A tipicidade do tratamento irregular de dados pessoais e a fronteira penal da proteção informacional

A tipicidade do tratamento irregular de dados pessoais e a fronteira penal da proteção informacional

A pergunta que organiza este ensaio é aparentemente simples e, por isso mesmo, perigosa. Existe, no direito brasileiro vigente, um tipo penal autônomo que descreva como crime o tratamento irregular de dados pessoais, assim entendido aquele que descumpre as bases legais, as finalidades e os princípios estruturantes da Lei Geral de Proteção de Dados? A resposta correta, embora desconfortável para parte da literatura entusiasta da expansão protetiva, é negativa. A LGPD construiu uma arquitetura administrativa sancionatória robusta, com competência da Autoridade Nacional, mas deliberadamente se absteve de criar figuras típicas penais específicas para a violação de seus deveres. A tutela penal da informação pessoal continua distribuída entre tipos preexistentes, formulados para outros tempos e outras tecnologias, especialmente aquele que o Código Penal denomina invasão de dispositivo informático, nos termos do artigo 154-A, com a redação dada pela Lei 14.155 de 2021, e aquele que, após a mesma reforma, redesenhou o estelionato praticado mediante fraude eletrônica no artigo 171, parágrafos 2º-A e 2º-B.

Entre o universo das irregularidades civis e administrativas de tratamento, de um lado, e o universo dos crimes informáticos nominados, de outro, existe uma zona cinzenta cuja delimitação é a verdadeira tarefa dogmática do momento. É neste espaço intersticial que se concentra a tentação punitivista de ler a LGPD como se fosse, ela própria, norma penal em branco a ser preenchida por qualquer tipo residual, movimento que precisa ser combatido com a seriedade metodológica que a legalidade estrita exige.

Ricardo Luis Lorenzetti, em sua teoria da decisão judicial aplicada à sociedade da informação, insiste em uma distinção que serve como chave de leitura para o problema penal da proteção de dados. O jurista argentino observa que o juiz contemporâneo opera em cenários de assimetria cognitiva aguda, nos quais a tecnologia produz fenômenos novos antes que a dogmática disponha de categorias adequadas para enquadrá-los. A tentação natural, diante disso, é importar categorias de outros ramos para suprir a lacuna, operação que Lorenzetti identifica como fonte de dois vícios decisórios recorrentes: a hipertrofia regulatória por via jurisprudencial e a dissolução das garantias clássicas sob a retórica da efetividade.

A proposta lorenzettiana, especialmente nos escritos reunidos em Teoria da Decisão Judicial e naqueles dedicados ao que denomina paradigma do acesso e paradigma coletivo ambiental, é a de reconstruir a decisão a partir de regras de prioridade que preservem simultaneamente a tutela da pessoa e a legalidade estrita. Quando o problema é penal, a prioridade da legalidade é, para o autor, inegociável, porque a função de garantia da tipicidade pertence ao núcleo iluminista que a sociedade da informação não revogou. É justamente este o ponto em que pretendo tensionar o próprio Lorenzetti, para extrair dele consequências que ele não desenvolveu com a profundidade que o tema brasileiro agora exige.

O tipo da invasão de dispositivo informático foi redesenhado em 2021 para suprimir a elementar da violação indevida de mecanismo de segurança como requisito necessário, bastando agora a invasão com o fim de obter, adulterar ou destruir dados sem autorização expressa ou tácita do usuário. A reforma ampliou substancialmente o alcance do tipo e levou parte da doutrina a sustentar que ali estaria o guarda-chuva penal da LGPD. Esta leitura é equivocada, e as razões convergem em pelo menos três direções.

A primeira é descritiva. O tipo exige invasão, isto é, acesso não autorizado a dispositivo alheio. O controlador que trata dados pessoais fora das bases legais do artigo 7º ou do artigo 11 da LGPD não invade coisa alguma. Ele opera dados que recebeu, muitas vezes, do próprio titular, em contexto contratual aparentemente regular, e os desvia da finalidade originalmente informada. A conduta é censurável, mas não é invasiva. Querer encaixar o desvio de finalidade no verbo invadir é fazer analogia in malam partem, operação vedada pela Constituição.

A segunda razão é teleológica. O artigo 154-A protege a segurança do dispositivo e, reflexamente, a privacidade do seu titular enquanto usuário daquele ambiente informático específico. A LGPD protege a autodeterminação informativa como projeção da personalidade, bem jurídico mais amplo e estruturalmente distinto. A sobreposição entre os dois bens é parcial, nunca total, e a parte não sobreposta é precisamente aquela em que residem as condutas mais graves da economia de dados contemporânea: o perfilamento abusivo, a inferência discriminatória, a monetização secundária sem base legal.

A terceira razão é sistemática. Se o legislador quisesse ter construído uma tipicidade penal autônoma do tratamento irregular, teria tido oportunidade clara ao editar a LGPD e, novamente, ao reformar o Código Penal em 2021. Preferiu, por opção político-criminal consciente, deixar o enforcement no plano administrativo. Esta opção vincula o intérprete.

O artigo 171, parágrafo 2º-A, inserido em 2021, prevê a fraude eletrônica como forma qualificada de estelionato, com pena consideravelmente mais severa quando o crime é cometido mediante utilização de servidor mantido fora do território nacional. A redação do dispositivo tem servido como porta de entrada para uma categoria que a prática forense começa a chamar de estelionato informacional, expressão sedutora que merece escrutínio dogmático cuidadoso antes de ser aceita.

O estelionato exige, estruturalmente, o emprego de ardil, a indução de vítima determinada a erro e a obtenção de vantagem patrimonial em prejuízo alheio. Quando um controlador trata dados em desacordo com a finalidade declarada, há, em sentido amplo, uma frustração da expectativa gerada no titular. Transformar esta frustração em ardil penalmente relevante, porém, requer um salto argumentativo que colide com a natureza das relações informacionais massivas. A política de privacidade genérica não é artifício dirigido a vítima específica, é regulação contratual padronizada, cuja patologia é tratada pelo direito do consumidor e pelo direito civil. A migração desta patologia para o tipo do estelionato representaria uma panpenalização incompatível com a subsidiariedade do direito penal.

Lorenzetti, ao tratar das decisões judiciais em contextos de risco tecnológico, propõe que o julgador, antes de expandir uma categoria jurídica para alcançar fenômeno novo, verifique se o custo sistêmico da expansão é compatível com o ganho tutelar obtido. Aplicando este teste ao estelionato informacional, o custo é a dissolução das elementares clássicas do artigo 171, com projeção sobre toda a teoria do crime patrimonial, e o ganho é marginal, porque a conduta já encontra tutela administrativa e civil adequadas. A expansão não se justifica.

Há, contudo, um ponto em que a tipicidade penal da proteção de dados pode ser lida com maior densidade, e este ponto tem sido estranhamente subexplorado. Trata-se da interceptação de comunicações em fluxo, regulada pela Lei 9.296 de 1996, cujo artigo 10 criminaliza a interceptação não autorizada de comunicações telefônicas, de informática ou telemáticas. A norma, elaborada antes da consolidação do conceito de dado pessoal como objeto autônomo, oferece hoje uma plataforma técnica para reprimir condutas que a LGPD apenas administrativamente alcança, especialmente aquelas que envolvem captura de fluxos informacionais em ambientes corporativos sem autorização judicial ou das partes envolvidas.

A distinção dogmática que proponho é entre dado em fluxo e dado em repouso para efeitos de tipicidade penal. O dado em fluxo, enquanto comunicação em trânsito, encontra na Lei 9.296 proteção penal específica e tecnicamente adequada. O dado em repouso, armazenado em bases, é objeto de proteção penal apenas se e quando a conduta de acesso se enquadrar no artigo 154-A, ou se o uso subsequente configurar outro tipo autônomo, como a divulgação de segredo do artigo 153 ou a violação de sigilo profissional do artigo 154. Fora destas hipóteses, o tratamento irregular permanece no plano administrativo e civil, sem relevância penal direta.

A partir do diálogo com Lorenzetti, e tensionando a sua proposta de regras de prioridade decisória, formulo um critério que pode orientar o intérprete nos casos de fronteira. A conduta de tratamento irregular de dados pessoais somente ingressa na esfera penal quando se verificar, cumulativamente, a presença de um dos verbos nucleares dos tipos existentes, não por analogia mas por subsunção estrita, e quando o bem jurídico específico daquele tipo for efetivamente lesado: a segurança do dispositivo no artigo 154-A, o patrimônio no artigo 171, o sigilo da comunicação em fluxo na Lei 9.296, o segredo profissional no artigo 154. A violação da LGPD, por si só, não preenche nenhum destes requisitos e não transforma o irregular administrativo em ilícito penal.

Este critério tem consequências práticas diretas para o foro. Denúncias que descrevam apenas descumprimento de bases legais da LGPD devem ser rejeitadas por atipicidade. A prova pericial, em processos penais envolvendo dados, deve concentrar-se nos elementos específicos do tipo imputado, não nos requisitos administrativos de conformidade. O concurso entre o tipo penal e a sanção administrativa da ANPD é possível quando ambos incidem, mas o processo administrativo não pressupõe nem antecede o penal, pois os bens jurídicos protegidos não se confundem.

A tentação de penalizar o tratamento irregular como forma de dar efetividade à LGPD é compreensível em um país que ainda cultua o direito penal como pedagogia social. É precisamente contra esta pedagogia que Lorenzetti, no melhor de sua obra, oferece anteparo teórico, lembrando que a decisão judicial em sociedade da informação deve preservar as garantias clássicas como condição da legitimidade das novas tutelas. A proteção de dados pessoais, como projeção contemporânea dos direitos da personalidade, não precisa do direito penal para existir. Precisa de uma dogmática administrativa e civil capaz de operar com rigor, e de uma dogmática penal capaz de resistir à expansão fácil dos tipos existentes para abranger condutas que o legislador, consciente do que fazia, decidiu não criminalizar. A questão é saber por quanto tempo essa resistência se sustentará diante da pressão crescente por respostas punitivas imediatas.