Introdução

O Brasil já utiliza ferramentas estatais de intrusão em dispositivos digitais, mas ainda não dispõe de uma lei que estabeleça em quais hipóteses, de que forma e sob quais mecanismos de controle elas podem ser empregadas. Essa é a lacuna que a ADPF 1.143 submete à apreciação do STF e que este artigo se propõe a examinar.

O chamado Hacking governamental permite que órgãos de investigação acessem, de forma oculta e remota, celulares e sistemas informáticos, obtendo dados, comunicações e até mesmo controle da câmera e do microfone dos dispositivos, sem o conhecimento do alvo. Trata-se de instrumento de enorme eficácia investigativa que, justamente por essa razão, apresenta significativos riscos à intimidade, ao sigilo das comunicações, ao devido processo legal e à liberdade de expressão.

Conceito e casos concretos

O Hacking governamental consiste na exploração, pelo Estado, de vulnerabilidades existentes em sistemas, redes ou dispositivos, com o objetivo de acessar dados digitais sem a autorização da pessoa afetada. A intrusão ocorre de forma oculta e remota, valendo-se de técnicas de acesso ou de falhas previamente identificadas em sistemas já existentes.

Essa modalidade de investigação amplia significativamente a eficiência da persecução penal e, ao mesmo tempo, potencializa riscos à democracia e aos direitos fundamentais.

O primeiro deles é o da vigilância total. Ferramentas como o Pegasus permitem acesso irrestrito à câmera, ao microfone, à geolocalização, às mensagens e aos aplicativos do dispositivo, transformando o celular em um mecanismo permanente de monitoramento.

O segundo risco reside na fragilização da confiabilidade da prova. Afinal, quem detém acesso ao aparelho pode também alterar, excluir ou inserir arquivos, comprometendo a integridade dos elementos probatórios e, em situações extremas, viabilizando a criação de evidências incriminadoras.

Além disso, essa espécie de invasão pode ser empregada não apenas para fins investigativos voltados a potenciais práticas delitivas, mas também para monitorar indivíduos que questionem a atuação estatal, como opositores e jornalistas, enfraquecendo a liberdade de expressão e o debate público.

No Brasil, o debate ganhou relevância com os episódios da chamada “ABIN Paralela” (2019–2021), em que o sistema First Mile foi utilizado para monitorar “alvos” sem autorização legal, resultando em mais de 60 mil consultas ilícitas, bem como com o pregão eletrônico 3/21 do Ministério da Justiça e Segurança Pública, vencido pela Harpia Tecnologia.

Lições do direito comparado

No direito comparado, quanto maior o grau de intrusão da medida, mais rigorosos tendem a ser os requisitos para sua utilização pelos órgãos estatais. Os precedentes examinados convergem na exigência de norma específica para o Hacking governamental e a necessidade de mecanismos independentes de controle.

A Alemanha é referência nesse campo. Em 2008, o Tribunal Constitucional Alemão reconheceu o direito fundamental à confidencialidade e à integridade dos sistemas de informação, admitindo a infiltração apenas diante de indícios concretos de ameaça a bens jurídicos excepcionalmente relevantes, como a vida, a integridade física e a liberdade.

Em 2025 (Trojaner II), a Corte decidiu que tanto a busca remota capaz de acessar a totalidade dos dados armazenados em um sistema informático quanto a interceptação, na origem, de telecomunicações em curso antes de sua criptografia, afetam simultaneamente o direito à confidencialidade, à integridade de tais sistemas e o sigilo das telecomunicações, razão pela qual devem ser examinadas à luz de ambas as garantias constitucionais.

O Tribunal Europeu de Direitos Humanos desenvolveu uma lógica cumulativa de salvaguardas, sintetizada em cinco elementos: legalidade previsível, autorização independente, seleção controlada dos dados, contraditório e remédio efetivo.

Em Zakharov v. Rússia (2015), o Tribunal assentou que, em sistemas de vigilância secreta em massa, o cidadão não precisa demonstrar que foi interceptado para questionar a compatibilidade da legislação com os direitos fundamentais: a simples existência de uma lei abusiva já é suficiente para caracterizar ingerência estatal em sua esfera jurídica. Além disso, concluiu que a legislação russa conferia poderes excessivos à polícia e aos serviços de inteligência, sem mecanismos adequados de controle e sem garantias efetivas contra abusos na guarda e na destruição dos dados.

Em Big Brother Watch v. Reino Unido (2021), a Corte entendeu que regimes de interceptação em massa não são incompatíveis, por si sós, com a Convenção Europeia de Direitos Humanos, reconhecendo sua relevância para fins de segurança nacional. Contudo, constatou a violação dos arts. 8º e 10º da Convenção em razão da ausência de salvaguardas adequadas, especialmente quanto à supervisão independente do processo de seleção dos dados e à proteção insuficiente de material jornalístico confidencial.

No caso EncroChat, o Tribunal de Justiça da União Europeia assentou que, em procedimentos penais, as cortes nacionais devem desconsiderar informações e provas quando o acusado não estiver em condições de impugná-las eficazmente e quando esses elementos forem suscetíveis de exercer influência preponderante na definição dos fatos.

No sistema interamericano, em CAJAR v. Colômbia (2023), a Corte Interamericana de Direitos Humanos reconheceu expressamente o direito à autodeterminação informativa, extraindo-o da proteção à honra previsto no art. 11 da Convenção Americana de Direitos Humanos, do direito de acesso à informação, consagrado em seu art. 13 e das garantias de proteção jurisdicional previstas em seu art. 25.

Os precedentes analisados convergem na necessidade de observância de balizas fundamentais para a autorização da intrusão: legalidade, necessidade, integridade da prova e contraditório. Nenhuma delas, isoladamente, é suficiente para legitimar a medida.

A lacuna normativa brasileira

No Brasil, a capacidade técnica avançou mais rapidamente do que sua disciplina jurídica. Iniciativas como o Projeto Excel, voltado à distribuição de ferramentas forenses para forças policiais estaduais, e o caso First Mile/ABIN demonstram como a aquisição dessas tecnologias pode transformar capacidades intrusivas em estruturas permanentes de vigilância, com reduzida transparência quanto ao uso, à auditoria e ao descarte dos dados obtidos.

O ordenamento jurídico brasileiro oferece disciplina esparsa e insuficiente sobre o tema. A Constituição Federal protege a intimidade e o sigilo das comunicações (art. 5º, incisos X e XII), admitindo restrições apenas mediante ordem judicial, nas hipóteses e na forma previstas em lei.

A lei 9.296/1996 regula a interceptação telefônica e telemática, mas abrange toda a dimensão invasiva do Hacking governamental. A LGPD - Lei Geral de Proteção de Dados exclui de seu âmbito a segurança pública e a persecução penal (art. 4º, inciso III), remetendo a matéria à futura legislação específica. O PL 1.515/22, destinado a disciplinar esse tratamento de dados, aguarda parecer na Comissão de Ciência, Tecnologia e Inovação. Já a lei 13.869/19 tipifica o abuso de autoridade, mas não estabelece arquitetura preventiva voltada ao controle de ferramentas intrusivas.

O PL 8.045/10, que institui o novo CPP, busca disciplinar a prova digital, mas alcança o Hacking apenas de forma indireta e não faz referência expressa a malware, spyware, exploração de vulnerabilidades, ativação remota de sensores ou coleta prospectiva de dados (arts. 304, inciso II e 307).

O art. 308 do referido projeto de lei exige ordem judicial fundamentada, com definição de limites e prazo de duração, mas autoriza que a produção da prova digital alcance terceiros e permite que a polícia requisite a preservação de dados sem autorização judicial prévia.

Críticos¹ sustentam que a combinação entre coleta remota, ocultação da medida e amplitude operacional pode resultar, na prática, em uma autorização genérica, desprovidas das salvaguardas tradicionalmente associadas à interceptação. O projeto, ademais, permanece sem avanço legislativo significativo: após a extinção da Comissão Especial, aguarda a criação de nova comissão temporária para sua apreciação.

ADPF 1.143: a omissão legislativa no STF

A ADPF 1.143 busca o reconhecimento da omissão legislativa na regulamentação do Hacking governamental, com a imposição de limites provisórios à utilização dessas ferramentas enquanto não sobrevier disciplina legal específica. A ação, de relatoria do ministro Cristiano Zanin, foi originariamente proposta como ADO - ação direta de inconstitucionalidade por omissão, posteriormente convertida em arguição de descumprimento de preceito fundamental.

A petição inicial destaca a expansão global das ferramentas de intrusão digital, empregadas por serviços de inteligência e órgãos de repressão para promover vigilância remota, secreta e invasiva de dispositivos móveis, frequentemente justificadas pelo combate ao terrorismo e ao crime organizado.

Como parâmetros constitucionais, invoca as garantias previstas no art. 5º, incisos X e XII. Também se apoia no Marco Civil da Internet (lei 12.965/14), que tutela a privacidade, o sigilo das comunicações e os registros de conexão, bem como na LGPD, que condicionou o tratamento de dados para fins de persecução penal à edição de legislação específica.

A jurisprudência recente do próprio STF oferece suporte ao pedido. No Tema 977 (ARE 1.042.075/RJ, julgado em junho de 2025), a Corte exigiu consentimento do titular ou decisão judicial fundamentada para o acesso a dados armazenados em telefone celular apreendido, com delimitação do alcance da medida. No HC 168.052/SP, o ministro Gilmar Mendes advertiu que o Estado não pode transformar-se em um "Estado espião e onipresente". Se o simples acesso a um aparelho já apreendido depende de condicionantes rigorosas, com maior razão a intrusão remota e oculta exige regime próprio.

Há, contudo, um dilema constitucional central: pode o STF limitar uma técnica não prevista em lei sem, ao mesmo tempo, acabar por legitimá-la? Se, por um lado, a proibição provisória preserva a reserva legal, por outro, a construção judicial de um regime temporário pode resultar justamente na criação da disciplina restritiva cuja ausência fundamenta a própria ação.

Conclusão

A lei deve preceder a técnica. O Brasil já dispõe de ferramentas de intrusão digital, mas ainda não definiu, em lei, suas finalidades legítimas, seus alvos possíveis, sua duração, seus limites operacionais, os mecanismos de auditoria aplicáveis e os meios de reparação contra abusos. As respostas atualmente disponíveis reconhecem o problema, mas permanecem insuficientes para solucioná-lo.

A ADPF 1.143 evidencia essa omissão legislativa e pode servir como instrumento de indução da atividade normativa do Congresso Nacional. Há, contudo, o risco de que o STF acabe estabelecendo, ainda que provisoriamente, parâmetros autorizativos para uma técnica que carece de base legal específica. Por sua vez, o PL 8.045/10 procura regulamentar a prova digital e o acesso forçado a dados, mas a amplitude de seus conceitos pode permitir o Hacking governamental sem a correspondente densidade de garantias em favor dos investigados.

O direito comparado indica o caminho a ser percorrido: legalidade previsível, autorização judicial independente, seleção controlada dos dados, contraditório efetivo e mecanismos de reparação frente ao abuso. Cabe ao Congresso editar legislação específica sobre a matéria, e à ADPF 1.143 funcionar como o impulso necessário para essa regulamentação, e não como substituta da atividade legislativa.

_______

1 Segundo SAAD, ROSSI e PARTATA: “Ocorre que a ausência de parâmetros legais claros para a coleta de dados digitais presentes nos dispositivos informáticos apreendidos resulta em autorizações judiciais genéricas para o acesso a todo e qualquer conteúdo armazenado nesses dispositivos”.  (SAAD, Marta; COSTA ROSSI, Helena; HENRIQUE PARTATA, Pedro. A obtenção das provas digitais no processo penal demanda uma disciplina jurídica própria? Uma análise do conceito, das características e das peculiaridades das provas digitais. Revista Brasileira de Direito Processual Penal, [S. l.], v. 10, n. 3, 2024. DOI: 10.22197/rbdpp.v10i3.1071. Disponível aqui.