Enfim, o Brasil conta com um debate sobre a regulação dos serviços de inteligência – até então longe de ser uma agenda política e legislativa – mais precisamente, a partir dos limites para o uso de tecnologias de espionagem em sistemas conectados. O campo vem ganhando espaço em razão de dois fatos políticos recentes e complementares: as investigações da Polícia Federal sobre o uso da ferramenta FirstMile, pela Agência Brasileira de Inteligência (Abin), e o ajuizamento da Ação de Descumprimento de Preceito Fundamental (ADPF) 1.143/2024, no Supremo Tribunal Federal (STF), pedindo o estabelecimento de procedimentos legais sólidos para o que se convencionou chamar de hacking governamental.

Importante destacar, de início, que atividades de inteligência normalmente carregam obrigações aparentemente opostas: por um lado, coletam informações, normalmente de forma sigilosa, para apoiar a execução de políticas públicas de maneira informada e proteger a integridade das instituições de Estado. Por outro, têm a obrigação de justificar a legitimidade da própria atividade por meio de iniciativas de transparência perante o povo e instituições governamentais de fiscalização.

Caso falhe nesse segundo pré-requisito, pode ser tomada por atividade clandestina, arriscando sua própria integridade aos olhos da sociedade e, assim, a relação de confiança entre cidadão e Estado. Os fatos políticos acima ilustram o quão próximo chegamos disso, ou seja, quando um sistema de inteligência não traz consigo um modelo de prestação de contas significativo, caindo facilmente sob influência política de um regime antidemocrático.

Dando um passo atrás: a criação do Sistema Brasileiro de Inteligência (Sisbin, do qual faz parte da Abin), foi parte dos resultados de uma “democratização negociada” na transição da ditadura militar para o regime democrático, além de cumprir um papel de substituição do Serviço Nacional de Inteligência (SNI). Vigente durante a ditadura, as ações do SNI foram profundamente inspiradas em uma “perseguição paranoica” de inimigos internos, como células de resistência da sociedade civil, e “contenção e retaliação” de movimentos de reforma por direitos civis na América Latina.

Além disso, ainda que o Sisbin estivesse em atividade desde 1995, o Sistema foi criado oficialmente, através de lei, apenas em 1999. Ainda mais grave, apenas em 2013 é constituída, na prática, a Comissão Mista de Controle das Atividades de Inteligência (CCAI), o órgão central de fiscalização do Sisbin. Esse intervalo de tempo é um ponto chave para identificar o desinteresse histórico (ou dificuldade), por parte do parlamento, em controlar as atividades de inteligência.

Não são de espantar, então, os casos recentes. Em resumo, a ferramenta FirstMile – desenvolvida pela empresa Cognyte (ex-Verint, empresa amplamente reportada pela mídia internacional por negociar sistemas de vigilância com regimes antidemocráticos) – funciona se aproveitando de uma vulnerabilidade na infraestrutura de telecomunicações e, fraudando os serviços de telefonia, coleta a geolocalização do número de celular alvo – foi largamente utilizada pela Abin para monitorar jornalistas, opositores políticos e mesmo membros do Congresso Nacional e do STF durante o governo Bolsonaro. Sem ordem judicial. Sem fiscalização externa. Sem controle de acesso. Sem motivação legítima. Um prato cheio de violações ao devido processo legal e a uma série de garantias constitucionais.

O problema é estrutural e não se resume aos serviços de inteligência. Ainda em 2022, foi publicado o estudo “Mercadores da Insegurança: conjuntura e riscos do hacking governamental no Brasil”. O estudo realizou pesquisa empírica e levantou 209 contratos entre os órgãos de segurança pública e segurança nacional no Brasil e desenvolvedores/fornecedores de ferramentas de hacking, envolvendo, efetivamente, todos os Estados do país, o Distrito Federal e o Governo Federal. Foi possível concluir que os expedientes de hacking já fazem parte da cultura investigativa no país e são usados por forças armadas, polícias civis e militares. No entanto, não há procedimento legal específico na legislação brasileira para tais técnicas, abrindo margens para abusos como o da FirstMile na Abin.

Então, seria permitido, dado quadro jurídico, que o setor de inteligência contrate uma ferramenta que faz uso de expedientes fraudulentos para coletar informações, explorando vulnerabilidades em infraestruturas de telecomunicações ou Internet? O que dizer de outros setores, como a Polícia Federal ou o Ministério Público, no curso de uma investigação criminal? Como enquadrar e resolver juridicamente os recentes episódios?

A ação que tramita no STF aponta nesse sentido e ajuda a engajar a pluralidade da sociedade em um debate que deve ser amplo (mais de 30 especialistas já foram ouvidos em Audiência Pública convocada pela Corte). A PGR argumenta que há omissão regulatória no uso de “programas de intrusão virtual remota e de ferramentas de monitoramento secreto e invasivo de aparelhos digitais de comunicação pessoal”. Busca, assim, a obrigação legislativa do Congresso e a regulação do tema: “[a] mera existência de programas de hackeamento pode ter efeitos inibitórios sobre a liberdade de expressão, sobre o trabalho da mídia e sobre o debate e participação públicos, potencialmente desgastando a governança democrática”, sustenta a PGR, citando, pertinentemente, relatório do Alto Comissariado para Direitos Humanos da ONU.

Os desdobramentos tanto da ação quanto da investigação vão dar condições de apoio a uma reforma legislativa e institucional extremamente necessária à modernização do regime de proteção aos direitos fundamentais no país. Do ponto de vista regional, o tema também deve gerar impacto, tendo como pano de fundo, por exemplo, a Convenção Americana sobre Direitos Humanos (Pacto de San José da Costa Rica), uma vez que prevê que “ninguém pode ser objeto de ingerências arbitrárias ou abusivas em sua vida privada” (Artigo 11), pré-condição contemporânea para o exercício da liberdade de pensamento e expressão (Artigo 13).

Destaco que não somente o direito fundamental à proteção de dados pessoais, recentemente incluído no rol do Art. 5 da Constituição Federal, deve servir de guia para as consequências jurídicas e regulatórias dos casos acima, mas novos direitos também devem ser maturados e reconhecidos a fim de fazer frente às dinâmicas tecnológicas contemporâneas de investigação e inteligência que pões risco ao ecossistema de cibersegurança.

Por exemplo, a Corte Constitucional Alemã reconheceu, em 2008, o direito à confidencialidade e integridade dos sistemas informáticos, precisamente em ação constitucional que questionava a legalidade para o uso de métodos semelhantes aos abordados na ação no STF. O reconhecimento do direito vem pautando uma série de novas ações por parte da sociedade civil na Corte Alemã, que continuamente vem moldando os limites para o uso de técnicas de hacking e provocado medidas de controle mais rígidas, como foi a criação de novos órgãos estatais de fiscalização dos serviços de inteligência.

A aparente contradição entre sigilo (supostamente pré-condição à eficácia das atividades de inteligência) e prestação de contas deve ser superada. O Brasil precisa pensar, com mais sabedoria, seu desenho institucional de fiscalização, incluindo não somente sua Autoridade Nacional de Proteção de Dados e o Conselho Nacional de Justiça, mas também a criação de cortes especiais que avaliem especificamente pedidos dos órgãos de inteligência, assim como uma autoridade central de cibersegurança.

Esse é um caminho tortuoso a ser enfrentado e vai demandar uma gramática jurídica própria, procedimentos específicos, um regime de fiscalização democrática, além de instituições de expertise e ampla participação da sociedade. Espera-se que o Brasil se mantenha na tradição de regular o uso de novas tecnologias de modo participativo e plural, reduzindo as chances de uso arbitrário de novas técnicas de vigilância.