"Vírus espião" como meio de investigação: a infiltração por softwares

A utilização de malware na investigação criminal decorre do impacto significativo protagonizado pela informática no âmbito jurídico. O malware como método de obtenção de prova[2] é um software malicioso instalado clandestinamente pelo Estado em um sistema informático, uma ameaça destinada a quebra da confidencialidade e integralidade dos dados nele contidos[3]. Trata-se de um software previamente programado cuja função é infectar dispositivos para tornar possível o acesso remoto às informações, comunicações ou arquivos neles armazenados, ou, ainda, acessar suas funcionalidades, independentemente de estarem ativas ou não[4].

Após instalado, cria-se um portal de acesso (backdoor)[5] que possibilita uma comunicação entre o dispositivo monitorado e o centro de comando. Portanto, a utilização de malware nas investigações permite ao centro de comando um controle remoto capaz de realizar de maneira oculta o monitoramento, em tempo real, de áudio, vídeo, funções de microfone e câmeras, fluxo de dados e comunicações, memória e armazenamento e geolocalização do dispositivo móvel alvo, dentre outras funcionalidades por vezes disponíveis[6], como o acesso a senhas de usuários do sistema informático alvo, documentos, correio eletrônico e histórico de páginas da web[7].

Em alguns países como Espanha, Itália e Estados Unidos, já existem casos de uso da metodologia investigativa, contudo, diversas são as polêmicas geradas, principalmente no que tange à restrição demasiada de direitos fundamentais. Mesmo que a intervenção estatal por meio da tecnologia se mostre sutil, por vezes fronteiras de proteção (intransponíveis) são rompidas durante a persecução penal e, portanto, se faz necessário o (re)estabelecimento de (novos) limites para preservar garantias individuais.

Mas e em relação ao ordenamento jurídico brasileiro? Seria lícita a investigação criminal informática a partir da infiltração por software?

De imediato, como afirmado acima, trata-se de método de obtenção de prova, de tal sorte que necessita de uma lei processual que o regulamente, tendo em vista que o Estado não poderá incidir em um direito fundamental sem prévia permissão legislativa (nulla coactio sine lege)[8]. Neste ponto, não há que se falar na utilização de métodos atípicos de obtenção de prova, justo pelo necessário respeito à legalidade processual. É pela legalidade processual que se permite balizar a aplicabilidade do método utilizado ao conteúdo do direito fundamental restringido. E sobre essa lógica, relembramos Jorge Miranda: “não são os direitos fundamentais que se movem no âmbito da lei, mas a lei que deve mover-se no âmbito dos direitos fundamentais”[9].

Não há, atualmente, lei processual que contemple o direito fundamental restringido pelo referido método de obtenção de prova. Dizer isso, por evidente, é dizer que não se trata simplesmente de interceptação da comunicação de dados, logo, incompatível com a Lei 9.296/96; ademais não se trata — tão somente — da restrição ao direito à livre comunicação. Muito menos haveria que se falar em uso análogo dos dispositivos processuais referentes à busca e apreensão (e custódia) de provas físicas[10]. O uso de procedimentos análogos de busca e apreensão para provas físicas não contempla as peculiaridades de preservação da prova (custódia), o que poderá invalidar o material probatório.

Em verdade, trata-se de um novo direito fundamental que surge em decorrência da “dataficação”[11] da vida resultante da dinamicidade atrelada à sociedade de informação. A intrusão sub-reptícia de malware em dispositivos informáticos, para além de incidir no direito à livre comunicação, intimidade, privacidade, autodeterminação informativa etc., restringe substancialmente o direito fundamental à integridade e confiabilidade dos sistemas informáticos[12].

Proteger os sistemas informáticos e, por evidente, os dados inseridos neles é proteger os sujeitos cujos dados fazem referência. Essa proteção demarca o critério de legitimação política daquilo que Perez Luño[13] denominará de “sistemas democráticos tecnologicamente desenvolvidos”, justo pelo fato de que a proteção de dados e a liberdade informática fazem parte do status que constitui o cidadão.

A Constituição Federal, artigo 5º, parágrafo 2º não exclui a possibilidade de incorporação deste e de outros direitos que pelo seu conteúdo tenham status de fundamentais. Trata-se, pois, da denominada cláusula de abertura. Ou seja, para além dos direitos fundamentais expressamente dispostos na Carta Magna (fundamentalidade formal), há que ser observada a fundamentalidade material do direito que se refere à estrutura básica do Estado e da sociedade[14].

Logo, quanto à integridade e confiabilidade do sistema informático como direito fundamental, é evidente que seu conteúdo o incorpora ao conceito material de direitos fundamentais. De tal sorte, pela análise feita, o direito à integridade e confiabilidade do sistema informático, pelo seu conteúdo, compõe a estrutura básica do Estado Democrático brasileiro.

Sendo um direito fundamental, para que o Estado o restrinja na efetivação de investigações criminais mediante malwares dever-se-á – antes de tudo — de uma norma constitucional autorizadora. Além disso é claro, necessitar-se-á da norma reguladora (lei processual penal) do referido instituto processual penal de obtenção de provas.

Portanto, é preciso autorização constitucional e regulamentação processual para que tal meio de obtenção de prova seja utilizado, sob pena de estarmos diante de uma prova ilícita expressamente vedada pela Constituição e pelo CPP.