Tipicidade penal e tratamento irregular de dados: o problema da lesividade concreta à luz da tutela da pessoa

Tipicidade penal e tratamento irregular de dados: o problema da lesividade concreta à luz da tutela da pessoa

A criminalização de condutas relacionadas ao tratamento irregular de dados pessoais transformou-se, nos últimos anos, em campo de tensão dogmática particularmente instável. O Código Penal foi sucessivamente alterado para acomodar figuras típicas voltadas à proteção da esfera informacional, com destaque para a nova redação do artigo 154-A pela Lei 14.155/2021 e para a inserção do estelionato eletrônico como qualificadora autônoma no artigo 171, §2º-A. A Lei Geral de Proteção de Dados, por sua vez, construiu um sistema sancionatório de natureza administrativa que convive, sem clara demarcação de fronteiras, com esse arsenal penal. O intérprete se vê diante de uma pergunta que a doutrina brasileira ainda não enfrentou com o rigor devido: quando o tratamento irregular de dados pessoais deixa de ser ilícito administrativo e passa a constituir crime, e sob que critérios materiais essa passagem se legitima constitucionalmente?

A pergunta toca no núcleo daquilo que Gustavo Tepedino identificou, ao longo de sua produção sobre a constitucionalização do direito civil, como o problema da tutela da pessoa em suas múltiplas dimensões existenciais. Se a proteção de dados foi reconhecida pelo Supremo Tribunal Federal, na ADI 6387, e depois pela Emenda Constitucional 115/2022, como direito fundamental autônomo, a resposta penal a violações desse direito precisa ser calibrada segundo critérios que respeitem simultaneamente a fragmentariedade do direito penal e a densidade constitucional do bem jurídico tutelado. Do contrário, corre-se o risco de instrumentalizar o direito penal como recurso simbólico de reforço regulatório, esvaziando tanto sua função quanto a própria arquitetura protetiva da LGPD.

O artigo 154-A do Código Penal, na redação vigente, pune a invasão de dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário. A pena base, de um a quatro anos, é majorada quando a invasão resulta em obtenção de conteúdo de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas assim definidas em lei, ou controle remoto não autorizado do dispositivo invadido.

A leitura apressada do tipo sugere uma proteção robusta. Uma análise mais atenta revela dificuldades estruturais que merecem enfrentamento dogmático. A primeira diz respeito à indefinição do que constitui autorização tácita em contextos nos quais o titular dos dados aderiu, mediante clique automático, a termos de uso que preveem hipóteses amplíssimas de acesso e compartilhamento. A pergunta que emerge é se essa adesão contratual, cuja fragilidade consensual é hoje amplamente reconhecida, pode operar como excludente da tipicidade penal, transferindo para o campo civil um conflito que talvez devesse ser resolvido no próprio juízo de subsunção típica.

É aqui que a tensão com a categoria da tutela da pessoa desenvolvida por Tepedino se torna produtiva. Se as situações jurídicas existenciais, entre as quais se inclui a autodeterminação informativa, resistem à lógica puramente patrimonial e contratual, seria contraditório admitir que a autorização contratualmente extraída, muitas vezes viciada por assimetria informacional radical, funcione como salvo-conduto penal para tratamentos que, materialmente, violam o núcleo existencial protegido. A cláusula geral de tutela da pessoa, tal como Tepedino a extrai do artigo 1º, III, da Constituição, impõe uma releitura do consentimento que se comunica com a tipicidade penal: a autorização apta a afastar o crime não é aquela formalmente colhida, mas aquela materialmente conforme à autodeterminação do titular, o que exige do intérprete um juízo substantivo sobre a legitimidade concreta da aquiescência.

O segundo problema estrutural é a definição do que constitui lesividade concreta no crime informacional. A doutrina penalista tradicional trabalha com a categoria da ofensividade, exigindo que a conduta típica lese ou coloque em perigo concreto o bem jurídico tutelado. Transportada para o campo da proteção de dados, essa exigência esbarra em uma dificuldade epistemológica: como aferir a lesividade de um tratamento irregular quando o dano informacional é difuso, potencial, agregativo e não imediatamente perceptível pelo titular?

Um vazamento isolado de um endereço de email pode parecer trivial. Agregado a outros dados vazados em incidentes anteriores, forma um perfil comportamental capaz de submeter o titular a manipulações comerciais, políticas e afetivas cuja gravidade escapa à percepção convencional. A dogmática penal, formada para lidar com bens jurídicos individualizáveis e lesões perceptíveis, ainda não desenvolveu instrumentos adequados para aferir essa lesividade cumulativa. A construção de Tepedino sobre a eficácia horizontal da tutela existencial oferece uma chave interpretativa: a lesividade penal, no tratamento irregular de dados, deve ser aferida não pelo dano individual isolado, mas pela potencialidade agressiva da conduta em relação ao feixe de situações existenciais que se articulam em torno da personalidade do titular.

Essa proposta tem consequências práticas relevantes. A obtenção não autorizada de dados aparentemente banais, quando integrada a operações de perfilamento massivo, satisfaz o requisito de ofensividade típica ainda que o titular concreto não experimente, no momento do ato, prejuízo individualizado. A tipicidade material se constrói pela relação entre o ato específico e a estrutura mais ampla de vulneração existencial em que ele se insere, deslocando o eixo da análise do dano pontual para o comprometimento sistêmico da autodeterminação informativa. É uma proposta ousada, que precisa ser tensionada com o princípio da legalidade estrita, mas parece a única forma de conferir densidade material à tipicidade penal informacional sem cair no simbolismo repressivo.

A qualificadora do estelionato eletrônico, introduzida pela Lei 14.155/2021, apresenta problema distinto e igualmente relevante. Ela pune a fraude cometida com utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos ou envio de correio eletrônico fraudulento. O tipo captura, com razoável precisão, os fenômenos contemporâneos de phishing, engenharia social e sequestro identitário. O que permanece obscuro é o tratamento penal daquele intermediário que, sem executar diretamente a fraude, forneceu, negligentemente ou dolosamente, os dados que a viabilizaram.

O controlador de dados que, por falha grave em suas medidas de segurança, permite a exfiltração de bases utilizadas posteriormente em fraudes massivas, pratica ilícito administrativo perante a ANPD. A pergunta é se pode, também, ser responsabilizado penalmente, e sob qual figura típica. A resposta convencional tende a excluir a responsabilidade penal por ausência de dolo direto na fraude subsequente. Uma leitura informada pela categoria tepediniana da tutela integral da pessoa sugere que a omissão qualificada no dever de proteção pode configurar, em determinadas circunstâncias, participação por omissão penalmente relevante, especialmente quando o controlador ocupa posição de garante em relação aos dados que administra.

A construção exige cautela. A posição de garante do controlador não decorre automaticamente de sua condição contratual ou regulatória, mas da assunção específica, expressa ou implícita, do dever de proteger a esfera informacional do titular contra riscos previsíveis. Quando essa assunção é qualificada por captação massiva de dados sensíveis, por representações públicas de robustez técnica e por conhecimento efetivo de vulnerabilidades não corrigidas, o controlador se posiciona como garante penalmente relevante, e sua omissão dolosa ou gravemente culposa pode fundamentar responsabilização penal pelas fraudes que se seguem ao vazamento.

Para operacionalizar essas propostas, sugiro um teste de merecimento penal do tratamento irregular de dados, articulado em torno de variáveis interdependentes que não devem ser lidas como etapas sequenciais, mas como dimensões simultâneas do juízo de tipicidade material. A primeira é a gravidade estrutural da conduta, aferida pela potencialidade agressiva da operação em relação às situações existenciais do titular, considerando tanto o dano imediato quanto o dano agregativo previsível. A segunda é a intensidade da violação da autodeterminação, medida pela distância entre a base legal invocada e a autorização materialmente conforme à vontade do titular, o que permite identificar quando o pretenso legítimo interesse do controlador degenera em uso predatório da esfera informacional alheia. A terceira é a posição institucional do agente, que qualifica o desvalor da conduta conforme o grau de assunção do dever de proteção e a expectativa social de segurança gerada por sua atuação.

Somente quando essas dimensões apontam conjuntamente para uma agressão qualificada é que se justifica a resposta penal, resguardando a fragmentariedade e devolvendo ao campo administrativo da LGPD as violações que, embora relevantes, não atingem esse patamar. O teste não elimina a discricionariedade interpretativa, mas a submete a critérios racionalmente controláveis e ancorados na tutela constitucional da pessoa.

O direito penal informacional não pode ser lido como mero apêndice repressivo da LGPD, tampouco como reduto autônomo indiferente ao sistema civil-constitucional de proteção da pessoa. A tipicidade penal, no tratamento irregular de dados, ganha densidade quando lida através da cláusula geral de tutela da pessoa que Tepedino ajudou a consolidar no direito brasileiro, oferecendo ao intérprete critérios materiais para distinguir a bagatela informacional da agressão penalmente relevante. Persiste a necessidade de refinar esses critérios em diálogo com a jurisprudência que começa a se formar. Sem constitucionalização substantiva do juízo típico, o direito penal informacional oscilará entre a hipertrofia simbólica e a inefetividade prática, deixando desprotegido justamente aquilo que constitui o núcleo mais exposto da personalidade contemporânea. O que é, em si mesmo, uma forma de violação.