SEMESTRE 2.

023/1
CURSO DE DIREITO
DIREITO DIGITAL

Prof. MSc. Fábio Schlickmann

OAB/SC 29.664

Por gentileza, desligue o seu

celular!
EMENTA
Teoria geral do direito digital. Processo eletrônico.
Investigação dos novos aspectos e relações jurídicas da
sociedade da informação. Análise das principais
manifestações do direito digital e eletrônico nos ramos
do direito. Proteção e tratamento dos dados pessoais
na era digital. Direito à privacidade. Lei Geral de
Proteção de Dados do Brasil (LGPD).
BIBLIOGRAFIA
Bibliografia Básica:
Teixeira, Tarcisio. Direito digital e processo eletrônico /Tarcisio Teixeira. 5. ed. –
São Paulo: Saraiva Educação, 2020.
https://integrada.minhabiblioteca.com.br/#/books/9786555591484/
Hoffmann-Riem, Wolfgang. Teoria geral do direito digital: transformação
digital: desafios para o direito / Wolfgang Hoffmann-Riem. – Rio de Janeiro:
Forense, 2021. https://integrada.minhabiblioteca.com.br/#/books/9788530992262/
Pinheiro, Patricia Peck. Direito digital. 6. ed. rev., atual. e ampl. – São Paulo:
Saraiva, 2016. https://integrada.minhabiblioteca.com.br/#/books/9788502635647/
Periódicos Básicos:
MERELL, V. Direito digital: os aspectos jurídicos da evolução digital. Brazil, South America [s. n.].
Disponível em: https://search.ebscohost.com/login.aspx?
direct=true&db=edsbas&AN=edsbas.CF0C892C&lang=pt-br&site=eds-live
ADRIANO MARTELETO GODINHO. Editorial: Era digital, Inovação Tecnológica e Novas
Perspectivas para o Direito. Prim@ Facie, [s. l.], 2020. DOI 10.22478/ufpb.1678-
2593.2020v19n40.52091. Disponível em: https://search.ebscohost.com/login.aspx?
direct=true&db=edsdoj&AN=edsdoj.12054813ed094523ae5c6b2f49bb3e52&lang=pt-br&site=eds-live
FALEIROS JÚNIOR, J. L. de M. Review of the book ’Direito digital: direito privado e Internet’, edited
by Guilherme Magalhães Martins and João Victor Rozatti Longhi ; Resenha da obra ’Direito digital:
direito privado e Internet’, coordenada por Guilherme Magalhães Martins e João Victor Rozatti Longhi.
Revista IBERC; v. 2 n. 3 (2019): Revista IBERC ; 2595-976X, [s. l.], 2019. DOI 10.37963/iberc.v2i3.89.
Disponível em: https://search.ebscohost.com/login.aspx?
direct=true&db=edsbas&AN=edsbas.EACCA58A&lang=pt-br&site=eds-live
Bibliografia Complementar:
ABRÃO, Carlos Henrique. Processo eletrônico: processo digital. 5. ed. rev., atual. e ampl. – São
Paulo: Atlas, 2017.https://integrada.minhabiblioteca.com.br/#/books/9788597011784/
DE SANCTIS, Fausto Martin. Inteligência artificial e direito. 1. ed. São Paulo : Almedina, 2020
https://integrada.minhabiblioteca.com.br/#/books/9786556270890/
SCHREIBER, Anderson (coord.). Direito e Mídia. São Paulo: Atlas, 2013.
https://integrada.minhabiblioteca.com.br/#/books/9788522477494/
LONGHI, Maria Isabel Carvalho Sica [et al.] (coord.). Direito e novas tecnologias. São Paulo :
Almedina, 2020. https://integrada.minhabiblioteca.com.br/#/books/9786556271101/
TEIXEIRA, Tarciso. Startups e inovação: direito no empreendedorismo (entrepreneurship law)/
Keila dos Santos [et al.]; coordenadores Tarcisio Teixeira, Alan Moreira Lopes]. Barueri, SP:
Manole, 2017. https://integrada.minhabiblioteca.com.br/#/books/9788520453339/
Periódicos Complementares:
BRUNO MELLO CORREA DE BARROS; RAFAEL SANTOS DE OLIVEIRA. Do Analógico Ao Digital:
Um Olhar Sobre O Direito À Informação Na Sociedade Em Rede a Partir Da Transição Tecnológica Da Tv
Brasileira. Revista Direitos Culturais, [s. l.], v. 12, n. 28, p. 91–108, 2018. DOI 10.20912/rdc.v12i28.2110.
Disponível em: https://search.ebscohost.com/login.aspx?
direct=true&db=edsdoj&AN=edsdoj.1d486cf5b95341db82f00c1e829e4af3&lang=pt-br&site=eds-live
WOLFGANG HOFFMANN-RIEM. BIG DATA E INTELIGÊNCIA ARTIFICIAL: desafios para o Direito.
Revista de Estudos Institucionais, [s. l.], v. 6, n. 2, p. 431–506, 2020. DOI 10.21783/rei.v6i2.484. Disponível
em: https://search.ebscohost.com/login.aspx?
direct=true&db=edsdoj&AN=edsdoj.1d68de9d9be74f8089ae8153abc57245&lang=pt-br&site=eds-live
GUNTHER, L. E.; COMAR, R. T.; RODRIGUES, L. E. A proteção e o tratamento dos dados pessoais
sensíveis na era digital e o direito à privacidade: Os Limites Da Intervenção Do Estado. Relações
Internacionais no Mundo, [s. l.], v. 2, n. 27, p. 1–17, 2020. DOI 10.21902/revrima.v1i26.3972. Disponível em:
https://search.ebscohost.com/login.aspx?direct=true&db=foh&AN=143597203&lang=pt-br&site=eds-live
DATAS DAS ATIVIDADES
Atividade parcial 1: 10/04.
Atividade parcial 2: 22/05.
Prova final: 26/06. Reposição: agendamento com o professor, após dia 28/06/2.023.
Horário de aula: das 19:00 às 22:00 horas. Intervalo: das 20:30 às 20:45 horas.
O professor não poderá fazer aula sem intervalo.
Serão efetuadas duas chamadas.
O aluno deverá ter pelo menos 75% de frequência para a aprovação na disciplina. Controle suas
faltas!
Contato: fabio.schlickmann@uniavan.edu.br – este é o único contato oficial. Outros meios de
contato são pessoais, não obrigam a resposta e o professor reserva para si o direito de bloquear, caso
haja necessidade.
INTRODUÇÃO AO DIREITO
DIGITAL
A sociedade da informação. A realidade mudou muito nos últimos 50 anos.
Houve um momento de ruptura com os paradigmas então conhecidos.
Surgem, então, novas questões que jamais imaginávamos enfrentar. Ex.: a
comunicação se dava por telefonia; hoje nos comunicamos pelos mais
diversos modos, incluindo-se o telefone. A realidade é muito mais dinâmica.

A Era da Informação é o período pós Era industrial, especialmente após

a década de 1.980, com o desenvolvimento dos microprocessadores, das
redes de computadores, da fibra ótica e dos computadores pessoais. Tudo
se transforma em informação; tudo se transforme em dados.
A sociedade da informação se relaciona com a:

a) Sociedade pós-industrial (novo paradigma técnico-econômico);

b) Transformações técnicas e organizacionais da sociedade;

c) Avanços da microeletrônica e telecomunicações;

A era da informação evidentemente traz benefícios para o convívio social, mas igualmente propicia
problemas:

- Era da desinformação (fake news)

- Ansiedade

- Alienação

- Falta de responsabilidade profissional

- Violações à privacidade e à intimidade: empresas podem saber muito sobre o usuário, inclusive coisas
que ele não deseja saber.

- (In)segurança dos sistemas informáticos etc.

Algumas questões técnicas:

- Internet

- Website

- E-mail

- Provedores de acesso e conteúdo

- Ubiquidade
O website é uma página que pode ter qualquer tipo de conteúdo. É composto
por números (Internet Protocol - IP - localiza fisicamente a máquina). Ex.:
208.80.152.130. É substituído por letras para facilitar o acesso.

- Domain name system - DNS (auxilia memorizar os endereços desejados).

Ex.: www.wikipedia.org

- Provedores (acesso, conteúdo e trânsito). Diferenças.

Problemas:
- Adwords.
https://tecnoblog.net/noticias/2022/01/31/magalu-e-via-do
na-das-casas-bahia-brigam-na-justica-por-anuncios-do-go
ogle/
- Cybersquatting (grileiros de nomes de domínios).
Novas preocupações:

- Crimes Digitais

- Geolocalização

- Dados, informações digitais ou digitalizadas

- Privacidade, intimidade...

- Direito ao esquecimento. Caso Lebach; caso Aida Curi.

- Segurança dos sistemas e da informação

CASOS EMBLEMÁTICOS:
a) Daniella Cicareli x Google: por determinação judicial, o YouTube ficou fora do
ar por algumas horas
b) Uber x Prefeituras/Taxistas. Proibição? Regulação?
c) WhatsApp x Operadora(s) de telefonia: nos primeiros anos do uso do
aplicativo, as operadoras levantaram várias questões.
d) Espionagem: caso Snowden.
e) Sites que divulgam dados pessoais.
f) Fake News e eleições. O problema da deep fake.
EXISTE UM DIREITO DIGITAL? O QUE É
O DIREITO DIGITAL? COMO ESTUDÁ-
LO?
O Direito Digital não é um ramo do Direito, mas é a releitura dos
tradicionais ramos do Direito à luz da tecnologia. O Direito é uno; a sua
divisão existe apenas para facilitar o estudo. O Direito Digital relaciona-se
com:
Direito Constitucional: privacidade, intimidade, esquecimento
Direito Penal: crimes digitais
Direito do Consumidor: e-commerce
Direito Processual: processo eletrônico
Desafios do Direito Digital:
- Avanço tecnológico muito mais ágil que a legislação:
- Aplicação da lei a situações que atingem mais de um país;
- Educação e conscientização digital;
- Incutir e concretizar as premissas de conformidade
(compliance);
Estudar a Era da Informação é algo desafiador em face da interdisciplinaridade. Dois
grandes estudiosos: Manuel Castells (sociólogo espanhol) e Pierre Lévy (filósofo
francês).
Sociedade de rede (Manuel Castells): a base de todas as relações se estabelece
através da informação e da sua capacidade de processamento e de geração de
conhecimentos.
Programa "Roda Viva", com Manuel Castells, exibido em 1999:
https://www.youtube.com/watch?v=TaXeu4k4OJE
Cibercultura (Pierre Levy): sociedade é um novo espaço de interações propiciado
pela realidade virtual (criada a partir de uma cultura informática). É inviável ignorar
o impacto dessas tecnologias à vida humana, seja no aspecto individual, coletivo ou
mesmo empresarial. Mas, afinal de contas, as tecnologias de comunicação estão a
serviço de que, ou de quem? Que mudanças são trazidas por essas tecnologias à vida
do homem e à sociedade? 
Redes Sociais. Alguém já leu os termos de uso?
Facebook - https://www.facebook.com/legal/terms
Twitter - https://twitter.com/tos?lang=pt
Google - https://www.google.com/intl/pt- BR/policies/terms/
Empregados x Empregadores.
 O empregado não pode usar seu tempo de trabalho em redes sociais ou em atividades
diversas da que foi contratado (art. 442 da CLT)
 Não pode tornar pública foto do local de trabalho sem permissão conhecimento dos
superiores (art. 82 da CLT) 
Outros problemas:
- Assédio moral
- Assédio sexual
- Horas extras
- Ofensas à honra
BYOD (Bring your own device - traga seu próprio equipamento). É preciso deixar claro que:
a) O equipamento é de inteira responsabilidade do proprietário;
b) o conteúdo armazenado é de responsabilidade do proprietário;
c) o proprietário declara que todos os softwares possuem licença regular sob pena de responder
isoladamente sobre qualquer incidente de pirataria;
d) que o proprietário deve usar de requisitos básicos de segurança 
e) o proprietário tem o dever de realizar backup de todas as informações pertinentes à empresa e de
salvá-las na rede corporativa;
f) o equipamento está sujeito a monitoramento e a inspeção física por parte do empregador;
g) a empresa não se responsabiliza pela perda, deterioração, furto, extravio, quebra do equipamento;
etc...
Plágio e direitos autorais: referência X Plágio na criação digital. Pode ocorrer em qualquer área,
mas é bastante comum na área acadêmica (artigos científicos, TCC's, Mestrados, etc). Decorre da
não compreensão do que é compor um trabalho original ou de pura má-fé. Lei de proteção aos
direitos do autor: Lei n.º 9.610/98.
Problema comum: contrafação, que é a reprodução não autorizada de uma determinada obra,
ainda que parcial (arts. 5.º e 104). Não configura contrafação:
- a citação para crítica
- a reprodução permitida
- a paródia
É preciso, portanto, tomar bastante cuidado antes de reproduzir obras de outras pessoas e, ainda,
quando for fazê-lo, creditar a autoria de forma correta. É necessário, ainda, cuidar para realizar
trabalhos técnicos (artigos, TCC's, etc) com a devida citação das fontes. 
Economia digital. A expressão foi criada por Nicholas Negroponte em (1.995) e
apareceu em sua obra Being Digital. É uma metáfora da passagem do modelo dos
átomos (matéria, massa, transporte) para o modelo de bits de processamento
(imponderabilidade, virtualidade, instantâneo e global).
- Jogos de videogames e em smartphones e tablets.
- UBER
- Airbnb
- Remarketing 
Segurança da informação: relaciona-se com a
proteção de um conjunto de informações, preservando o
valor que possuem para uma pessoa ou organização.
São características básicas da segurança da informação
os atributos de confidencialidade, integridade,
disponibilidade e autenticidade. Ataques, vazamentos
de informações confidenciais, concorrência desleal.
E-commerce: regulamentação do CDC - Decreto n.º
7.962, de 15 de março de 2.013. Direitos e garantias do
consumidor. Sites de compras coletivas. Direito de
crítica/avaliação.
Provas:
- Preservação de provas
- O que são provas?
- Quais são admitidas?
- Perícias e atas notariais
Compliance:
To comply: cumprir
Compliance: cumprimento
Compliance é fazer cumprir as normas, regulamentos, políticas e diretrizes
estabelecidas para o negócio e para as atividades das instituições, bem como evitar,
detectar e tratar qualquer desvio ou desconformidades que possas ocorrer. O correto
é o que deve ser feito mesmo que ninguém esteja fazendo...e o errado segue errado,
ainda que muitos assim o façam.
Compliance é mais que cumprimento de regras. É a manutenção da reputação.
DIREITOS FUNDAMENTAIS NO
AMBIENTE DIGITAL
Anonimato e identificação
 Liberdade de expressão como valor democrático:
 Convicções
 Opiniões
 Debate
 Críticas
 Divergência
 Pluralidade
 Diversidade
Duas visões distintas:
Liberdade de expressão deve ser plena: Ronald Dworkin. Mercado livre de ideias.
Liberdade de expressão deve admitir mais limites: Jeremy Waldron. O limite da
liberdade de expressão é a dignidade da pessoa humana.
Legislação:
CF, art. 5.º. (...)
IV - é livre a manifestação do pensamento, sendo vedado o anonimato;
CF, art. 220. A manifestação do pensamento, a criação, a expressão e a informação,
sob qualquer forma, processo ou veículo não sofrerão qualquer restrição, observado o
disposto nesta Constituição.
“Na internet, ninguém sabe que
você é um cachorro.”
 Controle sobre a sua identidade?

 Salas de bate-papo

 Endereços de email

 Perfis em redes sociais

 Participação em fóruns

 Comentários de notícias
Como identificar alguém na Internet?

PROVEDOR DE APLICAÇÕES

PROVEDOR DE CONEXÃO

IDENTIFICAÇÃO DO TERMINAL
Provedores de aplicações: Facebook, Google, Twitter

Registros de acesso a aplicações de Internet: “o conjunto de informações referentes à

data e hora de uso de uma determinada aplicação de internet a partir de um determinado
endereço IP.” (Art. 4.º, VIII, Lei n.º 12.965/14)

Provedores de conexão: NET, VIVO, TIM

Registros de conexão: “o conjunto de informações referentes à data e hora de início e

término de uma conexão à internet, sua duração e o endereço IP utilizado pelo terminal
para o envio e recebimento de pacotes de dados” (Art. 4.º, VI, Lei n.º 12.965/14).
Lei n.º 12.965/14, art. 7.º. O acesso à internet é essencial ao exercício da
cidadania, e ao usuário são assegurados os seguintes direitos:
I - inviolabilidade da intimidade e da vida privada, sua proteção e
indenização pelo dano material ou moral decorrente de sua violação;
II - inviolabilidade e sigilo do fluxo de suas comunicações pela internet,
salvo por ordem judicial, na forma da lei;

III - inviolabilidade e sigilo de suas comunicações privadas armazenadas,

salvo por ordem judicial; (...)
Lei n.º 12.965/14, art. 10. A guarda e a disponibilização dos registros de conexão e de acesso a aplicações de
internet de que trata esta Lei, bem como de dados pessoais e do conteúdo de comunicações privadas, devem atender
à preservação da intimidade, da vida privada, da honra e da imagem das partes direta ou indiretamente envolvidas.

§ 1.º. O provedor responsável pela guarda somente será obrigado a disponibilizar os registros mencionados no
caput, de forma autônoma ou associados a dados pessoais ou a outras informações que possam contribuir para a
identificação do usuário ou do terminal, mediante ordem judicial, na forma do disposto na Seção IV deste Capítulo,
respeitado o disposto no art. 7.º.

§ 2.º. O conteúdo das comunicações privadas somente poderá ser disponibilizado mediante ordem judicial, nas
hipóteses e na forma que a lei estabelecer, respeitado o disposto nos incisos II e III do art. 7.º.

§ 3.º. O disposto no caput não impede o acesso aos dados cadastrais que informem qualificação pessoal, filiação e
endereço, na forma da lei, pelas autoridades administrativas que detenham competência legal para a sua
requisição.
Decreto n.º 8.771/16, art. 11. As autoridades administrativas a que se refere o art. 10, § 3.º da
Lei n.º 12.965, de 2014, indicarão o fundamento legal de competência expressa para o acesso e
a motivação para o pedido de acesso aos dados cadastrais.

§ 1.º. O provedor que não coletar dados cadastrais deverá informar tal fato à autoridade
solicitante, ficando desobrigado de fornecer tais dados.

§ 2.º. São considerados dados cadastrais:

I - a filiação;

II - o endereço; e

III - a qualificação pessoal, entendida como nome, prenome, estado civil e profissão do
usuário.

§ 3.º. Os pedidos de que trata o caput devem especificar os indivíduos cujos dados estão sendo
requeridos e as informações desejadas, sendo vedados pedidos coletivos que sejam genéricos
ou inespecíficos.
Lei n.º 12.965/14, art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica
e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá
manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e
de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento.

§ 1.º. Ordem judicial poderá obrigar, por tempo certo, os provedores de aplicações de internet que não
estão sujeitos ao disposto no caput a guardarem registros de acesso a aplicações de internet, desde que
se trate de registros relativos a fatos específicos em período determinado.

§ 2.º. A autoridade policial ou administrativa ou o Ministério Público poderão requerer cautelarmente a

qualquer provedor de aplicações de internet que os registros de acesso a aplicações de internet sejam
guardados, inclusive por prazo superior ao previsto no caput, observado o disposto nos §§ 3º e 4º do
art. 13.

§ 3.º. Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo
deverá ser precedida de autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 4.º. Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a
natureza e a gravidade da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator,
as circunstâncias agravantes, os antecedentes do infrator e a reincidência.
Lei n.º 12.965/14, art. 13. Na provisão de conexão à internet, cabe ao administrador de sistema autônomo
respectivo o dever de manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo
prazo de 1 (um) ano, nos termos do regulamento.
§ 1.º. A responsabilidade pela manutenção dos registros de conexão não poderá ser transferida a terceiros.

§ 2.º. A autoridade policial ou administrativa ou o Ministério Público poderá requerer cautelarmente que os
registros de conexão sejam guardados por prazo superior ao previsto no caput.

§ 3.º. Na hipótese do § 2o, a autoridade requerente terá o prazo de 60 (sessenta) dias, contados a partir do
requerimento, para ingressar com o pedido de autorização judicial de acesso aos registros previstos no caput.

§ 4.º. O provedor responsável pela guarda dos registros deverá manter sigilo em relação ao requerimento
previsto no § 2.º, que perderá sua eficácia caso o pedido de autorização judicial seja indeferido ou não tenha
sido protocolado no prazo previsto no § 3.º.

§ 5.º. Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá ser
precedida de autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 6.º. Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a natureza e a
gravidade da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator, as circunstâncias
agravantes, os antecedentes do infrator e a reincidência.
 RETENÇÃO DE DADOS
SEGUNDO O MARCO CIVIL DA
  INTERNET: Provedor de conexão Provedor comercial de Provedor não
aplicações comercial de aplicações
Tipo de dados a serem Registros de conexão à Registros de acesso a aplicações
retidos: internet
Obrigatoriedade de Obrigatório Mediante requisição sem
retenção dos dados: ordem judicial
Período de retenção 1 ano 6 meses
dos dados:
Aumento do período de Mediante requisição sem ordem judicial
retenção:
Acesso aos dados Mediante ordem judicial
retidos:
 O acesso a esses registros depende de ordem judicial

Lei n.º 12.965/14, art. 22. A parte interessada poderá, com o propósito de formar
conjunto probatório em processo judicial cível ou penal, em caráter incidental ou
autônomo, requerer ao juiz que ordene ao responsável pela guarda o fornecimento
de registros de conexão ou de registros de acesso a aplicações de internet.

Parágrafo único. Sem prejuízo dos demais requisitos legais, o requerimento deverá
conter, sob pena de inadmissibilidade:

I - fundados indícios da ocorrência do ilícito;

II - justificativa motivada da utilidade dos registros solicitados para fins de

investigação ou instrução probatória; e

III - período ao qual se referem os registros.

RESPONSABILIDADE DE
INTERMEDIÁRIOS:
Quem pode ser responsável por conteúdos veiculados na Internet? O que são
“conteúdos de terceiros”? Como modelos de responsabilidade podem interferir na
liberdade de expressão? 
Antes do Marco Civil da Internet:
 Cenário de insegurança jurídica
 Pouca uniformidade da jurisprudência
 Possibilidades:
a) Plataformas respondem objetivamente
b) Plataformas respondem subjetivamente (após notificação)
c) Plataformas respondem subjetivamente (após ordem judicial)
Lei n.º 12.965/14, art. 18. O provedor de conexão à internet não será responsabilizado civilmente por danos decorrentes de
conteúdo gerado por terceiros.
Lei n.º 12.965/14, art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de aplicações
de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros se, após
ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu serviço e dentro do prazo
assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as disposições legais em contrário.
§ 1.º. A ordem judicial de que trata o caput deverá conter, sob pena de nulidade, identificação clara e específica do conteúdo
apontado como infringente, que permita a localização inequívoca do material.
§ 2.º. A aplicação do disposto neste artigo para infrações a direitos de autor ou a direitos conexos depende de previsão legal
específica, que deverá respeitar a liberdade de expressão e demais garantias previstas no art. 5º da Constituição Federal.
§ 3.º. As causas que versem sobre ressarcimento por danos decorrentes de conteúdos disponibilizados na internet
relacionados à honra, à reputação ou a direitos de personalidade, bem como sobre a indisponibilização desses conteúdos por
provedores de aplicações de internet, poderão ser apresentadas perante os juizados especiais.
§ 4.º. O juiz, inclusive no procedimento previsto no § 3.º, poderá antecipar, total ou parcialmente, os efeitos da tutela
pretendida no pedido inicial, existindo prova inequívoca do fato e considerado o interesse da coletividade na disponibilização
do conteúdo na internet, desde que presentes os requisitos de verossimilhança da alegação do autor e de fundado receio de
dano irreparável ou de difícil reparação.
RE n.º 1.037.396/SP: caso em que um usuário descobriu que havia um perfil falso no Facebook. Na ação,
além dos dados, foi pedida indenização. No primeiro grau a indenização foi indeferida; no recurso foi deferida
a indenização e ainda suscitou questão constitucional sobre o art. 19 do Marco Civil da Internet, por não
proteger adequadamente a honra e a imagem das pessoas.

EMENTA Direito Constitucional. Proteção aos direitos da personalidade. Liberdade de expressão e de

manifestação. Violação dos arts. 5º, incisos IV, IX, XIV; e 220, caput, §§ 1º e 2º, da Constituição Federal.
Prática de ato ilícito por terceiro. Dever de fiscalização e de exclusão de conteúdo pelo prestador de serviços.
Reserva de jurisdição. Responsabilidade civil de provedor de internet, websites e gestores de aplicativos de
redes sociais. Constitucionalidade ou não do art. 19 do Marco Civil da Internet (Lei nº 12.965/14) e
possibilidade de se condicionar a retirada de perfil falso ou tornar indisponível o conteúdo apontado como
infringente somente após ordem judicial específica. Repercussão geral reconhecida. (RE n.º 1.037.396 RG,
Relator(a): DIAS TOFFOLI, Tribunal Pleno, julgado em 01/03/2.018, PROCESSO ELETRÔNICO DJe-
063 DIVULG 03/04/2.018 PUBLIC 04/04/2.018)
“Fake news”? Qual seria a responsabilidade dos provedores? Haverá
responsabilidade após ordem judicial, caso não seja cumprida.

URL = uniform resource locator. Necessidade de indicação dos links onde o

material se encontra.

Lei n.º 12.965/14, art. 19. (...)

§ 1.º. A ordem judicial de que trata o caput deverá conter, sob pena de nulidade,
identificação clara e específica do conteúdo apontado como infringente, que
permita a localização inequívoca do material.
Caso Botelho (STJ): foram publicados vídeos de cursos na rede social “Orkut”,
violando direito autoral. O STJ reforçou que o autor deveria fornecer todos os links.
Caso Nissim Ourfali (TJSP) (Processo n.º 0192672-12.2012.8.26.0100):

- 1.ª instância: necessidade de indicação de URL 2.ª instância: plataforma deve

retirar vídeos que façam menção ao autor, mesmo sem links

- 2.ª instância: plataforma deve retirar vídeos que façam menção ao autor, mesmo
sem links

Caso Cristiano Araújo (TJGO) (Processo n.º 357751-62.2015.8.09.0051)

Lei n.º 12.965/14, art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de
aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por
terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu
serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as
disposições legais em contrário.

§ 1.º. A ordem judicial de que trata o caput deverá conter, sob pena de nulidade, identificação clara e específica do
conteúdo apontado como infringente, que permita a localização inequívoca do material.

§ 2.º. A aplicação do disposto neste artigo para infrações a direitos de autor ou a direitos conexos depende de previsão
legal específica, que deverá respeitar a liberdade de expressão e demais garantias previstas no art. 5º da Constituição
Federal.

§ 3.º. As causas que versem sobre ressarcimento por danos decorrentes de conteúdos disponibilizados na internet
relacionados à honra, à reputação ou a direitos de personalidade, bem como sobre a indisponibilização desses
conteúdos por provedores de aplicações de internet, poderão ser apresentadas perante os juizados especiais.

§ 4.º. O juiz, inclusive no procedimento previsto no § 3.º, poderá antecipar, total ou parcialmente, os efeitos da tutela
pretendida no pedido inicial, existindo prova inequívoca do fato e considerado o interesse da coletividade na
disponibilização do conteúdo na internet, desde que presentes os requisitos de verossimilhança da alegação.
Lei n.º 12.965/14, art. 20. Sempre que tiver informações de contato do usuário diretamente
responsável pelo conteúdo a que se refere o art. 19, caberá ao provedor de aplicações de
internet comunicar-lhe os motivos e informações relativos à indisponibilização de
conteúdo, com informações que permitam o contraditório e a ampla defesa em juízo, salvo
expressa previsão legal ou expressa determinação judicial fundamentada em contrário.

Parágrafo único. Quando solicitado pelo usuário que disponibilizou o conteúdo tornado
indisponível, o provedor de aplicações de internet que exerce essa atividade de forma
organizada, profissionalmente e com fins econômicos substituirá o conteúdo tornado
indisponível pela motivação ou pela ordem judicial que deu fundamento à
indisponibilização.
Lei n.º 12.965/14, art. 21. O provedor de aplicações de internet que disponibilize conteúdo
gerado por terceiros será responsabilizado subsidiariamente pela violação da intimidade
decorrente da divulgação, sem autorização de seus participantes, de imagens, de vídeos ou
de outros materiais contendo cenas de nudez ou de atos sexuais de caráter privado quando,
após o recebimento de notificação pelo participante ou seu representante legal, deixar de
promover, de forma diligente, no âmbito e nos limites técnicos do seu serviço, a
indisponibilização desse conteúdo.

Parágrafo único. A notificação prevista no caput deverá conter, sob pena de nulidade,
elementos que permitam a identificação específica do material apontado como violador da
intimidade do participante e a verificação da legitimidade para apresentação do pedido.
A liberdade de expressão não é absoluta

CF, art. 5.º. (...)

X - são invioláveis a intimidade, a vida privada, a honra e a imagem das

pessoas, assegurado o direito a indenização pelo dano material ou moral
decorrente de sua violação;
Limites e direitos reputacionais:

 Humor como termômetro;

 Internet abriu novos canais e agregou novos atores ao processo de criação de

conteúdos de humor;

 Maior facilidade para produzir conteúdos (dispositivos e aplicativos);

 Diferentes plataformas e formatos de publicação;

 Baixo controle editorial

Como esses limites têm sido estabelecidos? Quais os riscos de abuso que
existem por trás de institutos como o “direito à honra” e o “direito à
imagem”?
Fontes: https://internetlab.org.br/pt/projetos/humor-e-liberdade-de-expressao-2/
https://www.conjur.com.br/2016-ago-31/dennys-antonialli-dano-moral-ameaca-liberdade-humor-internet

Pesquisa sobre humor na Internet

 Casos de natureza cível;

 2.ª instância: todos os TJs, STJ e STF; Busca a partir da combinação dos termos “humor”, “sátira”,
“paródia”, “piada”, “ironia”, “sarcasmo”, “comédia” e “charge” com “Internet”, “online”, “virtual” e “rede”;

 1.004 decisões judiciais analisadas;

 119 apelações e 29 agravos de instrumento selecionados

Média dos valores de indenização arbitrados em 2.ª instância:

Políticos: R$ 16.352,38

Pessoas comuns: R$ 13.800,00

DIREITO AO ESQUECIMENTO
 A Internet eternizou memórias?

 Isso é uma ameaça à privacidade, à honra e à imagem?

 Como equacionar essa “memória permanente” da Internet com esses direitos?

Pedidos de remoção/desindexação de conteúdo risco de que sejam “apagadas” informações de

relevante interesse público. O que deve ser ponderado no momento da decisão? quais os direitos em jogo?

 direito à honra / imagem

 direito à informação / interesse público

 liberdade de expressão
Direito ao esquecimento na Europa:

Mario Costeja Gonzalez e AEPD v. Google (C131/12, de 13 de maio de 2.014)

 Direito de desindexação foi reconhecido. Questões afetas à uma execução civil, que foram publicadas na
internet. Entretanto, após ser resolvida a execução, as informações permaneceram na internet. Interessados
podem dirigir pedido diretamente à plataforma, que deve decidir a respeito de seu acolhimento.
Mecanismos de busca devem avaliar se as informações são “imprecisas, inadequadas, irrelevantes ou
excessivas”. A plataforma deve decidir realizar ou não a desindexação. Não é um direito exercido em
relação aos sites que postaram a informação, mas é direcionado aos mecanismos de busca.

Relatório de transparência do Google:

https://transparencyreport.google.com/eu-privacy/overview?hl=pt_BR
Remoções globais: CNIL v. Google
“Caso Xuxa”: STJ (REsp n.º 1.316.921) – o provedor de internet serve
apenas como intermediário e, como não produziu nem exerceu fiscalização
sobre as mensagens e imagens transmitidas, não pode ser responsabilizado
por eventuais excessos. Min. Nancy Andrighi: “Se a página possui conteúdo
ilícito, cabe ao ofendido adotar medidas tendentes à sua própria supressão,
com o que estarão, automaticamente, excluídas dos resultados de busca
virtual dos sites de pesquisa.”
Caso chacina da candelária: o STJ (REsp n.º 1.334.097) reconheceu o
direito ao esquecimento para um homem inocentado da acusação de
envolvimento na chacina da Candelária, retratado por programa de TV anos
após absolvição. Min. Luis Felipe Salomão: “o interesse público que órbita o
fenômeno criminal tende a desaparecer na medida em que também se esgota
a resposta penal conferida ao fato criminoso, a qual, certamente, encontra seu
último suspiro, com a extinção da pena ou com a absolvição, ambas
irreversivelmente consumadas.”
Caso Aida Curi: o STJ (REsp n.º 1.335.153) negou direito ao esquecimento em
caso de programa de TV que divulgou nome da vítima e de fotos reais do crime. A
4.ª turma entendeu que. nesse caso, o crime era indissociável do nome da vítima:
“o tempo, que se encarregou de tirar o caso da memória do povo, também fez o
trabalho de abrandar seus efeitos sobre a honra e a dignidade dos familiares.”
Parecer PGR no caso Aida Curi (ARE n.º 833.248): “direito a esquecimento é a
vedação de acesso à informação não só por parte da sociedade em geral, mas
também de estudiosos como sociólogos, historiadores e cientistas políticos”
“impedir circulação e divulgação de informações elimina a possibilidade de que
esses atores sociais tenham acesso a fatos que permitam à sociedade conhecer seu
passado, revisitá-lo e sobre ele refletir.”
REsp n.º 1.660.168/RJ: caso de desindexação de informação de uma
funcionária pública sobre fraude no concurso em que ela foi aprovada.
"Os sites de busca se tornaram importantes ferramentas, especialmente para
consultar fatos e informações sobre pessoas, podendo apresentar dados que
prejudicam o indivíduo pesquisado a depender dos links apresentados nos
seus resultados"
Problemas: Como saber quais informações serão úteis ou relevantes no
futuro? O direito ao esquecimento seria um direito de “editara própria
história”? Como ficam as histórias de futuros políticos? Direito ao
esquecimento precisa ser ponderado com o direito à memória e ao acesso à
informação.
BIG DATA
A ciência sempre se baseou na observação e tratamento de dados

 Dados do aparelho;

 Mensagens;

 Dados de localização;

 Preferências;

 Fotos;

 Músicas;

 Dados gerados pelos aplicativos

Nesse contexto, temos:

 Aumento da capacidade de gerar dados e registros;

 Maior capacidade de armazenamento de dados;

 Novas possibilidades de cruzamento e tratamento de dados.

 Facilidade de acesso a dados e registros

Big Data: o conceito

 Utilização e/ou manipulação de bases de dados grandes e complexos para

a obtenção de resultados, inferências ou conclusões.

 Conjunto de técnicas e ferramentas capazes de extrair resultados

significativos de bases de dados desestruturadas. 
Big data: aplicações

 Projeto Genoma: mapeamento de genes 

 Futebol. “Hoje, todos os 20 estádios de futebol da Premier League no Reino Unido estão
equipados com um conjunto de 8-10 câmeras digitais que rastreiam cada jogador em campo. Dez
pontos de dados são coletados a cada segundo para cada um dos 22 jogadores em campo, gerando
1,4 milhões de pontos de dados por jogo. Analistas (da ProZone) irão então codificar os dados para
identificar cada dividida, tiro ou passe, a fim de permitir aos gestores e analistas de desempenho
obter insights sobre o que exatamente aconteceu em cada jogo” (Bernard Marr)

 Marketing político: Cambridge Analytica. Testes do Facebook cruzaram dados sobre usuários.
 “Internet das coisas”: grande número de dispositivos e aparelhos funciona
de forma interligada e conectada à Internet;

 Grande volume de dados;

 Registros sobre hábitos, localização, data, hora, etc.;

 Novas possibilidades de cruzamento de dados.

Big data: conclusões

 O fenômeno conhecido como “big data” surge com o aumento da capacidade de

gerar, coletar, armazenar e tratar dados;

 Sua principal característica é a utilização de grandes e complexas bases de dados;

 Técnicas de cruzamento e tratamento de dados são desenvolvidas para extrair

conclusões e inferências dessas bases de dados (ex.: algoritmos).

 A publicidade como modelo de negócios

Publicidade comportamental: emprego de conjunto de técnicas que tornam possível
identificar, de maneira probabilística, traços de comportamento do usuário, que permitem
inferir seus interesses e preferências;

 Quanto mais dados, mais apuradas podem ser as inferências e mais valiosas elas se tornam.

 Dados podem ser a) voluntariamente fornecidos pelo usuário ou b) coletados de forma

automatizada;

 Dados podem ser armazenados de forma anonimizada ou não;

 Dados anonimizados podem ser reidentificados;

 Dados coletados são caracterizados como pessoais quando se relacionam a
uma pessoa identificada ou identificável

 Muitos dos dados utilizados pelas técnicas de tratamento de dados (como

algoritmos) são dados pessoais;

 Combinados, esses dados podem levar a inferências sobre fatos

inimagináveis pelo usuário.

 Caso da empresa Target (EUA).

 Curtidas do Facebook: Apply Magic Sauce – ferramenta que traça um perfil psicológico a partir
das páginas do Facebook que o usuário curtiu - https://applymagicsauce.com/

 Empresas podem reunir e inferir características sobre o usuário que possibilitem a formação de
perfis detalhados de sua personalidade (“profiling”);

 Possível aumento do poder de manipulação dessas empresas sobre o usuário. Ex.: geladeira do
futuro

 Dados e perfis podem ser vendidos ou compartilhados com terceiros (atenção para os termos das
políticas de privacidade!);

 Possibilidade de ocorrência de falhas de segurança e ataques que culminem no vazamento ou

exposição desautorizada de dados.
Princípio da finalidade: os dados coletados devem ser utilizados apenas para a finalidade para a qual
foram originalmente coletados;

 Desafio: como prever todas as finalidades antes de se ter acesso aos bancos de dados desestruturados?

 Além das empresas, governos também podem se beneficiar com “big data”;

 Argumentos envolvendo questões de segurança nacional podem gerar mais vigilância;

 As denúncias de Edward Snowden chamaram a atenção para a possibilidade de promiscuidade entre

as informações obtidas pelas empresas e aquelas obtidas pelo governo dos Estados Unidos;

 Quanto mais informações as empresas puderem reunir sobre o cidadão, mais valiosos são os seus
bancos de dados também para questões de vigilância.
Big data e privacidade: conclusões

 Os modelos de negócios baseados na publicidade comportamental fomentaram práticas de coletas

massivas de dados pessoais;

 Esses bancos de dados pessoais são tratados como “big data”;

 Inferências obtidas pelas empresas aumentam seu poder de manipulação sobre o usuário;

 Inferências podem ser vendidas, compartilhadas e acessadas por terceiros, incluindo os governos;

 “Big data” pode servir a interesses ligados à vigilância;

 Inferências podem gerar situações de discriminação e de danos aos cidadãos e usuários.

Modelos regulatórios:

 Modelo setorial (EUA):

 Legislações regem a utilização de dados pessoais em setores específicos, como saúde, dados
relativos à crianças, dados financeiros, etc.;

 Não há legislação genérica em relação aos demais casos: fiscalização pela Federal Trade
Commission (FTC) com base na legislação de proteção ao consumidor;

 Modelo de notificação e escolha.

 Modelo legislativo (União Europeia):

 Legislações específicas regem a proteção de dados pessoais de forma genérica;

 Legislações nacionais devem respeitar a Diretiva 95/46/CE;

 Autoridades de garantia atuam na aplicação, tutela e fiscalização do direito à privacidade

Panorama legislativo brasileiro:

CF, art. 5.º. (...)

X - são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o
direito a indenização pelo dano material ou moral decorrente de sua violação;

LXXII - conceder-se-á habeas data:

a) para assegurar o conhecimento de informações relativas à pessoa do impetrante, constantes de

registros ou bancos de dados de entidades governamentais ou de caráter público;

b) para a retificação de dados, quando não se prefira fazê-lo por processo sigiloso, judicial ou
administrativo; (+ Lei n.º 9.507/97)

 Marco Civil da Internet (Lei n.º 12.965/14): aplicação e escopo

 Lei de Proteção de Dados Pessoais (Lei n.º 13.709/18): aplicação e escopo

 Veto presidencial à autoridade de garantia

Linhas jurisprudenciais:

 TJRS (apelação no 70060163623): Venda de dados pessoais como CPF, endereço, data de nascimento,
telefone sem consentimento expresso do cidadão não é ilícita;

 Dados não são sigilosos ou “sensíveis”;

 Informações pessoais de interesse público;

 Não há dano pelo mera “importunação telefônica”;

 Não há dano pelo mero “risco” de utilização dos dados vendidos para fraudes;

 16.ª Vara Cível de Porto Alegre (Processo 001/11401789987): Venda de dados pessoais como CPF,
endereço, data de nascimento, telefone sem consentimento expresso do cidadão é ilícita;

 Há dano por “mera” importunação telefônica, mensagens de marketing e telemarketing indesejadas;

 Há dano pela exposição do cidadão a fraudes pelo uso indevido dos dados vendidos;
 1ª Vara Federal RN (processo no 0805175-58.2015.4.05.8400): Venda de
dados pessoais como CPF, endereço, data de nascimento, telefone sem
consentimento expresso do cidadão é ilícita;

 Potencial de dano agravado pelos dados serem disponibilizados por meio

da Internet;

 Domínio registrado na Suécia e empresa controladora sediada em

Seychelles: ordem de bloqueio ao site pelas empresas que administram o
serviço de acesso a backbones;
Conclusões:

 Pouca uniformidade;

 Indefinição em relação ao que configura dano;

 Indefinição em relação às situações em que o consentimento deve ser expresso;

 Necessidade de consolidação de entendimentos jurisprudenciais;

 Papel da autoridade?
Acesso a comunicações: telefonia e internet

CF, art. 5.º. (...)

XII - é inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das

comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei
estabelecer para fins de investigação criminal ou instrução processual penal;

 Comunicações telefônicas e telemáticas: Lei de Interceptações (Lei n.º 9.296/96). Quando a lei
regulamentou a comunicação, tratou do fluxo de comunicações. Requisitos específicos:

 indícios razoáveis de autoria ou participação em infração penal;

 meio indispensável de prova;

 infrações penais punidas com, no máximo, pena de detenção estão excluídas;

 ordem judicial específica, individualizada e com prazo determinado (15 dias);

 rigor do crivo judicial.

Dados de comunicações armazenadas. Não se trata de interceptação. Hoje os dados ficam
gravados, armazenados. A Lei n.º 9.296/96 não foi pensada para dados armazenadas.

Marco Civil da Internet (Lei n.º 12.965/14):

Art. 7, III: inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por
ordem judicial

Art. 10, § 2.º: o conteúdo das comunicações privadas somente poderá ser disponibilizado
mediante ordem judicial, nas hipóteses e na forma que a lei estabelecer, respeitado o
disposto nos incisos II e III do art. 7.º. Não há regulamentação específica estabelecendo
requisitos de proteção.
PROCESSUAL PENAL. OPERAÇÃO "LAVA-JATO". MANDADO DE BUSCA E APREENSÃO.
APREENSÃO DE APARELHOS DE TELEFONE CELULAR. LEI 9296/96. OFENSA AO ART. 5º, XII,
DA CONSTITUIÇÃO FEDERAL. INOCORRÊNCIA. DECISÃO FUNDAMENTADA QUE NÃO SE
SUBORDINA AOS DITAMES DA LEI 9296/96. ACESSO AO CONTEÚDO DE MENSAGENS
ARQUIVADAS NO APARELHO. POSSIBILIDADE. LICITUDE DA PROVA. RECURSO DESPROVIDO.
I - A obtenção do conteúdo de conversas e mensagens armazenadas em aparelho de telefone celular ou
smartphones não se subordina aos ditames da Lei 9296/96. II - O acesso ao conteúdo armazenado em
telefone celular ou smartphone, quando determinada judicialmente a busca e apreensão destes aparelhos,
não ofende o art. 5º, inciso XII, da Constituição da República, porquanto o sigilo a que se refere o aludido
preceito constitucional é em relação à interceptação telefônica ou telemática propriamente dita, ou seja, é da
comunicação de dados, e não dos dados em si mesmos. III - Não há nulidade quando a decisão que determina
a busca e apreensão está suficientemente fundamentada, como ocorre na espécie. IV - Na pressuposição da
ordem de apreensão de aparelho celular ou smartphone está o acesso aos dados que neles estejam
armazenados, sob pena de a busca e apreensão resultar em medida írrita, dado que o aparelho desprovido de
conteúdo simplesmente não ostenta virtualidade de ser utilizado como prova criminal. V - Hipótese em que,
demais disso, a decisão judicial expressamente determinou o acesso aos dados armazenados nos aparelhos
eventualmente apreendidos, robustecendo o alvitre quanto à licitude da prova. Recurso desprovido. (RHC n.º
75.800/PR, Rel. Ministro FELIX FISCHER, QUINTA TURMA, julgado em 15/09/2.016, DJe 26/09/2.016)
Quais seriam as balizas para acesso à esses dados? Certamente deve tutelar os valores
presentes na CF.

Legislação aplicada a dados armazenados no exterior. Art. 11 do Marco Civil da Internet.

Mecanismos de cooperação internacional. ADC n.º 51.

Criptografia de ponta a ponta. A partir do momento em que se popularizou, as

comunicações ficaram mais seguras, mais protegidas, porém cria barreiras para a ação das
autoridades. Criptografia do WhatsApp, por exemplo. É lícito essa criptografia? STF:
ADPF n.º 403. Proporcionalidade do bloqueio do aplicativo de mensagem. ADI n.º 5.527:
constitucionalidade dos incisos III e IV do art. 12 do Marco Civil. Internet lab:
https://internetlab.org.br/en/projetos/bloqueios-info/

Apreensão dos dispositivos. Se a criptografia impediu o acesso aos dados durante o fluxo,
conseguindo o dispositivo, haveria acesso fácil ao conteúdo. Pesquisa:
https://internetlab.org.br/pt/itens-semanario/privacidade-acesso-a-dados-em-celulares-apree
ndidos-no-local-do-crime-nao-depende-de-autorizacao-judicial-defende-pgr/
NORMATIVOS DE SEGURANÇA
DA INFORMAÇÃO:
 Sociedade Digital;

 Desafios;

 O que é a Segurança da Informação (trata-se de todos os dados que são importante para uma empresa, não
somente os dados pessoais);

 Proteção Técnica X Proteção Jurídica;

 Estrutura Normativa;

 Política de Segurança da Informação;

 Principais Temas;

 Mudança de Cultura.
Segurança cibernética está dentro da segurança da informação, pois trata-se
de dados digitalizados.

Vivemos na era em que tudo migrou para Internet...

Dinheiro no banco, criptomoedas... Compras são feitas online. Hoje temos

lojas apenas para mostrar produtos. A comunicação é feita por aplicativo de
mensagem, quase ninguém liga. Os riscos também estão na internet.

Casos diversos sobre dados, envolvendo também ransomware:

Onda de ciberataques atinge órgãos e empresas em ao menos 74 países
Disponível em
https://www1.folha.uol.com.br/mundo/2017/05/1883408-mega-ciberataque-derruba-sistemas-de-comunicacao-ao-red
or-do-mundo.shtml

Ataque a computadores tira páginas do governo federal do ar

Disponível em
https://www.jornaldocomercio.com/_conteudo/2017/05/economia/562384-ataque-a-computadores-tira-paginas-do-go
verno-federal-do-ar.html

Cerca de 3 mil consultas e exames foram cancelados e 350 pacientes deixaram de realizar tratamento de
radioterapia nesta terça-feira (27) depois que o sistema do Hospital de Câncer de Barretos (SP) foi invadido
por hackers.
Disponível em
https://g1.globo.com/sp/ribeirao-preto-franca/noticia/ataque-de-hackers-suspende-3-mil-consultas-e-exames-nas-unid
ades-do-hospital-de-cancer-de-barretos-sp.ghtml

Netshoes ligará para 2 milhões de clientes afetados por vazamento de dados

Disponível em
https://g1.globo.com/df/distrito-federal/noticia/netshoes-ligara-para-2-milhoes-de-clientes-afetados-por-vazamento-de
-dados.ghtml
Banco Inter vazou dados de quase 20 mil clientes, diz investigação do MP. Instituição financeira pode
ser condenada a pagar R$ 10 milhões por não proteger informações de correntistas
Disponível em https://tecnoblog.net/noticias/2018/07/31/banco-inter-vazou-dados-correntistas-acao-mp/
De novo! Banco Inter deixou dados de 1,45 milhão de clientes expostos
Disponível em
https://www.tudocelular.com/seguranca/noticias/n138074/banco-inter-vazamento-dados.html
Ações da Equifax após roubo de dados de 143 milhões de norte-americanos
Disponível em https://www.reuters.com/article/tech-equifax-vazamento-idBRKCN1BJ1W5-OBRIN
Microsoft fecha a compra do Linkedin por US$ 26,2 bilhões
Disponível em
https://epocanegocios.globo.com/Empresa/noticia/2016/12/microsoft-fecha-compra-do-linkedin-por-us-2
62-bilhoes.html

Empresa de bitcoin é acusada de vazamento de dados; Atlas Quantum diz que clientes não tiveram perda.
Segundo promotores, empresa que negocia moedas digitais, as chamadas criptomoeadas, permitiu que
informações de 264 mil clientes fossem divulgadas.
Disponível em
https://g1.globo.com/df/distrito-federal/noticia/2019/04/26/empresa-de-bitcoin-e-acusada-de-vazamento-
de-dados-mp-cobra-r-10-milhoes-em-indenizacao.ghtml
 A Microsoft, ao adquirir a Linkedin, em 2.016, pagou 26 bilhões de
dólares por um cadastro de 430 milhões de usuários e 100 milhões de
visitantes por mês. O valor desembolsado representa U$ 60 dólares por
usuário ou 260 dólares por visitante mensal.

 Dados de 2.016 apontaram que o Facebook possuía 1 bilhão de usuários

ativos diários (e 1,6 bilhão mensais), faturava mais de 5 bilhões por trimestre
(Facebook, 2.016). Assim, cada usuário ativo diário que se utiliza do
aplicativo, quer seja postando ou curtindo conteúdos, representava 20 dólares
de faturamento anual para a empresa.
REPORTS WORLDWIDE. Os crimes digitais em números

 A cada 40 segundos uma empresa é vítima de um ataque de Ransomware

 Segundo o FBI, anualmente são gastos aproximadamente US$ 1 bilhão com resgates nestes
ataques

 Calcula-se que os danos causados pelos ataques ultrapassaram os US$ 5 bilhões em 2017

 Mais de 90% dos casos de invasões bem sucedidas e vazamentos de dados estão relacionadas ao
phishing;

 Planos de respostas a incidentes e treinamentos dos funcionários sobre como reconhecer e reagir
ao phishing são os melhores ROIs em segurança digital para empresas em todo o mundo
“Você pode investir uma fortuna comprando tecnologia e serviços, e a
infraestrutura da sua rede continuará vulnerável à manipulação da mais
obsoleta.” Kevin Mitnick, Hacker e atual consultor da KnowBe4, sobre a
vulnerabilidade de rede perante à engenharia social. Fonte: Veja, 21 fev. 2018.

Relatório McAfee:
https://www.mcafee.com/enterprise/en-us/solutions/lp/economics-cybercrime.html

Herjavec Group:
https://www.herjavecgroup.com/2021-healthcare-cybersecurity-report-cybersecurity-ve
ntures/
Brasil perde US$ 10 bilhões por ano com cibercrime, diz McAfee
Disponível em
https://veja.abril.com.br/economia/brasil-perde-us-10-bilhoes-por-ano-com-cibercri
me-diz-mcafee/
SEGURANÇA DA
INFORMAÇÃO
Segurança da Informação: ABNT NBR ISO/IEC 27002:2013. Trata-se de
uma norma que coleta uma série de processos, procedimentos e informações
para que a empresa implemente um sistema de gestão da informação. Trata-
se de ISO relacionado à segurança da informação.

Conceito: segurança da informação é a proteção da informação de vários

tipos de ameaças para garantir a continuidade do negócio, minimizar o
risco ao negócio, maximizar o retorno sobre os investimentos e as
oportunidades de negócio.
5 pilares SI:

Confidencialidade: os dados devem alcançar somente os destinatários desejados pelo

proprietário;

Integridade: os dados não devem sofrer modificação indesejada;

Disponibilidade: os dados devem estar acessíveis; importância do backup;

Autenticidade: quem acessou ou inseriu dados é quem se disse ser – não repúdio;

Legalidade: os dados devem ser criados e operados de acordo com os termos da lei
vigente.
Proteção técnica da disponibilidade: backup

Proteção jurídica da disponibilidade: contrato - Acordo de Nível de

Serviço

Decreto n.º 6.523/08 – Lei do SAC:

Art. 5.º. O SAC estará disponível, ininterruptamente, durante vinte e quatro

horas por dia e sete dias por semana, ressalvado o disposto em normas
específicas.
Proteção técnica da confidencialidade: Configuração de permissões

Proteção jurídica da confidencialidade: acordos de confidencialidade; cláusulas de

confidencialidade.

Lei n.º 12.527 de 2011 – Lei de Acesso à Informação:

Art. 24. A informação em poder dos órgãos e entidades públicas, observado o seu teor e em
razão de sua imprescindibilidade à segurança da sociedade ou do Estado, poderá ser
classificada como ultrassecreta, secreta ou reservada.

§ 1.º. Os prazos máximos de restrição de acesso à informação, conforme a classificação

prevista no caput, vigoram a partir da data de sua produção e são os seguintes:

I - ultrassecreta: 25 (vinte e cinco) anos;

II - secreta: 15 (quinze) anos; e

III - reservada: 5 (cinco) anos.

Proteção técnica da integridade: Função Hash

Proteção jurídica da integridade: Ata Notarial

Proteção jurídica da autenticidade: Utilização de certificados, Nome de usuário e digitais senha

Proteção técnica da autenticidade: Proteger o sigilo do fator de autenticação; não contar senhas
ou emprestar certificados digitais

Medida Provisória n.º 2.200-2 de 2001

Art. 10. Consideram-se documentos públicos ou particulares, para todos os fins legais, os
documentos eletrônicos de que trata esta Medida Provisória.

§ 1.º. As declarações constantes dos documentos em forma eletrônica produzidos com a utilização
de processo de certificação disponibilizado pela ICP-Brasil presumem-se verdadeiros em relação
aos signatários, na forma do art. 131 da Lei no 3.071, de 1o de janeiro de 1916 -Código Civil.
(atual art. 219)

§ 2.º. O disposto nesta Medida Provisória não obsta a utilização de outro meio de comprovação
da autoria e integridade de documentos em forma eletrônica, inclusive os que utilizem certificados
não emitidos pela ICP-Brasil, desde que admitido pelas partes como válido ou aceito pela pessoa
a quem for oposto o documento.
Algumas Definições de Segurança da Informação

Vulnerabilidade de segurança: uma fraqueza em um ativo ou controle que

pode ser explorada por uma ou mais ameaças. Ex.:

 Hardware (manutenção insuficiente);

 Software (sem registro de logs; interfaces complicadas);

 Rede (Ausência de transferências criptografadas);

 Pessoal (falta de treinamento e de supervisão);

 Instalações (sistemas elétricos instáveis; susceptibilidade a enchentes);

 Estrutura organizacional (falta de segregação de função).

Conceito de Ameaça: Causa potencial de um incidente indesejável que
possa resultar em prejuízo a um sistema ou organização. Exemplos:

 Danos físicos (fogo);

 Desastres naturais (terremoto);

 Perda de serviço essencial (“apagão”);

 Queda causada por radiação (radiação eletromagnética);

 Comprometimento da informação (furto de documentos);

 Falha técnica (sobrecarga da rede);

 Ação não autorizada (uso de software “pirata”).

Vulnerabilidade e Ameaça: A simples presença de uma vulnerabilidade não
produz dano – uma ameaça precisa explorar essa vulnerabilidade para que ele
ocorra.

A segurança da informação envolve dados de todos os tipos:

 Impressos e escritos à mão

 Gravados usando suporte técnico

 Transmitidos por e-mail ou eletronicamente

 Incluídos em um website

 Mostrados em um vídeo corporativo

 Mencionados em conversas, etc.

Segurança da Informação: É o conjunto de medidas preventivas, detectivas,
repressivas e corretivas, bem como procedimentos e processos que asseguram a
disponibilidade, integridade, confidencialidade, autenticidade e legalidade de
todas as formas de informação e durante todo o ciclo de vida do dado. E deve
ser implementada em 3 níveis:

 TÉCNICO (ferramentas)

 JURÍDICO (documentação)

 COMPORTAMENTAL (conscientização)
É necessário considerar as seguintes ameaças:

 Sequestro de dados

 Corporativo e Pesssoal

 Hackers

 Wi-fi

 Mobilidade

 Vírus
Implementação da Segurança da Informação:

 Política de Segurança da Informação, Normas e Procedimentos

relacionados;

 Termos de Responsabilidade e Cláusulas contratuais (colaboradores e

prestadores de serviços)

 Programas de treinamento em segurança da informação

 Controles e monitoramento em recursos tecnológicos e sistemas de

informação

 Gestão de incidentes

 Medidas Disciplinares
ESSAS NORMATIVAS SÃO
VÁLIDAS?
Aspectos da legislação trabalhista

 A previsão contratual

Art. 444 da CLT: As relações contratuais de trabalho podem ser objeto de

livre estipulação das partes interessadas em tudo quanto não contravenha às
disposições de proteção ao trabalho, aos contratos coletivos que lhes sejam
aplicáveis e às decisões das autoridades competentes.
Jurisprudência – Justa Causa

“Cláusula de confidencialidade. Incorre nas hipóteses de justa dispensa o

empregado que conscientemente transgride cláusula contratual que impede a
retirada de documentos do âmbito da empresa sem expressa autorização,
colocando em risco o sistema de segurança adotado. (..) o reclamante
transgrediu o regulamento interno da empresa ao remeter para seu endereço
eletrônico particular arquivos contendo o desenvolvimento de projetos de
propriedade da demandada, sem autorização.” (TRT02, RO, acordão nº.
20090369100, Rel. Ana Maria C.B. Silva, Julgado em 12/05/2.009)
 INDICADORES DA POLÍTICA (OU
NORMAS) DE SEGURANÇA DA
INFORMAÇÃO:
N.º Indicadores Fonte
1 Prover diretrizes e suporte para a segurança da informação ISO 27002 -5.1
2 A PSI deve ser suportada e apoiada pela alta direção ISO 27002 -5.1.1
3 Interpretação restritiva da PSI ISO 27002 -5.1 e 18.2.1
4 Definir segurança da informação ISO 27002 -5.1.1
5 Dever de cumprir com o Código de Ética e proibição de toda forma de corrupção, fraude, ISO 27002 17.1 e Lei nº 12.846
suborno, favorecimento, extorsão, benefícios e vantagens, nos termos da Lei n. 12.846 –
  Lei de Anticorrupção  
6 Propriedade da informação e dos recursos tecnológicos é da Empresa ISO 27002 -8.1.2
 
7 Obrigatoriedade do uso dos recursos tecnológicos para finalidade estritamente profissional ISO 27002 -8.1.3

8 Dever de proteção dos ativos intangíveis da Empresa ISO 27002 -8.1.2 + artigo 209 e
artigo 195 da Lei 9.279/96
 
9 Dever de cumprir com sigilo profissional Artigo 153, Código Penal e artigo
195 da Lei 9.279/96
 
10 Dever de classificação da informação ISO 27002 8.2
11 Dever de cumprir com o nível de segurança exigido pela classificação ISO 27002 8.2.1
12 Dever de armazenamento das informações na rede ISO 27002 -13.2 e 13.2.4
13 Previsão de uso de controles criptográficos ISO 27002 -10.1
14 Inventário dos recursos ISO 27002 -8.1.1
15 Proteção da identidade digital ISO 27002 -9.3.1 + artigo 5º,
IV, da Constituição Federal
 

16 Uso de softwares e hardwares legítimos, previamente homologados ou ISO 27002 -12.6.2 + Artigo
autorizados 184, do Código Penal + Lei
9.609 (Lei de Software)
 

17 Uso de conteúdos legais e legítimos, sempre com a devida citação de fonte e ISO 27002 -18.1.2, Artigos 46
autoria ao 48 da Lei nº 9.610, Lei nº
9.279 + artigo 184, do Código
 
Penal
18 Obrigatoriedade de uso de recursos de segurança (antivírus, antispyware, ISO 27002 -12.2
criptografia ou similar e firewall) e de mantê-los sempre ativos e atualizados
   
19 Proibição de conteúdos pessoais, pornográficos, antiéticos, ilícitos ou não Art. 482, CLT
condizentes com ambiente de trabalho
20 Acesso à rede institucional somente por funcionários e pessoas prévia e ISO 27002 -6.2.1 e 13.1.3
expressamente autorizadas
21 Dever de mesa limpa ISO 27002 11.2.9
22 Dever de tela limpa e de bloqueio do recurso ao se ausentar ISO 27002 11.2.9
23 Obrigatoriedade de redação com linguagem adequada, evitando excesso de Artigo 483, CLT
intimidade e palavras no diminutivo
24 Dever uso de dispositivo móvel de maneira ética e segura ISO 27002 6.2.1; 6.2.2; 13.2.3;
13.2
 
25 Dever de geração de backup ISO 27002 -12.3 e 12.3.1
26 Dever de portar sempre a menor quantidade possível de dados pelo menor tempo em ISO 27002 8.3.3; 11.2.9
dispositivos móveis.
27 Aviso que o mero acesso ao recurso e/ou à informação pode ocorrer de forma remota ISO 27002 6.2.2 + Artigo 6º, da
e a qualquer horário e, por si só, não configura sobrejornada nem hora extra. CLT + Súmula 428 TST
 
28 Orientação sobre postura em Mídias Sociais, a exemplo do uso da marca e assuntos Artigo 153, CP + artigo 195 da
profissionais. Lei 9.279/96 + artigo 927, do
Código Civil + artigo 5º, X, da
 
Constituição Federal

29 Proibição de uso de qualquer plataforma de armazenamento de dados na nuvem ou de ISO 27002 -13.2
Internet, a exemplo de Google Drive, SkyDrive e Dropbox para o upload de conteúdo
da Empresa sem autorização.
30 Requisitos para uso dos aplicativos de comunicação Artigo 154, Código Penal +
artigo 195 da Lei 9.279/96 +
Jurisprudência
31 Proibição de coleta de fotos e imagens, gravação de áudios e vídeos no perímetro Artigo 482, CLT + artigo 5º,
físico da Empresa, bem como de seu compartilhamento X, da Constituição Federal
 
32 Cuidados com engenharia social ISO 27002 -9.4.1 e 9.4.2
33 Prevenir o vício ou dependência tecnológica ISO 27002 17.1
+ Jurisprudência
34 Vedação para envio de conteúdo da Empresa para endereço eletrônico particular ou de ISO 27002 -13.2; 13.2.3; 10.1;
terceiro não autorizado 10.1.1
35 Dever observar exigências de segurança da informação nos processos de seleção de ISO 27002 -7.1.1 e 7.1.2
funcionários e contratação de terceiros

36 Dever de uso de cláusulas de confidencialidade e assinatura de termos/acordos de ISO 27002 -13.2.4, Artigo 153,
confidencialidade pelos terceirizados Código Penal e artigo 195 da
 
Lei 9.279/96 + artigo 927, do
 
Código Civil

37 Dever de uso de cláusulas de segurança da informação em contratos de trabalho ISO 27002 -7.1.2; 13.2.4;
18.1.2; 18.1.4; 8; 7.2.3 + artigo
 
927, do Código Civil
38 Responsabilidades contidas nos termos e condições de contratação continuem por ISO 27002 -7.1.2 e 7.3
tempo indefinido após o término da contratação, inclusive de terceiros
 

39 Dever de descarte seguro de mídias e informações ISO 27002 8.3.2

40 Previsão de processos para lidar com exceções e permissões ISO 27002 9.2.2 e 5.1.1
41 Dever de proteção dos ambientes físicos contra acesso não autorizado e dos ISO 27002 -11.1.2 e 11.2 +
Recursos de TIC físicos contra adulteração. artigo 5º, XXII, da
Constituição Federal
 
42 Prever a formalização de todas as decisões críticas ISO 27002 -8.2.2 e 13.2
43 Avaliação de segurança no processo de aquisição, desenvolvimento e manutenção ISO 27002 14
de sistemas e recursos de TIC
 
44 Gestão de capacidade dos recursos de TIC visando garantir a sua disponibilidade e ISO 27002 -12.1.3
o seu desempenho
 
45 Gestão de mudanças visando garantir a disponibilidade, integridade e a ISO 27002 -12.1.2
confidencialidade das informações
 
46 Obrigatoriedade de identificar vulnerabilidades ISO 27002 -12.6
47 Procedimento para remoção de ativos ISO 27002 -11.2.5; 8.1 e 8.1.3

48 Obrigação de formação e atuação do Comitê de Segurança da Informação ISO 27002 -6 + ISO 27001 5.3

49 Publicidade da política e de suas atualizações/alterações ISO 27002 5.1.1, 7.2 e ISO

27.001 -5.2

50 Atualização periódica dos documentos de Segurança da Informação, em intervalo ISO 27002 5.1.2 + atualizações
não superior a 2 anos constantes da legislação
brasileira
51 Dever de educação e conscientização dos funcionários ISO 27002 17.1 + Artigo 482, da CLT
 
52 Responsabilidade do gestor sobre os recursos e postura de sua equipe ISO 27002 17.1 e 18.2.2 + Artigo 932,
III, da Constituição Federal
 
53 Dever do colaborador se manter sempre atualizado e ciente das normas da Empresa ISO 27002 7.2.2 b + artigo 482, da CLT

54 Aviso claro e objetivo de monitoramento irrestrito, alcançando também dispositivos ISO 27002 -12.4.1 + Constituição
particulares que acessam o perímetro físico e lógico da Empresa Federal, artigo 5º, inc. IV, X, XII,
 
XXVIII, XIX e XXXV + artigos. 21 a
 
23 do Código Civil e Lei de
Interceptação + jurisprudência
55 Aviso claro e objetivo da inspeção física dos dispositivos, de acordo com os princípios ISO 27002 -12.4.1 + Constituição
da razoabilidade e da proporcionalidade Federal, artigo 5º, inc. IV, X, XII,
 
XXVIII, XIX e XXXV + artigos. 21 a
 
23 do Código Civil e Lei de
Interceptação + jurisprudência
56 Previsão de violações e sanções, estabelecendo bases para um processo disciplinar ISO 27002 7.2.3 + artigo 2º, 474 e 482,
da CLT
 
57 Aviso de que a tentativa de burlar será considerada também infração ISO 27002 7.2.3
58 Dever de denuncia imediata em caso de incidente para a área competente ISO 27002 16.1.2

59 Informação de que a Empresa colabora com as autoridades ISO 27002 6.1.3

60 Os investimentos em segurança da informação devem ser estudados e deliberados ISO 27002 6.1.1 e boas práticas
61 Interpretação sob a égide das leis brasileiras ISO 27001 -5.1 + artigo
11 do Marco Civil

62 Definição de papéis e responsabilidades ISO 27001 -5.3

63 Glossário de Termos técnicos ABNT -14724/2005,
10520/2002 e
 
6023/2002
Principais Normativos de Segurança da Informação:
 Política de Segurança da Informação
 Norma de Uso dos Recursos de Tecnologia da Informação e Comunicação (contendo:
correio eletrônico, dispositivo móvel, mesa limpa e tela limpa, internet, cuidados com a
senha, etc);
 Norma para Mídias Sociais e Aplicativos de Comunicação Instantânea;
 Norma de Backup
 Norma de Classificação da Informação
 Norma de Dispositivos Móveis Particulares
 Norma de Teletrabalho
 Norma de Acesso Remoto
 Norma de Gestão de Identidade e Controle de Acesso
 Norma de Gestão de Incidentes de SI
 Procedimento para desenvolvimento, aquisição e manutenção de software
 Procedimento para coleta e aquisição de evidência
 Termos de Responsabilidade
 Acordo de Confidencialidade
 Termo de Uso do Wi-Fi
Alguns temas interessantes:

Monitoramento. A empresa pode monitorar? O ordenamento jurídico

brasileiro, em tese, proíbe o monitoramento, excetuando-se os casos de:

 Prévia ciência

 Ordem judicial

É importante analisar cada caso e aplicar um tratamento específico:

 Monitoramento de Ambiente (câmeras)

 Monitoramento de Conteúdos

O monitoramento deve atender a sua finalidade, sendo utilizado sempre em

conformidade com a boa-fé e o respeito contratual, não podendo envolver
situações vexatória, abusiva, violações à intimidade dos colaboradores.
Turma condena fábrica de refrigerantes a indenizar empregado em R$ 15 mil por
câmera na porta de vestiário
Disponível em
https://www.tst.jus.br/-/turma-condena-fabrica-de-refrigerantes-a-indenizar-emprega
do-em-r-15-mil-por-camera-na-porta-de-vestiario
Trocar pornografia por e-mail corporativo justifica demissão, diz TRT-2
Disponível em:
http://www.conjur.com.br/2015-jul-03/trocar-pornografia-mail-corporativo-justifica-
demissao
JUSTA CAUSA OBREIRA. E-MAIL CORPORATIVO. DESVIRTUAMENTO. QUEBRA
DE DEVER CONTRATUAL DE CONDUTA. Constitui falta grave o uso indevido do e-
mail corporativo para fins ilícitos, conduta que caracteriza quebra de um dever contratual,
vez que tal instrumento ostenta a natureza jurídica de ferramenta do trabalho, fornecida
pelo empregador, devendo ser usada de maneira adequada, de modo a não ferir a imagem
do empreendimento. Qualquer postura contrária no sentido de malferir o objetivo proposto
nas normas internas do empreendimento constitui falta grave. Recurso conhecido e não
provido. (TRT-16 1227200701616005 MA 01227-2007-016-16-00-5, Relator: LUIZ
COSMO DA SILVA JÚNIOR, Data de Julgamento: 18/03/2010, Data de Publicação:
10/05/2.010)

 
DISPENSA POR JUSTA CAUSA. MAU PROCEDIMENTO. USO
INDEVIDO DO CORREIO ELETRÔNICO CORPORATIVO.
Demonstrado que a autora utilizava o correio eletrônico corporativo para
travar diálogos íntimos com o diretor da empresa, resta caracterizada a justa
causa por mau procedimento tendo em vista que o serviço de 'e-mail'
corporativo é ferramenta fornecida para uso estritamente profissional. (TRT-
3 -RO: 02198201103203005 0002198-22.2011.5.03.0032, Relator: Luiz
Ronan Neves Koury, Segunda Turma, Data de Publicação: 30/05/2012
29/05/2.012. DEJT. Página 106. Boletim: Sim.)
ACÓRDÃO. DA JUSTA CAUSA. CONFIGURAÇÃO. A falta grave
cometida pelo autor, em razão de má conduta, porquanto agiu de forma
contrária às regras estabelecidas na recorrida (envio de e-mail corporativo
de conteúdo pornográfico) (...). Correto o pronunciamento do Juiz
originário, que reconheceu a justa causa para a ruptura do pacto laboral.
(PROCESSO Nº TST-AIRR-4269-57.2010.5.02.0000. Ministro Relator
ALBERTO LUIZ BRESCIANI DE FONTAN PEREIRA. Mantenho.
Brasília, 16 de março de 2.011)
Os documentos de Segurança da Informação devem contar com
cláusulas informando que há o monitoramento, além de treinamentos e
avisos legais.

Como lidar com a mobilidade?

 A onda de consumerização e mobilidade chegou também nas empresas,

permitindo que os colaboradores acessem documentos necessários a
execução dos seus trabalhos, porém, como balancear monitoramento,
segurança e privacidade, tornou-se a grande questão.
Impactos do BYOD – Bring Your Own Device:

 Dificuldade de integração entre os diversos tipos dispositivos e a infraestrutura

tecnológica

 Vazamento de Informação

 Impactos trabalhistas

 Furto, roubo e perda dos dispositivos móveis

 Sigilo

 Riscos à infraestrutura tecnológica

 Acesso não autorizado às informações corporativas

 Dificuldade no controle de jornada – 24x7

Questões Legais – BYOD:

 Privacidade – posso fazer monitoramento e inspeção do equipamento particular?

 Conteúdo – de quem é a responsabilidade se o equipamento particular tiver

conteúdo ilícito?

 Trabalhista – o acesso a informações da empresa 24x7 e o fato de portar o

dispositivo particular também para finalidade de trabalho pode configurar sobre aviso e
hora extra?

 Segurança – de quem é a responsabilidade pela segurança do dispositivo (uso de

softwares antivírus, atualizações, manutenção)?

 Danos – como delimitar a responsabilidade por danos causados como perda,

extravio, deterioração do dispositivo?

 Custos – Relacionado ao uso (ligações/dados)

EM QUE MOMENTO HÁ A
EXPECTATIVA DE
PRIVACIDADE?
Dispositivo Móvel Corporativo Dispositivo Móvel Particular
 Não há expectativa de  Há expectativa de privacidade;
privacidade;  É indispensável a
 Basta ciência das Políticas e concordância prévia para
Normativos em vigor da monitoramento e inspeção para
empresa; mitigação da expectativa;
 Uso obrigatório para  Uso facultativo.
cumprimento das funções
profissionais.
Monitoramento ou inspeção de dispositivos pessoais: O dispositivo pessoal
possui expectativa de privacidade que somente pode ser mitigada com sua
permissão e concordância expressa com as regras vigentes para monitoramento e
inspeção (por Termo específico e norma de BYOD) ou por Ordem Judicial. O
resultado dessa inspeção deve ser sigiloso, sob pena de danos à privacidade do
colaborador. Provas que forem produzidas não respeitando as garantias de Provas
que forem produzidas não respeitando as garantias de privacidade serão
inadmissíveis e imprestáveis aos processos.

CF, art. 5.º. (...)

LVI - são inadmissíveis, no processo, as provas obtidas por meios ilícitos;

CPC, art. 369. As partes têm o direito de empregar todos os meios legais, bem
como os moralmente legítimos, ainda que não especificados neste Código, para
provar a verdade dos fatos em que se funda o pedido ou a defesa e influir
eficazmente na convicção do juiz.
Teletrabalho: trabalho fora do escritório
de uma empresa, geralmente em casa, com
ou sem vínculo empregatício, havendo
comunicação coma a firma pela internet ou
por telefone. Atualmente o teletrabalho é
uma prática habitual em qualquer parte do
mundo.
CLT - DO TELETRABALHO
Art. 75-A. A prestação de serviços pelo empregado em regime de teletrabalho observará o disposto neste Capítulo.
Art. 75-B. Considera-se teletrabalho a prestação de serviços preponderantemente fora das dependências do empregador, com a utilização de
tecnologias de informação e de comunicação que, por sua natureza, não se constituam como trabalho externo.
Parágrafo único. O comparecimento às dependências do empregador para a realização de atividades específicas que exijam a presença do
empregado no estabelecimento não descaracteriza o regime de teletrabalho.
Art. 75-C. A prestação de serviços na modalidade de teletrabalho deverá constar expressamente do contrato individual de trabalho, que
especificará as atividades que serão realizadas pelo empregado.
§ 1.º. Poderá ser realizada a alteração entre regime presencial e de teletrabalho desde que haja mútuo acordo entre as partes, registrado em
aditivo contratual.
§ 2.º. Poderá ser realizada a alteração do regime de teletrabalho para o presencial por determinação do empregador, garantido prazo de transição
mínimo de quinze dias, com correspondente registro em aditivo contratual.
Art. 75-D. As disposições relativas à responsabilidade pela aquisição, manutenção ou fornecimento dos equipamentos tecnológicos e da
infraestrutura necessária e adequada à prestação do trabalho remoto, bem como ao reembolso de despesas arcadas pelo empregado, serão
previstas em contrato escrito.
Parágrafo único. As utilidades mencionadas no caput deste artigo não integram a remuneração do empregado.
Art. 75-E. O empregador deverá instruir os empregados, de maneira expressa e ostensiva, quanto às precauções a tomar a fim de evitar doenças e
acidentes de trabalho.
Parágrafo único. O empregado deverá assinar termo de responsabilidade comprometendo-se a seguir as instruções fornecidas pelo empregador.
O teletrabalhador foi excluído do sistema celetista da duração do trabalho – ou seja: o
teletrabalhador NÃO possui direito à limitação da duração máxima de 8 horas diárias e 44 horas
semanais.

CLT, art. 62. Não são abrangidos pelo regime previsto neste capítulo:

I - os empregados que exercem atividade externa incompatível com a fixação de horário de

trabalho, devendo tal condição ser anotada na Carteira de Trabalho e Previdência Social e no
registro de empregados;

II - os gerentes, assim considerados os exercentes de cargos de gestão, aos quais se equiparam,

para efeito do disposto neste artigo, os diretores e chefes de departamento ou filial.

III - os empregados em regime de teletrabalho.

Parágrafo único. O regime previsto neste capítulo será aplicável aos empregados mencionados no
inciso II deste artigo, quando o salário do cargo de confiança, compreendendo a gratificação de
função, se houver, for inferior ao valor do respectivo salário efetivo acrescido de 40% (quarenta
por cento).
Logo, se o empregado, embora em regime de teletrabalho, estiver ao controle de horário de trabalho, como, por exemplo, por
meio de sistemas de log in e log off no sistema, vigilância por câmeras ou qualquer outro meio de comando e fiscalização,
surgirá o direito ao pagamento de horas extras, como, a propósito, sucede com as demais hipóteses do art. 62 da CLT. Nesses
casos, vale registrar, caberá ao empregado o ônus da prova quanto ao controle de horário. Decisões - Teletrabalho:

SOBREAVISO - NÃO RECONHECIDO: Prevê o artigo 244 parágrafo 2º da CLT o pagamento de sobreaviso àqueles que
permanecessem aguardando em casa o chamado da empresa. Com a telefonia móvel, fixa e todos os outros meios de
comunicação, o empregado pode ser encontrado a qualquer tempo, em qualquer lugar, independente deste estar ou não em
sua casa, podendo ou não estar quer seja no convívio com sua família em momento de lazer ou mesmo laborando para outro
empregador ou dispondo de seu tempo como melhor lhe aprouver. Entendo " data máxima vênia" que à exceção da internet
por meio de programas de comunicação tal como "vídeo conferência" ou "messenger", qualquer outro meio de comunicação
para fins de caracterização de "horas de sobreaviso" é imprestável, eis que nenhum deles efetivamente cerceia ou é fator
impeditivo da liberdade de locomoção prevista pelo artigo 244 da CLT. TRT-2 RO PROCESSO Nº: 00441-2002-040-02-00-
0 ANO: 2006 RELATOR(A): LILIAN LYGIA ORTEGA MAZZEU TURMA: 8ª DATA DE PUBLICAÇÃO: 13/02/2007

REGIME DE SOBREAVISO. USO DE TELEFONE CELULAR. LIBERDADE DE LOCOMOÇÃO PRESERVADA.

NÃO CABIMENTO. O simples uso de aparelhos eletrônicos de comunicação pelo empregado, por si só, não caracteriza o
regime de sobreaviso. In casu, não houve prova robusta de que o reclamante estivesse sujeito a alguma forma de restrição
em sua liberdade de locomoção ou de descanso, de modo a caracterizar o regime de sobreaviso de que trata a Súmula nº
428, do C. TST. Recurso ordinário da reclamada ao qual é dado provimento no particular. PROCESSO TRT/SP Nº
0000623-76.2014.5.02.0201, 10.08.2017.
Qual a melhor forma de garantir o equilíbrio?

 Normas que respeitem a ética, proporcionalidade, utilidade, dignidade e

honra;

 Implementar assinaturas de termos de responsabilidade;

 Treinar os colaboradores no uso dos dispositivos móveis, acesso remoto,

teletrabalho, etc.

 O que não for permitido, expressamente proibir;

 Controles que não invadam a privacidade e a intimidade;

 Caso necessário, prever os regimes de exceção e quem irá tomar a decisão

apropriada (comitê, líder, gestor) e evitar que eles surjam sem a devida cautela.
APLICATIVOS DE
COMUNICAÇÃO
INSTANTÂNEA:
Uso do Whatsapp no trabalho pode dar demissão; veja regras e riscos. Disponível em
https://g1.globo.com/concursos-e-emprego/noticia/2015/08/uso-do-whatsapp-no-trabalho-pode-dar-d
emissao-veja-regras-e-riscos.html

Alegou a primeira reclamada que o reclamante apresentou conduta antiprofissional,

imprópria, praticou atos de racismo, bem como ameaçou o sócio da empresa, tudo
devidamente registrado através de conversas do autor com outros funcionários através do
Whatsapp. No caso dos autos, a justa causa aplicada ao autor teve por fundamento o artigo
482, a, da CLT - ato de improbidade. Conforme comunicação (doc. n° 05 do volume de
documentos da primeira reclamada), a dispensa se deu pelo fato de que o reclamante teria
ameaçado a integridade do sócio da primeira reclamada, conforme informação obtida
através de conversas escritas entre funcionários da empresa com teor ameaçador. (TRT 2,
Relator: REGINA CELI VIEIRA FERRO, Data de Julgamento: 14/04/2015, 10ª TURMA)
Aduz que esta baseou-se no fato de que teria desacatado seus superiores e utilizado ferramentas de
uso profissional (Skype e Facebook), de forma particular, contrariando o regimento interno da
empregadora. No entanto, ressalta que a prova testemunhai demonstrou que essas ferramentas eram
corriqueiramente utilizadas para tratar de assuntos pessoais pelos demais empregados, havendo
tolerância da empresa. Diante dos elementos retroconsignados não há como acolher-se o pleito de
convolação da demissão por justa causa para demissão sem justa causa, posto que o reclamante
praticou atos que efetivamente autorizam demissão por falta grave, nos termos do artigo 482, alínea
"b", da CLT. (TRT-12, RO 7023820145120052, Relator: Fernando Antonio Zorzenon da Silva, Data
de Julgamento: 27/08/2015, Quinta Câmara)
No curso da sobredita investigação, informa ainda o Réu, que fora apurada a existência de um grupo
denominado macete zapzap, criado na rede social Whatsapp, formado por alguns empregados,
inclusive o Autor, através do qual organizaram, nas palavras do Demandado, uma espécie de rebelião,
planejando uma falta coletiva para o dia 04/06/2014. Buscaram, assim, atendimento junto a uma
clínica conveniada ao SUS, objetivando garantir atestados médicos que respaldassem suas faltas.
Assim, de fato, comprovado está nos autos o cometimento pelo Reclamante da falta grave, que
justificou o rompimento do contrato de trabalho por justa causa. Salvador, 10 de março de 2015.
(TRT-5 -Recurso Ordinário: ROPS 00008206520145050195 BA 000082065.2014.5.05.0195)
Quais os principais incidentes envolvendo WhatsApp:

 Transmissão indevida de informação/Quebra de confidencialidade;

 Queda de produtividade;

 Má utilização/Ofensas, assédio, humilhações, discriminações em grupos

colaborativos;

 Uso para finalidades particulares;

 Hora Extra / Sobreaviso.

Mídias Sociais – Riscos:

 O compartilhamento indevido de informações da Instituição;

 Comportamentos agressivos e negativos não condizentes com as políticas

da Instituição;

 Excesso de exposição da vida pessoal;

 Crimes digitais (por ex. violações de direitos autorais).

Maioria dos executivos já cometeu gafes virtuais, segundo pesquisa
Disponível em
https://g1.globo.com/economia/noticia/2011/10/maioria-dos-executivos-ja-cometeu-gafes-
virtuais-segundo-pesquisa.html

TRT-15 considera válida demissão por justa causa por ‘curtida’ no Facebook
Disponível em
https://www.conjur.com.br/2015-jun-29/trt-15-considera-valida-justa-causa-curtida-faceb
ook

Demissão por conta de fantasia em festa de firma gera polêmica

Disponível em
https://www.correio24horas.com.br/noticia/nid/demissao-por-conta-de-fantasia-em-festa-d
e-firma-gera-polemica/

Enfermeira é demitida após ser flagrada dançando em hospital na PB

Disponível em
https://g1.globo.com/pb/paraiba/noticia/2015/03/enfermeira-e-demitida-apos-ser-flagrada-
dancando-em-hospital-na-pb.html
Normas Internas devem orientar sobre a publicação:

 Conteúdos, manifestações ou opiniões representando ou que caracterizem uma

posição oficial da Instituição;

 Não publicar Informações confidenciais ou sigilosas;

 Qualquer conteúdo sobre a Instituição, seus clientes, parceiros, fornecedores,

prestadores de serviços e colaboradores, com exceção das informações de
conhecimento público ou assim classificadas;

 Conteúdos audiovisuais, como fotos, imagens, vídeos ou áudios relacionados ao

âmbito interno da Instituição;

 Assuntos profissionais de quaisquer naturezas, a exemplo de rotinas de trabalho,

ramais, lista de fornecedores, dados de clientes, contatos, agenda de compromissos,
horários, viagens, trajetos e projetos.
TERMINOLOGIA DE SEGURANÇA:

Ameaça  Vulnerabilidade  Ativos (probabilidades)  Riscos

 Contramedidas 
CYBER ATTACH CHAIN
Reconhecimento: da área a ser invadida. Ex.: um anúncio de emprego que peça experiência em editores da Apple,
vai acabar revelando que a empresa tem máquinas da Apple. Técnicas de compliance são aplicadas aqui.
Engenharia social também pode ser aplicada nesta fase.
“Waponização”: nesta etapa, há o desenvolvimento de “armas” para o ataque. Ex.: arquivo *.pdf com scripts
maliciosos.
Entrega: da arma. Pode ser por e-mail (phishing) ou outros.
Exploração: nesta fase, os hackers exploram as vulnerabilidades do sistema. Pode criar brechas de segurança ou
explorar brechas que já existem.
Instalação: do malware. O primeiro arquivo apenas explora a vulnerabilidade; agora os malwares vão atacar de
outro modo.
Comando e controle. Finalmente, o hacker desenvolve seu objetivo. O malware configura uma backdoor, brecha
que muitas vezes permanece aberta.
REVENGE HACKING (hack back): trata-se de contra-ataque da empresa aos
hackers que primeiramente atacaram. Pode violar a lei. Honey pot.

Revenge Hacking está atingindo o grande momento

Disponível em https://www.thedailybeast.com/inside-the-shadowy-world-of-revenge-
hackers?ref=scroll

Congresso dos EUA pondera primeira lei de vingança de 'hack back'. E sim, você
pode adivinhar o que vai deixar as pessoas fazerem

Disponível em https://www.theregister.com/2017/10/13/us_hack_back_law/
UNICODE PHISHING: Phishing com nomes de domínio.
Truque Unicode permite que hackers ocultem URLs de phishing

Alguns endereços da web com aparência perfeitamente autêntica não são o que parecem e nem todos os
navegadores estão levando o problema a sério

Aqui está um desafio para você: você clica em um link em seu e-mail e se encontra no site https://аррӏе.com
. Seu navegador mostra o ícone de cadeado verde, confirmando que é uma conexão segura; e diz “Seguro”
ao lado, para maior segurança. E, no entanto, você foi phishing. Você sabe como?

A resposta está nesse URL. Pode parecer que se lê “apple”, mas na verdade é um monte de caracteres
cirílicos: A, Er, Er, Palochka, Ie. O certificado de segurança é real o suficiente, mas tudo o que confirma é
que você tem uma conexão segura com o аррӏе.com – o que não informa se você está conectado a um site
legítimo ou não.
SPEAR PHISHING: quando os hackers tem um
alvo específico.
TEMPORARY PARADIGM: existem e-mails
temporários, números de cartão de crédito
temporários, números de telefones temporários.
Ex.: destructingmessege.com; privacy.com.
DATA SANITIZATION: serviços que limpam dispositivos.

 Bruce Schneier’s Algorithm;

 German VSITR;

 ITSG 06 (Canada);

 Peter Gutmann’s Algorithm;

 Russian GOST P50739-95;

 US Air Force 5020;

 US Army AR380-19;

 US DoD 5220.22-M;

 NSA 130-1 (NSA 130-2 does not specify any overwriting methods for HDDs, and instead
requires degaussing or physical destruction);
METADATA (EXIF, etc): são as propriedades dos arquivos, presentes em
todos os arquivos, principalmente em áudio e vídeo.
DUMPSTER DIVING: o mergulhador no lixo –
pessoas que conseguem mergulhar em dados
descartados e coletam informações. É necessário
sanitizar equipamentos descartados.
DIGITAL ARCHEOLOGY:
remontar o passado com base em
informações em equipamentos
antigos. Utilização de softwares
específicos.
PASSWORD MANAGERS: são formas de
gerenciar senhas. O ideal é ter senhas diferentes,
complexas. Esses app funcionam como um
sistema que guarda as suas senhas e, sendo
protegido com senha, o usuário fica protegido.
Ex.: KeePass, LastPass.
MALWARE SCAN ONLINE: são aplicações
que escaneiam arquivos para saber se eles
possuem scripts maliciosos. Ex.:
www.virustotal.com . Antivirus convencionais
também servem, inclusive para aparelhos
celulares.
 
SANDBOX: “caixa de areia”. Nasceu no exército, e era um local para testes.
Ele cria uma caixa de areia digital e nesse espaço você pode rodar um
navegador de internet, por exemplo. Caso haja algum download de conteúdo
malicioso, fica preso ali. Evidentemente que já existem hackers que tentam
burlar essas sandboxes.
DATA LEAKING: vazamento de informações. Ex.:
Cambridge analytica. As empresas devem usar data
leaking prevention system. São sistemas que são
instalados para evitar esses vazamentos. Alguns
trabalham com tags dentro de arquivos de sistema, e com
isso eles ficam bloqueados para cópias e vão enviar um
alerta de segurança para o sistema.
OSINT: Open Source Intelligence. É a coleta de informações abertas.
Chamada também de cerca eletrônica. Ex.: Shodan, Google hacking. Usando
Inteligência artificial, podemos ter algo próximo a uma polícia preditiva.
SENTIMENT ANALYSIS /
PROFILING: é a coleta de sentimentos
(ex.: curtidas do Facebook) para criar
ofertas direcionadas ou até mesmo um
sistema de crédito social por governos.
SENTIMENT
MANIPULATION: é a
possibilidade de manipulação de
sentimentos por meio das redes
sociais. Cognitive hacking.
ATTENTION ECONOMY: é um
modelo que usa a tecnologia e outras
ciências que vão prender o usuário por
mais tempo possível. Ex.:
gamification.
IOT HACKING: possibilidade de dispositivos
capturar dados e armazená-los.
Sem privacidade: Samsung admite que Smart
TVs podem gravar e transmitir conversas de
usuários Televisores são capazes de gravar as
conversas e transmiti-las para um centro de
armazenamento
STEGANOGRAPHY: trata-se de esconder dados dentro de arquivos.
RANSOMWARE: criptografam informações. A partir de
uma vulnerabilidade no sistema, um hacker pode entrar
no sistema de uma empresa, criptografar arquivos e em
seguida exigir dinheiro como resgate. Nesta situação, é
muito importante ter um backup de todos os seus
arquivos.
GDPR EXTORSION: extorsão baseada na falta de
proteção de dados.
45 normas da família ISO 27000 – Gestão da Segurança da Informação. A família
ISO/IEC 27000 é grande, existem diversas normas relacionadas à SGSI. As mais conhecidas
são:
ISO/IEC 27000 – São informações básicas sobre as normas da série.
ISO/IEC 27001 – Bases para a implementação de um SGSI em uma organização.
ISO/IEC 27002 – Certificação profissional, traz códigos de práticas para profissionais.
ISO/IEC 27003 – Diretrizes mais específicas para implementação do SGSI.
ISO/IEC 27004 – Normas sobre as métricas e relatórios do SGSI.
ISO/IEC 27005 – Diretrizes para o processo de gestão de riscos de segurança da informação.
https://posdigital.pucpr.br/blog/iso-27000
MARCO CIVIL DA INTERNET
Marco Civil da Internet. Como surgiu?

Porque Marco Civil da Internet? Surgiu como uma maneira de oposição à

tendencia de regulação por meio de tipos penais.

Necessidade do MCI. Havia incerteza jurídica sobre:

 responsabilidade sobre conteúdos pelos sites;

 em que medida essas empresas deveriam guardar dados para investigações;

 neutralidade da rede: nenhum provedor deve filtrar o tráfico da rede.

Antes do Marco Civil da Internet:

a) STJ: Resp n.º 1.186.616 – responsabilidade da plataforma pelo

conteúdo fornecido por terceiro. O que deveria ser aplicado? No que diz
respeito ao conteúdo próprio, isso sempre foi tranquilo. Mas, e o conteúdo
postado em plataformas? Um primeiro critério era a responsabilidade
objetiva. Decorrente disso, tivemos, por exemplo, condenação de lan houses
por ilícitos cometidos por meio de sua conexão. Depois, migrou para
subjetiva: necessidade de omissão.
CIVIL E CONSUMIDOR. INTERNET. RELAÇÃO DE CONSUMO. INCIDÊNCIA DO CDC. GRATUIDADE DO SERVIÇO.
INDIFERENÇA. PROVEDOR DE CONTEÚDO. FISCALIZAÇÃO PRÉVIA DO TEOR DAS INFORMAÇÕES POSTADAS NO SITE
PELOS USUÁRIOS. DESNECESSIDADE. MENSAGEM DE CONTEÚDO OFENSIVO. DANO MORAL. RISCO INERENTE AO
NEGÓCIO. INEXISTÊNCIA. CIÊNCIA DA EXISTÊNCIA DE CONTEÚDO ILÍCITO. RETIRADA IMEDIATA DO AR. DEVER.
DISPONIBILIZAÇÃO DE MEIOS PARA IDENTIFICAÇÃO DE CADA USUÁRIO. DEVER. REGISTRO DO NÚMERO DE IP.
SUFICIÊNCIA. 1. A exploração comercial da internet sujeita as relações de consumo daí advindas à Lei nº 8.078/90. 2. O fato de o serviço
prestado pelo provedor de serviço de internet ser gratuito não desvirtua a relação de consumo, pois o termo "mediante remuneração",
contido no art. 3º, § 2º, do CDC, deve ser interpretado de forma ampla, de modo a incluir o ganho indireto do fornecedor. 3. A fiscalização
prévia, pelo provedor de conteúdo, do teor das informações postadas na web por cada usuário não é atividade intrínseca ao serviço prestado,
de modo que não se pode reputar defeituoso, nos termos do art. 14 do CDC, o site que não examina e filtra os dados e imagens nele
inseridos. 4. O dano moral decorrente de mensagens com conteúdo ofensivo inseridas no site pelo usuário não constitui risco inerente à
atividade dos provedores de conteúdo, de modo que não se lhes aplica a responsabilidade objetiva prevista no art. 927, parágrafo único, do
CC/02. 5. Ao ser comunicado de que determinado texto ou imagem possui conteúdo ilícito, deve o provedor agir de forma enérgica, retirando
o material do ar imediatamente, sob pena de responder solidariamente com o autor direto do dano, em virtude da omissão praticada. 6. Ao
oferecer um serviço por meio do qual se possibilita que os usuários externem livremente sua opinião, deve o provedor de conteúdo ter o
cuidado de propiciar meios para que se possa identificar cada um desses usuários, coibindo o anonimato e atribuindo a cada manifestação
uma autoria certa e determinada. Sob a ótica da diligência média que se espera do provedor, deve este adotar as providências que, conforme
as circunstâncias específicas de cada caso, estiverem ao seu alcance para a individualização dos usuários do site, sob pena de
responsabilização subjetiva por culpa in omittendo. 7. Ainda que não exija os dados pessoais dos seus usuários, o provedor de conteúdo que
registra o número de protocolo (IP) na internet dos computadores utilizados para o cadastramento de cada conta mantém um meio
razoavelmente eficiente de rastreamento dos seus usuários, medida de segurança que corresponde à diligência média esperada dessa
modalidade de provedor de serviço de internet. 8. Recurso especial provido. (REsp n.º 1.186.616/MG, Rel. Ministra NANCY ANDRIGHI,
TERCEIRA TURMA, julgado em 23/08/2.011, DJe 31/08/2.011)
 Quem oferece um serviço de aplicação, deve ter um mecanismo de
identificar o usuário;

 O CDC se aplica, mas se trata de responsabilidade objetiva;

 Afastou a teoria do risco;

 Aplicação da responsabilidade subjetiva, após notificação.

Depois do MCI:

Seção III - Da Responsabilidade por Danos Decorrentes de Conteúdo

Gerado por Terceiros

Lei n.º 12.965/14, art. 18. O provedor de conexão à internet não será
responsabilizado civilmente por danos decorrentes de conteúdo gerado por
terceiros.

 
Lei n.º 12.965/14, art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o
provedor de aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes
de conteúdo gerado por terceiros se, após ordem judicial específica, não tomar as providências para, no
âmbito e nos limites técnicos do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo
apontado como infringente, ressalvadas as disposições legais em contrário.
§ 1.º. A ordem judicial de que trata o caput deverá conter, sob pena de nulidade, identificação clara e
específica do conteúdo apontado como infringente, que permita a localização inequívoca do material.
§ 2.º. A aplicação do disposto neste artigo para infrações a direitos de autor ou a direitos conexos depende
de previsão legal específica, que deverá respeitar a liberdade de expressão e demais garantias previstas no
art. 5.º da Constituição Federal.
§ 3.º. As causas que versem sobre ressarcimento por danos decorrentes de conteúdos disponibilizados na
internet relacionados à honra, à reputação ou a direitos de personalidade, bem como sobre a
indisponibilização desses conteúdos por provedores de aplicações de internet, poderão ser apresentadas
perante os juizados especiais.
§ 4.º. O juiz, inclusive no procedimento previsto no § 3.º, poderá antecipar, total ou parcialmente, os efeitos
da tutela pretendida no pedido inicial, existindo prova inequívoca do fato e considerado o interesse da
coletividade na disponibilização do conteúdo na internet, desde que presentes os requisitos de
verossimilhança da alegação do autor e de fundado receio de dano irreparável ou de difícil reparação.
Maradona proíbe Yahoo e Google de fazer buscas com seu nome - disponível
em http://revistaepoca.globo.com/Revista/Epoca/0,,EMI17301-15260,00-
MARADONA+PROIBE+YAHOO+E+GOOGLE+DE+FAZER+BUSCAS+C
OM+SEU+NOME.html
Lei n.º 12.965/14, art. 20. Sempre que tiver informações de contato do usuário diretamente
responsável pelo conteúdo a que se refere o art. 19, caberá ao provedor de aplicações de
internet comunicar-lhe os motivos e informações relativos à indisponibilização de
conteúdo, com informações que permitam o contraditório e a ampla defesa em juízo, salvo
expressa previsão legal ou expressa determinação judicial fundamentada em contrário.

Parágrafo único. Quando solicitado pelo usuário que disponibilizou o conteúdo tornado
indisponível, o provedor de aplicações de internet que exerce essa atividade de forma
organizada, profissionalmente e com fins econômicos substituirá o conteúdo tornado
indisponível pela motivação ou pela ordem judicial que deu fundamento à
indisponibilização.
Lei n.º 12.965/14, art. 21. O provedor de aplicações de internet que disponibilize conteúdo
gerado por terceiros será responsabilizado subsidiariamente pela violação da intimidade
decorrente da divulgação, sem autorização de seus participantes, de imagens, de vídeos ou
de outros materiais contendo cenas de nudez ou de atos sexuais de caráter privado quando,
após o recebimento de notificação pelo participante ou seu representante legal, deixar de
promover, de forma diligente, no âmbito e nos limites técnicos do seu serviço, a
indisponibilização desse conteúdo.

Parágrafo único. A notificação prevista no caput deverá conter, sob pena de nulidade,

elementos que permitam a identificação específica do material apontado como violador da
intimidade do participante e a verificação da legitimidade para apresentação do pedido.
Definições:
Lei n.º 12.965/14, art. 5.º. Para os efeitos desta Lei, considera-se:
I - internet: o sistema constituído do conjunto de protocolos lógicos, estruturado em escala mundial para uso
público e irrestrito, com a finalidade de possibilitar a comunicação de dados entre terminais por meio de
diferentes redes;
II - terminal: o computador ou qualquer dispositivo que se conecte à internet;
III - endereço de protocolo de internet (endereço IP): o código atribuído a um terminal de uma rede para permitir
sua identificação, definido segundo parâmetros internacionais;
IV - administrador de sistema autônomo: a pessoa física ou jurídica que administra blocos de endereço IP
específicos e o respectivo sistema autônomo de roteamento, devidamente cadastrada no ente nacional responsável
pelo registro e distribuição de endereços IP geograficamente referentes ao País;
V - conexão à internet: a habilitação de um terminal para envio e recebimento de pacotes de dados pela internet,
mediante a atribuição ou autenticação de um endereço IP;
VI - registro de conexão: o conjunto de informações referentes à data e hora de início e término de uma conexão à
internet, sua duração e o endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados;
VII - aplicações de internet: o conjunto de funcionalidades que podem ser acessadas por meio de um terminal
conectado à internet; e
VIII - registros de acesso a aplicações de internet: o conjunto de informações referentes à data e hora de uso de
uma determinada aplicação de internet a partir de um determinado endereço IP.
Situações em que se dispensa ordem judicial:

Direitos autorais: não necessita de ordem judicial. Não significa que o

direito autorial é superior a outros direitos, mas ele é auferido de modo
objetivos.

Pornografia de vingança: art. 21 do MCI. Dispensa ordem judicial.

ECA: art. 241-A. Quem divulga esse material pode ser responsabilizado, além da plataforma, quando
notificada não remover o conteúdo.

Lei n.º 8.069/90, art. 241-A. Oferecer, trocar, disponibilizar, transmitir, distribuir, publicar ou
divulgar por qualquer meio, inclusive por meio de sistema de informática ou telemático, fotografia,
vídeo ou outro registro que contenha cena de sexo explícito ou pornográfica envolvendo criança ou
adolescente: (Incluído pela Lei nº 11.829, de 2008)

Pena – reclusão, de 3 (três) a 6 (seis) anos, e multa. (Incluído pela Lei nº 11.829, de 2008)

§ 1.º. Nas mesmas penas incorre quem: (Incluído pela Lei nº 11.829, de 2008)

I – assegura os meios ou serviços para o armazenamento das fotografias, cenas ou imagens de que
trata o caput deste artigo; (Incluído pela Lei nº 11.829, de 2008)

II – assegura, por qualquer meio, o acesso por rede de computadores às fotografias, cenas ou
imagens de que trata o caput deste artigo. (Incluído pela Lei nº 11.829, de 2008)

§ 2.º. As condutas tipificadas nos incisos I e II do § 1 o deste artigo são puníveis quando o
responsável legal pela prestação do serviço, oficialmente notificado, deixa de desabilitar o acesso
ao conteúdo ilícito de que trata o caput deste artigo. (Incluído pela Lei nº 11.829, de 2008)
Lei eleitoral: art. 57-F.

Lei n.º 9.504/97, art. 57-F. Aplicam-se ao provedor de conteúdo e de serviços multimídia
que hospeda a divulgação da propaganda eleitoral de candidato, de partido ou de coligação
as penalidades previstas nesta Lei, se, no prazo determinado pela Justiça Eleitoral, contado
a partir da notificação de decisão sobre a existência de propaganda irregular, não tomar
providências para a cessação dessa divulgação. (Incluído pela Lei nº 12.034, de
2009)

Parágrafo único. O provedor de conteúdo ou de serviços multimídia só será considerado

responsável pela divulgação da propaganda se a publicação do material for
comprovadamente de seu prévio conhecimento. (Incluído pela Lei nº 12.034, de 2009)
As ações podem tramitar nos Juizados Especiais? Sim.

O art. 19 quer equilibrar a remoção arbitrária com a necessidade de remoção de

conteúdos ilícitos.

Como combater ilícitos? Como obter a identidade de quem publicou o

conteúdo?

No Brasil, aplicamos o modelo de retenção obrigatória de dados: obriga as

plataformas a guardar os dados dos usuários. Nos EUA, utiliza-se o modelo de
preservação obrigatória de dados.
Subseção I - Da Guarda de Registros de Conexão

Lei n.º 12.965/14, art. 13. Na provisão de conexão à internet, cabe ao administrador de sistema autônomo respectivo o
dever de manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano,
nos termos do regulamento.

§ 1.º. A responsabilidade pela manutenção dos registros de conexão não poderá ser transferida a terceiros.

§ 2.º. A autoridade policial ou administrativa ou o Ministério Público poderá requerer cautelarmente que os registros de
conexão sejam guardados por prazo superior ao previsto no caput.

§ 3.º. Na hipótese do § 2.º, a autoridade requerente terá o prazo de 60 (sessenta) dias, contados a partir do requerimento,
para ingressar com o pedido de autorização judicial de acesso aos registros previstos no caput.

§ 4.º. O provedor responsável pela guarda dos registros deverá manter sigilo em relação ao requerimento previsto no §
2.º, que perderá sua eficácia caso o pedido de autorização judicial seja indeferido ou não tenha sido protocolado no
prazo previsto no § 3.º.

§ 5.º. Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá ser precedida
de autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 6.º. Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a natureza e a
gravidade da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator, as circunstâncias agravantes,
os antecedentes do infrator e a reincidência.
Subseção III - Da Guarda de Registros de Acesso a Aplicações de Internet na Provisão de Aplicações

Lei n.º 12.965/14, art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica
e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá
manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e
de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento.

§ 1.º. Ordem judicial poderá obrigar, por tempo certo, os provedores de aplicações de internet que não
estão sujeitos ao disposto no caput a guardarem registros de acesso a aplicações de internet, desde que
se trate de registros relativos a fatos específicos em período determinado.

§ 2.º. A autoridade policial ou administrativa ou o Ministério Público poderão requerer cautelarmente

a qualquer provedor de aplicações de internet que os registros de acesso a aplicações de internet sejam
guardados, inclusive por prazo superior ao previsto no caput, observado o disposto nos §§ 3º e 4º do
art. 13.

§ 3.º. Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo
deverá ser precedida de autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 4.º. Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a
natureza e a gravidade da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator,
as circunstâncias agravantes, os antecedentes do infrator e a reincidência.
Como buscar esses dados?

a) todo dispositivo conectado à internet tem necessariamente um endereço IP.

Conferir em “What is my IP”.

b) buscar, no site https://registro.br/tecnologia/ferramentas/whois/?search=

Seção IV - Da Requisição Judicial de Registros

Lei n.º 12.965/14, art. 22. A parte interessada poderá, com o propósito de formar
conjunto probatório em processo judicial cível ou penal, em caráter incidental ou
autônomo, requerer ao juiz que ordene ao responsável pela guarda o fornecimento
de registros de conexão ou de registros de acesso a aplicações de internet.

Parágrafo único. Sem prejuízo dos demais requisitos legais, o requerimento

deverá conter, sob pena de inadmissibilidade:

I - fundados indícios da ocorrência do ilícito;

II - justificativa motivada da utilidade dos registros solicitados para fins de

investigação ou instrução probatória; e

III - período ao qual se referem os registros.

Lei n.º 12.965/14, art. 23. Cabe ao juiz tomar as providências necessárias à
garantia do sigilo das informações recebidas e à preservação da intimidade,
da vida privada, da honra e da imagem do usuário, podendo determinar
segredo de justiça, inclusive quanto aos pedidos de guarda de registro.
CIVIL E CONSUMIDOR. INTERNET. RELAÇÃO DE CONSUMO. CDC. INCIDÊNCIA. PROVEDOR DE CONTEÚDO.
USUÁRIOS. IDENTIFICAÇÃO. DEVER. GUARDA DOS DADOS. OBRIGAÇÃO. PRAZO. 03 ANOS APÓS CANCELAMENTO
DO SERVIÇO. OBTENÇÃO DE DADOS FRENTE A TERCEIROS. DESCABIMENTO. DISPOSITIVOS LEGAIS
ANALISADOS: ARTS. 5º, IV, DA CF/88; 6º, III, e 17 DO CDC; 206, §3º, V, E 1.194 DO CC/02; E 358, I, DO CPC. 1. Ação
ajuizada em 17.05.2010. Recurso especial concluso ao gabinete da Relatora em 25.09.2013. 2. Recurso especial que discute a
responsabilidade dos gerenciadores de fóruns de discussão virtual pelo fornecimento dos dados dos respectivos usuários. 3. A
exploração comercial da Internet sujeita as relações de consumo daí advindas à Lei nº 8.078/90. Precedentes. 4. O gerenciador de
fóruns de discussão virtual constitui uma espécie do gênero provedor de conteúdo, pois esses sites se limitam a abrigar e oferecer
ferramentas para edição dos fóruns criados e mantidos por terceiros, sem exercer nenhum controle editorial sobre as mensagens
postadas pelos usuários. 5. Ao oferecer um serviço por meio do qual se possibilita que os usuários divulguem livremente suas
opiniões, deve o provedor de conteúdo ter o cuidado de propiciar meios para que se possa identificar cada um desses usuários,
coibindo o anonimato e atribuindo a cada imagem uma autoria certa e determinada. Sob a ótica da diligência média que se espera do
provedor, do dever de informação e do princípio da transparência, deve este adotar as providências que, conforme as circunstâncias
específicas de cada caso, estiverem ao seu alcance para a individualização dos usuários do site, sob pena de responsabilização
subjetiva por culpa in omittendo. 6. As informações necessárias à identificação do usuário devem ser armazenadas pelo provedor de
conteúdo por um prazo mínimo de 03 anos, a contar do dia em que o usuário cancela o serviço. 7. Não há como exigir do provedor de
conteúdo que diligencie junto a terceiros para obter os dados que inadvertidamente tenha apagado dos seus arquivos, não apenas
pelo fato dessa medida não estar inserida nas providências cabíveis em sede ação de exibição de documentos, mas sobretudo porque
a empresa não dispõe de poder de polícia para exigir o repasse dessas informações. Por se tratar de medida cautelar de natureza
meramente satisfativa, não há outro caminho senão reconhecer a impossibilidade de exibição do documento, sem prejuízo, porém, do
direito da parte de buscar a reparação dos prejuízos decorrentes da conduta desidiosa. 8. Recurso especial parcialmente provido.
(REsp n.º 1.398.985/MG, Rel. Ministra NANCY ANDRIGHI, TERCEIRA TURMA, julgado em 19/11/2.013, DJe 26/11/2.013)
Resumindo:

 O Marco Civil adotou o modelo de retenção obrigatória de dados;

 As diferenças tem a ver com o modo como o qual o usuário busca esses
dados;

 Primeiramente, busca-se dados do provedor de aplicações;

 Após, busca-se informações dos provedores de conexão;

 Cuidado com os pedidos: não se admite pedido genérico;

Direito ao esquecimento.

RE n.º 1.037.396 – Art. 19 do MCI – Incostitucionalidade. Acompanhar.

CAPÍTULO II - DOS DIREITOS E GARANTIAS DOS USUÁRIOS

Lei n.º 12.965/14, art. 7.º. O acesso à internet é essencial ao exercício da cidadania, e ao usuário são
assegurados os seguintes direitos:

I - inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral
decorrente de sua violação;

II - inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por ordem judicial, na forma da
lei;

III - inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por ordem judicial;

IV - não suspensão da conexão à internet, salvo por débito diretamente decorrente de sua utilização;

V - manutenção da qualidade contratada da conexão à internet;

VI - informações claras e completas constantes dos contratos de prestação de serviços, com detalhamento sobre o
regime de proteção aos registros de conexão e aos registros de acesso a aplicações de internet, bem como sobre
práticas de gerenciamento da rede que possam afetar sua qualidade;

VII - não fornecimento a terceiros de seus dados pessoais, inclusive registros de conexão, e de acesso a
aplicações de internet, salvo mediante consentimento livre, expresso e informado ou nas hipóteses previstas em
lei;
VIII - informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados
pessoais, que somente poderão ser utilizados para finalidades que:
a) justifiquem sua coleta;
b) não sejam vedadas pela legislação; e
c) estejam especificadas nos contratos de prestação de serviços ou em termos de uso de aplicações de internet;
IX - consentimento expresso sobre coleta, uso, armazenamento e tratamento de dados pessoais, que deverá
ocorrer de forma destacada das demais cláusulas contratuais;
X - exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu
requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros
previstas nesta Lei;
X - exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu
requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros
previstas nesta Lei e na que dispõe sobre a proteção de dados pessoais;         
(Redação dada pela Lei nº 13.709, de 2018)       (Vigência)
XI - publicidade e clareza de eventuais políticas de uso dos provedores de conexão à internet e de aplicações de
internet;
XII - acessibilidade, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e
mentais do usuário, nos termos da lei; e
XIII - aplicação das normas de proteção e defesa do consumidor nas relações de consumo realizadas na
internet.
Neutralidade de rede. A inteligência da rede está nas pontas, e a rede apenas
transmite os dados.
CAPÍTULO III - DA PROVISÃO DE CONEXÃO E DE APLICAÇÕES DE INTERNET
Seção I - Da Neutralidade de Rede
Art. 9.º. O responsável pela transmissão, comutação ou roteamento tem o dever de tratar de forma isonômica quaisquer
pacotes de dados, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação.
§ 1.º. A discriminação ou degradação do tráfego será regulamentada nos termos das atribuições privativas do
Presidente da República previstas no inciso IV do art. 84 da Constituição Federal, para a fiel execução desta Lei,
ouvidos o Comitê Gestor da Internet e a Agência Nacional de Telecomunicações, e somente poderá decorrer de:
I - requisitos técnicos indispensáveis à prestação adequada dos serviços e aplicações; e
II - priorização de serviços de emergência.
§ 2.º. Na hipótese de discriminação ou degradação do tráfego prevista no § 1.º, o responsável mencionado
no caput deve:
I - abster-se de causar dano aos usuários, na forma do 
art. 927 da Lei nº 10.406, de 10 de janeiro de 2002 - Código Civil;
II - agir com proporcionalidade, transparência e isonomia;
III - informar previamente de modo transparente, claro e suficientemente descritivo aos seus usuários sobre as práticas
de gerenciamento e mitigação de tráfego adotadas, inclusive as relacionadas à segurança da rede; e
IV - oferecer serviços em condições comerciais não discriminatórias e abster-se de praticar condutas
anticoncorrenciais.
§ 3.º. Na provisão de conexão à internet, onerosa ou gratuita, bem como na transmissão, comutação ou roteamento, é
vedado bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados, respeitado o disposto neste artigo.
CAPÍTULO II - DA NEUTRALIDADE DE REDE

Decreto n.º 8.771/16, art. 3.º. A exigência de tratamento isonômico de que

trata o art. 9º da Lei nº 12.965, de 2014 , deve garantir a preservação do
caráter público e irrestrito do acesso à internet e os fundamentos, princípios
e objetivos do uso da internet no País, conforme previsto na Lei nº 12.965, de
2014 .

Art. 4.º. A discriminação ou a degradação de tráfego são medidas

excepcionais, na medida em que somente poderão decorrer de requisitos
técnicos indispensáveis à prestação adequada de serviços e aplicações ou da
priorização de serviços de emergência, sendo necessário o cumprimento de
todos os requisitos dispostos no art. 9º, § 2º, da Lei nº 12.965, de 2014.
Art. 5.º. Os requisitos técnicos indispensáveis à prestação adequada de serviços e
aplicações devem ser observados pelo responsável de atividades de transmissão, de
comutação ou de roteamento, no âmbito de sua respectiva rede, e têm como objetivo
manter sua estabilidade, segurança, integridade e funcionalidade.

§ 1.º. Os requisitos técnicos indispensáveis apontados no caput são aqueles

decorrentes de:

I - tratamento de questões de segurança de redes, tais como restrição ao envio de

mensagens em massa ( spam ) e controle de ataques de negação de serviço; e

II - tratamento de situações excepcionais de congestionamento de redes, tais como

rotas alternativas em casos de interrupções da rota principal e em situações de
emergência.

§ 2.º. A Agência Nacional de Telecomunicações - Anatel atuará na fiscalização e na

apuração de infrações quanto aos requisitos técnicos elencados neste artigo,
consideradas as diretrizes estabelecidas pelo Comitê Gestor da Internet - CGIbr.
Art. 6.º. Para a adequada prestação de serviços e aplicações na internet, é
permitido o gerenciamento de redes com o objetivo de preservar sua
estabilidade, segurança e funcionalidade, utilizando-se apenas de medidas
técnicas compatíveis com os padrões internacionais, desenvolvidos para o
bom funcionamento da internet, e observados os parâmetros regulatórios
expedidos pela Anatel e consideradas as diretrizes estabelecidas pelo CGIbr.
Art. 7.º. O responsável pela transmissão, pela comutação ou pelo roteamento deverá
adotar medidas de transparência para explicitar ao usuário os motivos do gerenciamento
que implique a discriminação ou a degradação de que trata o art. 4º, tais como:

I - a indicação nos contratos de prestação de serviço firmado com usuários finais ou

provedores de aplicação; e

II - a divulgação de informações referentes às práticas de gerenciamento adotadas em

seus sítios eletrônicos, por meio de linguagem de fácil compreensão.

Parágrafo único. As informações de que trata esse artigo deverão conter, no mínimo:

I - a descrição dessas práticas;

II - os efeitos de sua adoção para a qualidade de experiência dos usuários; e

III - os motivos e a necessidade da adoção dessas práticas.

Art. 8.º. A degradação ou a discriminação decorrente da priorização de
serviços de emergência somente poderá decorrer de:

I - comunicações destinadas aos prestadores dos serviços de emergência, ou

comunicação entre eles, conforme previsto na regulamentação da Agência
Nacional de Telecomunicações - Anatel; ou

II - comunicações necessárias para informar a população em situações de

risco de desastre, de emergência ou de estado de calamidade pública.

Parágrafo único. A transmissão de dados nos casos elencados neste artigo

será gratuita.
Art. 9.º. Ficam vedadas condutas unilaterais ou acordos entre o responsável pela
transmissão, pela comutação ou pelo roteamento e os provedores de aplicação que:

I - comprometam o caráter público e irrestrito do acesso à internet e os fundamentos,

os princípios e os objetivos do uso da internet no País;

II - priorizem pacotes de dados em razão de arranjos comerciais; ou

III - privilegiem aplicações ofertadas pelo próprio responsável pela transmissão, pela
comutação ou pelo roteamento ou por empresas integrantes de seu grupo econômico.

Art. 10. As ofertas comerciais e os modelos de cobrança de acesso à internet devem

preservar uma internet única, de natureza aberta, plural e diversa, compreendida
como um meio para a promoção do desenvolvimento humano, econômico, social e
cultural, contribuindo para a construção de uma sociedade inclusiva e não
discriminatória.
Aplicação do MCI:

Art. 11. Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, de dados
pessoais ou de comunicações por provedores de conexão e de aplicações de internet em que pelo menos
um desses atos ocorra em território nacional, deverão ser obrigatoriamente respeitados a legislação
brasileira e os direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações
privadas e dos registros.

§ 1.º. O disposto no caput aplica-se aos dados coletados em território nacional e ao conteúdo das
comunicações, desde que pelo menos um dos terminais esteja localizado no Brasil.

§ 2.º. O disposto no caput aplica-se mesmo que as atividades sejam realizadas por pessoa jurídica
sediada no exterior, desde que oferte serviço ao público brasileiro ou pelo menos uma integrante do
mesmo grupo econômico possua estabelecimento no Brasil.

§ 3.º. Os provedores de conexão e de aplicações de internet deverão prestar, na forma da

regulamentação, informações que permitam a verificação quanto ao cumprimento da legislação
brasileira referente à coleta, à guarda, ao armazenamento ou ao tratamento de dados, bem como quanto
ao respeito à privacidade e ao sigilo de comunicações.

§ 4.º. Decreto regulamentará o procedimento para apuração de infrações ao disposto neste artigo.
Art. 12. Sem prejuízo das demais sanções cíveis, criminais ou administrativas, as
infrações às normas previstas nos arts. 10 e 11 ficam sujeitas, conforme o caso, às
seguintes sanções, aplicadas de forma isolada ou cumulativa:

I - advertência, com indicação de prazo para adoção de medidas corretivas;

II - multa de até 10% (dez por cento) do faturamento do grupo econômico no Brasil no
seu último exercício, excluídos os tributos, considerados a condição econômica do
infrator e o princípio da proporcionalidade entre a gravidade da falta e a intensidade
da sanção;

III - suspensão temporária das atividades que envolvam os atos previstos no art. 11; ou

IV - proibição de exercício das atividades que envolvam os atos previstos no art. 11.

Parágrafo único. Tratando-se de empresa estrangeira, responde solidariamente pelo

pagamento da multa de que trata o caput sua filial, sucursal, escritório ou
estabelecimento situado no País.
Dica: site “Observatório do Marco Civil da Internet”: www.omci.org.br
INTELIGÊNCIA ARTIFICIAL E
DIREITO
Como que o uso de análise de dados pode ajudar você
a enxergar os próximos passos da sua empresa?
Necessidade de conhecer o direito, mas também
elementos de informática e estatísticas. No Direito, o
cientista de dados vai trabalhar com Inteligência
Artificial.
Alicerces da Inteligência Artificial:

 Criar sistemas que aprendem, adaptam-se e agem potencialmente de forma

autônoma será um dos principais campos de batalha para os fabricantes de tecnologia.
A capacidade de utilizar a Inteligência Artificial para melhorar a tomada de decisões,
reinventar modelos e ecossistemas de negócio e melhorar a experiência do consumidor
vai começar a compensar as iniciativas digitais até 2025. (Fonte: IBM)

 No Direito, a IA pode aprimorar pesquisas (doutrinas, julgados...)

As técnicas de IA estão evoluindo rapidamente e as organizações vão precisar investir

significativamente em competências, processos e ferramentas para poder explorar essas
técnicas com sucessos e construir sistemas melhorados de IA, diz Cearley (CEO IBM).
As áreas de investimento podem incluir a preparação e integração dos dados,
algoritmos e seleção de metodologias de criação e treinamento de modelos. Múltiplas
disciplinas, incluindo Ciência de Dados, programação e gestão do negócio vão precisar
trabalhar juntas, em harmonia.
Aplicações:

 Ajuda a lidar com coisas repetitivas que consomem muito tempo dos
trabalhadores;

 Essencialmente, a IA é apenas um conjunto de algoritmos automatizados

projetados para executar determinadas operações com a opção de aprender a
melhorar o desempenho.
Bancos:

 Previsão de riscos e investimentos;

 Previsão de inadimplência;

 Desvio de padrões que demonstre riscos e fraudes.

Recrutamento:

 Análise de perfis e padrões nas redes sociais;

 Investigação pessoal em fontes abertas.

Agricultura:

 A agricultura moderna se baseia em acres de terra que precisam ser

atendidos. É preciso muita mão de obra para isso;

 A IA pode tornar esse trabalho mais fácil por meio de câmeras e drones.
Essa combinação pode coletar dados vitais que ajudarão os agricultores a
estimar o tempo perfeito para tudo e ajustar as operações de acordo com as
informações recebidas.

Cibercrimes:

 Identificação de imagens;

 Classificação de suspeitos.
Tribunais:

 Facilidade nas pesquisas;

 Diminuição dos assessores;

 Aumento da carreira de cientista de dados.

Cientista de dados:
 Coleta de dados;
 Informações;
 Formar padrões;
 Tomada de decisão;
 Conhecimento;
 Mercado;
 Venda.
Cientistas de dados é um desses “magos de dados”, que pode adquirir massas de
dados de diversas fontes e então limpar, tratar, organizar e preparar os dados e,
em seguida, explorar as suas habilidades em matemática, estatística e machine
learning para descobrir insights ocultos de negócios e gerar inteligência.
Capacidades:

 O cientista de dados é o profissional capaz de trazer a mudança para uma

organização através da análise de diversas fontes de dados – inclusive
códigos abertos.

 Base legal sólida normalmente em Direito Digital, ciência da computação,

aplicações, modelagens, estatística, análises e matemática.
Inteligência Artificial: Marcelo Porto, presidente da IBM no Brasil, diz que
a empresa evita usar o termo IA e busca falar em inteligência aumentada.

Alucinação coletiva: já Cássio Pantaleoni diz que o grande desafio da IA é

primeiro entender a mente humana como uma grande máquina preditiva. “A
realidade que conhecemos nada mais é do que uma grande alucinação
coletiva provocada pelo nosso cérebro que cria consenso de algo. O grande
esforço é que a área de tecnologia descubra como colocar isso nas
máquinas”, afirmou.
Inteligência artificial no combate à corrupção:

 Desvio de padrões dos Servidores;

 Inteligência Artificial não toma decisões; um colegiado avalia as informações

 Ferramenta de priorização

 Aponta quem deve ser mais observado;

 Vale para empresas privadas também.

Blockchain: a tecnologia de blockchain está evoluindo de uma infraestrutura de
criptomoeda para uma plataforma de transformação digital. É um afastamento
radical das atuais transações centralizadas e sistemas para guardar registros e
pode servir de base para negócios digitais disruptivos, tanto para empresas
estabelecidas como para startups.

Embora promoção exacerbada aqui envolve a bloco quem tenha sido

originalmente focada na indústria de serviços financeiros, a tecnologia pode ter
muitas aplicações potenciais, incluindo na administração pública, saúde,
indústria fabril, distribuição de mídia, verificação de identidades, registro de
títulos e cadeias de abastecimento.

Apesar de ser uma promessa de longo prazo e de as tecnologias associadas seria

ainda imaturas, o blockchain será uma realidade nos próximos 2 a 3 anos em irá
sem dúvidas criar disrupção, diz o Gartner (consultoria internacional em
tecnologia)
Tendências:

 Maior tempo de vida na rede;

 Apego a vida nas redes sociais;

 Principais problemas de convívio vão ligar para as redes sociais;

 Os principais crimes financeiros e econômicos serão realizados com o uso

da tecnologia em 15 anos.
Expectativas:
 Novo olhar para temas antigos;
 Construir soluções para os novos desafios da era da tecnologia;
 Ampliar conhecimentos em relação aos riscos de fraudes;
 Implementar novos processos de controles internos nas empresas;
 Pioneirismo/oportunidade;
 Troca de experiências e suas contribuições;
 Conhecimento: alavanca e acelera resultados profissionais; conhecer
referências e tornar-se referências;
 Disseminação de conhecimento;
 Ética e boas práticas.
A atuação do profissional do direito digital:
 Comércio eletrônico;
 Consultoria jurídica na constituição de empresas voltadas ao comércio eletrônico, mediante a
elaboração de instrumentos societários necessários, e outros contratos e acordos correlacionados;
 Consultoria jurídica para planejamento tributário da operação de comércio eletrônico, em todas
as esferas de arrecadação de tributos.
 Consultoria jurídica no desenvolvimento tecnológico da plataforma de comércio eletrônico e
business intelligence, mediante elaboração de instrumentos contratuais necessários para resguardo
da propriedade intelectual e industrial envolvida, e Registro das criações, perante órgãos
competentes.
 Consultoria jurídica na elaboração de contratos com fornecedores de produtos e serviços
necessários a operação do Comércio eletrônico, tais como logística, importação, call center, meios
de pagamento e outros.
 Consultoria jurídica relacionada às normas de direito do consumidor aplicáveis ao comércio
eletrônico, incluindo elaboração de termos de uso de privacidade que deverão estar presentes no
site. Atuação contenciosa para proteção da marca da empresa, reprimir e punir a sua utilização
indevida na internet, especialmente para fraudes eletrônicas.
Compliance digital:
 Análise de risco quanto à situação da empresa frente ao cumprimento ou
não das principais regras vinculadas às tecnologias da informação
 Auditorias prévias para implementação de políticas de compliance para
forma com para conformidades das práticas empresariais a regulação setorial
exigente existente.
 Auditoria sem alterações societárias para apurar atos de corrupção
praticados através de meios eletrônicos
 Levantamento das normas ligadas à tecnologia da informação e plano de
implantação ou correção.
 Investigações internas para levantamento de incidência e
responsabilização por práticas e legais.
 Desenvolvimento, implementação e trabalhos de conscientização de
códigos de conduta para a legalidade no uso dos meios eletrônicos

 Elaboração ou revisão das políticas de privacidade e termos de uso dos

canais web das empresas para regularidade com as regras do Marco Civil da
Internet (Lei n.º 12.965/14), da Lei Carolina Dieckmann (Lei n.º 12.737/12),
e das novas regras do Código de Defesa do Consumidor (Lei n.º 8.078/90)
sobre internet;

 Elaboração de regulamento interno de segurança da informação e termos

de uso da segurança da informação;

 Consultoria especializada em investigações e procedimentos

administrativos para defesa e acordos de leniência termos de ajustamento de
Conduta e o outros.
Compliance digital:

 Due diligence para verificação se os softwares instalados estão de acordo

com as licenças contratadas;

 Nova análise e defesa em processos administrativos e judiciais.

Direito Eleitoral e digital:
 Consultoria para adequação legal da propaganda eleitoral na internet para
candidatos partidos ou coligações;
 Consultoria consistente no monitoramento de propaganda eleitoral
antecipada na internet e inserções em sites, redes sociais, blogs, por e-mail
ou mensagens instantâneas, entre outros, que violem a legislação eleitoral,
visando elencar as medidas pertinentes de acordo com cada conduta.
Eleições e internet:
 Atuação, com adoção de todas as medidas jurídicas pertinentes, visando a
remoção de conteúdo ilegal, direito de resposta ou multa perante a justiça
eleitoral;
 Adoção das medidas judiciais contra os provedores de aplicações e de
acesso à internet visando a identificação dos responsáveis pelos ilícitos,
assim como a devida a repressão;
 Adoção das medidas judiciais de busca e apreensão visando a preservação
e coleta das provas dos ilícitos.
Educação:
 A falta de educação digital (agora protegida pelo art. 26 do Marco Civil da
Internet);
 Crimes como cyber bullying e o porn Revenge envolvendo jovens são um
sem-número de vezes divulgados diariamente, e nesse ínterim reputações
foram destruídas e vidas perdidas travessão não é incomum casos em que as
vítimas chegam a tirar a própria vida.
Mídia traço entretenimento:
 Consultoria visando adequação legal das campanhas publicitárias em
mídia digital de acordo com as regras do Conar, os direitos autorais, os
direitos industriais e dos direitos de personalidade entre outros ordenamentos
jurídicos;
 Consultoria visando a aprovação de inserções publicitárias nas diversas
mídias digitais, como páginas eletrônicas, redes sociais e aplicativos;
 Consultoria visando adequar as respostas das empresas nos canais
constantes e suas redes sociais.
CONCEITOS FUNDAMENTAIS
 Dados estruturados e não estruturados
 Inteligência Artificial supervisionada e inteligência artificial não supervisionada
APLICAÇÕES DA
INTELIGÊNCIA ARTIFICIAL
Foram usadas cerca de 5 mil horas de programação da BBC, incluindo noticiários,
para treinar a máquina. De acordo com a New Scientist, elas continham um total de
aproximadamente 118 mil frases inteiras. Programas que foram ao ar entre janeiro de
2010 e dezembro de 2015 foram usados como conjunto de treinamento, e o sistema foi
testado usando programas de entre março e setembro de 2016.
Dentre as frases que a máquina foi capaz de legendar estavam sentenças bastante
complexas, como “We know there will be hundreds of journalists here as well”
(sabemos que haverá centenas de jornalistas aqui também) e “According to the latest
figures from the Office of National Statistics” (de acordo com os números mais
recentes do escritório de estatísticas nacionais).
Ashley Madison: Maioria dos perfis femininos é falso, diz site
Quase nenhum perfil feminino do Ashley Madison é real; confira análise de dados vazados.
Por Da Redação; Para O TechTudo
27/08/2015 17h30 Atualizado há 6 anos
Ashley Madison, site que promove "puladas de cerca", continua dando o que falar. Na
quarta-feira (26), uma pesquisa feita com os dados vazados dos usuários comprovou que a
maioria dos perfis femininos cadastrados na rede é falso. Quase nenhuma das 5,5 milhões
de mulheres inscritas usou a rede social.
https://www.techtudo.com.br/noticias/2015/08/ashley-madison-maioria-dos-perfis-
femininos-e-falso-diz-site.ghtml
Aplicativo de corrida revela supostas bases militares dos EUA
Mapa lançado em novembro pelo Strava mostra o percurso de corredores pelo
mundo; analistas apontam que soldados de bases secretas podem ter revelado sua
localização enquanto se exercitam.
Por G1
28/01/2018 19h45 Atualizado há 4 anos
O mapa de um aplicativo que mostra o percurso de corrida de usuários por GPS
acabou revelando a localização de bases militares norte-americanas secretas em
diferentes pontos do mundo, destacou neste domingo (28) o jornal britânico "The
Guardian", com base em observações de analistas militares.
Inteligência artificial otimiza catalogação de legislação no banco de
jurisprudência do STF
Iniciativa agiliza e padroniza o tratamento de dados disponíveis na página de
pesquisa de jurisprudência do Tribunal.
25/11/2021 15h19 - Atualizado há
O Supremo Tribunal Federal passou a contar, esta semana, com uma nova
ferramenta de trabalho, que extrai automaticamente a legislação citada em
acórdãos e decisões monocráticas. A iniciativa integra um projeto mais amplo de
modernização da página de pesquisa de jurisprudência do STF e de otimização do
tratamento de dados, conduzido pela Secretaria de Tecnologia da Informação (STI)
e pela Secretaria de Gestão de Precedentes (SPR) do Tribunal.
Inteligência artificial vai agilizar a tramitação de processos no STF
Desenvolvido em parceria com a Universidade de Brasília, o sistema vai ler todos os recursos extraordinários e identificar
os vinculados a temas de repercussão geral.
30/05/2018 19h35 - Atualizado há
Batizado de VICTOR, a ferramenta de inteligência artificial é resultado da iniciativa do Supremo Tribunal Federal, sob a
gestão da Ministra Cármen Lúcia, em conhecer e aprofundar a discussão sobre as aplicações de IA no Judiciário. Cuida-se
do maior a mais complexo Projeto de IA do Poder Judiciário e, talvez, de toda a Administração Pública Brasileira.
Na fase inicial do projeto, VICTOR irá ler todos os recursos extraordinários que sobem para o STF e identificar quais
estão vinculados a determinados temas de repercussão geral. Essa ação representa apenas uma parte (pequena, mas
importante) da fase inicial do processamento dos recursos no Tribunal, mas envolve um alto nível de complexidade em
aprendizado de máquina.
VICTOR está na fase de construção de suas redes neurais para aprender a partir de milhares de decisões já proferidas no
STF a respeito da aplicação de diversos temas de repercussão geral. O objetivo, nesse momento, é que ele seja capaz de
alcançar níveis altos de acurácia – que é a medida de efetividade da máquina –, para que possa auxiliar os servidores em
suas análises. A expectativa é de que os primeiros resultados sejam mostrados em agosto de 2018.
MP investiga empresa brasileira que rastreia 60 milhões de celulares
Startup brasileira In Loco rastreia localização de smartphones para exibir anúncios
direcionados; Ministério Público suspeita de violação de privacidade
Por Emerson Alecrim
14/09/2018 às 15:58
O Ministério Público do Distrito Federal e Territórios (MPDFT) anunciou, nesta
semana, a instauração de um inquérito civil público para investigar a In Loco
Tecnologia da Informação (PDF): o órgão quer descobrir se a startup comete abuso
ao utilizar a sua tecnologia para rastrear celulares no Brasil e direcionar anúncios
publicitários.
INTRODUÇÃO AO DIREITO
DIGITAL
A sociedade da informação. A realidade mudou muito nos últimos 50 anos.
Houve um momento de ruptura com os paradigmas então conhecidos.
Surgem, então, novas questões que jamais imaginávamos enfrentar. Ex.: a
comunicação se dava por telefonia; hoje nos comunicamos pelos mais
diversos modos, incluindo-se o telefone. A realidade é muito mais dinâmica.

A Era da Informação é o período pós Era industrial, especialmente após

a década de 1.980, com o desenvolvimento dos microprocessadores, das
redes de computadores, da fibra ótica e dos computadores pessoais. Tudo
se transforma em informação; tudo se transforme em dados.
A sociedade da informação se relaciona com a:

a) Sociedade pós-industrial (novo paradigma técnico-econômico);

b) Transformações técnicas e organizacionais da sociedade;

c) Avanços da microeletrônica e telecomunicações;

A era da informação evidentemente traz benefícios para o convívio social, mas igualmente propicia
problemas:

- Era da desinformação (fake news)

- Ansiedade

- Alienação

- Falta de responsabilidade profissional

- Violações à privacidade e à intimidade: empresas podem saber muito sobre o usuário, inclusive coisas
que ele não deseja saber.

- (In)segurança dos sistemas informáticos etc.

Algumas questões técnicas:

- Internet

- Website

- E-mail

- Provedores de acesso e conteúdo

- Ubiquidade
O website é uma página que pode ter qualquer tipo de conteúdo. É composto
por números (Internet Protocol - IP - localiza fisicamente a máquina). Ex.:
208.80.152.130. É substituído por letras para facilitar o acesso.

- Domain name system - DNS (auxilia memorizar os endereços desejados).

Ex.: www.wikipedia.org

- Provedores (acesso, conteúdo e trânsito). Diferenças.

Problemas:
- Adwords.
- Cybersquatting (grileiros de nomes de domínios).
Novas preocupações:

- Crimes Digitais

- Geolocalização

- Dados, informações digitais ou digitalizadas

- Privacidade, intimidade e extimidade

- Direito ao esquecimento. Caso Lebach; caso Aida Curi.

- Segurança dos sistemas e da informação

CASOS EMBLEMÁTICOS:
a) Daniella Cicareli x Google: por determinação judicial, o YouTube ficou fora do
ar por algumas horas
b) Uber x Prefeituras/Taxistas. Proibição? Regulação?
c) WhatsApp x Operadora(s) de telefonia: nos primeiros anos do uso do
aplicativo, as operadoras levantaram várias questões.
d) Espionagem: caso Snowden.
e) Sites que divulgam dados pessoais.
f) Fake News e eleições. O problema da deep fake.
EXISTE UM DIREITO DIGITAL? O QUE É
O DIREITO DIGITAL? COMO ESTUDÁ-
LO?
O Direito Digital não é um ramo do Direito, mas é a releitura dos
tradicionais ramos do Direito à luz da tecnologia. O Direito é uno; a sua
divisão existe apenas para facilitar o estudo. O Direito Digital relaciona-se
com:
Direito Constitucional: privacidade, intimidade, esquecimento
Direito Penal: crimes digitais
Direito do Consumidor: e-commerce
Direito Processual: processo eletrônico
Desafios do Direito Digital:
- Avanço tecnológico muito mais ágil que a legislação:
- Aplicação da lei a situações que atingem mais de um país;
- Educação e conscientização digital;
- Incutir e concretizar as premissas de conformidade
(compliance);
Estudar a Era da Informação é algo desafiador em face da interdisciplinaridade. Dois
grandes estudiosos: Manuel Castells (sociólogo espanhol) e Pierre Lévy (filósofo
francês).
Sociedade de rede (Manuel Castells): a base de todas as relações se estabelece
através da informação e da sua capacidade de processamento e de geração de
conhecimentos.
Cibercultura (Pierre Levy): sociedade é um novo espaço de interações propiciado
pela realidade virtual (criada a partir de uma cultura informática). É inviável ignorar o
impacto dessas tecnologias à vida humana, seja no aspecto individual, coletivo ou
mesmo empresarial. Mas, afinal de contas, as tecnologias de comunicação estão a
serviço de que, ou de quem? Que mudanças são trazidas por essas tecnologias à vida
do homem e à sociedade? 
Redes Sociais. Alguém já leu os termos de uso?
Facebook - https://www.facebook.com/legal/terms
Twitter - https://twitter.com/tos?lang=pt
Google - https://www.google.com/intl/pt- BR/policies/terms/
Empregados x Empregadores.
 O empregado não pode usar seu tempo de trabalho em redes sociais ou em atividades
diversas da que foi contratado (art. 442 da CLT)
 Não pode tornar pública foto do local de trabalho sem permissão conhecimento dos
superiores (art. 82 da CLT) 
Outros problemas:
- Assédio moral
- Assédio sexual
- Horas extras
- Ofensas à honra
BYOD (Bring your own device - traga seu próprio equipamento). É preciso deixar claro que:
a) O equipamento é de inteira responsabilidade do proprietário;
b) o conteúdo armazenado é de responsabilidade do proprietário;
c) o proprietário declara que todos os softwares possuem licença regular sob pena de responder
isoladamente sobre qualquer incidente de pirataria;
d) que o proprietário deve usar de requisitos básicos de segurança 
e) o proprietário tem o dever de realizar backup de todas as informações pertinentes à empresa e de
salvá-las na rede corporativa;
f) o equipamento está sujeito a monitoramento e a inspeção física por parte do empregador;
g) a empresa não se responsabiliza pela perda, deterioração, furto, extravio, quebra do equipamento;
etc...
Plágio e direitos autorais: referência X Plágio na criação digital. Pode ocorrer em qualquer área,
mas é bastante comum na área acadêmica (artigos científicos, TCC's, Mestrados, etc). Decorre da
não compreensão do que é compor um trabalho original ou de pura má-fé. Lei de proteção aos
direitos do autor: Lei n.º 9.610/98.
Problema comum: contrafação, que é a reprodução não autorizada de uma determinada obra,
ainda que parcial (arts. 5.º e 104). Não configura contrafação:
- a citação para crítica
- a reprodução permitida
- a paródia
É preciso, portanto, tomar bastante cuidado antes de reproduzir obras de outras pessoas e, ainda,
quando for fazê-lo, creditar a autoria de forma correta. É necessário, ainda, cuidar para realizar
trabalhos técnicos (artigos, TCC's, etc) com a devida citação das fontes. 
Economia digital. A expressão foi criada por Nicholas Negroponte em (1.995) e
apareceu em sua obra Being Digital. É uma metáfora da passagem do modelo dos
átomos (matéria, massa, transporte) para o modelo de bits de processamento
(imponderabilidade, virtualidade, instantâneo e global).
- Jogos de videogames e em smartphones e tablets.
- UBER
- Airbnb
- Remarketing 
Segurança da informação: relaciona-se com a
proteção de um conjunto de informações, preservando o
valor que possuem para uma pessoa ou organização.
São características básicas da segurança da informação
os atributos de confidencialidade, integridade,
disponibilidade e autenticidade. Ataques, vazamentos
de informações confidenciais, concorrência desleal.
E-commerce: regulamentação do CDC - Decreto n.º
7.962, de 15 de março de 2.013. Direitos e garantias do
consumidor. Sites de compras coletivas. Direito de
crítica/avaliação.
Provas:
- Preservação de provas
- O que são provas?
- Quais são admitidas?
- Perícias e atas notariais
Compliance:
To comply: cumprir
Compliance: cumprimento
Compliance é fazer cumprir as normas, regulamentos, políticas e diretrizes
estabelecidas para o negócio e para as atividades das instituições, bem como evitar,
detectar e tratar qualquer desvio ou desconformidades que possas ocorrer. O correto
é o que deve ser feito mesmo que ninguém esteja fazendo...e o errado segue errado,
ainda que muitos assim o façam.
Compliance é mais que cumprimento de regras. É a manutenção da reputação.
DIREITOS FUNDAMENTAIS NO
AMBIENTE DIGITAL
Anonimato e identificação
 Liberdade de expressão como valor democrático:
 Convicções
 Opiniões
 Debate
 Críticas
 Divergência
 Pluralidade
 Diversidade
Duas visões distintas:
Liberdade de expressão deve ser plena: Ronald Dworkin. Mercado livre de ideias.
Liberdade de expressão deve admitir mais limites: Jeremy Waldron. O limite da liberdade de
expressão é a dignidade da pessoa humana.
Legislação:
CF, art. 5.º. (...)
IV - é livre a manifestação do pensamento, sendo vedado o anonimato;
CF, art. 220. A manifestação do pensamento, a criação, a expressão e a informação, sob
qualquer forma, processo ou veículo não sofrerão qualquer restrição, observado o disposto nesta
Constituição.
“Na internet, ninguém sabe que
você é um cachorro.”
 Controle sobre a sua identidade?

 Salas de bate-papo

 Endereços de email

 Perfis em redes sociais

 Participação em fóruns

 Comentários de notícias
Como identificar alguém na Internet?

PROVEDOR DE APLICAÇÕES

PROVEDOR DE CONEXÃO

IDENTIFICAÇÃO DO TERMINAL
Provedores de aplicações: Facebook, Google, Twitter

Registros de acesso a aplicações de Internet: “o conjunto de informações referentes à

data e hora de uso de uma determinada aplicação de internet a partir de um
determinado endereço IP.” (Art. 4.º, VIII, Lei n.º 12.965/14)

Provedores de conexão: NET, VIVO, TIM

Registros de conexão: “o conjunto de informações referentes à data e hora de início e

término de uma conexão à internet, sua duração e o endereço IP utilizado pelo terminal
para o envio e recebimento de pacotes de dados” (Art. 4.º, VI, Lei n.º 12.965/14).
Lei n.º 12.965/14, art. 7.º. O acesso à internet é essencial ao exercício da cidadania,
e ao usuário são assegurados os seguintes direitos:
I - inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo
dano material ou moral decorrente de sua violação;
II - inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por
ordem judicial, na forma da lei;

III - inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por

ordem judicial; (...)
Lei n.º 12.965/14, art. 10. A guarda e a disponibilização dos registros de conexão e de acesso a aplicações de internet
de que trata esta Lei, bem como de dados pessoais e do conteúdo de comunicações privadas, devem atender à
preservação da intimidade, da vida privada, da honra e da imagem das partes direta ou indiretamente envolvidas.

§ 1.º. O provedor responsável pela guarda somente será obrigado a disponibilizar os registros mencionados no caput,
de forma autônoma ou associados a dados pessoais ou a outras informações que possam contribuir para a
identificação do usuário ou do terminal, mediante ordem judicial, na forma do disposto na Seção IV deste Capítulo,
respeitado o disposto no art. 7.º.

§ 2.º. O conteúdo das comunicações privadas somente poderá ser disponibilizado mediante ordem judicial, nas
hipóteses e na forma que a lei estabelecer, respeitado o disposto nos incisos II e III do art. 7.º.

§ 3.º. O disposto no caput não impede o acesso aos dados cadastrais que informem qualificação pessoal, filiação e
endereço, na forma da lei, pelas autoridades administrativas que detenham competência legal para a sua requisição.
Decreto n.º 8.771/16, art. 11. As autoridades administrativas a que se refere o art. 10, § 3.º da Lei
n.º 12.965, de 2014, indicarão o fundamento legal de competência expressa para o acesso e a
motivação para o pedido de acesso aos dados cadastrais.

§ 1.º. O provedor que não coletar dados cadastrais deverá informar tal fato à autoridade solicitante,
ficando desobrigado de fornecer tais dados.

§ 2.º. São considerados dados cadastrais:

I - a filiação;

II - o endereço; e

III - a qualificação pessoal, entendida como nome, prenome, estado civil e profissão do usuário.

§ 3.º. Os pedidos de que trata o caput devem especificar os indivíduos cujos dados estão sendo
requeridos e as informações desejadas, sendo vedados pedidos coletivos que sejam genéricos ou
inespecíficos.
Lei n.º 12.965/14, art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica e que
exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os
respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança,
pelo prazo de 6 (seis) meses, nos termos do regulamento.

§ 1.º. Ordem judicial poderá obrigar, por tempo certo, os provedores de aplicações de internet que não estão
sujeitos ao disposto no caput a guardarem registros de acesso a aplicações de internet, desde que se trate de
registros relativos a fatos específicos em período determinado.

§ 2.º. A autoridade policial ou administrativa ou o Ministério Público poderão requerer cautelarmente a

qualquer provedor de aplicações de internet que os registros de acesso a aplicações de internet sejam
guardados, inclusive por prazo superior ao previsto no caput, observado o disposto nos §§ 3º e 4º do art. 13.

§ 3.º. Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá ser
precedida de autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 4.º. Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a natureza
e a gravidade da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator, as
circunstâncias agravantes, os antecedentes do infrator e a reincidência.
Lei n.º 12.965/14, art. 13. Na provisão de conexão à internet, cabe ao administrador de sistema autônomo respectivo o dever
de manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano, nos
termos do regulamento.
§ 1.º. A responsabilidade pela manutenção dos registros de conexão não poderá ser transferida a terceiros.

§ 2.º. A autoridade policial ou administrativa ou o Ministério Público poderá requerer cautelarmente que os registros de
conexão sejam guardados por prazo superior ao previsto no caput.

§ 3.º. Na hipótese do § 2o, a autoridade requerente terá o prazo de 60 (sessenta) dias, contados a partir do requerimento,
para ingressar com o pedido de autorização judicial de acesso aos registros previstos no caput.

§ 4.º. O provedor responsável pela guarda dos registros deverá manter sigilo em relação ao requerimento previsto no § 2.º,
que perderá sua eficácia caso o pedido de autorização judicial seja indeferido ou não tenha sido protocolado no prazo
previsto no § 3.º.

§ 5.º. Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá ser precedida de
autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 6.º. Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a natureza e a gravidade
da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator, as circunstâncias agravantes, os
antecedentes do infrator e a reincidência.
RETENÇÃO DE DADOS
SEGUNDO O MARCO CIVIL DA
INTERNET:
  Provedor de Provedor Provedor não
conexão comercial de comercial de
aplicações aplicações
Tipo de dados a Registros de Registros de acesso a aplicações
serem retidos: conexão à internet
Obrigatoriedade Obrigatório Mediante requisição
de retenção dos sem ordem judicial
dados:
Período de 1 ano 6 meses
retenção dos
dados:
Aumento do Mediante requisição sem ordem judicial
período de
retenção:
Acesso aos dados Mediante ordem judicial
retidos:
 O acesso a esses registros depende de ordem judicial

Lei n.º 12.965/14, art. 22. A parte interessada poderá, com o propósito de formar conjunto probatório em
processo judicial cível ou penal, em caráter incidental ou autônomo, requerer ao juiz que ordene ao responsável
pela guarda o fornecimento de registros de conexão ou de registros de acesso a aplicações de internet.

Parágrafo único. Sem prejuízo dos demais requisitos legais, o requerimento deverá conter, sob pena de
inadmissibilidade:

I - fundados indícios da ocorrência do ilícito;

II - justificativa motivada da utilidade dos registros solicitados para fins de investigação ou instrução probatória; e

III - período ao qual se referem os registros.

RESPONSABILIDADE DE
INTERMEDIÁRIOS:
Quem pode ser responsável por conteúdos veiculados na Internet? O que são “conteúdos de
terceiros”? Como modelos de responsabilidade podem interferir na liberdade de expressão? 
Antes do Marco Civil da Internet:
 Cenário de insegurança jurídica
 Pouca uniformidade da jurisprudência
 Possibilidades:
a) Plataformas respondem objetivamente
b) Plataformas respondem subjetivamente (após notificação)
c) Plataformas respondem subjetivamente (após ordem judicial)
Lei n.º 12.965/14, art. 18. O provedor de conexão à internet não será responsabilizado civilmente por danos decorrentes
de conteúdo gerado por terceiros.
Lei n.º 12.965/14, art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de
aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por
terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu
serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as
disposições legais em contrário.
§ 1.º. A ordem judicial de que trata o caput deverá conter, sob pena de nulidade, identificação clara e específica do
conteúdo apontado como infringente, que permita a localização inequívoca do material.
§ 2.º. A aplicação do disposto neste artigo para infrações a direitos de autor ou a direitos conexos depende de previsão
legal específica, que deverá respeitar a liberdade de expressão e demais garantias previstas no art. 5º da Constituição
Federal.
§ 3.º. As causas que versem sobre ressarcimento por danos decorrentes de conteúdos disponibilizados na internet
relacionados à honra, à reputação ou a direitos de personalidade, bem como sobre a indisponibilização desses conteúdos
por provedores de aplicações de internet, poderão ser apresentadas perante os juizados especiais.
§ 4.º. O juiz, inclusive no procedimento previsto no § 3.º, poderá antecipar, total ou parcialmente, os efeitos da tutela
pretendida no pedido inicial, existindo prova inequívoca do fato e considerado o interesse da coletividade na
disponibilização do conteúdo na internet, desde que presentes os requisitos de verossimilhança da alegação do autor e de
fundado receio de dano irreparável ou de difícil reparação.
RE n.º 1.037.396/SP: caso em que um usuário descobriu que havia um perfil falso no Facebook. Na ação, além dos
dados, foi pedida indenização. No primeiro grau a indenização foi indeferida; no recurso foi deferida a indenização e
ainda suscitou questão constitucional sobre o art. 19 do Marco Civil da Internet, por não proteger adequadamente a
honra e a imagem das pessoas.

EMENTA Direito Constitucional. Proteção aos direitos da personalidade. Liberdade de expressão e de manifestação.
Violação dos arts. 5º, incisos IV, IX, XIV; e 220, caput, §§ 1º e 2º, da Constituição Federal. Prática de ato ilícito por
terceiro. Dever de fiscalização e de exclusão de conteúdo pelo prestador de serviços. Reserva de jurisdição.
Responsabilidade civil de provedor de internet, websites e gestores de aplicativos de redes sociais.
Constitucionalidade ou não do art. 19 do Marco Civil da Internet (Lei nº 12.965/14) e possibilidade de se condicionar
a retirada de perfil falso ou tornar indisponível o conteúdo apontado como infringente somente após ordem judicial
específica. Repercussão geral reconhecida. (RE n.º 1.037.396 RG, Relator(a): DIAS TOFFOLI, Tribunal Pleno,
julgado em 01/03/2.018, PROCESSO ELETRÔNICO DJe-063 DIVULG 03/04/2.018 PUBLIC 04/04/2.018)
“Fake news”? Qual seria a responsabilidade dos provedores? Haverá responsabilidade
após ordem judicial, caso não seja cumprida.

URL = uniform resource locator. Necessidade de indicação dos links onde o material se
encontra.

Lei n.º 12.965/14, art. 19. (...)

§ 1.º. A ordem judicial de que trata o caput deverá conter, sob pena de nulidade,
identificação clara e específica do conteúdo apontado como infringente, que permita a
localização inequívoca do material.
Caso Botelho (STJ): foram publicados vídeos de cursos na rede social “Orkut”, violando
direito autoral. O STJ reforçou que o autor deveria fornecer todos os links.
Caso Nissim Ourfali (TJSP) (Processo n.º 0192672-12.2012.8.26.0100):

- 1.ª instância: necessidade de indicação de URL 2.ª instância: plataforma deve retirar
vídeos que façam menção ao autor, mesmo sem links

- 2.ª instância: plataforma deve retirar vídeos que façam menção ao autor, mesmo sem
links

Caso Cristiano Araújo (TJGO) (Processo n.º 357751-62.2015.8.09.0051)

Lei n.º 12.965/14, art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de
aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado
por terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do
seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as
disposições legais em contrário.

§ 1.º. A ordem judicial de que trata o caput deverá conter, sob pena de nulidade, identificação clara e específica do
conteúdo apontado como infringente, que permita a localização inequívoca do material.

§ 2.º. A aplicação do disposto neste artigo para infrações a direitos de autor ou a direitos conexos depende de
previsão legal específica, que deverá respeitar a liberdade de expressão e demais garantias previstas no art. 5º da
Constituição Federal.

§ 3.º. As causas que versem sobre ressarcimento por danos decorrentes de conteúdos disponibilizados na internet
relacionados à honra, à reputação ou a direitos de personalidade, bem como sobre a indisponibilização desses
conteúdos por provedores de aplicações de internet, poderão ser apresentadas perante os juizados especiais.

§ 4.º. O juiz, inclusive no procedimento previsto no § 3.º, poderá antecipar, total ou parcialmente, os efeitos da tutela
pretendida no pedido inicial, existindo prova inequívoca do fato e considerado o interesse da coletividade na
disponibilização do conteúdo na internet, desde que presentes os requisitos de verossimilhança da alegação.
Lei n.º 12.965/14, art. 20. Sempre que tiver informações de contato do usuário diretamente
responsável pelo conteúdo a que se refere o art. 19, caberá ao provedor de aplicações de
internet comunicar-lhe os motivos e informações relativos à indisponibilização de conteúdo,
com informações que permitam o contraditório e a ampla defesa em juízo, salvo expressa
previsão legal ou expressa determinação judicial fundamentada em contrário.

Parágrafo único. Quando solicitado pelo usuário que disponibilizou o conteúdo tornado
indisponível, o provedor de aplicações de internet que exerce essa atividade de forma
organizada, profissionalmente e com fins econômicos substituirá o conteúdo tornado
indisponível pela motivação ou pela ordem judicial que deu fundamento à indisponibilização.
Lei n.º 12.965/14, art. 21. O provedor de aplicações de internet que disponibilize conteúdo
gerado por terceiros será responsabilizado subsidiariamente pela violação da intimidade
decorrente da divulgação, sem autorização de seus participantes, de imagens, de vídeos ou
de outros materiais contendo cenas de nudez ou de atos sexuais de caráter privado quando,
após o recebimento de notificação pelo participante ou seu representante legal, deixar de
promover, de forma diligente, no âmbito e nos limites técnicos do seu serviço, a
indisponibilização desse conteúdo.

Parágrafo único. A notificação prevista no caput deverá conter, sob pena de nulidade,
elementos que permitam a identificação específica do material apontado como violador da
intimidade do participante e a verificação da legitimidade para apresentação do pedido.
A liberdade de expressão não é absoluta

CF, art. 5.º. (...)

X - são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas,

assegurado o direito a indenização pelo dano material ou moral decorrente de sua
violação;
Limites e direitos reputacionais:

 Humor como termômetro;

 Internet abriu novos canais e agregou novos atores ao processo de criação de conteúdos de humor;

 Maior facilidade para produzir conteúdos (dispositivos e aplicativos);

 Diferentes plataformas e formatos de publicação;

 Baixo controle editorial

Como esses limites têm sido estabelecidos? Quais os riscos de abuso que existem por trás de institutos
como o “direito à honra” e o “direito à imagem”?
Fontes: https://internetlab.org.br/pt/projetos/humor-e-liberdade-de-expressao-2/
https://www.conjur.com.br/2016-ago-31/dennys-antonialli-dano-moral-ameaca-liberdade-humor-internet

Pesquisa sobre humor na Internet

 Casos de natureza cível;

 2.ª instância: todos os TJs, STJ e STF; Busca a partir da combinação dos termos “humor”, “sátira”,
“paródia”, “piada”, “ironia”, “sarcasmo”, “comédia” e “charge” com “Internet”, “online”, “virtual” e “rede”;

 1.004 decisões judiciais analisadas;

 119 apelações e 29 agravos de instrumento selecionados

Média dos valores de indenização arbitrados em 2.ª instância:

Políticos: R$ 16.352,38

Pessoas comuns: R$ 13.800,00

DIREITO AO ESQUECIMENTO
 A Internet eternizou memórias?

 Isso é uma ameaça à privacidade, à honra e à imagem?

 Como equacionar essa “memória permanente” da Internet com esses direitos?

Pedidos de remoção/desindexação de conteúdo risco de que sejam “apagadas” informações de relevante

interesse público. O que deve ser ponderado no momento da decisão? quais os direitos em jogo?

 direito à honra / imagem

 direito à informação / interesse público

 liberdade de expressão
Direito ao esquecimento na Europa:

Mario Costeja Gonzalez e AEPD v. Google (C131/12, de 13 de maio de 2.014)

 Direito de desindexação foi reconhecido. Questões afetas à uma execução civil, que foram publicadas na
internet. Entretanto, após ser resolvida a execução, as informações permaneceram na internet. Interessados
podem dirigir pedido diretamente à plataforma, que deve decidir a respeito de seu acolhimento. Mecanismos
de busca devem avaliar se as informações são “imprecisas, inadequadas, irrelevantes ou excessivas”. A
plataforma deve decidir realizar ou não a desindexação. Não é um direito exercido em relação aos sites que
postaram a informação, mas é direcionado aos mecanismos de busca.

Relatório de transparência do Google: https://transparencyreport.google.com/eu-privacy/overview?hl=pt_BR

Remoções globais: CNIL v. Google
“Caso Xuxa”: STJ (REsp n.º 1.316.921) – o provedor de internet serve apenas como
intermediário e, como não produziu nem exerceu fiscalização sobre as mensagens e
imagens transmitidas, não pode ser responsabilizado por eventuais excessos. Min.
Nancy Andrighi: “Se a página possui conteúdo ilícito, cabe ao ofendido adotar
medidas tendentes à sua própria supressão, com o que estarão, automaticamente,
excluídas dos resultados de busca virtual dos sites de pesquisa.”
Caso chacina da candelária: o STJ (REsp n.º 1.334.097) reconheceu o direito ao
esquecimento para um homem inocentado da acusação de envolvimento na chacina
da Candelária, retratado por programa de TV anos após absolvição. Min. Luis Felipe
Salomão: “o interesse público que órbita o fenômeno criminal tende a desaparecer na
medida em que também se esgota a resposta penal conferida ao fato criminoso, a
qual, certamente, encontra seu último suspiro, com a extinção da pena ou com a
absolvição, ambas irreversivelmente consumadas.”
Caso Aida Curi: o STJ (REsp n.º 1.335.153) negou direito ao esquecimento em caso
de programa de TV que divulgou nome da vítima e de fotos reais do crime. A 4.ª
turma entendeu que. nesse caso, o crime era indissociável do nome da vítima: “o
tempo, que se encarregou de tirar o caso da memória do povo, também fez o trabalho
de abrandar seus efeitos sobre a honra e a dignidade dos familiares.”
Parecer PGR no caso Aida Curi (ARE n.º 833.248): “direito a esquecimento é a
vedação de acesso à informação não só por parte da sociedade em geral, mas
também de estudiosos como sociólogos, historiadores e cientistas políticos” “impedir
circulação e divulgação de informações elimina a possibilidade de que esses atores
sociais tenham acesso a fatos que permitam à sociedade conhecer seu passado,
revisitá-lo e sobre ele refletir.”
REsp n.º 1.660.168/RJ: caso de desindexação de informação de uma funcionária
pública sobre fraude no concurso em que ela foi aprovada.
"Os sites de busca se tornaram importantes ferramentas, especialmente para
consultar fatos e informações sobre pessoas, podendo apresentar dados que
prejudicam o indivíduo pesquisado a depender dos links apresentados nos seus
resultados"
Problemas: Como saber quais informações serão úteis ou relevantes no futuro? O
direito ao esquecimento seria um direito de “editara própria história”? Como ficam as
histórias de futuros políticos? Direito ao esquecimento precisa ser ponderado com o
direito à memória e ao acesso à informação.
BIG DATA
A ciência sempre se baseou na observação e tratamento de dados

 Dados do aparelho;

 Mensagens;

 Dados de localização;

 Preferências;

 Fotos;

 Músicas;

 Dados gerados pelos aplicativos

Nesse contexto, temos:

 Aumento da capacidade de gerar dados e registros;

 Maior capacidade de armazenamento de dados;

 Novas possibilidades de cruzamento e tratamento de dados.

 Facilidade de acesso a dados e registros

Big Data: o conceito

 Utilização e/ou manipulação de bases de dados grandes e complexos para a

obtenção de resultados, inferências ou conclusões.

 Conjunto de técnicas e ferramentas capazes de extrair resultados significativos de

bases de dados desestruturadas. 
Big data: aplicações

 Projeto Genoma: mapeamento de genes 

 Futebol. “Hoje, todos os 20 estádios de futebol da Premier League no Reino Unido estão
equipados com um conjunto de 8-10 câmeras digitais que rastreiam cada jogador em campo.
Dez pontos de dados são coletados a cada segundo para cada um dos 22 jogadores em campo,
gerando 1,4 milhões de pontos de dados por jogo. Analistas (da ProZone) irão então codificar os
dados para identificar cada dividida, tiro ou passe, a fim de permitir aos gestores e analistas de
desempenho obter insights sobre o que exatamente aconteceu em cada jogo” (Bernard Marr)

 Marketing político: Cambridge Analytica. Testes do Facebook cruzaram dados sobre usuários.
 “Internet das coisas”: grande número de dispositivos e aparelhos funciona de
forma interligada e conectada à Internet;

 Grande volume de dados;

 Registros sobre hábitos, localização, data, hora, etc.;

 Novas possibilidades de cruzamento de dados.

Big data: conclusões

 O fenômeno conhecido como “big data” surge com o aumento da capacidade de gerar,
coletar, armazenar e tratar dados;

 Sua principal característica é a utilização de grandes e complexas bases de dados;

 Técnicas de cruzamento e tratamento de dados são desenvolvidas para extrair conclusões e

inferências dessas bases de dados (ex.: algoritmos).

 A publicidade como modelo de negócios

Publicidade comportamental: emprego de conjunto de técnicas que tornam possível identificar, de
maneira probabilística, traços de comportamento do usuário, que permitem inferir seus interesses
e preferências;

 Quanto mais dados, mais apuradas podem ser as inferências e mais valiosas elas se tornam.

 Dados podem ser a) voluntariamente fornecidos pelo usuário ou b) coletados de forma

automatizada;

 Dados podem ser armazenados de forma anonimizada ou não;

 Dados anonimizados podem ser reidentificados;

 Dados coletados são caracterizados como pessoais quando se relacionam a uma
pessoa identificada ou identificável

 Muitos dos dados utilizados pelas técnicas de tratamento de dados (como

algoritmos) são dados pessoais;

 Combinados, esses dados podem levar a inferências sobre fatos inimagináveis

pelo usuário.

 Caso da empresa Target (EUA).

 Curtidas do Facebook: Apply Magic Sauce – ferramenta que traça um perfil psicológico a partir das
páginas do Facebook que o usuário curtiu - https://applymagicsauce.com/

 Empresas podem reunir e inferir características sobre o usuário que possibilitem a formação de perfis
detalhados de sua personalidade (“profiling”);

 Possível aumento do poder de manipulação dessas empresas sobre o usuário. Ex.: geladeira do futuro

 Dados e perfis podem ser vendidos ou compartilhados com terceiros (atenção para os termos das
políticas de privacidade!);

 Possibilidade de ocorrência de falhas de segurança e ataques que culminem no vazamento ou

exposição desautorizada de dados.
Princípio da finalidade: os dados coletados devem ser utilizados apenas para a finalidade para a qual foram
originalmente coletados;

 Desafio: como prever todas as finalidades antes de se ter acesso aos bancos de dados desestruturados?

 Além das empresas, governos também podem se beneficiar com “big data”;

 Argumentos envolvendo questões de segurança nacional podem gerar mais vigilância;

 As denúncias de Edward Snowden chamaram a atenção para a possibilidade de promiscuidade entre as

informações obtidas pelas empresas e aquelas obtidas pelo governo dos Estados Unidos;

 Quanto mais informações as empresas puderem reunir sobre o cidadão, mais valiosos são os seus
bancos de dados também para questões de vigilância.
Big data e privacidade: conclusões

 Os modelos de negócios baseados na publicidade comportamental fomentaram práticas de coletas

massivas de dados pessoais;

 Esses bancos de dados pessoais são tratados como “big data”;

 Inferências obtidas pelas empresas aumentam seu poder de manipulação sobre o usuário;

 Inferências podem ser vendidas, compartilhadas e acessadas por terceiros, incluindo os governos;

 “Big data” pode servir a interesses ligados à vigilância;

 Inferências podem gerar situações de discriminação e de danos aos cidadãos e usuários.

Modelos regulatórios:

 Modelo setorial (EUA):

 Legislações regem a utilização de dados pessoais em setores específicos, como saúde, dados
relativos à crianças, dados financeiros, etc.;

 Não há legislação genérica em relação aos demais casos: fiscalização pela Federal Trade
Commission (FTC) com base na legislação de proteção ao consumidor;

 Modelo de notificação e escolha.

 Modelo legislativo (União Europeia):

 Legislações específicas regem a proteção de dados pessoais de forma genérica;

 Legislações nacionais devem respeitar a Diretiva 95/46/CE;

 Autoridades de garantia atuam na aplicação, tutela e fiscalização do direito à privacidade

Panorama legislativo brasileiro:

CF, art. 5.º. (...)

X - são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a
indenização pelo dano material ou moral decorrente de sua violação;

LXXII - conceder-se-á habeas data:

a) para assegurar o conhecimento de informações relativas à pessoa do impetrante, constantes de registros ou

bancos de dados de entidades governamentais ou de caráter público;

b) para a retificação de dados, quando não se prefira fazê-lo por processo sigiloso, judicial ou administrativo; (+
Lei n.º 9.507/97)

 Marco Civil da Internet (Lei n.º 12.965/14): aplicação e escopo

 Lei de Proteção de Dados Pessoais (Lei n.º 13.709/18): aplicação e escopo

 Veto presidencial à autoridade de garantia

Linhas jurisprudenciais:

 TJRS (apelação no 70060163623): Venda de dados pessoais como CPF, endereço, data de
nascimento, telefone sem consentimento expresso do cidadão não é ilícita;

 Dados não são sigilosos ou “sensíveis”;

 Informações pessoais de interesse público;

 Não há dano pelo mera “importunação telefônica”;

 Não há dano pelo mero “risco” de utilização dos dados vendidos para fraudes;

 16.ª Vara Cível de Porto Alegre (Processo 001/11401789987): Venda de dados pessoais como CPF,
endereço, data de nascimento, telefone sem consentimento expresso do cidadão é ilícita;

 Há dano por “mera” importunação telefônica, mensagens de marketing e telemarketing indesejadas;

 Há dano pela exposição do cidadão a fraudes pelo uso indevido dos dados vendidos;
 1ª Vara Federal RN (processo no 0805175-58.2015.4.05.8400): Venda de dados
pessoais como CPF, endereço, data de nascimento, telefone sem consentimento
expresso do cidadão é ilícita;

 Potencial de dano agravado pelos dados serem disponibilizados por meio da

Internet;

 Domínio registrado na Suécia e empresa controladora sediada em Seychelles:

ordem de bloqueio ao site pelas empresas que administram o serviço de acesso a
backbones;
Conclusões:

 Pouca uniformidade;

 Indefinição em relação ao que configura dano;

 Indefinição em relação às situações em que o consentimento deve ser expresso;

 Necessidade de consolidação de entendimentos jurisprudenciais;

 Papel da autoridade?
Acesso a comunicações: telefonia e internet

CF, art. 5.º. (...)

XII - é inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações
telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para
fins de investigação criminal ou instrução processual penal;

 Comunicações telefônicas e telemáticas: Lei de Interceptações (Lei n.º 9.296/96). Quando a lei
regulamentou a comunicação, tratou do fluxo de comunicações. Requisitos específicos:

 indícios razoáveis de autoria ou participação em infração penal;

 meio indispensável de prova;

 infrações penais punidas com, no máximo, pena de detenção estão excluídas;

 ordem judicial específica, individualizada e com prazo determinado (15 dias);

 rigor do crivo judicial.

Dados de comunicações armazenadas. Não se trata de interceptação. Hoje os dados ficam
gravados, armazenados. A Lei n.º 9.296/96 não foi pensada para dados armazenadas.

Marco Civil da Internet (Lei n.º 12.965/14):

Art. 7, III: inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por ordem
judicial

Art. 10, § 2.º: o conteúdo das comunicações privadas somente poderá ser disponibilizado
mediante ordem judicial, nas hipóteses e na forma que a lei estabelecer, respeitado o disposto
nos incisos II e III do art. 7.º. Não há regulamentação específica estabelecendo requisitos de
proteção.
PROCESSUAL PENAL. OPERAÇÃO "LAVA-JATO". MANDADO DE BUSCA E APREENSÃO. APREENSÃO
DE APARELHOS DE TELEFONE CELULAR. LEI 9296/96. OFENSA AO ART. 5º, XII, DA CONSTITUIÇÃO
FEDERAL. INOCORRÊNCIA. DECISÃO FUNDAMENTADA QUE NÃO SE SUBORDINA AOS DITAMES DA
LEI 9296/96. ACESSO AO CONTEÚDO DE MENSAGENS ARQUIVADAS NO APARELHO.
POSSIBILIDADE. LICITUDE DA PROVA. RECURSO DESPROVIDO. I - A obtenção do conteúdo de
conversas e mensagens armazenadas em aparelho de telefone celular ou smartphones não se subordina
aos ditames da Lei 9296/96. II - O acesso ao conteúdo armazenado em telefone celular ou smartphone,
quando determinada judicialmente a busca e apreensão destes aparelhos, não ofende o art. 5º, inciso XII,
da Constituição da República, porquanto o sigilo a que se refere o aludido preceito constitucional é em
relação à interceptação telefônica ou telemática propriamente dita, ou seja, é da comunicação de dados, e
não dos dados em si mesmos. III - Não há nulidade quando a decisão que determina a busca e apreensão
está suficientemente fundamentada, como ocorre na espécie. IV - Na pressuposição da ordem de apreensão
de aparelho celular ou smartphone está o acesso aos dados que neles estejam armazenados, sob pena de
a busca e apreensão resultar em medida írrita, dado que o aparelho desprovido de conteúdo simplesmente
não ostenta virtualidade de ser utilizado como prova criminal. V - Hipótese em que, demais disso, a decisão
judicial expressamente determinou o acesso aos dados armazenados nos aparelhos eventualmente
apreendidos, robustecendo o alvitre quanto à licitude da prova. Recurso desprovido. (RHC n.º 75.800/PR,
Rel. Ministro FELIX FISCHER, QUINTA TURMA, julgado em 15/09/2.016, DJe 26/09/2.016)
Quais seriam as balizas para acesso à esses dados? Certamente deve tutelar os valores
presentes na CF.

Legislação aplicada a dados armazenados no exterior. Art. 11 do Marco Civil da Internet.

Mecanismos de cooperação internacional. ADC n.º 51.

Criptografia de ponta a ponta. A partir do momento em que se popularizou, as comunicações

ficaram mais seguras, mais protegidas, porém cria barreiras para a ação das autoridades.
Criptografia do WhatsApp, por exemplo. É lícito essa criptografia? STF: ADPF n.º 403.
Proporcionalidade do bloqueio do aplicativo de mensagem. ADI n.º 5.527:
constitucionalidade dos incisos III e IV do art. 12 do Marco Civil. Internet lab:
https://internetlab.org.br/en/projetos/bloqueios-info/

Apreensão dos dispositivos. Se a criptografia impediu o acesso aos dados durante o fluxo,
conseguindo o dispositivo, haveria acesso fácil ao conteúdo. Pesquisa:
https://internetlab.org.br/pt/itens-semanario/privacidade-acesso-a-dados-em-celulares-apree
ndidos-no-local-do-crime-nao-depende-de-autorizacao-judicial-defende-pgr/
NORMATIVOS DE SEGURANÇA
DA INFORMAÇÃO:
 Sociedade Digital;

 Desafios;

 O que é a Segurança da Informação (trata-se de todos os dados que são importante para uma empresa, não somente
os dados pessoais);

 Proteção Técnica X Proteção Jurídica;

 Estrutura Normativa;

 Política de Segurança da Informação;

 Principais Temas;

 Mudança de Cultura.
Segurança cibernética está dentro da segurança da informação, pois trata-se de
dados digitalizados.

Vivemos na era em que tudo migrou para Internet...

Dinheiro no banco, criptomoedas... Compras são feitas online. Hoje temos lojas
apenas para mostrar produtos. A comunicação é feita por aplicativo de mensagem,
quase ninguém liga. Os riscos também estão na internet.

Casos diversos sobre dados, envolvendo também ransomware:

Onda de ciberataques atinge órgãos e empresas em ao menos 74 países
Disponível em
https://www1.folha.uol.com.br/mundo/2017/05/1883408-mega-ciberataque-derruba-sistemas-de-comunicacao-ao-red
or-do-mundo.shtml

Ataque a computadores tira páginas do governo federal do ar

Disponível em
https://www.jornaldocomercio.com/_conteudo/2017/05/economia/562384-ataque-a-computadores-tira-paginas-do-go
verno-federal-do-ar.html

Cerca de 3 mil consultas e exames foram cancelados e 350 pacientes deixaram de realizar tratamento de radioterapia
nesta terça-feira (27) depois que o sistema do Hospital de Câncer de Barretos (SP) foi invadido por hackers.
Disponível em
https://g1.globo.com/sp/ribeirao-preto-franca/noticia/ataque-de-hackers-suspende-3-mil-consultas-e-exames-nas-uni
dades-do-hospital-de-cancer-de-barretos-sp.ghtml

Netshoes ligará para 2 milhões de clientes afetados por vazamento de dados

Disponível em
https://g1.globo.com/df/distrito-federal/noticia/netshoes-ligara-para-2-milhoes-de-clientes-afetados-por-vazamento-d
e-dados.ghtml
Banco Inter vazou dados de quase 20 mil clientes, diz investigação do MP. Instituição financeira pode
ser condenada a pagar R$ 10 milhões por não proteger informações de correntistas
Disponível em https://tecnoblog.net/noticias/2018/07/31/banco-inter-vazou-dados-correntistas-acao-mp/
De novo! Banco Inter deixou dados de 1,45 milhão de clientes expostos
Disponível em
https://www.tudocelular.com/seguranca/noticias/n138074/banco-inter-vazamento-dados.html
Ações da Equifax após roubo de dados de 143 milhões de norte-americanos
Disponível em https://www.reuters.com/article/tech-equifax-vazamento-idBRKCN1BJ1W5-OBRIN
Microsoft fecha a compra do Linkedin por US$ 26,2 bilhões
Disponível em
https://epocanegocios.globo.com/Empresa/noticia/2016/12/microsoft-fecha-compra-do-linkedin-por-us-2
62-bilhoes.html

Empresa de bitcoin é acusada de vazamento de dados; Atlas Quantum diz que clientes não tiveram perda.
Segundo promotores, empresa que negocia moedas digitais, as chamadas criptomoeadas, permitiu que
informações de 264 mil clientes fossem divulgadas.
Disponível em
https://g1.globo.com/df/distrito-federal/noticia/2019/04/26/empresa-de-bitcoin-e-acusada-de-vazamento-
de-dados-mp-cobra-r-10-milhoes-em-indenizacao.ghtml
 A Microsoft, ao adquirir a Linkedin, em 2.016, pagou 26 bilhões de
dólares por um cadastro de 430 milhões de usuários e 100 milhões de
visitantes por mês. O valor desembolsado representa U$ 60 dólares por
usuário ou 260 dólares por visitante mensal.

 Dados de 2.016 apontaram que o Facebook possuía 1 bilhão de usuários

ativos diários (e 1,6 bilhão mensais), faturava mais de 5 bilhões por trimestre
(Facebook, 2.016). Assim, cada usuário ativo diário que se utiliza do
aplicativo, quer seja postando ou curtindo conteúdos, representava 20 dólares
de faturamento anual para a empresa.
REPORTS WORLDWIDE. Os crimes digitais em números

 A cada 40 segundos uma empresa é vítima de um ataque de Ransomware

 Segundo o FBI, anualmente são gastos aproximadamente US$ 1 bilhão com resgates nestes
ataques

 Calcula-se que os danos causados pelos ataques ultrapassaram os US$ 5 bilhões em 2017

 Mais de 90% dos casos de invasões bem sucedidas e vazamentos de dados estão relacionadas ao
phishing;

 Planos de respostas a incidentes e treinamentos dos funcionários sobre como reconhecer e reagir
ao phishing são os melhores ROIs em segurança digital para empresas em todo o mundo
“Você pode investir uma fortuna comprando tecnologia e serviços, e a
infraestrutura da sua rede continuará vulnerável à manipulação da mais
obsoleta.” Kevin Mitnick, Hacker e atual consultor da KnowBe4, sobre a
vulnerabilidade de rede perante à engenharia social. Fonte: Veja, 21 fev. 2018.

Relatório McAfee:
https://www.mcafee.com/enterprise/en-us/solutions/lp/economics-cybercrime.html

Herjavec Group:
https://www.herjavecgroup.com/2021-healthcare-cybersecurity-report-cybersecurity-ve
ntures/
Brasil perde US$ 10 bilhões por ano com cibercrime, diz McAfee
Disponível em
https://veja.abril.com.br/economia/brasil-perde-us-10-bilhoes-por-ano-com-cibercri
me-diz-mcafee/
SEGURANÇA DA
INFORMAÇÃO
Segurança da Informação: ABNT NBR ISO/IEC 27002:2013. Trata-se de
uma norma que coleta uma série de processos, procedimentos e informações
para que a empresa implemente um sistema de gestão da informação. Trata-
se de ISO relacionado à segurança da informação.

Conceito: segurança da informação é a proteção da informação de vários

tipos de ameaças para garantir a continuidade do negócio, minimizar o
risco ao negócio, maximizar o retorno sobre os investimentos e as
oportunidades de negócio.
5 pilares SI:

Confidencialidade: os dados devem alcançar somente os destinatários desejados pelo

proprietário;

Integridade: os dados não devem sofrer modificação indesejada;

Disponibilidade: os dados devem estar acessíveis; importância do backup;

Autenticidade: quem acessou ou inseriu dados é quem se disse ser – não repúdio;

Legalidade: os dados devem ser criados e operados de acordo com os termos da lei
vigente.
Proteção técnica da disponibilidade: backup

Proteção jurídica da disponibilidade: contrato - Acordo de Nível de

Serviço

Decreto n.º 6.523/08 – Lei do SAC:

Art. 5.º. O SAC estará disponível, ininterruptamente, durante vinte e quatro

horas por dia e sete dias por semana, ressalvado o disposto em normas
específicas.
Proteção técnica da confidencialidade: Configuração de permissões

Proteção jurídica da confidencialidade: acordos de confidencialidade; cláusulas de

confidencialidade.

Lei n.º 12.527 de 2011 – Lei de Acesso à Informação:

Art. 24. A informação em poder dos órgãos e entidades públicas, observado o seu teor e em
razão de sua imprescindibilidade à segurança da sociedade ou do Estado, poderá ser
classificada como ultrassecreta, secreta ou reservada.

§ 1.º. Os prazos máximos de restrição de acesso à informação, conforme a classificação

prevista no caput, vigoram a partir da data de sua produção e são os seguintes:

I - ultrassecreta: 25 (vinte e cinco) anos;

II - secreta: 15 (quinze) anos; e

III - reservada: 5 (cinco) anos.

Proteção técnica da integridade: Função Hash

Proteção jurídica da integridade: Ata Notarial

Proteção jurídica da autenticidade: Utilização de certificados, Nome de usuário e digitais senha

Proteção técnica da autenticidade: Proteger o sigilo do fator de autenticação; não contar senhas
ou emprestar certificados digitais

Medida Provisória nº 2.200-2 de 2001

Art. 10. Consideram-se documentos públicos ou particulares, para todos os fins legais, os
documentos eletrônicos de que trata esta Medida Provisória.

§ 1.º. As declarações constantes dos documentos em forma eletrônica produzidos com a utilização
de processo de certificação disponibilizado pela ICP-Brasil presumem-se verdadeiros em relação
aos signatários, na forma do art. 131 da Lei no 3.071, de 1o de janeiro de 1916 -Código Civil.
(atual art. 219)

§ 2.º. O disposto nesta Medida Provisória não obsta a utilização de outro meio de comprovação
da autoria e integridade de documentos em forma eletrônica, inclusive os que utilizem certificados
não emitidos pela ICP-Brasil, desde que admitido pelas partes como válido ou aceito pela pessoa
a quem for oposto o documento.
Algumas Definições de Segurança da Informação

Vulnerabilidade de segurança: uma fraqueza em um ativo ou controle que

pode ser explorada por uma ou mais ameaças. Ex.:

 Hardware (manutenção insuficiente);

 Software (sem registro de logs; interfaces complicadas);

 Rede (Ausência de transferências criptografadas);

 Pessoal (falta de treinamento e de supervisão);

 Instalações (sistemas elétricos instáveis; susceptibilidade a enchentes);

 Estrutura organizacional (falta de segregação de função).

Conceito de Ameaça: Causa potencial de um incidente indesejável que
possa resultar em prejuízo a um sistema ou organização. Exemplos:

 Danos físicos (fogo);

 Desastres naturais (terremoto);

 Perda de serviço essencial (“apagão”);

 Queda causada por radiação (radiação eletromagnética);

 Comprometimento da informação (furto de documentos);

 Falha técnica (sobrecarga da rede);

 Ação não autorizada (uso de software “pirata”).

Vulnerabilidade e Ameaça: A simples presença de uma vulnerabilidade não
produz dano – uma ameaça precisa explorar essa vulnerabilidade para que ele
ocorra.

A segurança da informação envolve dados de todos os tipos:

 Impressos e escritos à mão

 Gravados usando suporte técnico

 Transmitidos por e-mail ou eletronicamente

 Incluídos em um website

 Mostrados em um vídeo corporativo

 Mencionados em conversas, etc.

Segurança da Informação: É o conjunto de medidas preventivas, detectivas,
repressivas e corretivas, bem como procedimentos e processos que asseguram a
disponibilidade, integridade, confidencialidade, autenticidade e legalidade de
todas as formas de informação e durante todo o ciclo de vida do dado. E deve
ser implementada em 3 níveis:

 TÉCNICO (ferramentas)

 JURÍDICO (documentação)

 COMPORTAMENTAL (conscientização)
É necessário considerar as seguintes ameaças:

 Sequestro de dados

 Corporativo e Pesssoal

 Hackers

 Wi-fi

 Mobilidade

 Vírus
Implementação da Segurança da Informação:

 Política de Segurança da Informação, Normas e Procedimentos

relacionados;

 Termos de Responsabilidade e Cláusulas contratuais (colaboradores e

prestadores de serviços)

 Programas de treinamento em segurança da informação

 Controles e monitoramento em recursos tecnológicos e sistemas de

informação

 Gestão de incidentes

 Medidas Disciplinares
ESSAS NORMATIVAS SÃO
VÁLIDAS?
Aspectos da legislação trabalhista

 A previsão contratual

Art. 444 da CLT: As relações contratuais de trabalho podem ser objeto de

livre estipulação das partes interessadas em tudo quanto não contravenha às
disposições de proteção ao trabalho, aos contratos coletivos que lhes sejam
aplicáveis e às decisões das autoridades competentes.
Jurisprudência – Justa Causa

“Cláusula de confidencialidade. Incorre nas hipóteses de justa dispensa o

empregado que conscientemente transgride cláusula contratual que impede a
retirada de documentos do âmbito da empresa sem expressa autorização,
colocando em risco o sistema de segurança adotado. (..) o reclamante
transgrediu o regulamento interno da empresa ao remeter para seu endereço
eletrônico particular arquivos contendo o desenvolvimento de projetos de
propriedade da demandada, sem autorização.” (TRT02, RO, acordão nº.
20090369100, Rel. Ana Maria C.B. Silva, Julgado em 12/05/2.009)
 INDICADORES DA POLÍTICA (OU
NORMAS) DE SEGURANÇA DA
INFORMAÇÃO:
N.º Indicadores Fonte
1 Prover diretrizes e suporte para a segurança da informação ISO 27002 -5.1
2 A PSI deve ser suportada e apoiada pela alta direção ISO 27002 -5.1.1
3 Interpretação restritiva da PSI ISO 27002 -5.1 e 18.2.1
4 Definir segurança da informação ISO 27002 -5.1.1
5 Dever de cumprir com o Código de Ética e proibição de toda forma de corrupção, fraude, ISO 27002 17.1 e Lei nº 12.846
suborno, favorecimento, extorsão, benefícios e vantagens, nos termos da Lei n. 12.846 –
  Lei de Anticorrupção  
6 Propriedade da informação e dos recursos tecnológicos é da Empresa ISO 27002 -8.1.2
 
7 Obrigatoriedade do uso dos recursos tecnológicos para finalidade estritamente profissional ISO 27002 -8.1.3

8 Dever de proteção dos ativos intangíveis da Empresa ISO 27002 -8.1.2 + artigo 209 e
artigo 195 da Lei 9.279/96
 
9 Dever de cumprir com sigilo profissional Artigo 153, Código Penal e artigo
195 da Lei 9.279/96
 
10 Dever de classificação da informação ISO 27002 8.2
11 Dever de cumprir com o nível de segurança exigido pela classificação ISO 27002 8.2.1
12 Dever de armazenamento das informações na rede ISO 27002 -13.2 e 13.2.4
13 Previsão de uso de controles criptográficos ISO 27002 -10.1
14 Inventário dos recursos ISO 27002 -8.1.1
15 Proteção da identidade digital ISO 27002 -9.3.1 + artigo 5º,
IV, da Constituição Federal
 

16 Uso de softwares e hardwares legítimos, previamente homologados ou ISO 27002 -12.6.2 + Artigo
autorizados 184, do Código Penal + Lei
9.609 (Lei de Software)
 

17 Uso de conteúdos legais e legítimos, sempre com a devida citação de fonte e ISO 27002 -18.1.2, Artigos 46
autoria ao 48 da Lei nº 9.610, Lei nº
9.279 + artigo 184, do Código
 
Penal
18 Obrigatoriedade de uso de recursos de segurança (antivírus, antispyware, ISO 27002 -12.2
criptografia ou similar e firewall) e de mantê-los sempre ativos e atualizados
   
19 Proibição de conteúdos pessoais, pornográficos, antiéticos, ilícitos ou não Art. 482, CLT
condizentes com ambiente de trabalho
20 Acesso à rede institucional somente por funcionários e pessoas prévia e ISO 27002 -6.2.1 e 13.1.3
expressamente autorizadas
21 Dever de mesa limpa ISO 27002 11.2.9
22 Dever de tela limpa e de bloqueio do recurso ao se ausentar ISO 27002 11.2.9
23 Obrigatoriedade de redação com linguagem adequada, evitando excesso de Artigo 483, CLT
intimidade e palavras no diminutivo
24 Dever uso de dispositivo móvel de maneira ética e segura ISO 27002 6.2.1; 6.2.2; 13.2.3;
13.2
 
25 Dever de geração de backup ISO 27002 -12.3 e 12.3.1
26 Dever de portar sempre a menor quantidade possível de dados pelo menor tempo em ISO 27002 8.3.3; 11.2.9
dispositivos móveis.
27 Aviso que o mero acesso ao recurso e/ou à informação pode ocorrer de forma remota ISO 27002 6.2.2 + Artigo 6º, da
e a qualquer horário e, por si só, não configura sobrejornada nem hora extra. CLT + Súmula 428 TST
 
28 Orientação sobre postura em Mídias Sociais, a exemplo do uso da marca e assuntos Artigo 153, CP + artigo 195 da
profissionais. Lei 9.279/96 + artigo 927, do
Código Civil + artigo 5º, X, da
 
Constituição Federal

29 Proibição de uso de qualquer plataforma de armazenamento de dados na nuvem ou de ISO 27002 -13.2
Internet, a exemplo de Google Drive, SkyDrive e Dropbox para o upload de conteúdo
da Empresa sem autorização.
30 Requisitos para uso dos aplicativos de comunicação Artigo 154, Código Penal +
artigo 195 da Lei 9.279/96 +
Jurisprudência
31 Proibição de coleta de fotos e imagens, gravação de áudios e vídeos no perímetro Artigo 482, CLT + artigo 5º,
físico da Empresa, bem como de seu compartilhamento X, da Constituição Federal
 
32 Cuidados com engenharia social ISO 27002 -9.4.1 e 9.4.2
33 Prevenir o vício ou dependência tecnológica ISO 27002 17.1
+ Jurisprudência
34 Vedação para envio de conteúdo da Empresa para endereço eletrônico particular ou de ISO 27002 -13.2; 13.2.3; 10.1;
terceiro não autorizado 10.1.1
35 Dever observar exigências de segurança da informação nos processos de seleção de ISO 27002 -7.1.1 e 7.1.2
funcionários e contratação de terceiros

36 Dever de uso de cláusulas de confidencialidade e assinatura de termos/acordos de ISO 27002 -13.2.4, Artigo 153,
confidencialidade pelos terceirizados Código Penal e artigo 195 da
 
Lei 9.279/96 + artigo 927, do
 
Código Civil

37 Dever de uso de cláusulas de segurança da informação em contratos de trabalho ISO 27002 -7.1.2; 13.2.4;
18.1.2; 18.1.4; 8; 7.2.3 + artigo
 
927, do Código Civil
38 Responsabilidades contidas nos termos e condições de contratação continuem por ISO 27002 -7.1.2 e 7.3
tempo indefinido após o término da contratação, inclusive de terceiros
 

39 Dever de descarte seguro de mídias e informações ISO 27002 8.3.2

40 Previsão de processos para lidar com exceções e permissões ISO 27002 9.2.2 e 5.1.1
41 Dever de proteção dos ambientes físicos contra acesso não autorizado e dos ISO 27002 -11.1.2 e 11.2 +
Recursos de TIC físicos contra adulteração. artigo 5º, XXII, da
Constituição Federal
 
42 Prever a formalização de todas as decisões críticas ISO 27002 -8.2.2 e 13.2
43 Avaliação de segurança no processo de aquisição, desenvolvimento e manutenção ISO 27002 14
de sistemas e recursos de TIC
 
44 Gestão de capacidade dos recursos de TIC visando garantir a sua disponibilidade e ISO 27002 -12.1.3
o seu desempenho
 
45 Gestão de mudanças visando garantir a disponibilidade, integridade e a ISO 27002 -12.1.2
confidencialidade das informações
 
46 Obrigatoriedade de identificar vulnerabilidades ISO 27002 -12.6
47 Procedimento para remoção de ativos ISO 27002 -11.2.5; 8.1 e 8.1.3

48 Obrigação de formação e atuação do Comitê de Segurança da Informação ISO 27002 -6 + ISO 27001 5.3

49 Publicidade da política e de suas atualizações/alterações ISO 27002 5.1.1, 7.2 e ISO

27.001 -5.2

50 Atualização periódica dos documentos de Segurança da Informação, em intervalo ISO 27002 5.1.2 + atualizações
não superior a 2 anos constantes da legislação
brasileira
51 Dever de educação e conscientização dos funcionários ISO 27002 17.1 + Artigo 482, da CLT
 
52 Responsabilidade do gestor sobre os recursos e postura de sua equipe ISO 27002 17.1 e 18.2.2 + Artigo 932,
III, da Constituição Federal
 
53 Dever do colaborador se manter sempre atualizado e ciente das normas da Empresa ISO 27002 7.2.2 b + artigo 482, da CLT

54 Aviso claro e objetivo de monitoramento irrestrito, alcançando também dispositivos ISO 27002 -12.4.1 + Constituição
particulares que acessam o perímetro físico e lógico da Empresa Federal, artigo 5º, inc. IV, X, XII,
 
XXVIII, XIX e XXXV + artigos. 21 a
 
23 do Código Civil e Lei de
Interceptação + jurisprudência
55 Aviso claro e objetivo da inspeção física dos dispositivos, de acordo com os princípios ISO 27002 -12.4.1 + Constituição
da razoabilidade e da proporcionalidade Federal, artigo 5º, inc. IV, X, XII,
 
XXVIII, XIX e XXXV + artigos. 21 a
 
23 do Código Civil e Lei de
Interceptação + jurisprudência
56 Previsão de violações e sanções, estabelecendo bases para um processo disciplinar ISO 27002 7.2.3 + artigo 2º, 474 e 482,
da CLT
 
57 Aviso de que a tentativa de burlar será considerada também infração ISO 27002 7.2.3
58 Dever de denuncia imediata em caso de incidente para a área competente ISO 27002 16.1.2

59 Informação de que a Empresa colabora com as autoridades ISO 27002 6.1.3

60 Os investimentos em segurança da informação devem ser estudados e deliberados ISO 27002 6.1.1 e boas práticas
61 Interpretação sob a égide das leis brasileiras ISO 27001 -5.1 + artigo
11 do Marco Civil

62 Definição de papéis e responsabilidades ISO 27001 -5.3

63 Glossário de Termos técnicos ABNT -14724/2005,
10520/2002 e
 
6023/2002
Principais Normativos de Segurança da Informação:
 Política de Segurança da Informação
 Norma de Uso dos Recursos de Tecnologia da Informação e Comunicação (contendo:
correio eletrônico, dispositivo móvel, mesa limpa e tela limpa, internet, cuidados com a
senha, etc);
 Norma para Mídias Sociais e Aplicativos de Comunicação Instantânea;
 Norma de Backup
 Norma de Classificação da Informação
 Norma de Dispositivos Móveis Particulares
 Norma de Teletrabalho
 Norma de Acesso Remoto
 Norma de Gestão de Identidade e Controle de Acesso
 Norma de Gestão de Incidentes de SI
 Procedimento para desenvolvimento, aquisição e manutenção de software
 Procedimento para coleta e aquisição de evidência
 Termos de Responsabilidade
 Acordo de Confidencialidade
 Termo de Uso do Wi-Fi
Alguns temas interessantes:

Monitoramento. A empresa pode monitorar? O ordenamento jurídico

brasileiro, em tese, proíbe o monitoramento, excetuando-se os casos de:

 Prévia ciência

 Ordem judicial

É importante analisar cada caso e aplicar um tratamento específico:

 Monitoramento de Ambiente (câmeras)

 Monitoramento de Conteúdos

O monitoramento deve atender a sua finalidade, sendo utilizado sempre em

conformidade com a boa-fé e o respeito contratual, não podendo envolver
situações vexatória, abusiva, violações à intimidade dos colaboradores.
Turma condena fábrica de refrigerantes a indenizar empregado em R$ 15 mil por
câmera na porta de vestiário
Disponível em
https://www.tst.jus.br/-/turma-condena-fabrica-de-refrigerantes-a-indenizar-emprega
do-em-r-15-mil-por-camera-na-porta-de-vestiario
Trocar pornografia por e-mail corporativo justifica demissão, diz TRT-2
Disponível em:
http://www.conjur.com.br/2015-jul-03/trocar-pornografia-mail-corporativo-justifica-
demissao
JUSTA CAUSA OBREIRA. E-MAIL CORPORATIVO. DESVIRTUAMENTO. QUEBRA
DE DEVER CONTRATUAL DE CONDUTA. Constitui falta grave o uso indevido do e-
mail corporativo para fins ilícitos, conduta que caracteriza quebra de um dever contratual,
vez que tal instrumento ostenta a natureza jurídica de ferramenta do trabalho, fornecida
pelo empregador, devendo ser usada de maneira adequada, de modo a não ferir a imagem
do empreendimento. Qualquer postura contrária no sentido de malferir o objetivo proposto
nas normas internas do empreendimento constitui falta grave. Recurso conhecido e não
provido. (TRT-16 1227200701616005 MA 01227-2007-016-16-00-5, Relator: LUIZ
COSMO DA SILVA JÚNIOR, Data de Julgamento: 18/03/2010, Data de Publicação:
10/05/2.010)

 
DISPENSA POR JUSTA CAUSA. MAU PROCEDIMENTO. USO
INDEVIDO DO CORREIO ELETRÔNICO CORPORATIVO.
Demonstrado que a autora utilizava o correio eletrônico corporativo para
travar diálogos íntimos com o diretor da empresa, resta caracterizada a justa
causa por mau procedimento tendo em vista que o serviço de 'e-mail'
corporativo é ferramenta fornecida para uso estritamente profissional. (TRT-
3 -RO: 02198201103203005 0002198-22.2011.5.03.0032, Relator: Luiz
Ronan Neves Koury, Segunda Turma, Data de Publicação: 30/05/2012
29/05/2.012. DEJT. Página 106. Boletim: Sim.)
ACÓRDÃO. DA JUSTA CAUSA. CONFIGURAÇÃO. A falta grave
cometida pelo autor, em razão de má conduta, porquanto agiu de forma
contrária às regras estabelecidas na recorrida (envio de e-mail corporativo
de conteúdo pornográfico) (...). Correto o pronunciamento do Juiz
originário, que reconheceu a justa causa para a ruptura do pacto laboral.
(PROCESSO Nº TST-AIRR-4269-57.2010.5.02.0000. Ministro Relator
ALBERTO LUIZ BRESCIANI DE FONTAN PEREIRA. Mantenho.
Brasília, 16 de março de 2.011)
Os documentos de Segurança da Informação devem contar com
cláusulas informando que há o monitoramento, além de treinamentos e
avisos legais.

Como lidar com a mobilidade?

 A onda de consumerização e mobilidade chegou também nas empresas,

permitindo que os colaboradores acessem documentos necessários a
execução dos seus trabalhos, porém, como balancear monitoramento,
segurança e privacidade, tornou-se a grande questão.
Impactos do BYOD – Bring Your Own Device:

 Dificuldade de integração entre os diversos tipos dispositivos e a infraestrutura

tecnológica

 Vazamento de Informação

 Impactos trabalhistas

 Furto, roubo e perda dos dispositivos móveis

 Sigilo

 Riscos à infraestrutura tecnológica

 Acesso não autorizado às informações corporativas

 Dificuldade no controle de jornada – 24x7

Questões Legais – BYOD:

 Privacidade – posso fazer monitoramento e inspeção do equipamento particular?

 Conteúdo – de quem é a responsabilidade se o equipamento particular tiver

conteúdo ilícito?

 Trabalhista – o acesso a informações da empresa 24x7 e o fato de portar o

dispositivo particular também para finalidade de trabalho pode configurar sobre aviso e
hora extra?

 Segurança – de quem é a responsabilidade pela segurança do dispositivo (uso de

softwares antivírus, atualizações, manutenção)?

 Danos – como delimitar a responsabilidade por danos causados como perda,

extravio, deterioração do dispositivo?

 Custos – Relacionado ao uso (ligações/dados)

EM QUE MOMENTO HÁ A
EXPECTATIVA DE
PRIVACIDADE?
Dispositivo Móvel Corporativo Dispositivo Móvel Particular
 Não há expectativa de  Há expectativa de privacidade;
privacidade;  É indispensável a
 Basta ciência das Políticas e concordância prévia para
Normativos em vigor da monitoramento e inspeção para
empresa; mitigação da expectativa;
 Uso obrigatório para  Uso facultativo.
cumprimento das funções
profissionais.
Monitoramento ou inspeção de dispositivos pessoais: O dispositivo pessoal
possui expectativa de privacidade que somente pode ser mitigada com sua
permissão e concordância expressa com as regras vigentes para monitoramento e
inspeção (por Termo específico e norma de BYOD) ou por Ordem Judicial. O
resultado dessa inspeção deve ser sigiloso, sob pena de danos à privacidade do
colaborador. Provas que forem produzidas não respeitando as garantias de Provas
que forem produzidas não respeitando as garantias de privacidade serão
inadmissíveis e imprestáveis aos processos.

CF, art. 5.º. (...)

LVI - são inadmissíveis, no processo, as provas obtidas por meios ilícitos;

CPC, art. 369. As partes têm o direito de empregar todos os meios legais, bem
como os moralmente legítimos, ainda que não especificados neste Código, para
provar a verdade dos fatos em que se funda o pedido ou a defesa e influir
eficazmente na convicção do juiz.
Teletrabalho: trabalho fora do escritório
de uma empresa, geralmente em casa, com
ou sem vínculo empregatício, havendo
comunicação coma a firma pela internet ou
por telefone. Atualmente o teletrabalho é
uma prática habitual em qualquer parte do
mundo.
CLT - DO TELETRABALHO
Art. 75-A. A prestação de serviços pelo empregado em regime de teletrabalho observará o disposto neste Capítulo.
Art. 75-B. Considera-se teletrabalho a prestação de serviços preponderantemente fora das dependências do empregador, com a utilização de
tecnologias de informação e de comunicação que, por sua natureza, não se constituam como trabalho externo.
Parágrafo único. O comparecimento às dependências do empregador para a realização de atividades específicas que exijam a presença do
empregado no estabelecimento não descaracteriza o regime de teletrabalho.
Art. 75-C. A prestação de serviços na modalidade de teletrabalho deverá constar expressamente do contrato individual de trabalho, que
especificará as atividades que serão realizadas pelo empregado.
§ 1.º. Poderá ser realizada a alteração entre regime presencial e de teletrabalho desde que haja mútuo acordo entre as partes, registrado em
aditivo contratual.
§ 2.º. Poderá ser realizada a alteração do regime de teletrabalho para o presencial por determinação do empregador, garantido prazo de transição
mínimo de quinze dias, com correspondente registro em aditivo contratual.
Art. 75-D. As disposições relativas à responsabilidade pela aquisição, manutenção ou fornecimento dos equipamentos tecnológicos e da
infraestrutura necessária e adequada à prestação do trabalho remoto, bem como ao reembolso de despesas arcadas pelo empregado, serão
previstas em contrato escrito.
Parágrafo único. As utilidades mencionadas no caput deste artigo não integram a remuneração do empregado.
Art. 75-E. O empregador deverá instruir os empregados, de maneira expressa e ostensiva, quanto às precauções a tomar a fim de evitar doenças e
acidentes de trabalho.
Parágrafo único. O empregado deverá assinar termo de responsabilidade comprometendo-se a seguir as instruções fornecidas pelo empregador.
O teletrabalhador foi excluído do sistema celetista da duração do trabalho – ou seja: o
teletrabalhador NÃO possui direito à limitação da duração máxima de 8 horas diárias e 44 horas
semanais.

CLT, art. 62. Não são abrangidos pelo regime previsto neste capítulo:

I - os empregados que exercem atividade externa incompatível com a fixação de horário de

trabalho, devendo tal condição ser anotada na Carteira de Trabalho e Previdência Social e no
registro de empregados;

II - os gerentes, assim considerados os exercentes de cargos de gestão, aos quais se equiparam,

para efeito do disposto neste artigo, os diretores e chefes de departamento ou filial.

III - os empregados em regime de teletrabalho.

Parágrafo único. O regime previsto neste capítulo será aplicável aos empregados mencionados no
inciso II deste artigo, quando o salário do cargo de confiança, compreendendo a gratificação de
função, se houver, for inferior ao valor do respectivo salário efetivo acrescido de 40% (quarenta
por cento).
Logo, se o empregado, embora em regime de teletrabalho, estiver ao controle de horário de trabalho, como, por exemplo, por
meio de sistemas de log in e log off no sistema, vigilância por câmeras ou qualquer outro meio de comando e fiscalização,
surgirá o direito ao pagamento de horas extras, como, a propósito, sucede com as demais hipóteses do art. 62 da CLT. Nesses
casos, vale registrar, caberá ao empregado o ônus da prova quanto ao controle de horário. Decisões - Teletrabalho:

SOBREAVISO - NÃO RECONHECIDO: Prevê o artigo 244 parágrafo 2º da CLT o pagamento de sobreaviso àqueles que
permanecessem aguardando em casa o chamado da empresa. Com a telefonia móvel, fixa e todos os outros meios de
comunicação, o empregado pode ser encontrado a qualquer tempo, em qualquer lugar, independente deste estar ou não em
sua casa, podendo ou não estar quer seja no convívio com sua família em momento de lazer ou mesmo laborando para outro
empregador ou dispondo de seu tempo como melhor lhe aprouver. Entendo " data máxima vênia" que à exceção da internet
por meio de programas de comunicação tal como "vídeo conferência" ou "messenger", qualquer outro meio de comunicação
para fins de caracterização de "horas de sobreaviso" é imprestável, eis que nenhum deles efetivamente cerceia ou é fator
impeditivo da liberdade de locomoção prevista pelo artigo 244 da CLT. TRT-2 RO PROCESSO Nº: 00441-2002-040-02-00-
0 ANO: 2006 RELATOR(A): LILIAN LYGIA ORTEGA MAZZEU TURMA: 8ª DATA DE PUBLICAÇÃO: 13/02/2007

REGIME DE SOBREAVISO. USO DE TELEFONE CELULAR. LIBERDADE DE LOCOMOÇÃO PRESERVADA.

NÃO CABIMENTO. O simples uso de aparelhos eletrônicos de comunicação pelo empregado, por si só, não caracteriza o
regime de sobreaviso. In casu, não houve prova robusta de que o reclamante estivesse sujeito a alguma forma de restrição
em sua liberdade de locomoção ou de descanso, de modo a caracterizar o regime de sobreaviso de que trata a Súmula nº
428, do C. TST. Recurso ordinário da reclamada ao qual é dado provimento no particular. PROCESSO TRT/SP Nº
0000623-76.2014.5.02.0201, 10.08.2017.
Qual a melhor forma de garantir o equilíbrio?

 Normas que respeitem a ética, proporcionalidade, utilidade, dignidade e

honra;

 Implementar assinaturas de termos de responsabilidade;

 Treinar os colaboradores no uso dos dispositivos móveis, acesso remoto,

teletrabalho, etc.

 O que não for permitido, expressamente proibir;

 Controles que não invadam a privacidade e a intimidade;

 Caso necessário, prever os regimes de exceção e quem irá tomar a decisão

apropriada (comitê, líder, gestor) e evitar que eles surjam sem a devida cautela.
APLICATIVOS DE
COMUNICAÇÃO
INSTANTÂNEA:
Uso do Whatsapp no trabalho pode dar demissão; veja regras e riscos. Disponível em
https://g1.globo.com/concursos-e-emprego/noticia/2015/08/uso-do-whatsapp-no-trabalho-pode-dar-d
emissao-veja-regras-e-riscos.html

Alegou a primeira reclamada que o reclamante apresentou conduta antiprofissional,

imprópria, praticou atos de racismo, bem como ameaçou o sócio da empresa, tudo
devidamente registrado através de conversas do autor com outros funcionários através do
Whatsapp. No caso dos autos, a justa causa aplicada ao autor teve por fundamento o artigo
482, a, da CLT - ato de improbidade. Conforme comunicação (doc. n° 05 do volume de
documentos da primeira reclamada), a dispensa se deu pelo fato de que o reclamante teria
ameaçado a integridade do sócio da primeira reclamada, conforme informação obtida
através de conversas escritas entre funcionários da empresa com teor ameaçador. (TRT 2,
Relator: REGINA CELI VIEIRA FERRO, Data de Julgamento: 14/04/2015, 10ª TURMA)
Aduz que esta baseou-se no fato de que teria desacatado seus superiores e utilizado ferramentas de
uso profissional (Skype e Facebook), de forma particular, contrariando o regimento interno da
empregadora. No entanto, ressalta que a prova testemunhai demonstrou que essas ferramentas eram
corriqueiramente utilizadas para tratar de assuntos pessoais pelos demais empregados, havendo
tolerância da empresa. Diante dos elementos retroconsignados não há como acolher-se o pleito de
convolação da demissão por justa causa para demissão sem justa causa, posto que o reclamante
praticou atos que efetivamente autorizam demissão por falta grave, nos termos do artigo 482, alínea
"b", da CLT. (TRT-12, RO 7023820145120052, Relator: Fernando Antonio Zorzenon da Silva, Data
de Julgamento: 27/08/2015, Quinta Câmara)
No curso da sobredita investigação, informa ainda o Réu, que fora apurada a existência de um grupo
denominado macete zapzap, criado na rede social Whatsapp, formado por alguns empregados,
inclusive o Autor, através do qual organizaram, nas palavras do Demandado, uma espécie de rebelião,
planejando uma falta coletiva para o dia 04/06/2014. Buscaram, assim, atendimento junto a uma
clínica conveniada ao SUS, objetivando garantir atestados médicos que respaldassem suas faltas.
Assim, de fato, comprovado está nos autos o cometimento pelo Reclamante da falta grave, que
justificou o rompimento do contrato de trabalho por justa causa. Salvador, 10 de março de 2015.
(TRT-5 -Recurso Ordinário: ROPS 00008206520145050195 BA 000082065.2014.5.05.0195)
Quais os principais incidentes envolvendo WhatsApp:

 Transmissão indevida de informação/Quebra de confidencialidade;

 Queda de produtividade;

 Má utilização/Ofensas, assédio, humilhações, discriminações em grupos

colaborativos;

 Uso para finalidades particulares;

 Hora Extra / Sobreaviso.

Mídias Sociais – Riscos:

 O compartilhamento indevido de informações da Instituição;

 Comportamentos agressivos e negativos não condizentes com as políticas

da Instituição;

 Excesso de exposição da vida pessoal;

 Crimes digitais (por ex. violações de direitos autorais).

Maioria dos executivos já cometeu gafes virtuais, segundo pesquisa
Disponível em
https://g1.globo.com/economia/noticia/2011/10/maioria-dos-executivos-ja-cometeu-gafes-
virtuais-segundo-pesquisa.html

TRT-15 considera válida demissão por justa causa por ‘curtida’ no Facebook
Disponível em
https://www.conjur.com.br/2015-jun-29/trt-15-considera-valida-justa-causa-curtida-faceb
ook

Demissão por conta de fantasia em festa de firma gera polêmica

Disponível em
https://www.correio24horas.com.br/noticia/nid/demissao-por-conta-de-fantasia-em-festa-d
e-firma-gera-polemica/

Enfermeira é demitida após ser flagrada dançando em hospital na PB

Disponível em
https://g1.globo.com/pb/paraiba/noticia/2015/03/enfermeira-e-demitida-apos-ser-flagrada-
dancando-em-hospital-na-pb.html
Normas Internas devem orientar sobre a publicação:

 Conteúdos, manifestações ou opiniões representando ou que caracterizem uma

posição oficial da Instituição;

 Não publicar Informações confidenciais ou sigilosas;

 Qualquer conteúdo sobre a Instituição, seus clientes, parceiros, fornecedores,

prestadores de serviços e colaboradores, com exceção das informações de
conhecimento público ou assim classificadas;

 Conteúdos audiovisuais, como fotos, imagens, vídeos ou áudios relacionados ao

âmbito interno da Instituição;

 Assuntos profissionais de quaisquer naturezas, a exemplo de rotinas de trabalho,

ramais, lista de fornecedores, dados de clientes, contatos, agenda de compromissos,
horários, viagens, trajetos e projetos.
TERMINOLOGIA DE SEGURANÇA:

Ameaça  Vulnerabilidade  Ativos (probabilidades)  Riscos

 Contramedidas 
CYBER ATTACH CHAIN
Reconhecimento: da área a ser invadida. Ex.: um anúncio de emprego que peça experiência em editores da Apple,
vai acabar revelando que a empresa tem máquinas da Apple. Técnicas de compliance são aplicadas aqui.
Engenharia social também pode ser aplicada nesta fase.
“Waponização”: nesta etapa, há o desenvolvimento de “armas” para o ataque. Ex.: arquivo *.pdf com scripts
maliciosos.
Entrega: da arma. Pode ser por e-mail (phishing) ou outros.
Exploração: nesta fase, os hackers exploram as vulnerabilidades do sistema. Pode criar brechas de segurança ou
explorar brechas que já existem.
Instalação: do malware. O primeiro arquivo apenas explora a vulnerabilidade; agora os malwares vão atacar de
outro modo.
Comando e controle. Finalmente, o hacker desenvolve seu objetivo. O malware configura uma backdoor, brecha
que muitas vezes permanece aberta.
REVENGE HACKING (hack back): trata-se de contra-ataque da empresa aos hackers que
primeiramente atacaram. Pode violar a lei. Honey pot.

Revenge Hacking está atingindo o grande momento

Disponível em https://www.thedailybeast.com/inside-the-shadowy-world-of-
revenge-hackers?ref=scroll

Congresso dos EUA pondera primeira lei de vingança de 'hack back'. E sim, você
pode adivinhar o que vai deixar as pessoas fazerem

Disponível em https://www.theregister.com/2017/10/13/us_hack_back_law/
UNICODE PHISHING: Phishing com nomes de domínio.
Truque Unicode permite que hackers ocultem URLs de phishing

Alguns endereços da web com aparência perfeitamente autêntica não são o que parecem e nem todos os
navegadores estão levando o problema a sério

Aqui está um desafio para você: você clica em um link em seu e-mail e se encontra no site https://аррӏе.com .
Seu navegador mostra o ícone de cadeado verde, confirmando que é uma conexão segura; e diz “Seguro” ao
lado, para maior segurança. E, no entanto, você foi phishing. Você sabe como?

A resposta está nesse URL. Pode parecer que se lê “apple”, mas na verdade é um monte de caracteres cirílicos:
A, Er, Er, Palochka, Ie. O certificado de segurança é real o suficiente, mas tudo o que confirma é que você tem
uma conexão segura com o аррӏе.com – o que não informa se você está conectado a um site legítimo ou não.
SPEAR PHISHING: quando os hackers tem um alvo específico.
TEMPORARY PARADIGM: existem e-mails temporários, números de cartão de
crédito temporários, números de telefones temporários. Ex.:
destructingmessege.com; privacy.com.
DATA SANITIZATION: serviços que limpam dispositivos.

 Bruce Schneier’s Algorithm;

 German VSITR;

 ITSG 06 (Canada);

 Peter Gutmann’s Algorithm;

 Russian GOST P50739-95;

 US Air Force 5020;

 US Army AR380-19;

 US DoD 5220.22-M;

 NSA 130-1 (NSA 130-2 does not specify any overwriting methods for HDDs, and instead requires
degaussing or physical destruction);
METADATA (EXIF, etc): são as propriedades dos arquivos, presentes em todos os
arquivos, principalmente em áudio e vídeo.
DUMPSTER DIVING: o mergulhador no lixo – pessoas que conseguem mergulhar
em dados descartados e coletam informações. É necessário sanitizar equipamentos
descartados.
DIGITAL ARCHEOLOGY: remontar o passado com base em informações em
equipamentos antigos. Utilização de softwares específicos.
PASSWORD MANAGERS: são formas de gerenciar senhas. O ideal é ter senhas
diferentes, complexas. Esses app funcionam como um sistema que guarda as suas
senhas e, sendo protegido com senha, o usuário fica protegido. Ex.: KeePass,
LastPass.
MALWARE SCAN ONLINE: são aplicações que escaneiam arquivos para saber se
eles possuem scripts maliciosos. Ex.: www.virustotal.com . Antivirus convencionais
também servem, inclusive para aparelhos celulares.

 
SANDBOX: “caixa de areia”. Nasceu no exército, e era um local para testes. Ele cria
uma caixa de areia digital e nesse espaço você pode rodar um navegador de internet,
por exemplo. Caso haja algum download de conteúdo malicioso, fica preso ali.
Evidentemente que já existem hackers que tentam burlar essas sandboxes.
DATA LEAKING: vazamento de informações. Ex.: Cambridge analytica. As empresas
devem usar data leaking prevention system. São sistemas que são instalados para
evitar esses vazamentos. Alguns trabalham com tags dentro de arquivos de sistema,
e com isso eles ficam bloqueados para cópias e vão enviar um alerta de segurança
para o sistema.
OSINT: Open Source Intelligence. É a coleta de informações abertas. Chamada
também de cerca eletrônica. Ex.: Shodan, Google hacking. Usando Inteligência
artificial, podemos ter algo próximo a uma polícia preditiva.
SENTIMENT ANALYSIS / PROFILING: é a coleta de sentimentos (ex.: curtidas do
Facebook) para criar ofertas direcionadas ou até mesmo um sistema de crédito social
por governos.
SENTIMENT MANIPULATION: é a possibilidade de manipulação de sentimentos por
meio das redes sociais. Cognitive hacking.
ATTENTION ECONOMY: é um modelo que usa a tecnologia e outras ciências que
vão prender o usuário por mais tempo possível. Ex.: gamification.
IOT HACKING: possibilidade de dispositivos capturar dados e armazená-los.

Sem privacidade: Samsung admite que Smart TVs podem gravar e transmitir
conversas de usuários Televisores são capazes de gravar as conversas e transmiti-
las para um centro de armazenamento
STEGANOGRAPHY: trata-se de esconder dados dentro de arquivos.
RANSOMWARE: criptografam informações. A partir de uma vulnerabilidade no
sistema, um hacker pode entrar no sistema de uma empresa, criptografar arquivos e
em seguida exigir dinheiro como resgate. Nesta situação, é muito importante ter um
backup de todos os seus arquivos.
GDPR EXTORSION: extorsão baseada na falta de proteção de dados.
45 normas da família ISO 27000 – Gestão da Segurança da Informação. A família ISO/IEC
27000 é grande, existem diversas normas relacionadas à SGSI. As mais conhecidas são:
ISO/IEC 27000 – São informações básicas sobre as normas da série.
ISO/IEC 27001 – Bases para a implementação de um SGSI em uma organização.
ISO/IEC 27002 – Certificação profissional, traz códigos de práticas para profissionais.
ISO/IEC 27003 – Diretrizes mais específicas para implementação do SGSI.
ISO/IEC 27004 – Normas sobre as métricas e relatórios do SGSI.
ISO/IEC 27005 – Diretrizes para o processo de gestão de riscos de segurança da informação.
https://posdigital.pucpr.br/blog/iso-27000
MARCO CIVIL DA INTERNET
Marco Civil da Internet. Como surgiu?

Porque Marco Civil da Internet? Surgiu como uma maneira de oposição à tendencia de
regulação por meio de tipos penais.

Necessidade do MCI. Havia incerteza jurídica sobre:

 responsabilidade sobre conteúdos pelos sites;

 em que medida essas empresas deveriam guardar dados para investigações;

 neutralidade da rede: nenhum provedor deve filtrar o tráfico da rede.

Antes do Marco Civil da Internet:

a) STJ: Resp n.º 1.186.616 – responsabilidade da plataforma pelo conteúdo fornecido

por terceiro. O que deveria ser aplicado? No que diz respeito ao conteúdo próprio,
isso sempre foi tranquilo. Mas, e o conteúdo postado em plataformas? Um primeiro
critério era a responsabilidade objetiva. Decorrente disso, tivemos, por exemplo,
condenação de lan houses por ilícitos cometidos por meio de sua conexão. Depois,
migrou para subjetiva: necessidade de omissão.
CIVIL E CONSUMIDOR. INTERNET. RELAÇÃO DE CONSUMO. INCIDÊNCIA DO CDC. GRATUIDADE DO SERVIÇO. INDIFERENÇA.
PROVEDOR DE CONTEÚDO. FISCALIZAÇÃO PRÉVIA DO TEOR DAS INFORMAÇÕES POSTADAS NO SITE PELOS USUÁRIOS.
DESNECESSIDADE. MENSAGEM DE CONTEÚDO OFENSIVO. DANO MORAL. RISCO INERENTE AO NEGÓCIO. INEXISTÊNCIA. CIÊNCIA
DA EXISTÊNCIA DE CONTEÚDO ILÍCITO. RETIRADA IMEDIATA DO AR. DEVER. DISPONIBILIZAÇÃO DE MEIOS PARA IDENTIFICAÇÃO DE
CADA USUÁRIO. DEVER. REGISTRO DO NÚMERO DE IP. SUFICIÊNCIA. 1. A exploração comercial da internet sujeita as relações de consumo
daí advindas à Lei nº 8.078/90. 2. O fato de o serviço prestado pelo provedor de serviço de internet ser gratuito não desvirtua a relação de
consumo, pois o termo "mediante remuneração", contido no art. 3º, § 2º, do CDC, deve ser interpretado de forma ampla, de modo a incluir o
ganho indireto do fornecedor. 3. A fiscalização prévia, pelo provedor de conteúdo, do teor das informações postadas na web por cada usuário não
é atividade intrínseca ao serviço prestado, de modo que não se pode reputar defeituoso, nos termos do art. 14 do CDC, o site que não examina e
filtra os dados e imagens nele inseridos. 4. O dano moral decorrente de mensagens com conteúdo ofensivo inseridas no site pelo usuário não
constitui risco inerente à atividade dos provedores de conteúdo, de modo que não se lhes aplica a responsabilidade objetiva prevista no art. 927,
parágrafo único, do CC/02. 5. Ao ser comunicado de que determinado texto ou imagem possui conteúdo ilícito, deve o provedor agir de forma
enérgica, retirando o material do ar imediatamente, sob pena de responder solidariamente com o autor direto do dano, em virtude da omissão
praticada. 6. Ao oferecer um serviço por meio do qual se possibilita que os usuários externem livremente sua opinião, deve o provedor de
conteúdo ter o cuidado de propiciar meios para que se possa identificar cada um desses usuários, coibindo o anonimato e atribuindo a cada
manifestação uma autoria certa e determinada. Sob a ótica da diligência média que se espera do provedor, deve este adotar as providências que,
conforme as circunstâncias específicas de cada caso, estiverem ao seu alcance para a individualização dos usuários do site, sob pena de
responsabilização subjetiva por culpa in omittendo. 7. Ainda que não exija os dados pessoais dos seus usuários, o provedor de conteúdo que
registra o número de protocolo (IP) na internet dos computadores utilizados para o cadastramento de cada conta mantém um meio razoavelmente
eficiente de rastreamento dos seus usuários, medida de segurança que corresponde à diligência média esperada dessa modalidade de provedor
de serviço de internet. 8. Recurso especial provido. (REsp n.º 1.186.616/MG, Rel. Ministra NANCY ANDRIGHI, TERCEIRA TURMA, julgado em
23/08/2.011, DJe 31/08/2.011)
 Quem oferece um serviço de aplicação, deve ter um mecanismo de identificar o
usuário;

 O CDC se aplica, mas se trata de responsabilidade objetiva;

 Afastou a teoria do risco;

 Aplicação da responsabilidade subjetiva, após notificação.

Depois do MCI:

Seção III - Da Responsabilidade por Danos Decorrentes de Conteúdo Gerado por

Terceiros

Lei n.º 12.965/14, art. 18. O provedor de conexão à internet não será
responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros.

 
Lei n.º 12.965/14, art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de
aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado
por terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do
seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as
disposições legais em contrário.

§ 1.º. A ordem judicial de que trata o caput deverá conter, sob pena de nulidade, identificação clara e específica do
conteúdo apontado como infringente, que permita a localização inequívoca do material.

§ 2.º. A aplicação do disposto neste artigo para infrações a direitos de autor ou a direitos conexos depende de
previsão legal específica, que deverá respeitar a liberdade de expressão e demais garantias previstas no art. 5.º da
Constituição Federal.

§ 3.º. As causas que versem sobre ressarcimento por danos decorrentes de conteúdos disponibilizados na internet
relacionados à honra, à reputação ou a direitos de personalidade, bem como sobre a indisponibilização desses
conteúdos por provedores de aplicações de internet, poderão ser apresentadas perante os juizados especiais.

§ 4.º. O juiz, inclusive no procedimento previsto no § 3.º, poderá antecipar, total ou parcialmente, os efeitos da tutela
pretendida no pedido inicial, existindo prova inequívoca do fato e considerado o interesse da coletividade na
disponibilização do conteúdo na internet, desde que presentes os requisitos de verossimilhança da alegação do
autor e de fundado receio de dano irreparável ou de difícil reparação.
Maradona proíbe Yahoo e Google de fazer buscas com seu nome - disponível em
http://revistaepoca.globo.com/Revista/Epoca/0,,EMI17301-15260,00-
MARADONA+PROIBE+YAHOO+E+GOOGLE+DE+FAZER+BUSCAS+COM+SEU+N
OME.html
Lei n.º 12.965/14, art. 20. Sempre que tiver informações de contato do usuário diretamente
responsável pelo conteúdo a que se refere o art. 19, caberá ao provedor de aplicações de
internet comunicar-lhe os motivos e informações relativos à indisponibilização de conteúdo,
com informações que permitam o contraditório e a ampla defesa em juízo, salvo expressa
previsão legal ou expressa determinação judicial fundamentada em contrário.

Parágrafo único. Quando solicitado pelo usuário que disponibilizou o conteúdo tornado
indisponível, o provedor de aplicações de internet que exerce essa atividade de forma
organizada, profissionalmente e com fins econômicos substituirá o conteúdo tornado
indisponível pela motivação ou pela ordem judicial que deu fundamento à indisponibilização.
Lei n.º 12.965/14, art. 21. O provedor de aplicações de internet que disponibilize conteúdo
gerado por terceiros será responsabilizado subsidiariamente pela violação da intimidade
decorrente da divulgação, sem autorização de seus participantes, de imagens, de vídeos ou
de outros materiais contendo cenas de nudez ou de atos sexuais de caráter privado quando,
após o recebimento de notificação pelo participante ou seu representante legal, deixar de
promover, de forma diligente, no âmbito e nos limites técnicos do seu serviço, a
indisponibilização desse conteúdo.

Parágrafo único. A notificação prevista no caput deverá conter, sob pena de nulidade,

elementos que permitam a identificação específica do material apontado como violador da
intimidade do participante e a verificação da legitimidade para apresentação do pedido.
Definições:

Lei n.º 12.965/14, art. 5.º. Para os efeitos desta Lei, considera-se:

I - internet: o sistema constituído do conjunto de protocolos lógicos, estruturado em escala mundial para uso público e irrestrito, com a
finalidade de possibilitar a comunicação de dados entre terminais por meio de diferentes redes;

II - terminal: o computador ou qualquer dispositivo que se conecte à internet;

III - endereço de protocolo de internet (endereço IP): o código atribuído a um terminal de uma rede para permitir sua identificação, definido
segundo parâmetros internacionais;

IV - administrador de sistema autônomo: a pessoa física ou jurídica que administra blocos de endereço IP específicos e o respectivo
sistema autônomo de roteamento, devidamente cadastrada no ente nacional responsável pelo registro e distribuição de endereços IP
geograficamente referentes ao País;

V - conexão à internet: a habilitação de um terminal para envio e recebimento de pacotes de dados pela internet, mediante a atribuição ou
autenticação de um endereço IP;

VI - registro de conexão: o conjunto de informações referentes à data e hora de início e término de uma conexão à internet, sua duração e
o endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados;

VII - aplicações de internet: o conjunto de funcionalidades que podem ser acessadas por meio de um terminal conectado à internet; e

VIII - registros de acesso a aplicações de internet: o conjunto de informações referentes à data e hora de uso de uma determinada
aplicação de internet a partir de um determinado endereço IP.
Situações em que se dispensa ordem judicial:

Direitos autorais: não necessita de ordem judicial. Não significa que o direito autorial
é superior a outros direitos, mas ele é auferido de modo objetivos.

Pornografia de vingança: art. 21 do MCI. Dispensa ordem judicial.

ECA: art. 241-A. Quem divulga esse material pode ser responsabilizado, além da plataforma, quando
notificada não remover o conteúdo.

Lei n.º 8.069/90, art. 241-A. Oferecer, trocar, disponibilizar, transmitir, distribuir, publicar ou divulgar por
qualquer meio, inclusive por meio de sistema de informática ou telemático, fotografia, vídeo ou outro registro
que contenha cena de sexo explícito ou pornográfica envolvendo criança ou adolescente: (Incluído pela Lei nº
11.829, de 2008)

Pena – reclusão, de 3 (três) a 6 (seis) anos, e multa. (Incluído pela Lei nº 11.829, de 2008)

§ 1.º. Nas mesmas penas incorre quem: (Incluído pela Lei nº 11.829, de 2008)

I – assegura os meios ou serviços para o armazenamento das fotografias, cenas ou imagens de que trata o
caput deste artigo; (Incluído pela Lei nº 11.829, de 2008)

II – assegura, por qualquer meio, o acesso por rede de computadores às fotografias, cenas ou imagens de
que trata o caput deste artigo. (Incluído pela Lei nº 11.829, de 2008)

§ 2.º. As condutas tipificadas nos incisos I e II do § 1 o deste artigo são puníveis quando o responsável legal
pela prestação do serviço, oficialmente notificado, deixa de desabilitar o acesso ao conteúdo ilícito de que
trata o caput deste artigo. (Incluído pela Lei nº 11.829, de 2008)
Lei eleitoral: art. 57-F.

Lei n.º 9.504/97, art. 57-F. Aplicam-se ao provedor de conteúdo e de serviços multimídia que
hospeda a divulgação da propaganda eleitoral de candidato, de partido ou de coligação as
penalidades previstas nesta Lei, se, no prazo determinado pela Justiça Eleitoral, contado a
partir da notificação de decisão sobre a existência de propaganda irregular, não tomar
providências para a cessação dessa divulgação. (Incluído pela Lei nº 12.034, de 2009)

Parágrafo único. O provedor de conteúdo ou de serviços multimídia só será considerado

responsável pela divulgação da propaganda se a publicação do material for comprovadamente
de seu prévio conhecimento. (Incluído pela Lei nº 12.034, de 2009)
As ações podem tramitar nos Juizados Especiais? Sim.

O art. 19 quer equilibrar a remoção arbitrária com a necessidade de remoção de

conteúdos ilícitos.

Como combater ilícitos? Como obter a identidade de quem publicou o conteúdo?

No Brasil, aplicamos o modelo de retenção obrigatória de dados: obriga as

plataformas a guardar os dados dos usuários. Nos EUA, utiliza-se o modelo de
preservação obrigatória de dados.
Subseção I - Da Guarda de Registros de Conexão

Lei n.º 12.965/14, art. 13. Na provisão de conexão à internet, cabe ao administrador de sistema autônomo respectivo o dever de
manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano, nos termos do
regulamento.

§ 1.º. A responsabilidade pela manutenção dos registros de conexão não poderá ser transferida a terceiros.

§ 2.º. A autoridade policial ou administrativa ou o Ministério Público poderá requerer cautelarmente que os registros de conexão sejam
guardados por prazo superior ao previsto no caput.

§ 3.º. Na hipótese do § 2.º, a autoridade requerente terá o prazo de 60 (sessenta) dias, contados a partir do requerimento, para
ingressar com o pedido de autorização judicial de acesso aos registros previstos no caput.

§ 4.º. O provedor responsável pela guarda dos registros deverá manter sigilo em relação ao requerimento previsto no § 2.º, que
perderá sua eficácia caso o pedido de autorização judicial seja indeferido ou não tenha sido protocolado no prazo previsto no § 3.º.

§ 5.º. Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá ser precedida de
autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 6.º. Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a natureza e a gravidade da
infração, os danos dela resultantes, eventual vantagem auferida pelo infrator, as circunstâncias agravantes, os antecedentes do infrator
e a reincidência.
Subseção III - Da Guarda de Registros de Acesso a Aplicações de Internet na Provisão de Aplicações

Lei n.º 12.965/14, art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica e
que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os
respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança,
pelo prazo de 6 (seis) meses, nos termos do regulamento.

§ 1.º. Ordem judicial poderá obrigar, por tempo certo, os provedores de aplicações de internet que não estão
sujeitos ao disposto no caput a guardarem registros de acesso a aplicações de internet, desde que se trate
de registros relativos a fatos específicos em período determinado.

§ 2.º. A autoridade policial ou administrativa ou o Ministério Público poderão requerer cautelarmente a

qualquer provedor de aplicações de internet que os registros de acesso a aplicações de internet sejam
guardados, inclusive por prazo superior ao previsto no caput, observado o disposto nos §§ 3º e 4º do art. 13.

§ 3.º. Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá
ser precedida de autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 4.º. Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a
natureza e a gravidade da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator, as
circunstâncias agravantes, os antecedentes do infrator e a reincidência.
Como buscar esses dados?

a) todo dispositivo conectado à internet tem necessariamente um endereço IP.

Conferir em “What is my IP”.

b) buscar, no site https://registro.br/tecnologia/ferramentas/whois/?search=

Seção IV - Da Requisição Judicial de Registros

Lei n.º 12.965/14, art. 22. A parte interessada poderá, com o propósito de formar conjunto probatório em
processo judicial cível ou penal, em caráter incidental ou autônomo, requerer ao juiz que ordene ao responsável
pela guarda o fornecimento de registros de conexão ou de registros de acesso a aplicações de internet.

Parágrafo único. Sem prejuízo dos demais requisitos legais, o requerimento deverá conter, sob pena de
inadmissibilidade:

I - fundados indícios da ocorrência do ilícito;

II - justificativa motivada da utilidade dos registros solicitados para fins de investigação ou instrução probatória; e

III - período ao qual se referem os registros.

Lei n.º 12.965/14, art. 23. Cabe ao juiz tomar as providências necessárias à garantia
do sigilo das informações recebidas e à preservação da intimidade, da vida privada,
da honra e da imagem do usuário, podendo determinar segredo de justiça, inclusive
quanto aos pedidos de guarda de registro.
CIVIL E CONSUMIDOR. INTERNET. RELAÇÃO DE CONSUMO. CDC. INCIDÊNCIA. PROVEDOR DE CONTEÚDO. USUÁRIOS.
IDENTIFICAÇÃO. DEVER. GUARDA DOS DADOS. OBRIGAÇÃO. PRAZO. 03 ANOS APÓS CANCELAMENTO DO SERVIÇO.
OBTENÇÃO DE DADOS FRENTE A TERCEIROS. DESCABIMENTO. DISPOSITIVOS LEGAIS ANALISADOS: ARTS. 5º, IV, DA CF/88; 6º,
III, e 17 DO CDC; 206, §3º, V, E 1.194 DO CC/02; E 358, I, DO CPC. 1. Ação ajuizada em 17.05.2010. Recurso especial concluso ao
gabinete da Relatora em 25.09.2013. 2. Recurso especial que discute a responsabilidade dos gerenciadores de fóruns de discussão virtual
pelo fornecimento dos dados dos respectivos usuários. 3. A exploração comercial da Internet sujeita as relações de consumo daí advindas
à Lei nº 8.078/90. Precedentes. 4. O gerenciador de fóruns de discussão virtual constitui uma espécie do gênero provedor de conteúdo,
pois esses sites se limitam a abrigar e oferecer ferramentas para edição dos fóruns criados e mantidos por terceiros, sem exercer nenhum
controle editorial sobre as mensagens postadas pelos usuários. 5. Ao oferecer um serviço por meio do qual se possibilita que os usuários
divulguem livremente suas opiniões, deve o provedor de conteúdo ter o cuidado de propiciar meios para que se possa identificar cada um
desses usuários, coibindo o anonimato e atribuindo a cada imagem uma autoria certa e determinada. Sob a ótica da diligência média que
se espera do provedor, do dever de informação e do princípio da transparência, deve este adotar as providências que, conforme as
circunstâncias específicas de cada caso, estiverem ao seu alcance para a individualização dos usuários do site, sob pena de
responsabilização subjetiva por culpa in omittendo. 6. As informações necessárias à identificação do usuário devem ser armazenadas pelo
provedor de conteúdo por um prazo mínimo de 03 anos, a contar do dia em que o usuário cancela o serviço. 7. Não há como exigir do
provedor de conteúdo que diligencie junto a terceiros para obter os dados que inadvertidamente tenha apagado dos seus arquivos, não
apenas pelo fato dessa medida não estar inserida nas providências cabíveis em sede ação de exibição de documentos, mas sobretudo
porque a empresa não dispõe de poder de polícia para exigir o repasse dessas informações. Por se tratar de medida cautelar de natureza
meramente satisfativa, não há outro caminho senão reconhecer a impossibilidade de exibição do documento, sem prejuízo, porém, do
direito da parte de buscar a reparação dos prejuízos decorrentes da conduta desidiosa. 8. Recurso especial parcialmente provido. (REsp
n.º 1.398.985/MG, Rel. Ministra NANCY ANDRIGHI, TERCEIRA TURMA, julgado em 19/11/2.013, DJe 26/11/2.013)
Resumindo:

 O Marco Civil adotou o modelo de retenção obrigatória de dados;

 As diferenças tem a ver com o modo como o qual o usuário busca esses dados;

 Primeiramente, busca-se dados do provedor de aplicações;

 Após, busca-se informações dos provedores de conexão;

 Cuidado com os pedidos: não se admite pedido genérico;

Direito ao esquecimento.

RE n.º 1.037.396 – Art. 19 do MCI – Incostitucionalidade. Acompanhar.

CAPÍTULO II - DOS DIREITOS E GARANTIAS DOS USUÁRIOS

Lei n.º 12.965/14, art. 7.º. O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados
os seguintes direitos:

I - inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente
de sua violação;

II - inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por ordem judicial, na forma da lei;

III - inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por ordem judicial;

IV - não suspensão da conexão à internet, salvo por débito diretamente decorrente de sua utilização;

V - manutenção da qualidade contratada da conexão à internet;

VI - informações claras e completas constantes dos contratos de prestação de serviços, com detalhamento sobre o
regime de proteção aos registros de conexão e aos registros de acesso a aplicações de internet, bem como sobre
práticas de gerenciamento da rede que possam afetar sua qualidade;

VII - não fornecimento a terceiros de seus dados pessoais, inclusive registros de conexão, e de acesso a aplicações
de internet, salvo mediante consentimento livre, expresso e informado ou nas hipóteses previstas em lei;
VIII - informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais, que
somente poderão ser utilizados para finalidades que:

a) justifiquem sua coleta;

b) não sejam vedadas pela legislação; e

c) estejam especificadas nos contratos de prestação de serviços ou em termos de uso de aplicações de internet;

IX - consentimento expresso sobre coleta, uso, armazenamento e tratamento de dados pessoais, que deverá ocorrer de forma
destacada das demais cláusulas contratuais;

X - exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da
relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei;

X - exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da
relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei e na que dispõe sobre a
proteção de dados pessoais;         (Redação dada pela Lei nº 13.709, de 2018)       (Vigência)

XI - publicidade e clareza de eventuais políticas de uso dos provedores de conexão à internet e de aplicações de internet;

XII - acessibilidade, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, nos
termos da lei; e

XIII - aplicação das normas de proteção e defesa do consumidor nas relações de consumo realizadas na internet.
Neutralidade de rede. A inteligência da rede está nas pontas, e a rede apenas
transmite os dados.
CAPÍTULO III - DA PROVISÃO DE CONEXÃO E DE APLICAÇÕES DE INTERNET
Seção I - Da Neutralidade de Rede
Art. 9.º. O responsável pela transmissão, comutação ou roteamento tem o dever de tratar de forma isonômica
quaisquer pacotes de dados, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação.
§ 1.º. A discriminação ou degradação do tráfego será regulamentada nos termos das atribuições privativas do
Presidente da República previstas no inciso IV do art. 84 da Constituição Federal, para a fiel execução desta Lei,
ouvidos o Comitê Gestor da Internet e a Agência Nacional de Telecomunicações, e somente poderá decorrer de:
I - requisitos técnicos indispensáveis à prestação adequada dos serviços e aplicações; e
II - priorização de serviços de emergência.
§ 2.º. Na hipótese de discriminação ou degradação do tráfego prevista no § 1.º, o responsável mencionado
no caput deve:
I - abster-se de causar dano aos usuários, na forma do 
art. 927 da Lei nº 10.406, de 10 de janeiro de 2002 - Código Civil;
II - agir com proporcionalidade, transparência e isonomia;
III - informar previamente de modo transparente, claro e suficientemente descritivo aos seus usuários sobre as práticas
de gerenciamento e mitigação de tráfego adotadas, inclusive as relacionadas à segurança da rede; e
IV - oferecer serviços em condições comerciais não discriminatórias e abster-se de praticar condutas
anticoncorrenciais.
§ 3.º. Na provisão de conexão à internet, onerosa ou gratuita, bem como na transmissão, comutação ou roteamento, é
vedado bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados, respeitado o disposto neste artigo.
CAPÍTULO II - DA NEUTRALIDADE DE REDE

Decreto n.º 8.771/16, art. 3.º. A exigência de tratamento isonômico de que trata o art. 9º da Lei
nº 12.965, de 2014 , deve garantir a preservação do caráter público e irrestrito do acesso à
internet e os fundamentos, princípios e objetivos do uso da internet no País, conforme previsto
na Lei nº 12.965, de 2014 .

Art. 4.º. A discriminação ou a degradação de tráfego são medidas excepcionais, na medida em

que somente poderão decorrer de requisitos técnicos indispensáveis à prestação adequada de
serviços e aplicações ou da priorização de serviços de emergência, sendo necessário o
cumprimento de todos os requisitos dispostos no art. 9º, § 2º, da Lei nº 12.965, de 2014.
Art. 5.º. Os requisitos técnicos indispensáveis à prestação adequada de serviços e aplicações devem ser observados pelo
responsável de atividades de transmissão, de comutação ou de roteamento, no âmbito de sua respectiva rede, e têm
como objetivo manter sua estabilidade, segurança, integridade e funcionalidade.

§ 1.º. Os requisitos técnicos indispensáveis apontados no caput são aqueles decorrentes de:

I - tratamento de questões de segurança de redes, tais como restrição ao envio de mensagens em massa ( spam ) e
controle de ataques de negação de serviço; e

II - tratamento de situações excepcionais de congestionamento de redes, tais como rotas alternativas em casos de
interrupções da rota principal e em situações de emergência.

§ 2.º. A Agência Nacional de Telecomunicações - Anatel atuará na fiscalização e na apuração de infrações quanto aos
requisitos técnicos elencados neste artigo, consideradas as diretrizes estabelecidas pelo Comitê Gestor da Internet -
CGIbr.
Art. 6.º. Para a adequada prestação de serviços e aplicações na internet, é permitido
o gerenciamento de redes com o objetivo de preservar sua estabilidade, segurança e
funcionalidade, utilizando-se apenas de medidas técnicas compatíveis com os
padrões internacionais, desenvolvidos para o bom funcionamento da internet, e
observados os parâmetros regulatórios expedidos pela Anatel e consideradas as
diretrizes estabelecidas pelo CGIbr.
Art. 7.º. O responsável pela transmissão, pela comutação ou pelo roteamento deverá adotar medidas de transparência para
explicitar ao usuário os motivos do gerenciamento que implique a discriminação ou a degradação de que trata o art. 4º, tais
como:

I - a indicação nos contratos de prestação de serviço firmado com usuários finais ou provedores de aplicação; e

II - a divulgação de informações referentes às práticas de gerenciamento adotadas em seus sítios eletrônicos, por meio de
linguagem de fácil compreensão.

Parágrafo único. As informações de que trata esse artigo deverão conter, no mínimo:

I - a descrição dessas práticas;

II - os efeitos de sua adoção para a qualidade de experiência dos usuários; e

III - os motivos e a necessidade da adoção dessas práticas.

Art. 8.º. A degradação ou a discriminação decorrente da priorização de serviços de
emergência somente poderá decorrer de:

I - comunicações destinadas aos prestadores dos serviços de emergência, ou

comunicação entre eles, conforme previsto na regulamentação da Agência Nacional de
Telecomunicações - Anatel; ou

II - comunicações necessárias para informar a população em situações de risco de

desastre, de emergência ou de estado de calamidade pública.

Parágrafo único. A transmissão de dados nos casos elencados neste artigo será gratuita.
Art. 9.º. Ficam vedadas condutas unilaterais ou acordos entre o responsável pela transmissão, pela comutação ou
pelo roteamento e os provedores de aplicação que:

I - comprometam o caráter público e irrestrito do acesso à internet e os fundamentos, os princípios e os objetivos do

uso da internet no País;

II - priorizem pacotes de dados em razão de arranjos comerciais; ou

III - privilegiem aplicações ofertadas pelo próprio responsável pela transmissão, pela comutação ou pelo roteamento
ou por empresas integrantes de seu grupo econômico.

Art. 10. As ofertas comerciais e os modelos de cobrança de acesso à internet devem preservar uma internet única,
de natureza aberta, plural e diversa, compreendida como um meio para a promoção do desenvolvimento humano,
econômico, social e cultural, contribuindo para a construção de uma sociedade inclusiva e não discriminatória.
Aplicação do MCI:

Art. 11. Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, de dados
pessoais ou de comunicações por provedores de conexão e de aplicações de internet em que pelo menos
um desses atos ocorra em território nacional, deverão ser obrigatoriamente respeitados a legislação
brasileira e os direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações
privadas e dos registros.

§ 1.º. O disposto no caput aplica-se aos dados coletados em território nacional e ao conteúdo das
comunicações, desde que pelo menos um dos terminais esteja localizado no Brasil.

§ 2.º. O disposto no caput aplica-se mesmo que as atividades sejam realizadas por pessoa jurídica
sediada no exterior, desde que oferte serviço ao público brasileiro ou pelo menos uma integrante do
mesmo grupo econômico possua estabelecimento no Brasil.

§ 3.º. Os provedores de conexão e de aplicações de internet deverão prestar, na forma da

regulamentação, informações que permitam a verificação quanto ao cumprimento da legislação brasileira
referente à coleta, à guarda, ao armazenamento ou ao tratamento de dados, bem como quanto ao respeito
à privacidade e ao sigilo de comunicações.

§ 4.º. Decreto regulamentará o procedimento para apuração de infrações ao disposto neste artigo.
Art. 12. Sem prejuízo das demais sanções cíveis, criminais ou administrativas, as infrações às normas previstas nos
arts. 10 e 11 ficam sujeitas, conforme o caso, às seguintes sanções, aplicadas de forma isolada ou cumulativa:

I - advertência, com indicação de prazo para adoção de medidas corretivas;

II - multa de até 10% (dez por cento) do faturamento do grupo econômico no Brasil no seu último exercício, excluídos
os tributos, considerados a condição econômica do infrator e o princípio da proporcionalidade entre a gravidade da
falta e a intensidade da sanção;

III - suspensão temporária das atividades que envolvam os atos previstos no art. 11; ou

IV - proibição de exercício das atividades que envolvam os atos previstos no art. 11.

Parágrafo único. Tratando-se de empresa estrangeira, responde solidariamente pelo pagamento da multa de que trata
o caput sua filial, sucursal, escritório ou estabelecimento situado no País.
Dica: site “Observatório do Marco Civil da Internet”: www.omci.org.br
INTELIGÊNCIA ARTIFICIAL E
DIREITO
Como que o uso de análise de dados pode ajudar você a enxergar os próximos
passos da sua empresa? Necessidade de conhecer o direito, mas também elementos
de informática e estatísticas. No Direito, o cientista de dados vai trabalhar com
Inteligência Artificial.
Alicerces da Inteligência Artificial:

 Criar sistemas que aprendem, adaptam-se e agem potencialmente de forma autônoma

será um dos principais campos de batalha para os fabricantes de tecnologia. A capacidade de
utilizar a Inteligência Artificial para melhorar a tomada de decisões, reinventar modelos e
ecossistemas de negócio e melhorar a experiência do consumidor vai começar a compensar
as iniciativas digitais até 2025. (Fonte: IBM)

 No Direito, a IA pode aprimorar pesquisas (doutrinas, julgados...)

As técnicas de IA estão evoluindo rapidamente e as organizações vão precisar investir

significativamente em competências, processos e ferramentas para poder explorar essas
técnicas com sucessos e construir sistemas melhorados de IA, diz Cearley (CEO IBM). As
áreas de investimento podem incluir a preparação e integração dos dados, algoritmos e
seleção de metodologias de criação e treinamento de modelos. Múltiplas disciplinas, incluindo
Ciência de Dados, programação e gestão do negócio vão precisar trabalhar juntas, em
harmonia.
Aplicações:

 Ajuda a lidar com coisas repetitivas que consomem muito tempo dos
trabalhadores;

 Essencialmente, a IA é apenas um conjunto de algoritmos automatizados

projetados para executar determinadas operações com a opção de aprender a
melhorar o desempenho.
Bancos:

 Previsão de riscos e investimentos;

 Previsão de inadimplência;

 Desvio de padrões que demonstre riscos e fraudes.

Recrutamento:

 Análise de perfis e padrões nas redes sociais;

 Investigação pessoal em fontes abertas.

Agricultura:

 A agricultura moderna se baseia em acres de terra que precisam ser atendidos. É preciso muita mão de
obra para isso;

 A IA pode tornar esse trabalho mais fácil por meio de câmeras e drones. Essa combinação pode coletar
dados vitais que ajudarão os agricultores a estimar o tempo perfeito para tudo e ajustar as operações de
acordo com as informações recebidas.

Cibercrimes:

 Identificação de imagens;

 Classificação de suspeitos.
Tribunais:

 Facilidade nas pesquisas;

 Diminuição dos assessores;

 Aumento da carreira de cientista de dados.

Cientista de dados:

 Coleta de dados;

 Informações;

 Formar padrões;

 Tomada de decisão;

 Conhecimento;

 Mercado;

 Venda.

Cientistas de dados é um desses “magos de dados”, que pode adquirir massas de dados de diversas
fontes e então limpar, tratar, organizar e preparar os dados e, em seguida, explorar as suas habilidades em
matemática, estatística e machine learning para descobrir insights ocultos de negócios e gerar inteligência.
Capacidades:

 O cientista de dados é o profissional capaz de trazer a mudança para uma

organização através da análise de diversas fontes de dados – inclusive códigos
abertos.

 Base legal sólida normalmente em Direito Digital, ciência da computação,

aplicações, modelagens, estatística, análises e matemática.
Inteligência Artificial: Marcelo Porto, presidente da IBM no Brasil, diz que a empresa
evita usar o termo IA e busca falar em inteligência aumentada.

Alucinação coletiva: já Cássio Pantaleoni diz que o grande desafio da IA é primeiro

entender a mente humana como uma grande máquina preditiva. “A realidade que
conhecemos nada mais é do que uma grande alucinação coletiva provocada pelo
nosso cérebro que cria consenso de algo. O grande esforço é que a área de
tecnologia descubra como colocar isso nas máquinas”, afirmou.
Inteligência artificial no combate à corrupção:

 Desvio de padrões dos Servidores;

 Inteligência Artificial não toma decisões; um colegiado avalia as informações

 Ferramenta de priorização

 Aponta quem deve ser mais observado;

 Vale para empresas privadas também.

Blockchain: a tecnologia de blockchain está evoluindo de uma infraestrutura de criptomoeda para uma
plataforma de transformação digital. É um afastamento radical das atuais transações centralizadas e
sistemas para guardar registros e pode servir de base para negócios digitais disruptivos, tanto para
empresas estabelecidas como para startups.

Embora promoção exacerbada aqui envolve a bloco quem tenha sido originalmente focada na indústria de
serviços financeiros, a tecnologia pode ter muitas aplicações potenciais, incluindo na administração
pública, saúde, indústria fabril, distribuição de mídia, verificação de identidades, registro de titulos e
cadeias de abastecimento.

Apesar de ser uma promessa de longo prazo e de as tecnologias associadas seria ainda imaturas, o
blockchain será uma realidade nos próximos 2 a 3 anos em irá sem dúvidas criar disrupção, diz o Gartner
(consultoria internacional em tecnologia)
Tendências:

 Maior tempo de vida na rede;

 Apego a vida nas redes sociais;

 Principais problemas de convívio vão ligar para as redes sociais;

 Os principais crimes financeiros e econômicos serão realizados com o uso da

tecnologia em 15 anos.
Expectativas:

 Novo olhar para temas antigos;

 Construir soluções para os novos desafios da era da tecnologia;

 Ampliar conhecimentos em relação aos riscos de fraudes;

 Implementar novos processos de controles internos nas empresas;

 Pioneirismo/oportunidade;

 Troca de experiências e suas contribuições;

 Conhecimento: alavanca e acelera resultados profissionais; conhecer referências e tornar-se

referências;

 Disseminação de conhecimento;

 Ética e boas práticas.

A atuação do profissional do direito digital:

 Comércio eletrônico;

 Consultoria jurídica na constituição de empresas voltadas ao comércio eletrônico, mediante a elaboração de

instrumentos societários necessários, e outros contratos e acordos correlacionados;

 Consultoria jurídica para planejamento tributário da operação de comércio eletrônico, em todas as esferas de
arrecadação de tributos.

 Consultoria jurídica no desenvolvimento tecnológico da plataforma de comércio eletrônico e business

intelligence, mediante elaboração de instrumentos contratuais necessários para resguardo da propriedade
intelectual e industrial envolvida, e Registro das criações, perante órgãos competentes.

 Consultoria jurídica na elaboração de contratos com fornecedores de produtos e serviços necessários a

operação do Comércio eletrônico, tais como logística, importação, call center, meios de pagamento e outros.

 Consultoria jurídica relacionada às normas de direito do consumidor aplicáveis ao comércio eletrônico,

incluindo elaboração de termos de uso de privacidade que deverão estar presentes no site. Atuação contenciosa
para proteção da marca da empresa, reprimir e punir a sua utilização indevida na internet, especialmente para
fraudes eletrônicas.
Compliance digital:

 Análise de risco quanto à situação da empresa frente ao cumprimento ou não das principais regras
vinculadas às tecnologias da informação

 Auditorias prévias para implementação de políticas de compliance para forma com para conformidades
das práticas empresariais a regulação setorial exigente existente.

 Auditoria sem alterações societárias para apurar atos de corrupção praticados através de meios
eletrônicos

 Levantamento das normas ligadas à tecnologia da informação e plano de implantação ou correção.

 Investigações internas para levantamento de incidência e responsabilização por práticas e legais.

 Desenvolvimento, implementação e trabalhos de conscientização de códigos de conduta para a
legalidade no uso dos meios eletrônicos

 Elaboração ou revisão das políticas de privacidade e termos de uso dos canais web das empresas
para regularidade com as regras do Marco Civil da Internet (Lei n.º 12.965/14), da Lei Carolina Dieckmann
(Lei n.º 12.737/12), e das novas regras do Código de Defesa do Consumidor (Lei n.º 8.078/90) sobre
internet;

 Elaboração de regulamento interno de segurança da informação e termos de uso da segurança da

informação;

 Consultoria especializada em investigações e procedimentos administrativos para defesa e acordos de

leniência termos de ajustamento de Conduta e o outros.
Compliance digital:

 Due diligence para verificação se os softwares instalados estão de acordo com as

licenças contratadas;

 Nova análise e defesa em processos administrativos e judiciais.

Direito Eleitoral e digital:

 Consultoria para adequação legal da propaganda eleitoral na internet para

candidatos partidos ou coligações;

 Consultoria consistente no monitoramento de propaganda eleitoral antecipada na

internet e inserções em sites, redes sociais, blogs, por e-mail ou mensagens
instantâneas, entre outros, que violem a legislação eleitoral, visando elencar as
medidas pertinentes de acordo com cada conduta.
Eleições e internet:

 Atuação, com adoção de todas as medidas jurídicas pertinentes, visando a remoção

de conteúdo ilegal, direito de resposta ou multa perante a justiça eleitoral;

 Adoção das medidas judiciais contra os provedores de aplicações e de acesso à

internet visando a identificação dos responsáveis pelos ilícitos, assim como a devida a
repressão;

 Adoção das medidas judiciais de busca e apreensão visando a preservação e coleta

das provas dos ilícitos.
Educação:

 A falta de educação digital (agora protegida pelo art. 26 do Marco Civil da

Internet);

 Crimes como cyber bullying e o porn Revenge envolvendo jovens são um sem-
número de vezes divulgados diariamente, e nesse ínterim reputações foram
destruídas e vidas perdidas travessão não é incomum casos em que as vítimas
chegam a tirar a própria vida.
Mídia traço entretenimento:

 Consultoria visando adequação legal das campanhas publicitárias em mídia digital de

acordo com as regras do Conar, os direitos autorais, os direitos industriais e dos direitos
de personalidade entre outros ordenamentos jurídicos;

 Consultoria visando a aprovação de inserções publicitárias nas diversas mídias

digitais, como páginas eletrônicas, redes sociais e aplicativos;

 Consultoria visando adequar as respostas das empresas nos canais constantes e

suas redes sociais.
APLICAÇÕES DA
INTELIGÊNCIA ARTIFICIAL
Ashley Madison: Maioria dos perfis femininos é falso, diz site
Quase nenhum perfil feminino do Ashley Madison é real; confira análise de dados vazados.
Por Da Redação; Para O TechTudo
27/08/2015 17h30 Atualizado há 6 anos
Ashley Madison, site que promove "puladas de cerca", continua dando o que falar. Na
quarta-feira (26), uma pesquisa feita com os dados vazados dos usuários comprovou que a
maioria dos perfis femininos cadastrados na rede é falso. Quase nenhuma das 5,5 milhões
de mulheres inscritas usou a rede social.
https://www.techtudo.com.br/noticias/2015/08/ashley-madison-maioria-dos-perfis-
femininos-e-falso-diz-site.ghtml