Domingo, 13 de Julho de 2008
Manifesto: O PL de crime eletrônico e Peer2peer ponto a ponto – Entanda o Projeto Azeredo
Do ponto de vista técnico, é complicado que uma lei fale de “violação de segurança” já que, no Direito, a idéia de segurança esta ligada com a idéia de risco à integridade física dos indivíduos. Ao estabelecer como elemento do tipo a “violação de segurança” o que se faz é trazer para realidade uma metáfora utilizada em informática que nada tem a ver com o mundo do direito. Essa mistura de realidade e ficção ficará mais clara mais adiante. Por hora cabe dizer apenas que um “ataque” a um sistema não é juridicamente um ataque, apenas um fluxo de dados e informações.
Do ponto de vista da cultura da Internet (não pretendo me estender já que esse ponto rende um post inteiro) a Internet foi concebida para ser uma rede de natureza pública onde o privado era exceção (sempre presente, mas sempre tratada como exceto). Assim, estabelecer áreas privadas de acesso restrito deveria ocorrer por responsabilidade daqueles que a definiam como tal. Essa lógica explicitava o fato de que não há espaço 100% seguro, bem como, a idéia de que a rede é para ser construída por todos… estabelecer o Acesso não Autorizado como um crime inverte essa lógica… é a mesma coisa que dizer que na rede, a propriedade privada passa a ser a regra, e qualquer violação desta regra será vista como punível. É dizer que uma pessoa (física ou jurídica) tem direito de deixar seus dados privados expostos sem a devida segurança pois qualquer espaço, por mais mal protegido que seja, é privado e a sociedade punirá os que nele adentrarem escusando de responsabilidade qualquer “vítima” de tal intrusão independente de eventual negligência em configurar ou assegurar devidamente o dado ou informação.Transferência não autorizada de dado
Pena – reclusão, de 1 (um) a 3 (três) anos, e multa.”
Aqui há, no mínimo, uma redação infeliz. De fato, nada me garante que um determinado atravessador de informação não utilizará este tipo penal para estabelecer uma rede própria com um certo arquivo e depois alegar que, se alguém está transmitindo-o pela rede, esta fazendo sem sua autorização, incorrendo em crime.
Além do mais, o texto do artigo é excessivamente genérico o que é “dado“, meu endereço de e-mail é um dado? meu número de cpf seria um dado? um trecho de uma reportagem não deixa de ser um dado… um resultado de uma pesquisa, um percentual de um infográfico qualquer é um dado… divulgar isso, “transferindo-o” seria crime! Um eventual estado autoritário (não que o nosso seja) poderia usar isso como forma de perseguir jornalistas que conseguissem informações não públicas e as publicassem… pessoalmente acho o conceito de “dado” algo abstrato de mais para estar escrito numa Lei… Leis são feitas para serem interpretadas, para dar “segurança jurídica” à toda a sociedade… que segurança se tem quando a letra da lei permite leituras amplamente distintas?Divulgação ou utilização indevida de informações e dados pessoais
Pena – detenção, de 1 (um) a 2 (dois) anos, e multa.”
Pena – detenção, de um a seis meses, ou multa”
Pena – reclusão, de 1 (um) a 3 (três) anos, e multa.“
Pena – reclusão, de um a cinco anos, e multa.
§ 2º – Nas mesmas penas incorre quem:
VI – difunde, por qualquer meio, código malicioso com intuito de facilitar ou permitir acesso indevido à rede de computadores, dispositivo de comunicação ou sistema informatizado:“
Por conta deste “detalhe esquecido” basta que um estudioso de segurança de rede “transfira” para um colega, em arquivo zipado e de forma completamente “inócula” um spyware que tenha sido desenvolvido “com intuito de facilitar ou permitir acesso indevido à rede de computadores” para haver crime. Veja que sem a exigência da obtenção de vantagem, o crime se consuma mesmo que o “código malicioso” não seja executado e independente do intuito da pessoa (é o que se chama, em direito, de crime de mera conduta).Atentado à segurança de serviço de utilidade pública
e
Interromper ou perturbar serviço telefônico, informático e etc…
Pena – reclusão, de um a cinco anos, e multa.Art. 266. Interromper ou perturbar serviço telegráfico, radiotelegráfico, telefônico, telemático, informático, de dispositivo de comunicação, de rede de computadores, de sistema informatizado ou de telecomunicação, assim como impedir ou dificultar-lhe o restabelecimento:
Pena – detenção, de um a três anos, e multa.”
No direito penal a premissa é que os crimes mais reprováveis devem receber punição maior, lembrem-se disso.O atual artigo do Código Penal, que trata do atentado à segurança de serviço de utilidade pública, visa, essencialmente, os serviços de agua, luz, calor [leia-se gás], serviços que, se levados a um mal funcionamento, poderiam oferecer risco à segurança física e corpórea de pessoas…. assim que, atentar contra a segurança do serviço de água, por exemplo, significa colocar uma barragem em risco de se romper, ou atentar contra a segurança do serviço de luz implicaria em expor pessoas a um risco potencial de eletrochoque.
Por outro lado, os serviços de telefonia [aqui creio que deve ser incluir acertadamente a transmissão de dados], são fisicamente inóculos, razão pela qual, no atual artigo do Código Penal, não se fala, em atentar à segurança de tais serviços, também de utilidade pública, mas sim de interromper-lhes ou perturbar-lhes.
Porém, a reforma prevista no Projeto aprovado pelo nosso fantástico Senado Federal, pretende inserir a metáfora da “segurança de redes” no mundo da realidade fática… criando o crime de “Atentado à segurança de serviço de telecomunicação“. Ora, veja só… primeiramente entramos no debate do que vem a ser, ao certo, um atentado à segurança de um sistema de informação… (com quantos pings se faz um ataque de negação de serviço? =D ) mas se isso por si só não fosse suficiente, veja que, se alguém atentar à segurança de um serviço de telecomunicação, poderá receber uma pena de Reclusão de 1 a 5 anos…. mas… por outro lado, se esse atentado à segurança for um meio para se derrubar o servidor e interromper-lhe o serviço, ai tudo bem, ai a pena é só de Detenção de 1 a 3 anos…. alguém me explica qual é a lógica que coloca a segurança do serviço de telecomunicação acima de sua manutenção e estabilidade?! Ou será que o legislador esqueceu de ler o resto da lei com o tamanho da pena? Ou será que não advertiram, os assessores, que a idéia de “segurança de sistemas” é uma metáfora e que a lei deve falar de realidade e não de ficção? Por que da forma como vai, em breve alguém vai passar a dar poder de polícia a agentes inteligentes em segurança de rede! Ou, quem sabe, aspirina pra rede neural… ou até um teste de Touring para se tornar cidadão.Falsificar dado eletrônico ou documento público
e
Falsificar dado eletrônico ou documento particular
Pena – reclusão, de dois a seis anos, e multa.Art. 298. Falsificar, no todo ou em parte, dado eletrônico ou documento particular ou alterar documento particular verdadeiro:
Pena – reclusão, de um a cinco anos, e multa.”
A idéia do primeiro tipo penal era punir aqueles que se utilizassem de formas ilícitas para falsificar documentos públicos eletrônicos, mas, ao invés disso, me parece que criou uma letra morta… a final… dado é dado, a reprodução está na sua essência… gostaria de ouvir comentários sobre a possibilidade de uma cópia falsa de um dado verdadeiro pois minha limitada criatividade jurídica não me permitiu.
No caso do documento eletrônico público talvez fosse melhor abandonar a redação do artigo do Código Penal e criar um tipo penal próprio que tratasse de eventuais formas de se ludibriar a infraestrutura de chaves públicas oficial do Brasil, ou as autoridades certificadoras oficiais (já que a idéia de documento público eletrônico, na nossa lei atual, está intimamente ligada à idéia de assinatura digital)… o mesmo se aplíca ao particular, apesar de que, se a idéia de dado público falso já me parece difícil, a idéia de dado particular falso me parece muito mais… mas, como foi dito, pode ser que me falte a necessária criatividade…No Código Penal MilitarAli os crimes são basicamente a repetição do que consta no Código Penal comum apenas destacando o seguinte:
O dano também inclui a conduta de “fazer desaparecer dado eletrônico alheio” ou seja, se o soldado apagou o arquivo do computador do sargento sem que ele tenha feito backup, é prisão na certa… por outro lado, apagar e guardar uma cópia é o mesmo que “desaparecer”?
Ainda quanto ao dano, cria-se o crime militar de causar “dano a dado eletrônico de utilidade militar“… o que me leva a perguntar o que as forças armadas fazem com seus computadores que não seja de utilidade militar…. mas essa resposta eu prefiro deixar para a criatividade do leitor.
Das Definições Penais
Se não bastasse a generalidade dos tipos penais, ainda temos as belas definições que seguem abaixo:
Dispositivo de Comunicação: “qualquer meio capaz de processar, armazenar, capturar ou transmitir dados utilizando-se de tecnologias magnéticas, óticas ou qualquer outra tecnologia;“
Este conceito deveria fazer referências àquelas coisas que comunicam informações, certo? errado… aqui foi incluído não só o que comunica mas praticamente qualquer coisa q trate ou guarde dado eletrônico. Um pen drive, um cd, um K7, até um disco de vinil, um ábaco, papiro, uma daquelas plaquinhas de argila da escrita cuneiforme [não sei se é assim que se chama], tudo isso, para o Projeto de Lei, virou “dispositivo de comunicação“, já que, segundo a definição, não é necessário, se quer, que se trate de algo digital ou mesmo eletrônico.
Sistema Informatizado: “qualquer sistema capaz de processar, capturar, armazenar ou transmitir dados eletrônica ou digitalmente ou de forma equivalente;”
Bem, aqui “sistema” não é definido, e o”informatizado” fica a cargo daquilo que faça a mesma coisa que um “dispositivo de comunicação” só que de forma eletrônica, digital ou equivalente… e a pergunta é, o que é “equivalente” à digital ou eletrônico? seria analógico? seria binário? da pra incluir telégrafo, código morse e sinal de fumaça? Não sei, mas pelo menos, aqui, a definição já é um pouco mais restrita do que a anterior…
Rede de Computadores: ” o conjunto de computadores, dispositivos de comunicação e sistemas informatizados, que obedecem a um conjunto de regras, parâmetros, códigos, formatos e outras informações agrupadas em protocolos, em nível topológico local, regional, nacional ou mundial através dos quais é possível trocar dados e informações;”
Esta sim uma definição acertada… exige-se um conjunto de computadores, protocolo, abrangência territorial e, troca de dados e informações!
Código Malicioso: “o conjunto de instruções e tabelas de informações ou qualquer outro sistema desenvolvido para executar ações danosas ou obter dados ou informações de forma indevida;”
Nesta definição inclui-se não só os malwares como também boa parte das ferramentas de segurança e administração, bem como, dos trabalhos acadêmicos sobre segurança e fragilidade de sistemas, lembrando que na lei não há uma unica linha mencionando que a prática de qualquer das condutas para fins acadêmicos, experimentais ou administrativos seja isenta de pena (lembro do processo criminal em que atuo em que responde um administrador de rede por ter executado um analisador de protocolo na própria rede que administrava).
Também cabe destacar que nesta definição o foco não é a finalidade lícita ou autorizada (como é o caso, por exemplo, de um administrador de rede que roda um crack para verificar fragilidades em pacotes de senha), no caso, o foco é a “forma indevida“, ou seja, um “método” tido como indevido (brute force) pode se enquadrar na definição da Lei, mesmo que feito para um fim que não seja errado.
Dados informáticos: “qualquer representação de fatos, de informações ou de conceitos sob forma suscetível de processamento numa rede de computadores ou dispositivo de comunicação ou sistema informatizado;”
Ou seja, qualquer dado é informático já que a definição legal de “dispositivo de comunicação” inclui “qualquer outra tecnologia” capaz de “processar, armazenar, capturar ou transmitir dados“, ou seja, é dado informático o cartão perfurado que alimenta um tear mecânico, as pedras em um ábaco, a disposição das peças em um tabuleiro de xadrez, a pedra de roseta e todos os papiros egípcios (representação de fatos armazenados em outras tecnologias)…. e veja que a definição de dado informático é basilar, fundamental – é a essência – para todos os crimes que discutimos anteriormente!
Dados de tráfego: nem perderei muito tempo, aqui a definição não importa muito, o que importa é destacar que no copiar e colar do trabalho legislativo, definiram um conceito que a lei não utiliza… ou seja, define-se o que é dado de tráfego mas não se diz a que serve a definição já que os crimes não fazem diferença quanto ao tipo de dado a que se referem, logo, se referem a todos, independente de ser log ou arquivo de programa.
Pedofilia
A lei diz que os crimes praticados por meio da Internet podem ser investigados pela Polícia Federal quando houver “repercução interestadual ou internacional“. Veja bem, primeiramente que o que “cai na rede” impreterivelmente repercute em escala nacional, ademais, a massiva maioria das queixas nas delegacias especializadas de crime eletrônico são referentes a crimes de injúria, difamação, calúnia e ameaça… ou seja, crimes eminentemente locais… porém, contra todo o senso comum, esses crimes eminentemente locais podem ser investigados pela Policia Federal… é como usar um canhão para matar uma mosca…. melhor seria restringir tal possibilidade a crimes praticados na Internet que sejam de maior gravidade como estelionatos, fraudes bancarias e coisas do gênero. De qualquer forma, me parece uma evolução da lei ter a Policia Federal como ente possível de atuar nos casos de crimes por Internet.Da responsabilidade dos provedores
Bem, por hora é o que ha, com o tempo eu vou melhorando o texto. Comentários para melhorar a análise são bem vindos. [postagem pendente de revisão]
- Ariel Foina
- Ariel Foina é Advogado e Sociólogo, atua na área do Direito Penal Eletrônico e pesquisa fenômenos sociais na Internet, Sociologia do Ciberespaço e Sociologia do Desvio Social.
http://sociedadelivre.blogspot.com/2008/07/manifesto-o-pl-de-crime-eletrnico-e.html
