. Estariam ameaçados também todos os sites que funcionam na modalidade de "user-generated content" como o Youtube, Orkut, Flickr, fóruns de discussão e assemelhados.

O custo marginal de atuar preventivamente em situações assim é muito maior do que o benefício obtido por isto: a internet como conhecemos acabaria, tornando-se um meio de comunicação sem os seus principais predicados. que a tornam tão importante. Neste caso tentar evitar estes danos teria um custo maior do que suportá-los. Além do mais,  todos os usuários da internet seriam prejudicados e não apenas os envolvidos nos ilícitos que se tentam evitar.

Há também um efeito dissuasório negativo no precedente: se cada provedor de serviços achar que pode ser condenado pelo conteúdo publicado por terceiros, impedirá ou dificultará que novos conteúdos sejam publicados, atingindo inclusive os conteúdos lícitos. Além do mais, aqueles provedores que desejarem classificar antecipadamente todo o conteúdo arcarão com os custos desta classificação, obviamente, passando-os posteriormente para a sociedade. A própria gratuidade da internet estaria ameaçada. Se cada texto publicado por um usuário necessitar de avaliação prévia de um funcionário do provedor de serviços, a internet como conhecemos acabará. A liberdade de expressão e a agilidade de circulação de informações, características ínsitas à internet, estariam igualmente ameaçadas.

O professor Danilo Doneda sustenta no artigo "Executivos da Google condenados na Itália: a punição exemplar de um concorrente incômodo", que por trás desta questão há também a influência de outras mídias, no caso a televisão, que temem que as novas mídias possam "pulverizar a sua influência e audiência". O professor Danilo tem razão. Inclusive sabe-se também que as companhias de televisão fazem lobby na Itália para a adoção de legislações mais rígidas de controle da Internet (ver reportagem do The New York Times )

Os institutos jurídicos tradicionais devem ser avaliados sob a nova lógica do ambiente cibernético. A internet não é uma mídia como um jornal ou um canal de televisão, onde o controle prévio é tecnicamente possível. É necessário que haja uma adaptação dos institutos tradicionais, adequando-os, inclusive, às limitações técnicas do ambiente.

Não podemos perder de vista também que o precendente italiano,  trará consequências negativas para toda a comunidade de usuários da Internet afetando a liberdade de expressão e da neutralidade da rede aumentando os custos de utilização da rede.


Evitarem-se tais violações de direitos seria mais custoso para a sociedade do que suportá-las. Decididamente, o caminho de responsabilização dos provedores de serviços não contribuirá para a resolução do problema.

Terminamos com uma frase do juiz americano Guido Calabresi na obra "The cost of accidents", que, com a devida adaptação, pode ser totalmente aplicada na situação aqui tratada:

"Our society is not committed to preserving life at any cost"

segunda-feira, setembro 28, 2009

A última fronteira: Relações entre o Direito e a Tecnologia da Informação



Palestra

No dia 19 de Outubro ministrarei a palestra intitulada "A última fronteira: Relações entre o Direito e a Tecnologia da Informação" na Mérito Estudos, em Porto Alegre. Como tema geral, tratarei dos principais pontos do Direito da Tecnologia da Informação.

A atividade serve como atividade complementar para o curso de direito.

As inscrições podem ser feitas através do telefone (51) 3372-7296 ou no site www.meritoestudos.com.br.

Questões sobre o conteúdo da palestra podem ser enviadas para guilherme@direitodatecnologia.com

quinta-feira, agosto 13, 2009

Decisões impossíveis de serem realizadas e o Direito da Tecnologia

Decisões impossíveis de serem realizadas e o Direito da Tecnologia

Um dos grandes problemas envolvendo o direito da tecnologia é o caso das decisões judiciais que determinam providências impossíveis de serem efetivadas. Essa impossibilidade, na maioria das vezes, reflete-se nas limitações das tecnologias existentes atualmente. Uma decisão judicial não pode determinar algo que seja impossível de ser realizado em função das limitações do próprio código dos programas.

Quem primeirou observou essa questão foi o jurista americano Lawrence Lessig, na obra Code. O código que falamos aqui não são as leis, mas sim o código dos programas do computador. Uma decisão que determine algo não programado no código, não pode acontecer. Assim diz o autor em "Code v2":
In real space,we recognize how laws regulate—through constitutions, statutes, and other legal codes. In cyberspace we must understand how a different “code” regulates— how the software and hardware (i.e., the “code” of cyberspace) that make cyberspace what it is also regulate cyberspace as it is.
Podemos fazer uma analogia com as leis da física. A "lei da gravidade", não pode ser revogada ou anulada pelas leis, estas últimas, assim entendidas como estatutos jurídicos e códigos legais.

Um interessante julgado do Tribunal de Justiça do Rio Grande do Sul, pode ser analisado sob esta ótica. Não divulgaremos o nome do autor e nem número do processo para preservar a integridade moral dos envolvidos, mas o processo dizia respeito ao reconhecimento da impossibilidade do Google de impedir a criação de perfis e comunidades pejorativas sobre uma pessoa no Orkut.

O Desembargador Tasso Caubi Soares Delabary, analisou a questão de forma coerente e sensata. Seu argumento principal é que o Google, como um provedor de serviços que é, não é o autor das manifestações disponibilizadas no Orkut. São os usuários que incluem os conteúdos, sendo estes fruto de sua própria atividade intelectual. O Orkut, sem o conteúdo criado e disponibilizado pelos usuários, não possui nada a disponibilizar. O Orkut não cria os dados, apenas os disponibiliza, os hospeda.

Além disso, embora a decisão não tenha expressamente tratado, devemos mencionar a impossibilidade técnica de impedir que o Orkut venha a impedir futuras publicações consideradas pejorativas sobre uma pessoa. Ressalta-se que não há mecanismo tecnológico (programa) que permita analisar-se uma comunidade do Orkut e verificar que seu conteúdo é "pejorativo". Um computador, até o presente momento, não consegue realizar este juízo de valor de forma suficientemente eficiente. A despeito das incríveis técnicas atuais de inteligência artificial, a subjetividade de considerar um discurso como "pejorativo" ainda não está eficientemente contemplada nas funções dos programas de computador. Até porque, o caráter pejorativo, pode dar-se através de texto, imagem, sons, etc. O autor pode utilizar-se de uma foto, sem fazer referência ao nome da pessoa; pode ainda manifestar-se através de ironias e outras figuras de linguagem.

O Google, por outro lado, poderia efetuar um bloqueio de criação de comunidades e perfis com base em palavras-chaves. No entanto tal bloqueio seria ineficiente, bloqueando todas a comunidades e perfis que tivessem tais palavras e não fossem pejorativos. Além do mais a medida seria ineficiente, uma vez que bastaria o autor utilizar-se de uma foto do ofendido ou ainda, escrever seu nome propositalmente com alguma letra errada.

A proibição constitucional da censura prévia e o respeito à liberdade de expressão, devem ser consideradas na proibição futura de manifestações na Internet. A máxima do neminem laedere, ou seja, do princípio de não lesar outrem, perpassa todas as relações. Por princípio, ninguém pode criar comunidades ofensivas à honra de quem quer que seja, sob pena de sujeitar-se a pagar uma indenização.

O Desembargador cita outra decisão (TJRS, AI, 7001575595, Nona Câmara Cível) , no mesmo sentido, que destaca a questão de que as informações no Orkut são disponibilizadas por terceiros, e não pelo Google. Ademais, destaca também a impossibilidade de bloquear todo o serviço (Orkut) para preservar a imagem de uma pessoa apenas, o que geraria um excessivo ônus à empresa. Lembramos outro exemplo recente, em que o site de vídeos YouTube foi bloqueado em função da disponibilização de um vídeo em que uma apresentadora de televisão praticava sexo com seu namorado em uma praia. A decisão, não logrou o efeito desejado, e após diversas tergiversações jurídicas, o vídeo pode ser facilmente encontrado na Internet.

Devemos lembrar de uma analogia feita por Marcel Leonardi na sua obra "Responsabilidade Civil dos Provedores de Serviço de Internet", que aplica-se perfeitamente ao caso. Ela consiste na seguinte pergunta: pode o dono de uma banca de jornal ser responsabilizado pelo conteúdo dos jornais por ele vendidos? A resposta é negativa. O Google, como provedor de serviços que é, pode ser comparado a uma banca de jornais, não devendo ser responsabilizado pelos "jornais" que disponibiliza. Por outro lado, se devidamente notificado para retirar um conteúdo atual de seus servidores, deve fazê-lo.

No entanto, devemos destacar o aspecto transitório das eventuais impossibilidades de realização de algumas decisões envolvendo o direito da tecnologia. O julgador deve observar o estado atual da tecnologia ao decidir. O que hoje é impossível de ser realizado, amanhã, com a evolução da técnica informática, pode vir a ser possível. Isso é especialmente importante na segurança da informação, onde as técnicas de invasões evoluem na mesma medida em que as técnicas de proteção. Neste campo, nada impede que num futuro, os atuais algoritmos de criptografia (utilizados inclusive em certificação digital e assinaturas eletrônicas) possam ser considerados inseguros e ineficientes para manter a integridade e confidencialidade de mensagens.

Por fim, citamos mais uma vez, Lawrence Lessig, que na mesma obra já referida, diz:
Cyberspace was, by nature, unavoidably free. Governments could threaten, but behavior could not be controlled; laws could be passed, but they would have no real effect. (grifo nosso)
A "invisível mão" do código do computador, define a arquitetura e os limites da Internet. Se uma lei proíbe algo, mas o código permite, dificilmente uma decisão judicial poderá ser realmente eficaz. Caímos daí, no estabelecimento de uma ação tecnologicamente impossível de ser realizada. A viabilidade da prática de uma determinada ação na Internet, está portanto, diretamente relacionada com o código do computador, ou seja, com a permissividade ou não, definida pela própria arquitetura dos computadores e de seus programas.


A íntegra da notícia do Tribunal de Justiça do Rio Grande do Sul que trata da decisão pode ser encontrada aqui.

sábado, maio 30, 2009

A Privacidade como Limitadora do Monitoramento Digital

A Privacidade como Limitadora do Monitoramento Digital

Segue abaixo um pequeno artigo de minha autoria que foi publicado na revista Antebellum de Março/Abril de 2009. A revista Antebellum é editada pela ISSA (Information Security System Association). Ela é uma entidade internacional que agrega profissionais de Segurança da Informação. Ela é composta essencialmente por profissionais atuantes na área da informática e não do direito. Mesmo assim, há uma relação bastante grande entre as duas áreas, visto que grande parte das práticas de segurança devem ser acompanhadas pelo direito.

Meus agredecimentos especiais ao Eduardo Vianna Camargo Neves. Além de diretor da regional sul da ISSA, ele mantém também um dos melhores blogs sobre segurança da informação disponível em http://camargoneves.com/. O Eduardo, gentilmente, convidou-me para participar dessa edição da Revista Antebellum, o que foi motivo de muita satisfação de minha parte.

O PDF da revista pode ser baixado diretamente em http://www.issabrasil.org/antebellum/


A privacidade como limitador do monitoramento digital

O tema da privacidade é bastante extenso e complexo. Não temos aqui a pretensão de esgotar o tema mas sim, fazer breves comentários sobre o assunto. Sabemos que os limites do monitoramento digital dentro do ambiente empresarial esbarram na privacidade e na intimidade dos colaboradores. Mesmo nas empresas, os colaboradores ainda detém estes direitos e em caso de monitoramento, este deve ser feito sob circunstâncias bastante controladas e previamente definidas.

A privacidade e intimidade são direitos protegidos pela nossa Constituição. São alguns dos chamados Direitos da Personalidade. Eles são alguns dos direitos mais básicos da pessoa humana sendo necessários para a preservação da honra e da vida privada. Cabe lembrar que a privacidade é irrenunciável e a sua limitação deve ocorrer por vontade expressa da pessoa, de forma específica e limitada a um determinado fim. As eventuais renúncias (como as necessárias para o monitoramento digital nas empresas) não podem ser gerais, inespecíficas, permanentes, ilimitadas ou abusivas.

Ao mesmo tempo, o empregador tem o direito de monitorar sua estrutura computacional; até porque ele responde pelos atos dos empregados quando estes o praticam sob sua estrutura. O monitoramento da atividade dos empregados tem a função preventiva de identificar potenciais desvios ou riscos para atividade. Vemos, portanto, que os dois direitos (privacidade X direito de monitorar) devem coexistir em harmonia sem que um se sobreponha ao outro. No entanto como fazer com que eles convivam em harmonia?

Em primeiro lugar, o monitoramento deve ser previsto nas Políticas de TI da empresa. A própria ISO 27002 fala em seu item 10.10 sobre a observância de requisitos legais da atividade de monitoramento. Além do mais, o monitoramento deve ser comunicado antecipadamente a sua realização, através de termos de ciência, do contrato de trabalho ou ainda através dos logon banners. Isto tudo para afastar qualquer expectativa de privacidade que o empregado possa ter na utilização dos recursos. No caso de relações entre empresas, se houver necessidade de monitoramento ou interceptação de comunicações (incluo aqui os famosos penetration tests), tal deve ser expressamente previsto em contrato, para evitar a quebra ilegal da privacidade.

Outro ponto importante é a questão do uso pessoal dos recursos da empresa. Se a empresa permite que o funcionário use sua estrutura para atividades pessoais (incluindo acesso a homebanking, comunicações com parentes, advogados ou médicos), tais comunicações não podem ser objeto de monitoramento. A operacionalização desta limitação pode ser um problema para a equipe, sendo a proibição do uso pessoal recomendada.

O monitoramento deve ser feito de maneira mais impessoal possível, automática e sem representar perseguição ou abuso de poder por parte do empregador. Alerta-se que se o empregador comunica que vai monitorar, deve sempre monitorar em bases periódicas, sem discriminação entre cargos ou setores. Caso isso não aconteça há o risco do empregado alegar perseguição, se conseguir provar que o empregador nunca monitorou nenhum funcionário, em nenhuma circunstância, mas em contrapartida monitorou excessivamente um único funcionário. Já publicação de logs e produtos de monitoramento dentro da empresa, como acontece em algumas situações, além de potencialmente causar danos morais ao empregado caso revele informações pessoais, pode até configurar o conhecido assédio moral.

A produção de provas digitais (leia-se aqui também a produção de logs ou monitoramentos) com o desrespeito ao direito à privacidade, torna a prova nula obtida nula, prejudicando os fatos que dependem daquela prova. É a chamada prova ilegal. Além do mais há que se ter bastante cuidado com o monitoramento eis que, quando não autorizado ou feito de maneira desregrada, mesmo no ambiente empresarial, pode tipificar o crime de interceptação telemática ilegal, punido com pena de reclusão de 2 a 4 anos.

terça-feira, março 10, 2009

Curso de Direito da Tecnologia da Informação

Curso de Direito da Tecnologia da Informação



A partir do dia 21 de Março inicia-se o curso de Direito da Tecnologia da Informação, ministrado por mim, na LCSCursos em Porto Alegre. O curso é de pequena duração visando apresentar os pontos mais importantes da disciplina.

Serão três encontros aos sábados pela manhã. Maiores informações - inclusive a ementa do curso - podem ser obtidas diretamente no site da instituição, clicando aqui

sexta-feira, novembro 14, 2008

Transações bancárias não autorizadas e culpa exclusiva do correntista

Transações bancárias não autorizadas e culpa exclusiva do correntista

A jurisprudência brasileira cível ainda é vacilante quando trata da retirada indevida de dinheiro por criminosos através de home-banking. A maior parte dos julgados reconhece a responsabilidade objetiva do banco fazendo a relação de que basta haver o dano e o nexo causal sem a necessidade de existência de culpa por parte do banco. Entende-se que se o sistema permite a manipulação indevida das contas ele seria, por concepção, inseguro.No entanto, a questão não é tão simples assim.

Outros julgados eximem o banco da responsabilidade ao entender que houve culpa exclusiva do correntista. Em geral alega-se que o sistema é totalmente seguro e que a invasão da conta deu-se por negligência do correntista. A Código de Defesa do Consumidor, quando explica a questão da responsabilidade objetiva aplicada aos serviços assim diz no §3°, inc. III do artigo 12:

§3 - O fabricante, o construtor, o produtor ou importador só não será responsabilizado quando provar:
...
III - a culpa exclusiva do consumidor ou de terceiro.

Um dos leading cases sobre a culpa exclusiva do usuário de Internet por negligência é a APC. 70011140902, do TJRS. Assim diz a ementa:

APELAÇÃO. DECLARATÓRIA DE INEXISTÊNCIA DE DÉBITO. TELEFONIA. SERVIÇO NÃO PRESTADO. COBRANÇA. INSCRIÇÃO NO SERASA. Internet. conexão a provedor internacional. vírus. A ligação telefônica internacional para a Ilha Salomão, que ocasionou o alto valor cobrado na fatura emitida pela ré, decorreu de discagem internacional provocada por vírus instalado na máquina do autor. Quem navega na rede internacional (WEB) deve, necessariamente, utilizar um programa 'anti-vírus' para evitar tais acontecimentos. Negligência do autor. Inexistência de ato ilícito atribuível à Embratel. AÇÃO IMPROCEDENTE. APELAÇÃO IMPROVIDA.

No entanto para a caracterização dessa culpa exclusiva deve haver o cumprimento do dever de informar da instituição bancária. O banco deve sempre informar acerca dos riscos de utilização do serviço. Este dever de segurança é um direito básico do consumidor assim explicitado no art. 6°, inc. III:

Art. 6° - São direitos básicos do consumidor:
...
III - a informação adequada e clara sobre os diferentes produtos e serviços, com especificação correta de quantidade, características, composição, qualidade e preço, bem como sobre os riscos que apresentem;

Vemos também a menção no art. art. 9° do CDC:

Art. 9° - O fornecedor de produtos e serviços potencialmente nocivos ou perigosos à saúde ou segurança deverá informar, de maneira ostensiva e adequada, a respeito da sua nocividade ou periculosidade, sem prejuízo da adoção de outras medidas cabíveis em cada caso concreto.

A norma mais esclarecedora talvez seja a do art. 31 do CDC:

Art. 31 - A oferta e apresentação de produtos ou serviços devem assegurar informações corretas, claras, precisas, ostensivas e em língua portuguesa sobre suas características, qualidades, quantidade, composição, preço, garantia, prazos de validade e origem, entre outros dados, bem como sobre os riscos que apresentam à saúde e segurança dos consumidores.

É sabido que na internet é bastante comum a propagação de vírus (ou códigos maliciosos) que realizam as mais variadas funções. Alguns destes tem a função específica de conseguir capturar os caracteres digitados no teclado do computador, passando-os para o criminoso. Os tribunais entendem que caso o banco realize campanhas ostensivas de segurança, ele cumpriria com o dever de informação eximindo-se assim de qualquer responsabilidade em caso de invasão dos computadores dos seus clientes. A pergunta que deve ser feita é a seguinte: Será que um sistema inseguro, pode ter sua insegurança compensada pelo cumprimento do dever de informar? Na nossa opinião, a resposta é negativa.

O dever de informação deve ser satisfeito de maneira que cumpra sua função, nos termos dos artigos acima citados. A informação passada acerca do serviço deve ser eficiente para cientificar completamente o cliente do banco acerca de suas responsabilidades específicas, caso haja. O cliente necessita ter, com a informação prestada, condições de escolha sobre o uso do serviço.

O professor Christoph Fabian (O Dever de Informar no Direito Civil. São Paulo:RT, 2002) ao tratar do dever de informar, assim preceitua:

A instrução deve ser clara, ostensiva, e facilmente compreensível para o consumidor. Tais instruções não devem ficar escondidas entre elogios do produto ou alguma propaganda. p. 147
...
Uma informação é ostensiva quando se exterioriza de forma tão manifesta e translúcida que uma pessoa, de mediana inteligência, não tem como alegar ignorância ou desinformação. p. 150

Nota-se que as campanhas promovidas pelos bancos mais parecem propagandas do que reais advertências sobre o uso do sistema. Com as campanhas atuais, muitas vezes escondidas, não há como garantir a ostensividade da informação exigida pelo CDC. Quem pode, por exemplo, negar a ostensividade das advertências dispostas nas carteiras de cigarro? O autor ainda diz (p. 151) que a expressão "Beba com moderação" disposta nas bebidas, não é bastante ostensiva.

Há um mecanismo bastante interessante chamado pré-logon-banner, muito utilizado em ambientes corporativos e acadêmicos. Tal mecanismo consiste em pequenas janelas com informações, que são mostradas antes de alguém ter acesso ao sistema. Esses pré-logon-banners têm a função de passar informações para quem acessa o sistema. No ambiente corporativo eles têm a função de cientificar os colaboradores de que os sistemas são monitorados, que o uso deve ser apenas para fins profissionais, etc. Destaca-se que a informação é passada antes de se acessar o sistema. Caso a pessoa não concorde com aquelas regras apresentadas, não consegue acessar o sistema. Vemos que um dispositivo semelhante poderia ser adaptado nos sistemas de home-banking. Isso reforçaria o dever de informação do banco pela ostensividade do mecanismo. Não haveria como, antes do correntista acessar o sistema, não ler as recomendações de segurança.

Não percamos de vista também que os controles de Segurança da Informação são bastante complexos. É sabido que em incidentes de segurança, um dos aspectos mais explorados por criminosos é exatamente a parte humana da cadeia. E isso vale não apenas para ataques envolvendo home-banking, mas também para outros sistemas. O processo de explorar as vulnerabilidades humanas para conseguir informações é conhecido como "engenharia social". Aliado a isso deve ser dito que a atividade de tornar um sistema seguro não é tarefa simples. A cada dia descobrem-se novas vulnerabilidades dos sistemas, inconsistências em sistemas operacionais além de novas formas de explorar falhas. Os especialistas em Segurança da Informação dizem inclusive que não existe um sistema 100% seguro; sempre haverá uma forma de quebrá-lo, seja por forma técnica ou mediante a exploração das vulnerabilidades humanas.

A ciência da computação, ao tratar também da segurança da informação, utiliza a seguinte premissa "Nenhuma corrente á mais forte do que seu elo mais fraco". Ao que sabemos essa expressão foi cunhada originalmente por Arthur Conan Doyle (Nenhuma cadeia é mais forte do que seu elo mais fraco). A idéia é que todas as proteções de segurança aplicadas a um sistema tornam-se ineficazes se houver um ou mais controles ineficientes ou fracos. A segurança, então, é um processo que se não observado em todas as suas fases, torna o sistema mais ou totalmente inseguro. Fazendo uma analogia, é como se alguém trancasse todas as portas de sua casa mas deixasse uma janela aberta. Esse "elo mais fraco" é a parte humana e diga-se de passagem, todo o especialista em segurança da informação sabe disso. O banco inclusive sabe muito bem disso. Por saber disso, os sistemas devem ser adaptados e protegidos contra essa vulnerabilidade. A construção dos sistemas deve observar sempre tal vulnerabilidade. A questão é saber se um sistema que permite a exploração desta vulnerabilidade pode ser considerado potencialmente inseguro. Entendemos que tal situação torna sim o sistema inseguro nos termos do CDC. Tal insegurança provém, entre outras coisas, da disparidade de informações que tem o fornecedor e o consumidor. Como se disse, o consumidor não têm condições técnicas de avaliar corretamente os riscos provenientes do uso do home-banking; não há como se exigir do consumidor o conhecimento das técnicas de engenharia social utilizadas pelos criminosos. Isso foge do conhecimento do homem comum, do homem médio. Tais relações baseiam-se na confiança que o consumidor deposita no serviço de home-banking. Como ensina o professor Christoph Fabian, na obra já citada, a informação prestada pelo fornecedor deve atentar para os riscos do uso do produto ou serviço:

Os perigos previsíveis não são apenas aqueles que resultam do uso adequado. Eles abrangem também os perigos de utilizações erradas que podem naturalmente ou facilmente acontecer. p. 148

Por fim, entendemos que a interpretação da questão ainda deve evoluir. A doutrina e a jurisprudência devem ainda reforçar qual a extensão do dever de segurança. É urgente também que se defina se um sistema que permite a invasão através da exploração de vulnerabilidades humanas pode ser entendido como seguro. Ainda, é importante que não se perca de vista a responsabilidade objetiva dos fornecedores de serviços; esquecer-se disto seria esquecer-se de aplicar o CDC às relações consumeiristas.

Related Posts Plugin for WordPress, Blogger...