Boiteux & Almeida Advogados Associados

Direito Digital

“MISANTROPIA”1: O alerta da Defesa Civil e o impacto real da segurança da informação nas empresas

Na madrugada do último sábado (20/06/2026), milhões de brasileiros foram despertados por um alerta sonoro de emergência em seus celulares. Em vez de instruções sobre tempestades ou alagamentos, as telas exibiam mensagens desconexas com termos como “misantropia”. O incidente, que forçou a suspensão temporária do sistema nacional de alertas, está sob investigação preliminar da Polícia Federal, com forte suspeita de um ataque cibernético decorrente do uso de credenciais vazadas ou acessos indevidos. Este episódio transcende o curioso ou o bizarro. Ele expõe uma vulnerabilidade crítica: o impacto operacional de um ataque. No momento em que o país enfrenta o monitoramento de fenômenos climáticos severos, como o El Niño, a desabilitação de um sistema essencial de comunicação compromete diretamente a capacidade de resposta do Estado e a segurança da população. Se o vazamento de credenciais de um operador pode paralisar um serviço público dessa magnitude, qual seria o tamanho do estrago se o alvo fosse a sua empresa?   O Elo Mais Fraco: Credenciais de Funcionários e o Ambiente Corporativo   Muitas organizações operam sob a falsa premissa de que ataques cibernéticos sofisticados dependem de engenharia complexa ou de ferramentas inacessíveis. Na realidade, a maioria das invasões atuais ocorre pela exploração do “elo mais fraco”: falhas de autenticação de usuários legítimos. O uso de senhas fracas, o compartilhamento de credenciais entre equipes e a ausência de duplo fator de autenticação (MFA) abrem portas para que criminosos tenham acesso legítimo a sistemas críticos. Quando uma senha corporativa é comprometida, o impacto prático desdobra-se em três frentes altamente prejudiciais: Perdas Operacionais: Assim como a Defesa Civil precisou retirar o sistema do ar para conter a ameaça, uma empresa privada pode sofrer o congelamento total de suas atividades, a interrupção de e-commerces, o sequestro de bancos de dados ou a perda de acesso a canais de atendimento ao cliente. Perdas Financeiras: O custo para remediar um incidente – que envolve horas técnicas de resposta a crises, recuperação de backups, pagamento de multas e eventuais indenizações – costuma ser muito superior ao investimento em prevenção. Danos Reputacionais: A confiança é o ativo mais difícil de recuperar. Uma empresa que se torna pública por expor dados de clientes ou por sofrer paralisações por negligência com segurança perde contratos e espaço no mercado.   A Consolidação da Segurança da Informação como Obrigação legal   A governança cibernética deixou de ser um diferencial de tecnologia para se tornar uma obrigação legal e regulatória de sobrevivência de mercado.  O artigo 46 da Lei Geral de Proteção de Dados (LGPD) impõe que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados. Um vazamento decorrente de gerenciamento inadequado de senhas evidencia a ausência dessas salvaguardas, sujeitando a empresa a sanções administrativas que vão de advertências a multas de até 2% do faturamento, além da obrigação de dar publicidade ao fato. Regulações setoriais – como resoluções do Banco Central, da CVM, da ANS – punem severamente falhas na continuidade de negócios provocadas por incidentes cibernéticos. Sob a ótica do Direito Digital e Civil, a ocorrência de um incidente de segurança decorrente de “senhas vazadas” não exime a organização de culpa. Pelo contrário: pode configurar negligência na modalidade de culpa in vigilando (falha no dever de vigiar e fiscalizar os padrões de segurança internos). As empresas podem responder judicialmente perante clientes e fornecedores por perdas e danos resultantes da interrupção dos serviços ou do vazamento de dados. Além disso, os próprios administradores e diretores podem ser cobrados por acionistas ou sócios se for demonstrada a omissão na implementação de políticas básicas de compliance digital. O Caminho para a Mitigação: Políticas Efetivas   Mais do que realizar investimentos orçamentários, as organizações precisam focar também em cultura e processos. Uma política efetiva de segurança da informação deve prever, no mínimo: Implementação Obrigatória de MFA (Autenticação de Múltiplos Fatores): Garante que, mesmo que uma senha seja vazada, o invasor não conseguirá acessar o sistema sem o código secundário. Política de Privilégio Mínimo: Cada colaborador deve possuir acesso exclusivamente às ferramentas necessárias para a sua função, limitando o raio de destruição de uma conta invadida. Treinamento Contínuo de Equipes: Conscientizar os funcionários sobre ataques de phishing (mensagens falsas para capturar credenciais) e boas práticas na criação de senhas. Planos de Resposta a Incidentes: Saber exatamente quem acionar e quais sistemas isolar juridicamente e tecnicamente caso o pior aconteça. O caso da Defesa Civil serve como um alerta nacional não apenas para o clima, mas para a governança digital. A segurança da informação é uma responsabilidade coletiva e contínua. Negligenciá-la é apenas escolher o momento em que a sua operação será interrompida.   Nota de rodapé:  Misantropia é o ódio, a antipatia, a desconfiança ou o desprezo geral pela espécie humana, pelo comportamento humano ou pela natureza humana. Seu antônimo é a filantropia. (Fonte: https://pt.wikipedia.org/wiki/Misantropia)   Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

“MISANTROPIA”1: O alerta da Defesa Civil e o impacto real da segurança da informação nas empresas Read More »

O CASO LOUVRE E A SENHA “LOUVRE”: O alerta global para a governança da Segurança da Informação

O recente e espetacular roubo de joias históricas da Coleção Real de Gemas e Diamantes da Coroa no Museu do Louvre, em Paris, com prejuízo estimado em mais de R$ 550 milhões (cerca de 88 milhões de euros/US$ 100 milhões), transcendeu a esfera do crime de patrimônio. Ele se tornou um estudo de caso contundente sobre as falhas críticas na implementação de políticas de segurança, com implicações diretas para a gestão e a responsabilidade civil das organizações ao redor do mundo, incluindo as brasileiras. A Catástrofe da Senha Fraca: O Elo Mais Fraco da Segurança O prejuízo de meio bilhão de Reais reflete não apenas o valor intrínseco das joias, mas a perda inestimável para o patrimônio histórico e cultural da França. No entanto, o fator mais chocante é a aparente facilidade com que o sistema de vigilância por vídeo (circuito interno de segurança – CFTV) pode ter sido neutralizado ou burlado devido a uma senha de baixíssima complexidade e altamente previsível. O uso de senhas como “Louvre”, “123456”, ou o nome da própria empresa/setor é um erro básico, que demonstra a falha na implementação e fiscalização de uma Política de Segurança da Informação (PSI) robusta. Para as organizações brasileiras, o caso serve como um alerta severo de que a segurança de uma instituição é tão forte quanto seu elo mais fraco. De que adianta investir milhões em cofres, câmeras e tecnologia de ponta se a chave digital de controle é trivial? A Política de Segurança da Informação (PSI) como Boa Prática de Governança A implementação de uma PSI é um dever fiduciário na gestão de qualquer organização, independentemente do porte ou segmento. A PSI define claramente os ativos da organização (dados, sistemas, know-how, informações estratégicas e, no caso do Louvre, as próprias obras de arte e o sistema que as monitora) e os riscos a que estão expostos. Ela estabelece diretrizes para garantir a Confidencialidade, Integridade e Disponibilidade (CID) desses ativos. A adoção da PSI como boa prática de governança garante que: Padrões Mínimos de Segurança sejam estabelecidos: A PSI exige a definição de regras para senhas (complexidade, troca periódica), controle de acesso, uso de softwares atualizados e monitoramento de logs. Treinamento e Conscientização: Uma PSI eficaz prevê o treinamento contínuo de todos os colaboradores (vigilantes, TI, administradores) para que entendam seu papel na segurança, eliminando práticas de risco como senhas fracas ou compartilhamento de credenciais. Auditoria e Compliance: A PSI estabelece mecanismos de auditoria interna para verificar se as regras estão sendo seguidas e se os sistemas estão em conformidade com as diretrizes internas e a legislação. Para as empresas brasileiras, a desídia com a segurança da informação, evidenciado pelo caso Louvre, pode gerar sérias consequências jurídicas baseadas na legislação vigente. A Lei Geral de Proteção de Dados (LGPD) – Lei nº 13.709/2018 estabelece o padrão de segurança da informação no Brasil. Art. 46: Determina que os agentes de tratamento (Controladores e Operadores) devem adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Responsabilidade Civil: Caso a falha na segurança (como uma senha fraca) leve ao vazamento de dados de clientes, stakeholders ou colaboradores, a organização poderá ser responsabilizada civilmente, além de sofrer sanções administrativas da Agência Nacional de Proteção de Dados (ANPD). Conclusão para a Gestão O episódio no Louvre é um lembrete multimilionário de que a gestão de riscos digitais é indissociável da gestão de riscos físicos e de negócios. A falta de uma PSI adequada ou o descumprimento de suas regras mais básicas, como a política de senhas, configura não apenas uma falha operacional, mas uma falha de governança. Assim, é importante que as organizações brasileiras revisem e aprimorem seus protocolos de segurança da informação, garantindo que o investimento em tecnologia seja acompanhado pela conscientização humana e pela supervisão rigorosa dos administradores. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

O CASO LOUVRE E A SENHA “LOUVRE”: O alerta global para a governança da Segurança da Informação Read More »

ECA Digital: um novo marco para a proteção de crianças e adolescentes

A era digital trouxe inúmeros benefícios, acesso à informação, aprendizado, socialização e oportunidades de expressão. No entanto, também intensificou riscos específicos para crianças e adolescentes, que enfrentam desafios como exposição a conteúdos inadequados, exploração comercial e vulnerabilidade emocional.   Nesse contexto, em setembro de 2025 foi aprovado o ECA Digital (Lei n° 15.211/2025), que representa um marco fundamental na proteção de crianças e adolescentes no ambiente digital. Trata-se da consolidação da proteção integral prevista no Estatuto da Criança e do Adolescente (ECA) e na Lei Geral de Proteção de Dados (LGPD).   O ECA Digital é a primeira legislação da América Latina voltada exclusivamente à proteção digital de crianças e adolescentes. Ele atualiza o ECA da década de 90 (Lei n° 8.69/90) para o ambiente online, prevendo deveres a plataformas, escolas, famílias e órgãos públicos. Entre os principais objetivos da nova lei estão: Garantir um ambiente digital seguro e inclusivo para menores de 18 anos; Definir responsabilidade compartilhada entre Estado, empresas e responsáveis legais; Imprimir o conceito de “segurança por padrão”, impondo a proteção automática como regra; Proibir o uso de técnicas de perfilamento e publicidade direcionada para crianças e adolescentes; Criar mecanismos confiáveis de aferição de idade, sem depender apenas da autodeclaração; Estabelecer sanções severas, que incluem multas de até R$ 50 milhões e suspensão de atividades para plataformas infratoras. Os pilares do novo marco regulatório O ECA Digital se apoia em quatro pilares centrais: Proteção Integral e Melhor Interesse: O princípio do “melhor interesse desde a concepção” (art. 7º) obriga empresas a priorizar a segurança de crianças e adolescentes em qualquer etapa do design de produtos e serviços. Responsabilidade Compartilhada:A lei impõe deveres não apenas aos pais e responsáveis, mas também às plataformas digitais, escolas e provedores de serviço, reconhecendo que a proteção deve ser um esforço coletivo. Aferição de Idade Confiável:Considerada o “pilar central” da lei, a verificação de idade visa impedir o acesso a conteúdos impróprios. O desafio está em equilibrar a proteção com os princípios da minimização de dados da LGPD, evitando coleta excessiva de informações pessoais. Fiscalização e Sanções:A Agência Nacional de Proteção de Dados (ANPD) atua como órgão regulador central, com autonomia para regulamentar, fiscalizar e aplicar penalidades em caso de descumprimento. O papel da educação e da sociedade O ECA Digital reforça que a proteção não se limita à regulação. A educação digital e o engajamento social são componentes indispensáveis. Educação Midiática: capacitar crianças, pais e professores para reconhecer riscos e navegar de forma segura. Engajamento das Plataformas: incentivo a políticas de moderação eficazes e transparentes, remoção célere de conteúdos ilícitos e controle parental por padrão. Responsabilidade Compartilhada: a proteção não deve recair apenas sobre o poder público ou sobre as plataformas, mas envolver toda a sociedade. O novo marco normativo redefine as fronteiras da responsabilidade civil, administrativa e ética no ambiente digital. Mais do que uma nova legislação, o ECA Digital é um convite à corresponsabilidade. Ele reconhece que a proteção de crianças e adolescentes no ambiente digital depende da atuação coordenada de empresas, famílias, escolas, governo e sociedade civil. Trata-se, portanto, de um passo decisivo rumo a uma internet mais segura, inclusiva e humanizada, onde o desenvolvimento tecnológico se alia à promoção dos direitos fundamentais das novas gerações. Entraga em vigor O ECA Digital entrará em vigor em março de 2026. Assim, os entes submetidos à lei precisão rever suas atividades para atender novos deveres e obrigações previstos no ECA Digital nos próximos meses.  Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

ECA Digital: um novo marco para a proteção de crianças e adolescentes Read More »

ANPD AGORA É AGÊNCIA: entenda as mudanças cruciais para a proteção de dados pessoais no Brasil

     Recentemente, a Presidência publicou a Medida Provisória (MP) 1.317/2025 para transformar o status legal da Autoridade Nacional de Proteção de Dados (ANPD) de uma “autoridade” para “agência reguladora”. A mudança representa um passo significativo para a efetividade da proteção de dados pessoais – regulada principalmente pela Lei Geral de Proteção de Dados Pessoais (LGPD) -, pois fortalece a estrutura e autonomia para lidar com os crescentes desafios do mundo digital.      Um breve histórico da ANPD    A criação da ANPD remonta à redação original da LGPD, que era autarquia de natureza especial, mas sua estrutura e vinculação foram alvo de vetos presidenciais. Ato contínuo, ela foi instituída como um órgão da administração pública federal, sem a autonomia e o patrimônio próprio previstos no texto original. Essa configuração gerou debates sobre a real capacidade da ANPD de exercer seu poder de fiscalização e aplicação de sanções de forma independente, sem a influência de outros órgãos do governo.     A necessidade de maior autonomia foi amplamente discutida e culminou com a publicação da Lei nº 14.460/2022, que alterou a LGPD e transformou a ANPD em uma autarquia de natureza especial, vinculada à Presidência da República. Essa mudança já conferiu mais autonomia à Autoridade, garantindo-lhe patrimônio próprio, além de maior independência funcional, técnica e decisória.     O que muda com a MP 1.317/2025?      A Medida Provisória 1.317/2025 dá um passo além, ao modificar a Lei Geral de Proteção de Dados Pessoais (LGPD) e transformar a Autoridade Nacional de Proteção de Dados (ANPD) na Agência Nacional de Proteção de Dados (ANPD).      Os principais pontos da MP são: Status de agência reguladora: A MP insere a ANPD no rol das agências reguladoras, garantindo-lhe a autonomia prevista na Lei nº 13.848/2019. Isso significa que a agência terá maior liberdade para tomar decisões, gerir seu próprio orçamento e estabelecer suas normas, sem depender de aprovação de outros ministérios. Criação de novos cargos: A medida cria 200 cargos efetivos de Especialista em Regulação de Proteção de Dados, além de 26 novos cargos em comissão. Isso fortalece o quadro de pessoal da agência, permitindo a contratação de profissionais qualificados para exercer as funções de regulação e fiscalização. Novas competências: A MP também atribui à ANPD a responsabilidade de implementar o recém-sancionado Estatuto Digital da Criança e do Adolescente (ECA Digital), o que amplia significativamente sua competência.      Efeitos práticos da mudança       A transformação da ANPD em agência reguladora trará efeitos diretos e indiretos para a sociedade e para os agentes de tratamento de dados. Melhora na estrutura e fiscalização: A alteração poderá, de fato, permitir que a ANPD tenha uma estrutura muito mais robusta para exercer suas competências, inclusive de abrir mais processos de fiscalização. A criação de 200 novos cargos de especialista em regulação é fundamental para isso, pois permite a formação de equipes dedicadas a diferentes setores e temas, como saúde, telecomunicações e, agora, o ambiente digital voltado a crianças e adolescentes.A autonomia funcional, técnica, decisória, administrativa e financeira prevista para as agências reguladoras é o pilar que sustenta essa capacidade. Com recursos próprios e maior independência, a ANPD não precisará mais lutar por cada vaga ou cada orçamento, podendo planejar suas ações a médio e longo prazo de forma mais eficaz. Impacto nos agentes fiscalizados: Para as empresas e órgãos públicos, a mudança significa que a ANPD terá mais poder e recursos para fiscalizar e aplicar a LGPD. O aumento no número de especialistas e a maior autonomia da agência indicam que o rigor na aplicação da lei tenderá a aumentar.Apesar disso, essa nova estrutura também pode ser benéfica, pois a previsibilidade das ações de uma agência reguladora, em tese, é maior. As agências reguladoras são conhecidas por sua previsibilidade e por estabelecerem regras claras para os setores que regulam. Isso pode levar a um ambiente de maior segurança jurídica, onde as empresas saberão exatamente o que é esperado delas em termos de proteção de dados. No entanto, é crucial que a ANPD mantenha um diálogo aberto com a sociedade e com os agentes de tratamento para que a regulamentação não se torne um obstáculo à inovação.       A Medida Provisória já está em vigor, mas precisa ser aprovada pelo Congresso Nacional para se tornar uma lei definitiva. A aprovação da MP 1.317/2025 consolidaria a ANPD como um dos principais reguladores no Brasil, garantindo que o país continue avançando na proteção dos direitos fundamentais de privacidade e proteção de dados. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

ANPD AGORA É AGÊNCIA: entenda as mudanças cruciais para a proteção de dados pessoais no Brasil Read More »

BRASIL E A UNIÃO EUROPEIA: Um passo importante para a proteção de dados

     A Comissão Europeia está em um processo de análise para reconhecer o Brasil como um país que oferece um nível de proteção de dados pessoais adequado e comparável ao das regras europeias, estabelecidas pela GDPR (Regulamento Geral sobre a Proteção de Dados). Esse movimento, caso se concretize, terá um impacto significativo para as empresas brasileiras, facilitando a transferência de dados pessoais com parceiros europeus. Para entender a importância disso, é preciso conhecer as regras europeias e o que significa essa decisão de adequação.      A transferência internacional de dados na União Europeia      A legislação de proteção de dados da União Europeia, a GDPR, é uma das mais rigorosas do mundo. Ela foi criada para garantir que os cidadãos europeus tenham seus dados pessoais protegidos, independentemente de onde eles sejam processados.     A GDPR restringe a transferência de dados para países fora do Espaço Econômico Europeu, a menos que certas condições sejam atendidas. Essa restrição existe por um motivo fundamental: garantir que os dados dos cidadãos europeus não sejam transferidos para países onde não há proteção adequada aos seus direitos, o que poderia colocar em risco a privacidade e a segurança dessas informações.      Para que a transferência de dados para outros países seja permitida, a GDPR prevê algumas hipóteses: Decisão de Adequação: É a hipótese mais importante e que está sendo analisada no caso do Brasil. Explicamos em detalhe no próximo tópico.  Salvaguardas Adequadas: Na ausência de uma decisão de adequação, a transferência pode ocorrer se a empresa exportadora de dados (na Europa) e a empresa importadora (no Brasil, por exemplo) adotarem salvaguardas contratuais, como as Cláusulas Contratuais Padrão (CCPs), que são modelos de contratos aprovados pela Comissão Europeia. Regras Corporativas Vinculativas (BCRs): São regras internas de proteção de dados aprovadas por uma autoridade de proteção de dados da Europa, aplicáveis a grupos de empresas multinacionais, para permitir a transferência de dados entre suas filiais. Derrogações para Situações Específicas: Em casos específicos, como com o consentimento do titular dos dados para uma transferência pontual ou se a transferência for necessária para a execução de um contrato ou para um processo judicial.      O Que Significa a “Decisão de Adequação”?      Uma decisão de adequação é uma medida de reconhecimento formal da Comissão Europeia de que um país, um território ou um setor específico de um país oferece um nível de proteção de dados pessoais comparável ao da União Europeia.      Em outras palavras, se o Brasil foi reconhecido como um país seguro para o tratamento de dados pessoais, isso representará um selo de confiança que demonstra que a nossa legislação e as nossas autoridades de proteção de dados são eficazes na garantia dos direitos fundamentais dos titulares de dados.      O procedimento para obter essa decisão é complexo e rigoroso. Ele envolve uma análise detalhada da legislação e das práticas do país de destino dos dados pessoais. A Comissão Europeia avalia diversos critérios, como: A existência de uma lei de proteção de dados abrangente (no nosso caso, a LGPD). A presença de uma autoridade supervisora independente e eficaz (a ANPD – Autoridade Nacional de Proteção de Dados). A existência de mecanismos de recurso administrativo e judicial para os titulares de dados. As regras sobre o acesso de autoridades públicas (como a polícia e agências de segurança) aos dados pessoais.      Após essa análise, a Comissão Europeia prepara um projeto de decisão, que é submetido ao Comitê Europeu de Proteção de Dados (CEPD), formado por representantes das autoridades de proteção de dados de todos os países da União Europeia. Se o projeto for aprovado, ele ainda precisa passar por um comitê de representantes dos países membros e, por fim, ser adotado pela Comissão.      O Impacto Prático para as Empresas Brasileiras      Para as empresas brasileiras, a decisão de adequação seria uma mudança de jogo. Hoje, para transferir dados de um cliente europeu para o Brasil, as empresas precisam usar mecanismos mais complexos, como as Cláusulas Contratuais Padrão (CCPs), que exigem mais burocracia e custos.      Com uma decisão de adequação, as empresas europeias poderiam transferir dados para o Brasil com a mesma facilidade que transferem para outro país da União Europeia. Isso significa: Menos Burocracia: As transferências de dados se tornariam mais simples e rápidas, sem a necessidade de contratos complexos ou de mecanismos adicionais de garantia. Vantagem Competitiva: As empresas brasileiras que lidam com dados europeus se tornariam mais atrativas, pois seus parceiros europeus teriam menos riscos e custos. Aumento de Negócios: A facilidade de transferência de dados poderia impulsionar o comércio e a colaboração em áreas como tecnologia, serviços em nuvem, e-commerce e outras atividades que dependem do fluxo de informações.      Projeto de Decisão da Comissão Europeia sobre o Brasil      O projeto de decisão que está em análise na  Comissão Europeia sobre a legislação brasileira aborda os seguintes pontos principais: Avaliação da LGPD: O texto reconhece a Lei Geral de Proteção de Dados (LGPD) como um marco legal abrangente e com princípios e direitos para os titulares de dados, como os previstos na GDPR. Autoridade Supervisora: Avalia a estrutura da Autoridade Nacional de Proteção de Dados (ANPD) e a considera como um órgão independente e com poderes suficientes para supervisionar e aplicar a LGPD, incluindo a aplicação de sanções. Acesso de Autoridades Públicas: O texto também analisa como as leis brasileiras regulam o acesso de autoridades públicas, como a polícia e as agências de segurança, a dados pessoais. A decisão preliminar considera que o Brasil possui salvaguardas e mecanismos de controle judicial para garantir que esse acesso seja limitado ao que é necessário e proporcional, e que os titulares de dados tenham meios de se proteger contra interferências indevidas.      Em suma, o rascunho da decisão é um sinal positivo de que a Comissão Europeia está satisfeita com a LGPD e o sistema de proteção de dados no Brasil, e que o país está no caminho certo

BRASIL E A UNIÃO EUROPEIA: Um passo importante para a proteção de dados Read More »

Sandboxes Regulatórios e IA: Um Laboratório para Inovação e Regulação Responsável

     No painel sobre sandboxes regulatórios e Inteligência Artificial (IA) no 16º Seminário de Proteção à Privacidade e aos Dados Pessoais, promovido pelo Nic.br, especialistas de diferentes áreas trouxeram visões claras sobre essa ferramenta e seu potencial para moldar o futuro da tecnologia e da regulação.       A discussão central abordou o conceito sandbox e como é aplicável no contexto da Inteligência Artificial (IA), um campo de rápida evolução. O sandbox regulatório é um ambiente de testes seguro e supervisionado, uma espécie de “caixa de areia”, onde empresas podem experimentar inovações sem o receio imediato de sanções. Nesse espaço, o regulador e o regulado trabalham juntos para aprender sobre novas tecnologias e desenvolver regras mais inteligentes e eficazes.      O Sandbox Regulatório na ANPD      A Autoridade Nacional de Proteção de Dados (ANPD) desenvolveu o sandbox para testar novas tecnologias. Ele não suspende direitos legais, como a proteção de dados garantida pela LGPD, mas cria um espaço de confiança entre a agência reguladora e as empresas. No caso da ANPD, a regra é clara: se as empresas seguirem as diretrizes do edital e agirem de boa-fé, falhas ou “passos em falso” incidentais não resultarão em sanções automáticas. Em vez disso, a agência oferecerá orientação para corrigir o problema, permitindo que as empresas experimentem sem o medo constante de punição.        Esse modelo beneficia a todos: Para os participantes: Oferece um ambiente seguro para testar tecnologias, aproximando-os da autoridade reguladora e ajudando-os a entender melhor como estar em conformidade com a legislação. Para a ANPD: Proporciona a chance de conhecer de perto as inovações, promovendo o desenvolvimento tecnológico responsável e gerando subsídios valiosos para criar orientações, guias e manuais de melhores práticas. Para a sociedade: Garante que o conhecimento gerado nesse ambiente experimental seja compartilhado, promovendo a transparência e a participação social. O objetivo é que os benefícios da inovação cheguem a todos, e não fiquem restritos apenas a empresas e reguladores.        Um exemplo prático seria uma startup desenvolvendo um sistema de IA para triagem de currículos que utiliza dados pessoais. Em um sandbox da ANPD, ela poderia testar a tecnologia em um ambiente controlado, com a ANPD acompanhando de perto. Se o sistema ocasionalmente cometer um erro que viole alguma regra de privacidade, a startup seria orientada a ajustar o modelo, em vez de receber notificação administrativa. Isso permite que a tecnologia evolua e se adapte às exigências da lei, sem que o processo seja interrompido por sanções.      Sandboxes vs. Projetos Piloto: Entendendo as Diferenças       É importante compreender a diferença entre sandbox de outro modelo conhecido: o projeto piloto. Vejamos:  Projeto Piloto: O regulador já possui um alto nível de informação sobre a tecnologia e quer transferir esse conhecimento para o mercado.  Sandbox Regulatório: O regulador tem um déficit de conhecimento e precisa aprender com o mercado. Este é o caso ideal para a IA, onde a tecnologia avança mais rápido que a regulação. O sandbox permite que o regulador aprenda sobre as aplicações em setores tão diversos quanto agricultura, saúde e finanças.      O uso de sandboxes para IA está crescendo globalmente, como a estratégia de Singapura e as iniciativas focadas em inclusão digital no Quênia e em saúde no Reino Unido. No caso do Brasil, o sandbox de IA se mostra uma ferramenta fundamental para entender o que a economia está realmente fazendo com essa tecnologia e, assim, criar uma regulação mais adequada.      Conclusão      O painel no Seminário do Nic.br mostrou que os sandboxes regulatórios são mais do que uma tendência; são uma ferramenta essencial para a era da Inteligência Artificial. Eles criam um espaço de colaboração e aprendizado mútuo, onde empresas podem inovar com segurança e reguladores podem construir um arcabouço normativo que seja ao mesmo tempo flexível e responsável. Para empresários, o recado é claro: em um mundo onde a tecnologia evolui a uma velocidade vertiginosa, a colaboração com o regulador é o caminho para o crescimento sustentável e a construção de um futuro tecnológico mais seguro e benéfico para todos. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

Sandboxes Regulatórios e IA: Um Laboratório para Inovação e Regulação Responsável Read More »

ENTENDA O CRIPTOJUD: A revolução do CNJ na busca por criptoativos

     O Conselho Nacional de Justiça (CNJ) deu um passo fundamental na modernização da justiça brasileira com a criação do Criptojud. Essa nova ferramenta representa uma mudança de paradigma ao permitir que o Poder Judiciário, de forma centralizada e eficiente, investigue e bloqueie ativos digitais, como bitcoin, para pagar dívidas.     A novidade tem impacto direto na vida de credores que, até então, enfrentavam um cenário nebuloso e cheio de obstáculos para localizar e recuperar valores devidos que haviam sido convertidos em moedas virtuais.     O que é o Criptojud e como ele funciona?      O Criptojud é um sistema eletrônico que integra o CNJ e o Poder Judiciário a várias corretoras de criptoativos que operam no Brasil. Pense nele como uma espécie de “super buscador” de moedas virtuais. Antes de sua implementação, a busca por criptoativos era um processo manual e lento. Os juízes precisavam enviar ofícios individuais para cada corretora, solicitando informações sobre a existência de contas e saldos de devedores. Esse processo era ineficiente, caro e, muitas vezes, não trazia resultados satisfatórios, já que muitas corretoras simplesmente não respondiam ou o faziam de forma demorada.   Com o Criptojud, o processo foi completamente otimizado. Agora, o juiz pode enviar uma única ordem de busca através da plataforma, que automaticamente a distribui para todas as corretoras cadastradas. O sistema então busca informações sobre o CPF ou CNPJ do devedor e, se houver contas com criptoativos, ele pode determinar o bloqueio imediato dos valores.     Para que isso fosse possível, o CNJ fez um trabalho de aproximação com as principais empresas do setor de criptomoedas, que entenderam a importância de cooperar para a legalidade e segurança do mercado. Essas corretoras assinaram acordos e se integraram ao sistema, garantindo que as ordens judiciais sejam cumpridas de forma ágil.    Por que o Criptojud é tão importante?      A relevância prática da ferramenta é perceptível sob diferentes perspectivas: Combate à ocultação de patrimônio: A principal utilidade do Criptojud é enfrentar a ocultação de bens. Devedores, ao tentar fugir de suas obrigações, convertiam seu patrimônio em criptoativos, acreditando que a falta de regulamentação e a pseudo-anonimidade do mundo digital os protegeriam. Com o Criptojud, essa “rota de fuga” foi significativamente bloqueada. Mais agilidade na recuperação de valores: A rapidez com que o sistema atua é um fator crucial. Em vez de esperar meses por respostas de diversas empresas, o juiz pode obter um retorno em questão de dias ou até mesmo horas. Essa agilidade diminui a chance de o devedor movimentar os ativos para outras carteiras ou corretoras e impede que a dívida se torne “impagável”. Aumento da segurança jurídica: Para o mercado de criptoativos, a iniciativa do CNJ é um sinal positivo de maturidade. A integração com o Poder Judiciário demonstra que o setor não é um “território sem lei” e que transações ilícitas e a evasão de dívidas podem e serão combatidas. Isso traz mais segurança jurídica para todos, incentivando a adoção responsável e afastando a má-fé. Crescimento da confiança no sistema judicial: A capacidade do Judiciário de se adaptar às novas tecnologias, como a blockchain e as moedas digitais, reforça a confiança na justiça brasileira. Isso mostra que o sistema está preparado para lidar com desafios modernos e que não vai permitir que a tecnologia seja usada como uma ferramenta para a ilegalidade.     A ferramenta está em constante aprimoramento, e a tendência é que novas corretoras se integrem ao sistema, tornando a rede de busca ainda mais abrangente. A medida é um alerta para aqueles que pensam em usar a tecnologia para cometer fraudes. O mundo digital e a economia tradicional estão cada vez mais interligados, e a Justiça brasileira está se equipando para atuar em ambos os ambientes. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

ENTENDA O CRIPTOJUD: A revolução do CNJ na busca por criptoativos Read More »

ANPD e limites para divulgação de imagens de câmera de segurança

     A instalação de câmeras de segurança é prática comum em condomínios, empresas e espaços públicos, visando a proteção do patrimônio e a segurança das pessoas. Trata-se de um tipo de tratamento de dados pessoais, já que há coleta da imagem de pessoas físicas. Se as câmeras utilizarem sistema de reconhecimento facial, também haverá tratamento de dado sensível (biometria).      Em maio de 2025, a Autoridade Nacional de Proteção de Dados – ANPD recebeu notificação do Ministério Público do Estado de Santa Catarina para requerer a verificação da conformidade com a Lei Geral de Proteção de Dados – LGPD da prática adotada por empresa que divulgava vídeos captados por câmeras de segurança nas redes sociais. O agente fiscalizado divulgava a imagem de pessoas que supostamente teriam cometido furto em seus estabelecimentos comerciais.      Em análise preliminar, a Coordenação-Geral de Fiscalização da ANPD emitiu medida preventiva para determinar a suspensão provisória da divulgação dos vídeos até a conclusão do processo de fiscalização. Entre os principais riscos apontados pela Autoridade, destaca-se a possibilidade de exposição indevida de imagens de crianças e adolescentes, sem a observância das exigências legais.     A decisão da ANPD não proíbe a utilização de câmeras de vigilância, nem impede que vídeos ou imagens sejam entregues às autoridades responsáveis quando servirem como prova de crimes. No entanto, é necessário garantir que a instalação das câmeras e utilização das imagens observem a LGPD e demais legislações aplicáveis. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

ANPD e limites para divulgação de imagens de câmera de segurança Read More »

Neurotecnologias e a LGPD

      O interesse sobre as neurotecnologias tem crescido nas últimas décadas, especialmente pela sua integração com tecnologias digitais e sistemas de inteligência artificial.         O termo “neurotecnologias” se refere a uma gama de métodos e ferramentas que interagem com o sistema nervoso central humano, capazes de acessar, monitorar, investigar, avaliar, manipular e/ou emular a estrutura e função dos sistemas neurais. Elas têm capacidade de influenciar diretamente a atividade cerebral, estabelecendo uma conexão direta entre cérebro e dispositivos externos. O uso dessas tecnologias impõem a necessidade de cuidados específicos, exigindo atenção redobrada às repercussões ético-jurídicas.          A ANPD (Autoridade Nacional de Proteção de Dados) lançou o quarto volume da série Radar Tecnológico com foco nas neurotecnologias, cujo objetivo é aprofundar a compreensão do tema, especialmente os desafios éticos e jurídicos impostos por essas inovações. Apresentamos os principais pontos abordados no estudo da ANPD.         Aplicações e potenciais usos         As neurotecnologias têm diversas aplicações, que abrangem desde o uso para melhoria de capacidades em pacientes com distúrbios neurológicos até o aprimoramento do desempenho de indivíduos saudáveis. Elencamos alguns exemplos: estimulação cerebral direta para tratamento de doenças como epilepsia; neuropróteses, como implantes de retina, espinha dorsal e implantes cocleares; robótica para controle de equipamentos ou aplicações que não utilizem o controle das mãos; jogos e realidade virtual para o controle de videogames e software.        Neurotecnologias e a proteção de dados pessoais        Apesar de não haver previsão legal do conceito de “dado neural”, aplica-se a Lei Geral de Proteção de Dados (LGPD) ao seu tratamento. Os dados neurais são dados pessoais,  pois podem singularizar um indivíduo, permitir sua identificação indireta e ainda oferecer insights sobre seus estados mentais, comportamentos e saúde.        Ademais, grande parte dos dados neurais podem ser classificados como dados pessoais sensíveis (art. 5º, II da LGPD), já que são capazes de revelar  informações sobre a saúde física ou mental, convicções ou características biométricas. Diante disso, impõe-se a incidência dos princípios de proteção de dados à atividade de tratamento realizada por meio dessas tecnologias.          Princípios da LGPD e os desafios das neurotecnologias        Aplicar a LGPD às neurotecnologias emergentes é um grande desafio. Isso ocorre principalmente porque o tratamento de dados neurais são complexos e, em alguns casos, tratados de forma oculta.  (i) Finalidade, adequação e necessidade – O tratamento de dados deve ter propósitos legítimos, informados e compatíveis com a finalidade original. No entanto, a imprevisibilidade dos sinais cerebrais dificultam a definição prévia de finalidades e a avaliação de usos secundários; (ii) Qualidade dos dados – Os dados devem ser exatos, atualizados e pertinentes. Ocorre que, a capacidade do cérebro de mudar ao longo do tempo compromete a atualidade e relevância dos dados neurais; (iii) Transparência – As informações sobre o tratamento de dados devem ser claras e acessíveis. Contudo, a complexidade técnica das neurotecnologias impõem obstáculos à compreensão; (iv) Não discriminação – Conforme o art. 6º, IX, da LGPD, o tratamento não pode ser realizado para fins discriminatórios ilícitos ou abusivos. O uso de dados neurais pode gerar práticas discriminatórias, especialmente com a aplicação de modelos de IA; (v) Segurança – O acesso não autorizado a dados neurais,  podem ter sérias consequências, já que essas informações estão ligadas diretamente aos pensamentos e atividades cerebrais de uma pessoa. Portanto, devem ser implementadas medidas técnicas e administrativas robustas para proteger os dados neurais contra acessos não autorizados, perdas ou alterações.          Hipóteses legais para o tratamento de dados neurais        Para que o tratamento de dados neurais seja lícito, é necessário que se enquadre em uma das hipóteses legais da LGPD (arts. 7º e 11). Entre essas hipóteses legais destacamos: o cumprimento de obrigação legal ou regulatória pelo controlador, a tutela da saúde, a proteção da vida ou da incolumidade física do titular ou de terceiros, a realização de estudos por órgão de pesquisa e o consentimento do titular, entre outras.       O consentimento consiste na manifestação livre, informada e inequívoca do titular para tratamento de seus dados pessoais para uma finalidade específica. No entanto, devido à complexidade das neurotecnologias, é questionável a possibilidade da sua aplicação em razão da falta de consciência do titular, dificultando a garantia da livre manifestação de vontade e a adequada compreensão da operação de tratamento. Embora o consentimento possa ser, em tese, uma base legal válida para o uso de neurotecnologias, sua aplicação demanda dos agentes de tratamento um compromisso rigoroso com a proteção de dados.        Além do consentimento, outras hipóteses legais autorizam o tratamento de dados neurais no Brasil, como a realização de pesquisas acadêmicas e a tutela da saúde em contexto clínico. Contudo, mesmo nessas hipóteses, é fundamental que o uso de neurotecnologias observe princípios éticos e jurídicos.          Diante das amplas aplicações e do crescimento das neurotecnologias,  é fundamental monitorar continuamente seus avanços para entender o impacto nos direitos à privacidade e à proteção de dados pessoais.  Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

Neurotecnologias e a LGPD Read More »

Leilão: a intimação do devedor fiduciante como requisito de validade

     O instituto da alienação fiduciária é um instrumento jurídico consolidado e amplamente utilizado pelas instituições financeiras, desempenhando um papel crucial na garantia de operações de crédito, bem como no financiamento de bens móveis e imóveis. No contrato de alienação fiduciária, a propriedade de um bem é transferida do devedor (fiduciante) para o credor (fiduciário) de forma temporária. O devedor mantém a posse direta do bem.      Se o devedor não efetuar o pagamento das parcelas do contrato de empréstimo (mora),  o credor fiduciário pode adotar o procedimento legal para obter a satisfação do seu crédito. Em primeiro lugar, cabe ao credor solicitar ao cartório de registro de imóveis a intimação pessoal do devedor para quitar a dívida no prazo de 15 dias. Em caso de não pagamento, o cartório certificará o descumprimento da obrigação de fará a averbação da consolidação da propriedade do imóvel em nome do credor. Posteriormente, por força do artigo 27 da Lei nº 9.514/1997, o credor promoverá a venda do bem em leilão  para satisfação do crédito. É imperioso observar o procedimento legal, sob pena de nulidade e responsabilidade civil do credor.       Dentre essas etapas legais, destaca-se a relevância da intimação pessoal do devedor fiduciante. O seu objetivo é assegurar que o devedor seja informado de forma clara e inquestionável sobre a consolidação da propriedade em nome do credor e a venda iminente do bem. Dessa forma, a intimação pessoal sobre a mora garante uma oportunidade de o devedor evitar a perda definitiva do bem. Caso não quite a dívida, a intimação garante que o devedor tenha ciência da data e hora dos leilões para acompanhar o processo, bem como ter assegurado o direito de preferência de aquisição do imóvel por preço correspondente ao valor da dívida, ou fiscalizar a venda do imóvel e verificar eventual restituição de valores excedentes.      A jurisprudência do Superior Tribunal de Justiça (STJ) reforça a intimação como elemento essencial à validade do procedimento de execução da garantia.       Cumpre ressaltar que, a notificação por correio eletrônico não supre a necessidade de intimação pessoal. De acordo com o precedente firmado pelo STJ, a intimação por edital prevista no artigo 26, §4º, da Lei 9.514/1997, é cabível desde que, após diversas tentativas frustradas de intimação pessoal, seja constatado que o devedor fiduciante se encontre em local desconhecido, incerto ou inacessível.      Ao assegurar que o devedor tenha ciência inequívoca dos atos que envolvem a consolidação da propriedade e o leilão do bem, evita-se  nulidades futuras, como também confere maior segurança jurídica aos atos de execução extrajudicial, resguardando os arrematantes de possíveis questionamentos sobre a aquisição do imóvel.  Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

Leilão: a intimação do devedor fiduciante como requisito de validade Read More »