Por Adriano Sousa Costa, Anderson Marcelo de Araújo e Vytautas Fabiano Silva Zumas

1. Poder requisitório do delegado de polícia
A lei confere ao delegado de polícia um conjunto de possibilidades investigativas. E os elementos de comprovação de autoria e de materialidade do crime podem ser alcançados de duas formas básicas: pela apreensão e pela requisição.

É importante asseverar que esse poder requisitório e de constrição física não são ilimitados. Existem informações e objetos que, para serem acessados licitamente pelo delegado, precisam de autorização judicial; outras intervenções são autoexequíveis, pois não vinculadas à cláusula de reserva de jurisdição. É sobre este acesso de que trata o Artigo 2º da Lei nº 12.830/2013:

Art. 2º — As funções de polícia judiciária e a apuração de infrações penais exercidas pelo delegado de polícia são de natureza jurídica, essenciais e exclusivas de Estado. § 2º Durante a investigação criminal, cabe ao delegado de polícia a requisição de perícia, informações, documentos e dados que interessem à apuração dos fatos. (Negrito dos autores)

Ainda que o Estatuto do Delegado de Polícia (Lei nº 12.830/2013) tenha mencionado de forma abrangente sobre a requisição autoexequível de dados e de informações, algumas legislações acabaram delimitando o referido poder de acesso pela conceituação do que seriam os tais dados pessoais alcançáveis.

2. Dados pessoais reais e virtuais
Dados pessoais são aqueles que, referindo-se a um determinado indivíduo, estão voltados para a sua correta individualização frente a um determinado banco de dados. Por serem coletados quando do cadastro inicial de um indivíduo, geralmente são nominados de cadastrais.

No plano real, além de dados familiares da pessoa, os dados individualizadores contemplam o seu endereço, profissão atual, padrões biométricos simples (impressão digital, reconhecimento facial, leitura de íris etc.), ou seja, uma sorte de informações que, no mundo concreto, podem ser aferidos à vista desarmada para individualizá-lo. A autenticidade de tais informações pode ser checada geralmente pela conferência de documentos ou pela leitura tecnológica de padrões físicos do indivíduo.

Não obstante o exposto, com o avanço tecnológico, percebeu-se a necessidade de as pessoas serem individualizáveis de outras formas, vez que operam atos jurídicos em diferentes interfaces, inclusive virtuais. Por isso é imperativo que seja realizada uma típica interpretação progressiva frente ao conceito de dados pessoais/cadastrais.

Abrimos parênteses para conceituar interpretação progressiva, que seja a "técnica de interpretação da lei, procurando a sua adaptação às transformações que ocorrem na sociedade, na ciência e na moral dos povos" [1].

Essa visão progressiva é importante, pois, no mundo digital, um determinado indivíduo é identificado não só pelos dados documentais ortodoxos que fornece voluntariamente (nome civil, filiação, procedência nacional etc.), mas também por outra gama de informações, principalmente as coletadas por tais sistemas a partir do dispositivo informático utilizado pelo usuário para interagir com o ambiente cibernético.

Por exemplo, o armazenamento de identificadores inerentes ao computador ou smartphone utilizados (como o seu Universally Unique Identifier — UUID — ou Globally Unique Identifier — Guid), a conta de e-mail ou de rede social (utilizados como identificação para controle de acesso a plataformas de determinados órgãos ou empresas), os dados de conexão com a internet como seu endereço de protocolo de internet (IP address) e respectiva porta lógica de origem. Todo esse conjunto de informações serve para a individualização do usuário, sendo que tais dados transcendem ao vetusto significado que se dá aos dados qualificativos (nome, filiação, telefone e endereço). A esse conjunto nominamos dados pessoais virtuais.

Curioso que os dados pessoais virtuais de um indivíduo não são somente aqueles fornecidos no momento inaugural (cadastro), mas também os derivados do contínuo acesso às plataformas digitais, por exemplo os cookies enviados aos navegadores utilizados pelo usuário. Isso porque o cadastro de tal usuário, no mundo virtual, vai sendo atualizado automaticamente à medida que acessos múltiplos ocorrem.

3. Da evolução conceitual do endereço
Pelo olhar exclusivo da especialidade dos diplomas legais, todas essas previsões parecem ser conflitantes e, pior, sem um motivo claro para tal diferenciação. Entretanto tudo passa a ter lógica quando os dispositivos são analisados com base em sua cronologia.

Qualquer outra interpretação levaria ao contrassenso interpretativo de que, legislações mais específicas e afetas a crimes de maior magnitude, e que, portanto, deveriam trazer ferramentas investigativas mais amplas, seriam mais restritivistas do que uma legislação genérica (como o é o Estatuto do Delegado de Polícia).

Quanto ao conceito de dados de qualificação pessoal e de filiação há pouca controvérsia. No máximo, o que se requer de informação adicional, no mundo digital, é eventual pseudônimo (alias) que o usuário se utiliza para se apresentar à plataforma.

Contudo o maior debate acaba tangenciando a terminologia "endereço" no campo virtual. Tal termo encontra uma certa equivalência no "endereço de protocolo de internet", o qual, além de ajudar na individualização, indica a procedência do usuário na rede, já que tal identificador remete ao seu provedor de conexão. E é esse provedor que poderá indicar quem é o responsável pelo acesso e onde ele reside fisicamente.

E ainda que o termo "endereço de IP" não aponte, aprioristicamente, para o local físico de acesso (ou mesmo para o local em que o usuário reside), é o primeiro passo no processo de obtenção de tal informação.

Tentaremos exemplificar. Um indivíduo aluga um veículo em uma locadora de carros. Quem só vê a placa daquele veículo (endereço IP) não consegue saber quem o conduz em determinado momento. Há que se questionar à locadora (provedor de conexão) quem é e onde reside aquela pessoa que, naquele momento e local, estava dirigindo o carro.

Por isso, acreditar que o "endereço" deve ser somente aquele encetado em um comprovante de residência juntado ao cadastro de alguém é ignorar as especificidades da rede e, principalmente, que os documentos comprobatórios de identidade e de endereço apresentados, principalmente por quem já intenta praticar crimes, são geralmente falsos. Por isso imperativa é a conjugação do dados do endereço físico do indivíduo ao seu endereço virtual na rede, até porque só se chega àquele por meio deste.

4. Da cronologia de legislações processuais-penais que tratam sobre requisição de dados cadastrais
Partiremos da análise dos diplomas que, pouco antes ou após o Estatuto do Delegado de Polícia (Lei nº 12.830, de 20 de junho de 2013), conceituaram dados cadastrais. Isso garantirá uma visão cronológico-evolutiva de tais dispositivos e permitirão perceber os acréscimos conceituais ocorridos.

A Lei nº 12.683/2012, que adicionou o artigo 17-B da Lei de Lavagem de Capitais (Lei nº 9.613, de 3 de março de 1998), a qual inclusive antecede o Estatuto do Delegado, tratou de forma ortodoxa os dados a que o delegado de polícia tem acesso direto. Vejamos:

"Art. 17-B. A autoridade policial e o Ministério Público terão acesso, exclusivamente, aos dados cadastrais do investigado que informam qualificação pessoal, filiação e endereço, independentemente de autorização judicial, mantidos pela Justiça Eleitoral, pelas empresas telefônicas, pelas instituições financeiras, pelos provedores de internet e pelas administradoras de cartão de crédito."

Já o primeiro diploma posterior ao Estatuto do Delegado foi a Lei nº 12.965, de 23 de Abril de 2014, que estabeleceu princípios, garantias, direitos e deveres para o uso da Internet no Brasil, nominado Marco Civil da Internet. Tal diploma, seguindo a lógica da Lei nº 12.683/2012, parecia ainda restringir o acesso dos delegados aos dados cadastrais, permitindo tomar conhecimento somente dos dados pessoais reais. Vejamos:

Artigo 10 — § 3º. O disposto no caput não impede o acesso aos dados cadastrais que informem qualificação pessoal, filiação e endereço, na forma da lei, pelas autoridades administrativas que detenham competência legal para a sua requisição. Em 6 de outubro de 2016, surge a Lei nº 13.344, de 2016, que inseriu o artigo 13-A e 13-B no Código de Processo Penal. Tal diploma segue a mesma linha restritiva das legislações anteriores, mas inova ao permitir o acesso a dados e informações cadastrais de vítimas, e não só dos suspeitos. Contudo a referida ferramenta requisitória restringiu-se a investigações de poucas infrações penais.

Artigo 13-A. Nos crimes previstos nos arts. 148, 149 e 149-A, no § 3º do art. 158 e no art. 159 do Decreto-Lei no 2.848, de 7 de dezembro de 1940 (Código Penal), e no art. 239 da Lei no 8.069, de 13 de julho de 1990 (Estatuto da Criança e do Adolescente), o membro do Ministério Público ou o delegado de polícia poderá requisitar, de quaisquer órgãos do poder público ou de empresas da iniciativa privada, dados e informações cadastrais da vítima ou de suspeitos (Incluído pela Lei nº 13.344, de 2016) (Vigência).

No mesmo ano, também emergiu o decreto que regulamentou o Marco Civil da Internet. O Decreto n. 8.771, de 11 de maio de 2016, finge caminhar no mesmo sentido restritivo de sua lei de referência ao tratar como dados cadastrais acessáveis pelo delegado, e sem autorização judicial, somente os cadastrais do usuário. Vejamos:

Art. 11. § 2º São considerados dados cadastrais:

I - a filiação;
II - o endereço; e
III - a qualificação pessoal, entendida como nome, prenome, estado civil e profissão do usuário.

Mas o diploma suso avança em um ponto importantíssimo. Ele introduz na legislação um conceito mais amplo de "endereço", contemplando agora "números identificativos, dados locacionais ou identificadores eletrônicos, quando estes estiverem relacionados a uma pessoa”. E esse, então, passa a ser o ponto de partida para uma interpretação mais consentânea do que são dados de qualificação pessoal e de endereço na senda virtual. Vejamos:

Artigo 14. Para os fins do disposto neste Decreto, considera-se:

I - dado pessoal - dado relacionado à pessoa natural identificada ou identificável, inclusive números identificativos, dados locacionais ou identificadores eletrônicos, quando estes estiverem relacionados a uma pessoa;

E essa conceituação legitima o dado locacional ou identificadores de conexão (compreendendo então geolocalização e IP + porta lógica de origem) para serem fornecidos, sem autorização judicial, como forma de individualização do usuário e de seu real endereço. A contrario senso, o endereço de protocolo de internet serve como parâmetro identificador a ser informado ao provedor de conexão para a individualização de seu cliente.

Claro que não se está aqui a propugnar que cada uma das relações que o usuário mantenha no plano virtual vão ser acessadas pela requisição autoexequível do delegado de polícia, mas somente aquelas informações que, de uma forma ou de outra, apontem para os seus dados pessoais, a exemplo do seu endereço (visualizado pela rede e que indiquem seu endereço físico real).

Enfim, foi só após tal revolução copernicana que as legislações subsequentes passaram a trazer como tendência um conceito de dado cadastral mais abrangente do que os meros dados pessoais afetos ao mundo real.

As mudanças trazidas pelo pacote anticrime (Lei nº 13.964/2019), principalmente quando da criação do artigo 10-A da Lei de Organização Criminosa, bem como do artigo 190-A do ECA), são bons exemplos dessa guinada hermêneutica:

Artigo 10-A. § 1, da Lei n. 12.850/2013 […]

Artigo 190-A. § 2 º do ECA: Para efeitos do disposto no inciso I do § 1º deste artigo, consideram-se: (Incluído pela Lei nº 13.441, de 2017)
II – dados cadastrais: informações referentes a nome e endereço de assinante ou de usuário registrado ou autenticado para a conexão a quem endereço de IP, identificação de usuário ou código de acesso tenha sido atribuído no momento da conexão.

A nosso ver, não há qualquer incongruência entre tais dispositivos explicativos e, por exemplo, o artigo 15 da Lei de Organização Criminosa:

Art. 15. O delegado de polícia e o Ministério Público terão acesso, independentemente de autorização judicial, apenas aos dados cadastrais do investigado que informem exclusivamente a qualificação pessoal, a filiação e o endereço mantidos pela Justiça Eleitoral, empresas telefônicas, instituições financeiras, provedores de internet e administradoras de cartão de crédito.

O artigo 15 não limita o acesso do delegado e do Ministério Público aos dados virtuais, pois, na verdade, só necessita ser interpretado à luz dos conceitos explicativos do artigo 10-A (inserido pelo pacote anticrime).

Por fim, ainda que a Lei Geral de Proteção de Dados não tenha avançado ainda mais no sentido de consolidar o amplo do conceito de "endereço", até porque sua finalidade nunca foi a investigação criminal e suas consequências, também não rompeu com a anterior tendência legislativa. A nosso ver porque, inclusive, o artigo 4º, inciso III, alínea "d", deixa claro que a lei não se aplica a "atividades de investigação e repressão de infrações penais”.

5. Da conclusão
Há uma forte tendência de relações serem cada vez mais comuns em arenas digitais, a exemplo do metaverso. E as legislações precisam seguir tal tendência, pois é esperado que os crimes lá também se multipliquem.

A evolução legislativa não foi tão substantiva assim. Na verdade, normas regulamentares e dispositivos explicativos (das próprias leis) mais abrangentes que promoveram tal guinada hermenêutica acerca dos dados pessoais e do endereço permitidos ao acesso autoexequível do delegado de polícia.

A compreensão histórico-progressiva aponta para que as informações referentes a nome e endereço de assinante ou de usuário registrado ou autenticado para a conexão. Usuário este a quem foi conferido endereço de IP, identificação de usuário ou código de acesso no momento da conexão sejam compreendidos no conceito de dados cadastrais. Todos esses dados serão acessíveis pelo delegado de polícia sem a necessidade de ordem judicial antecedente.

Mais robustos e muito mais confiáveis, tais informações metacadastrais, compreendidos como a procedência cibernética do usuário (endereço virtual), devem ser entregues ao delegado de polícia nos casos previstos em lei, sem a exigência de ordem judicial para tal.

Sobre os autores:

Adriano Sousa Costa é delegado de Polícia Civil de Goiás, autor pela Juspodivm e Impetus, professor da pós-graduação da Verbo Jurídico, MeuCurso e Cers, membro da Academia Goiana de Direito e doutorando em Ciência Política pela UnB e mestre em Ciência Política pela UFG.

Anderson Marcelo de Araújo é policial civil do Distrito Federal, ex-delegado de polícia de SC e ex-oficial do Ministério Público do RS.

Vytautas Fabiano Silva Zumas é delegado da Polícia Civil do Estado de Goiás, pós-graduado em ethical hacking and cybersecurity, mestrando em blockchain and digital currency e palestrante internacional em investigação e criptoativos.

Texto publicado com autorização dos autores e originalmente publicado no Conjur.