Tipos de crimes cibernéticos
Módulo 7: Crimes cibernéticos
Violações da Política de Dados
O uso de dados, incluindo o volume de fluxos de dados transfronteiriços, aumenta a cada ano, e isso inclui dados pessoais. No entanto, muitos países carecem de regulamentações adequadas para a coleta e o processamento de informações pessoais, o que pode ter ramificações significativas, tornando as leis de proteção de dados cruciais. Nos últimos anos, a crescente atenção à questão da proteção de dados levou vários países asiáticos a promulgar novas leis de privacidade.1No entanto, muitos estados continuam a proteger a privacidade dos indivíduos de forma inadequada, especialmente contra atividades de vigilância estatal.2)
O surgimento de tecnologias de vigilância sofisticadas e o uso de tecnologias biométricas sem as devidas salvaguardas são apenas algumas das muitas ameaças ao direito à privacidade em toda a Ásia. No entanto, houve algumas decisões judiciais encorajadoras nos últimos anos, que apontam para a disposição do judiciário em certos países em proteger o direito à privacidade.
Suprema Corte da Índia sobre o spyware 'Pegasus'
In Manohar Lal Sharma contra a União da Índia(3O Supremo Tribunal da Índia analisou o alegado envolvimento do governo indiano no uso não autorizado do software espião Pegasus para realizar vigilância em massa. Os peticionários em Manohar (Uma mistura de litigantes de interesse público e aqueles que alegam ser vítimas) alegou que o uso não autorizado do Pegasus pelo governo constituía uma violação não apenas do direito à privacidade, mas também da liberdade de expressão, devido a um efeito "inibidor".4)
O software Pegasus, desenvolvido pelo grupo israelense NSO, infiltra-se em dispositivos digitais e pode acessar e transmitir remotamente “e-mails, mensagens de texto, chamadas telefônicas, bem como os recursos de câmera e gravação de áudio do dispositivo”, além de acessar os dados armazenados. Em 2018, o laboratório de pesquisa Citizen Lab descobriu que indivíduos de mais de 45 países eram suspeitos de terem sido alvos do Pegasus. Relatórios de investigações posteriores alegaram que cerca de 50,000 pessoas estavam sob vigilância por meio desse spyware. Os relatórios sugeriram que “quase 300 desses números pertenciam a indianos, muitos dos quais são jornalistas renomados, médicos, políticos e até mesmo funcionários do Judiciário”.5)
Em resposta às revelações da mídia, o governo da Índia ofereceu explicações evasivas, com o Ministro de TI do país negando o uso ilegal do Pegasus, embora não tenha negado o uso efetivo do spyware.6Essa ambiguidade proposital se refletiu no contexto do Manohar litígio, com o governo apresentando uma declaração juramentada contendo uma negação genérica das alegações dos peticionários, sem abordá-las de forma específica.7Ao ter a oportunidade de apresentar uma declaração juramentada adicional, o Procurador-Geral recusou, alegando preocupações com a segurança nacional como motivo para não revelar mais informações.8)
O Supremo Tribunal da Índia reafirmou sua decisão anterior em Puttaswamy(9) que a privacidade era 'sacrossanta(10O Tribunal também observou que a ameaça de vigilância afeta a forma como um cidadão "decide exercer os seus direitos" e pode resultar em autocensura, uma questão de particular gravidade para os jornalistas.11O Tribunal observou ainda a importância do caso para a proteção das fontes jornalísticas.12)
O Tribunal concluiu que, tendo em vista a vagueza da declaração juramentada do governo, os requerentes apresentaram uma alegação prima facie O caso levou à análise das alegações e criticou duramente o governo por fornecer informações insuficientes em uma questão relacionada a direitos fundamentais.13O Tribunal rejeitou a justificativa do governo de segurança nacional para não revelar qualquer informação detalhada, observando: “A segurança nacional não pode ser o bicho-papão do qual o judiciário se esquiva, simplesmente por mencioná-la.”14Por fim, o Tribunal recusou-se a ordenar que o governo apresentasse uma nova declaração juramentada, considerando que já lhe havia sido dada ampla oportunidade para o fazer, e, em vez disso, ordenou a constituição de um Comité de Peritos chefiado por um antigo juiz do Supremo Tribunal, com o objetivo de realizar uma investigação de apuramento dos factos.15)
Os tribunais consideraram a legislação sobre crimes cibernéticos excessivamente abrangente, concedendo às autoridades amplos poderes para coletar ou destruir certas categorias de dados sem salvaguardas suficientes. Por exemplo, em 2014, o Supremo Tribunal das Filipinas analisou a constitucionalidade de várias seções da Lei de Prevenção de Crimes Cibernéticos de 2012. Disini e outros contra o Secretário de Justiça e outros.(16O Tribunal confirmou muitas disposições, mas considerou várias inconstitucionais devido à sua abrangência excessiva. Por exemplo, a seção 19 da Lei, que autorizava o Departamento de Justiça a restringir ou bloquear o acesso a dados que fossem “prima facie considerados em violação das disposições desta Lei”, foi considerada incompatível com as garantias constitucionais de liberdade de expressão e de proteção contra buscas e apreensões arbitrárias. O Tribunal argumentou que “para um agente executivo apreender conteúdo alegadamente desprotegido sem mandado judicial, não basta que ele considere que tal conteúdo viola alguma lei, pois fazê-lo o tornaria juiz, júri e executor, tudo em um só”.
Outra das disposições da Lei considerada inconstitucional foi a seção 12, que autorizava as autoridades policiais a “coletar ou registrar, por meios técnicos ou eletrônicos, dados de tráfego em tempo real associados a comunicações específicas transmitidas por meio de um sistema de computador”, sendo “dados de tráfego” definidos como “a origem, o destino, a rota, a hora, a data, o tamanho, a duração ou o tipo de serviço subjacente da comunicação, mas não o conteúdo nem as identidades”. A seção também exigia que os provedores de serviços “cooperassem e auxiliassem as autoridades policiais na coleta ou registro” dos dados de tráfego. Ao considerar a disposição excessivamente abrangente, o Tribunal fundamentou sua decisão da seguinte forma:
A expressão "devida causa" também não descreve a finalidade para a qual a coleta de dados será utilizada. As autoridades policiais usarão os dados de tráfego para identificar o autor de um ataque cibernético? Ou serão usados para construir um caso contra um suspeito já identificado? Os dados podem ser usados para prevenir crimes cibernéticos?
A autoridade que a Seção 12 confere às agências de aplicação da lei é excessivamente abrangente e carece de contenção. Embora afirme que a coleta de dados de tráfego não deve revelar identidades ou conteúdo dos dados, tal contenção não passa de uma ilusão. É certo que nada impede que as agências de aplicação da lei, ao deterem esses dados, investiguem a identidade do remetente ou destinatário e o conteúdo dos dados. Isso exporá desnecessariamente os cidadãos a vazamentos de informações ou, pior, à extorsão por parte de certos elementos mal-intencionados dentro dessas agências.
A Seção 12, obviamente, limita a coleta de dados de tráfego àqueles “associados a comunicações específicas”. Mas essa suposta limitação não é limitação alguma, visto que, evidentemente, são as agências de aplicação da lei que especificariam as comunicações-alvo. O poder é praticamente ilimitado, permitindo que as autoridades policiais se envolvam em uma “investigação exploratória”, escolhendo qualquer comunicação específica que desejarem. Isso, evidentemente, ameaça o direito à privacidade dos indivíduos.
O reconhecimento, em nível nacional, do direito à privacidade e sua extensão ao meio digital acompanham o rápido crescimento da adoção de legislação de proteção de dados em todo o mundo desde a entrada em vigor do Regulamento Geral de Proteção de Dados da União Europeia (RGPD).GDPREm 2018, o GDPR estabeleceu um novo padrão para a proteção de dados pessoais online e serviu de modelo para a legislação de diversos outros países. A Lei de Privacidade do Consumidor da Califórnia (CCPA) também possui regras abrangentes sobre os direitos dos consumidores de saber quais informações pessoais estão sendo coletadas, de solicitar a exclusão de seus dados e de optar por não participar da coleta de dados.17Devido à sua aplicação no setor tecnológico do Vale do Silício, a CCPA também foi elogiada por promover o avanço da proteção de dados em nível global.18)
Criminalização da liberdade de expressão online
A legislação sobre crimes cibernéticos busca lidar com uma ampla gama de conteúdo ilegal ou prejudicial publicado online. Isso pode incluir incitação ao terrorismo, discurso de ódio, conteúdo sexualmente explícito, como pornografia infantil, e conteúdo que viole direitos de propriedade intelectual.19)
É frequentemente nesta área que tal legislação entra em conflito mais severo com o direito à liberdade de expressão e o direito à informação. Quaisquer restrições a esses direitos devem atender aos requisitos listados no Artigo 19(3) do Pacto Internacional sobre Direitos Civis e Políticos (PIDCP): ou seja, que as restrições sejam previstas em lei e necessárias para um dos propósitos legítimos da lista exaustiva (respeitar os direitos ou a reputação de terceiros ou proteger a segurança nacional, a ordem pública, a saúde pública ou a moral). Em 2011, o Relator Especial da ONU sobre Liberdade de Expressão listou os seguintes exemplos de tipos de expressão cuja restrição se enquadraria nesses propósitos legítimos: (a) pornografia infantil; (b) incitação direta e pública ao genocídio; (c) discurso de ódio; (d) difamação; e (e) incitação à discriminação, hostilidade ou violência.20)
Mesmo a legislação que criminaliza essas formas de expressão precisa ser precisa e contar com salvaguardas adequadas e eficazes contra abusos ou uso indevido, a fim de atender aos requisitos de legalidade e necessidade. Por exemplo, no caso das restrições à pornografia infantil, o Relator Especial observou que as salvaguardas devem incluir supervisão e revisão por um tribunal ou órgão regulador independente e imparcial.21Em 2018, o Relator Especial afirmou: “Leis restritivas de redação ampla sobre ‘extremismo’, blasfêmia, difamação, discurso ‘ofensivo’, ‘notícias falsas’ e ‘propaganda’ frequentemente servem de pretexto para exigir que as empresas suprimam o discurso legítimo.”22)
A criminalização da liberdade de expressão online pode ocorrer por meio da aplicação de legislação sobre crimes cibernéticos ou por meio da aplicação de disposições penais não específicas à internet. Um relatório de 2017 da Associação para Comunicações Progressistas, que comparou as leis da Índia, Malásia, Mianmar, Paquistão e Tailândia, constatou:
Todos esses estados possuem leis que visam especificamente o ciberespaço (juntamente com disposições legais que afetam a liberdade de expressão online), ou estão caminhando para a implementação de tais leis. Todos esses estados também utilizam leis presenciais para criminalizar e punir a expressão online. A maioria deles também utiliza múltiplas disposições legais para visar e criminalizar um único caso de expressão online. Além disso, prescrevem punições mais severas para "crimes" online do que para a expressão presencial.23)
Associação para Comunicações Progressistas, 'Libertando a expressão: um estudo sobre as leis que criminalizam a expressão online na Ásia.(2017) na pág. 25
Para mais informações sobre a criminalização da liberdade de expressão online, consulte módulo 3 dos Módulos Avançados da Media Defence sobre Direitos Digitais e Liberdade de Expressão Online.
Perseguição cibernética e assédio online
O assédio online está se tornando cada vez mais comum com a disseminação das redes sociais, que podem fornecer um terreno especialmente fértil para ele. O cyberstalking é o assédio e a intimidação indevidos por meio de comunicações eletrônicas, como mensagens de texto, ligações telefônicas ou publicações em redes sociais, e pode restringir severamente o exercício dos direitos online das vítimas, principalmente se elas pertencerem a grupos vulneráveis e marginalizados, incluindo mulheres e membros de minorias sexuais. Pesquisas mostram que o assédio online geralmente se concentra em características pessoais ou físicas, sendo as opiniões políticas, o gênero, a aparência física e a raça alguns dos alvos mais comuns.24Além disso, as mulheres enfrentam formas de assédio online de cunho sexual em taxas muito mais elevadas do que os homens.25)
Uma nova tendência preocupante: a divulgação não consensual de imagens íntimas.
Uma forma específica de assédio online que emergiu como uma nova tendência preocupante é o compartilhamento público não consensual de imagens privadas e sexualmente explícitas, principalmente de mulheres, frequentemente por ex-parceiros em retaliação por um término de relacionamento ou outro desentendimento, ou com o objetivo de extorsão, chantagem ou humilhação. No entanto, a legislação sobre crimes cibernéticos em apenas alguns países prevê especificamente crimes relacionados à divulgação não consensual de imagens íntimas (DNI), muitas vezes deixando as vítimas com recursos insuficientes contra os agressores devido a lacunas na proteção legal.26) As Filipinas27) e Singapura(28) são exemplos de exceções a isso, com ambos os estados tendo criminalizado especificamente o NCII.
A importância de um nome
A divulgação não consensual de imagens íntimas é frequentemente chamada de "pornografia de vingança". No entanto, ativistas e pesquisadores rejeitaram unanimemente o termo por considerá-lo enganoso.29Em primeiro lugar, a palavra "vingança" implica que a vítima cometeu um dano que justifica a busca por vingança. Em segundo lugar, "pornografia" equipara a prática à produção consensual de conteúdo para consumo em massa, o que definitivamente não é o caso da NCII. Em terceiro lugar, o termo "reformula um dano ancestral como um problema digital moderno", desmentindo o longo histórico de imagens de mulheres sendo distribuídas sem consentimento em diversas plataformas.30Por fim, o termo simplifica demais o delito, ignorando uma série de agressores e motivações e invocando uma reação moralista contra a vítima.31)
O assédio e os ataques contínuos contra membros da mídia também se tornaram uma tendência particularmente preocupante.
Cyberbullying
Vale ressaltar também que o crime de cyberbullying, que consiste no envio de mensagens intimidatórias ou ameaçadoras, frequentemente por meio de redes sociais, é prevalente entre crianças e jovens. De acordo com o Fundo das Nações Unidas para a Infância (UNICEF).UNICEF):
“[O cyberbullying] pode ocorrer em redes sociais, plataformas de mensagens, plataformas de jogos e telefones celulares. É um comportamento repetitivo, com o objetivo de assustar, irritar ou envergonhar aqueles que são alvos. Exemplos incluem:
– Espalhar mentiras ou publicar fotos embaraçosas de alguém nas redes sociais;
– Enviar mensagens ofensivas ou ameaças por meio de plataformas de mensagens;
– Fingir ser outra pessoa e enviar mensagens maldosas para outras pessoas em nome dela.
O bullying presencial e o cyberbullying muitas vezes ocorrem simultaneamente. Mas o cyberbullying deixa um rastro digital — um registro que pode ser útil e fornecer evidências para ajudar a acabar com o abuso.
A dimensão do problema é significativa e crescente. Um estudo realizado pelo UNICEF e pela Representante Especial do Secretário-Geral da ONU sobre Violência contra Crianças Descobriu-se que um em cada três jovens em 30 países relatou ter sido vítima de bullying online.32)
Legislação sobre o cyberbullying nas Filipinas
As Filipinas buscaram combater o cyberbullying entre crianças por meio da Lei Antibullying de 2013.33A lei exige que as escolas primárias e fundamentais adotem uma política anti-bullying e estabelece requisitos de relatórios anuais para escolas e conselhos escolares. De acordo com a seção 2(d), "bullying" é definido como incluindo: "Cyberbullying ou qualquer bullying praticado por meio de tecnologia ou qualquer meio eletrônico". Esta é uma abordagem inovadora que pode ser contrastada com a abordagem geralmente excessivamente abrangente adotada em alguns países, que tenta criminalizar o cyberbullying.
Outras violações
O processo de Convenção de Budapeste sobre o Cibercrime define os seguintes tipos de crimes cibernéticos:
- Acesso ilegal a um sistema informático;
- Interceptação ilegal;
- Interferência de dados;
- Interferência do sistema;
- Uso indevido de dispositivos;
- Falsificação relacionada a computadores;
- Fraude relacionada a computadores;
- Pornografia infantil;
Crimes relacionados a infrações de direitos autorais e direitos conexos.34)
Embora essas definições datem de 2001, grande parte do que constitui crimes cibernéticos hoje ainda está abrangido por essas categorias e disposições.