Em 23/02/2023, o Supremo Tribunal Federal (STF) finalizou o julgamento da Ação Declaratória de Constitucionalidade (ADC) nº 51, declarando constitucionais diversos dispositivos legais de cooperação internacional, como também dispositivo do Marco Civil da Internet e da Convenção de Budapeste, permitindo que autoridades brasileiras solicitem dados e comunicações eletrônicas a provedores de internet estrangeiros com sede ou representação no Brasil, sem a necessidade de seguir os protocolos internacionais de cooperação, como o Acordo de Assistência Judiciária em Matéria Penal (MLAT, em inglês), comumente utilizado em investigações criminais no Brasil envolvendo pessoas e bens nos Estados Unidos.
O julgamento referendou o entendimento que vinha sendo adotado pelo Superior Tribunal de Justiça (STJ) em relação ao Artigo 11 do Marco Civil da Internet e ao Artigo 18 da Convenção de Budapeste, que permitia a solicitação direta de informações em casos de coleta e tratamento de dados no Brasil, posse ou controle dos dados por empresas com representação no país e em casos de crimes cometidos por indivíduos em território nacional.
A decisão foi também encaminhada aos Poderes Legislativo e Executivo para que sejam adotadas medidas de aperfeiçoamento jurídico, como o projeto da Lei Geral de Proteção de Dados para Fins Penais (LGPD Penal) e acordos multilaterais para obtenção de dados e comunicações eletrônicas, como por exemplo a partir do Cloud Act dos Estados Unidos.
Na ADC, a Federação das Associações das Empresas de Tecnologia da Informação buscava a declaração de constitucionalidade dos dispositivos legais de cooperação jurídica internacional, refutando a possibilidade de requisição direta do Artigo 11 do Marco Civil da Internet e do Artigo 18 da Convenção de Budapeste. A tese partira do pressuposto de que a jurisdição brasileira sobre a internet deveria ser pautada pelo princípio da territorialidade, o que exigiria, por consequência, a aplicação do Decreto 3.810/2001, do Artigo 237, II, do Código de Processo Civil e dos Artigos 780 e 783 do Código de Processo Penal, que formam um modelo de cooperação jurídica internacional para obtenção de provas localizadas no exterior (expedição de cartas rogatórias, acordos unilaterais ou multilaterais e outros).
Por outro lado, o Judiciário brasileiro apontava dificuldades no acesso aos dados armazenados ou transportados no exterior, como também destacava que os dados são geralmente protegidos e eventuais interceptações realizadas são ineficazes diante de sofisticada criptografia. O entendimento do STF, portanto, definiu em que medida o Judiciário pode exigir que empresas, como redes sociais ou provedores de emails e mensagens instantâneas, concedam acesso às autoridades brasileiras aos dados de comunicações privadas armazenadas no estrangeiro, traçando relevantes pontos de discussão relacionados a direitos fundamentais de privacidade e de segurança da informação.
Em grande parte, as empresas estrangeiras defendem que os dados e seus conteúdos somente poderiam ser compartilhados com outros estados por meio de acordos de colaboração internacional para compartilhamento de provas. Ainda, a preocupação destas empresas com a requisição direta é submetê-las ao regime jurídico do país que expediu a ordem judicial sem que nenhum mecanismo de cooperação internacional tenha sido cumprido, o que abriria caminho para eventuais abusos e traria consigo o risco de expô-las a eventuais violações de leis sobre proteção de dados de seu país-sede, prejudicando seus modelos de negócio.
Para superar os pontos acima, o STF decidiu que restringir a jurisdição brasileira na internet comprometeria a efetividade das investigações, com consequências na apuração de crimes cibernéticos e com potenciais repercussões para a segurança pública e a garantia dos direitos fundamentais. Com fundamento específico no Artigo 18 da Convenção de Budapeste (Decreto Legislativo nº 37/2021) e no Artigo 11 do Marco Civil da Internet, o STF definiu os critérios de extensão da jurisdição brasileira, como na hipótese em que a coleta e o tratamento de dados ocorrem no Brasil, a posse ou o controle dos dados são realizadas por empresas com representação no Brasil, e aos casos de crimes cometidos por indivíduos em território brasileiro – ensejando, diante destes casos, o fenômeno da “territorialização” do ciberespaço, amplamente discutido no direito internacional.
Em resumo, o STF decidiu que as normas de requisição direta constantes do Marco Civil da Internet e da Convenção de Budapeste são específicas em relação às demais regras e modelos de cooperação jurídica internacional, desde que pelo menos um dos atos tenha ocorrido em território brasileiro e que a pessoa jurídica portadora desses dados se localize ou armazene os dados no exterior. Por meio do reconhecimento da regra específica, a requisição direta de dados, registros e comunicações eletrônicas relativas a atos praticados no Brasil está autorizada para as autoridades brasileiras. Para os casos que se enquadram fora das hipóteses do Artigo 11 do Marco Civil da Internet e do Artigo 18 da Convenção de Budapeste, o instrumento jurídico cabível continua sendo a cooperação jurídica internacional e as medidas processuais tradicionais, como as cartas rogatórias.
As equipes de Cível e Propriedade Intelectual do Salusse, Marangoni, Parente e Jabur Advogados estão à disposição para auxiliá-los e esclarecer eventuais dúvidas através dos emails w.jabur@smabr.com, e.guedes@smabr.com, l.dias@smabr.com, v.ueda@smabr.com.
