Cloud Act: Quando a investigação se dá nas nuvens americanas

Boa parte das operações realizadas em território brasileiro se dá por e-mail, plataformas e aplicativos situados em território americano. Por exemplo, toda vez que você usa seu gmail, yahoo ou apple, vale-se das regras americanas e talvez não saiba. Com isso, surge a discussão das possibilidades de o Governo Americano monitorar, investigar ou mesmo fazer fishing expedition (pescaria probatória – aqui). Promulgado pelos EUA, o Cloud Act (aqui) objetiva agilizar o acesso a informações eletrônicas mantidas pelos EUA para prestadores globais que investigam crimes graves como por exemplo o terrorismo e crimes violentos, cibercrime e até mesmo exploração sexual.

Há grande frequência de evidências/provas eletrônicas mantidas por Provedores de Serviços de Comunicação (CSPs) com operações globais. Com clientes em todo o mundo e centrais de armazenamento de dados em diferentes países, estes dados podem estar sujeitos a diferentes legislações. Não raro pode ocorrer antinomias, conflitos de normas entre autoridades de países demandantes requerem acesso, mas o país sede restringe a informação. Surgiu, assim, para uniformizar o acesso à investigações e ações penais, com reflexos na validade da prova.

As dificuldades de cooperação internacional em face da necessidade de se angariar evidências/provas eletrônicas, muitas vezes em tempo exíguo, demandou a edição do Cloud Act, segundo o qual, mediante acordos/parcerias entre os países, busca-se eficiência em face da dita criminalidade grave. É um marco porque ao mesmo tempo que garante privacidade, estabelece critérios para acesso aos dados vinculado a empresas de tecnologia globais, bem como o legado do quadro jurídico do século XX.

A Convenção sobre Cibercrime (Convenção de Budapeste) exige que cada um dos países que dela fazem parte mantenham a autoridade legal de obrigar as companhias sediadas em seu território a divulgar dados que estejam no seu controle, de acordo com o seu processo legal válido —independentemente de a companhia armazenar os dados em outros países. Isso pode gerar uma situação de conflito entre as leis dos diversos países, impedindo ou retardando a obtenção dos dados, o que, em determinado momento, pode comprometer importantes investigações.

Algumas vezes esses conflitos podem ser tratados por meio de uma requisição de assistência a outro país denominado de Mutual Legal Assistance Treaties (MLATs), que seria um Tratado de Assistência. O sistema da MLAT nada mais é do que um pedido que pode ser concedido, ou não, por outro país, sobre determinado dado que esteja sob sua jurisdição. Esse processo é igualmente complexo, e na urgência da informação pedida, pode levar muitos meses até se completar, tornando-se ineficaz em alguns casos.

Diante destas situações o Congresso dos Estados Unidos, em março de 2018, aprovou o Cloud Act, tendo duas partes distintas: a) a Lei autoriza os Estados Unidos a entrar em acordos executivos com outros países que preencham determinados critérios, para remover determinadas restrições de acordo com as legislações de cada país, autorizando que os CSPs possam cumprir ordens válidas no tangente a esses dados eletrônicos emitidos pelo outro país; b) a Cloud Act torna explícito que uma companhia sujeita a jurisdição de um determinado país pode ser requerida a produzir e apresentar dados sob seu controle, a qualquer momento, independentemente de onde estes dados estejam armazenados.

O Cloud Act regulamentou o que já ocorria nos EUA no concernente a essas questões, não alterando os padrões existentes nas leis dos EUA, pois devem ser cumpridos os requisitos antes de as agências de aplicação da lei possam exigir a divulgação de dados eletrônicos. Assim, o Cloud Act permite aos Estados Unidos ajudar parceiros de aplicação das leis a obter informações eletrônicas de evidências de CSPs globais baseados nos EUA, para solução de crimes mais graves com eficiência. O único efeito legal dos acordos CLOUD é eliminar os conflitos legais para ordens qualificadas. Os acordos do CLOUD Act requerem significativas proteções de privacidade e comprometimento com as regras da lei.

As requisições de dados devem ser legalmente obtidas no sistema interno do país buscador dos dados; devem visar contas ou indivíduos específicos como alvo; devem ter justificativa razoável baseadas ou articuladas em fatos reais e concretos, particularidade, legalidade e gravidade; e devem estar sujeito a revisões e supervisão por uma autoridade independente, em geral do Poder Judiciário. Os acordos devem ser usados apenas para prevenção, detecção, investigação ou acusação de crimes severos, incluindo terrorismo. O funcionamento destes acordos está sujeito a avaliação periódica, a fim de garantir que estão sendo aplicados corretamente ao seu propósito.

Não serão “cortados” os outros modos já existentes de solicitações de dados, porém os acordos CLOUD, reduzirão as demandas do sistema MLAT, além de permitir que os CSPs respondam diretamente às ordens estrangeiras sem medo de um conflito entre as legislações das partes.

A Lei alterou o Stored Communications Act (SCA), Estatuto Federal que fornece aos investigadores dos EUA a devida autoridade para exigir a divulgação de informações mantidas pelos CSPs, os quais são sujeitos à jurisdição dos Estados Unidos. Essa alteração garante que a legislação americana cumpra com os princípios internacionais já existentes e implementados em muitos países como requerido pela Convenção de Budapeste.

A promulgação do CLOUD Act pelos Estados Unidos teve como objetivo primordial tratar de uma situação que se tornou insustentável nos últimos tempos, e a grande questão é garantir o poder dos governos de solicitar e obter dados de informações eletrônicas armazenadas que possam ser exercida e supervisionada de maneira que respeitem o estado de direito, proteja a privacidade e os direitos humanos e reduza os conflitos existentes entre os países envolvidos.

Falhar no trato desta situação aumentaria o incentivo para localização de dados pelo mundo o que poderia causar danos tanto ao comércio global quanto à segurança pública. Com os acordos executivos estruturados entre os direitos que respeitam os países sob a Lei CLOUD, haverá um apoio aos esforços destes países para investigar de forma mais eficiente crimes graves, com os riscos daí inerentes, especialmente pelo uso da Lawfare (aqui).

Mas vale pontuar: a) Qual o objetivo do Cloud Act? Objetiva melhorar os procedimentos de obtenção de acesso a informações eletrônicas, tanto para os EUA como para estrangeiros. Essas informações são fundamentais para investigações de crimes graves como o terrorismo, exploração sexual de crianças e cibercrime. Esta diretamente associado as tecnologias do século XX, para responder à revolução eletrônica e tecnológica de inovações recentes na forma como as companhias tecnológicas globais configuram sistemas, permitindo que parceiros estrangeiros —os quais devem preencher os requisitos estabelecidos na lei— possam celebrar acordos executivos com os EUA para terem acesso as provas eletrônicas com o fim específico de combater a criminalidade; b) Quem pode participar deste contrato da Cloud Act com os EUA? Todos aqueles países que respeitam os direitos e o Estado Democrático de Direito. É exigido que o Procurador-Geral dos EUA certifique ao Congresso dos EUA que determinado país parceiro tem em suas leis e implementa na prática as devidas exigências previstas na Lei Cloud, tendo por base os seguintes fatores: (i). Leis substantivas e processualmente adequadas sobre cibercrime e evidências eletrônicas, como os enumerados na Convenção de Budapeste; (ii). Respeito pelo Estado Democrático de Direito e princípios de não discriminação; (iii) Adesão às obrigações internacionais aplicáveis aos direitos humanos; (iv) Normas e procedimentos legais claros que regem a coleta, retenção, uso e compartilhamento de dados eletrônicos; (v). Mecanismos de prestação de contas e transparência em relação à coleta e uso de dados eletrônicos; e, (vi) Compromisso demonstrado com o livre fluxo de informações e uma Internet Global; c) os acordos executivos da Cloud Act abrangem também as áreas cíveis, administrativas ou comerciais? Podem ser utilizados em inquéritos ou para espionar outros países? A resposta é não, já que acordos do Cloud Act só são utilizados para obter informações relativas à prevenção, detecção, investigação ou repressão de crimes graves e apenas em resposta a processos legais.

Trata-se de uma novidade e a ideia do presente artigo é somente apresentar mais um marco legal que poderá ser utilizado no Processo Penal brasileiro, especialmente em casos complexos, em que o regime probatório não está somente regulamentado por normas nacionais.

P.S. Parabéns aos aniversariantes Lenio Streck, Aury Lopes Jr e Thiago Fabres de Carvalho