Segue abaixo texto preparado pelo Centro de Tecnologia e Sociedade da Escola de Direito da Fundação Getulio Vargas no Rio de Janeiro explicando algumas das conseqüências que o projeto de lei aprovado no dia 9 de julho de 2008 pelo Senado pode trazer em termos de criminalização da internet.

De acordo com a Análise do Centro de Tecnologia e Sociedade há problemas graves nos seguintes artigos, que merecem veto pela Câmara dos Deputados:

Art. 285-A
Art. 285-B
Art. 163-A, parágrafo primeiro

Art. 6º, inciso VII.

Artigo 22, III.

JUSTIFICATIVA

O artigo 285-A (Acessar, mediante violação de segurança, rede de computadores, dispositivo de comunicação, ou sistema informatizado, protegidos por expressa restrição de acesso) criminaliza atividades absolutamente triviais. Pena de 1 a 3 anos de reclusão e multa.

Exemplo: Desbloqueio de celular de uma operadora para ser acessado em outra. Configura "accesso a dispositivo de comunicação protegido por expressa restrição de acesso, mediante violação de segurança".

Exemplo 2: Desbloquear um aparelho de DVDs (para que ele funcione com filmes de qualquer região). Configura "acesso a sistema informatizado protegido por expressa restrição de acesso, mediante violação de segurança".

O problema origina-se do fato do artigo não qualificar o que é a "expressa restrição de acesso". Dessa forma, tal restrição pode ser legal, contratual ou tecnológica (ou seja, a própria lei, os termos de uso do produto ou o contrato com a operadora ou um sistema de trava tecnológica - DRM).

***

O artigo 285-B é ainda mais problemático (Obter ou transferir, sem autorização ou em desconformidade com autorização do legítimo titular, da rede de computadores, dispositivo de comunicação ou sistema informatizado, protegidos por expressa restrição de acesso, dado ou informação neles disponível). Pena de 1 a 3 anos de reclusão e multa.

Uma vez mais são criminalizadas condutas absolutamente triviais. Além disso, o "legítimo titular" fica com a prerrogativa de "completar" a lei, já que ele pode escrever como quiser a sua "autorização", que uma vez violada, configura em conduta tipificada como crime.

Exemplo: Acessar um site em violação a seus termos de uso. Configura "obtenção de dados em desconformidade com autorização do legítimo titular de sistema informatizado protegido por expressa restrição de acesso".

Note que a "expressa restrição de acesso" consiste nos próprios termos de uso do site. Para sites que não possuem termos de uso (um blog, por exemplo) o problema continua, já que o conteúdo dos mesmos é protegido pela lei de direitos autorais (ou seja, esta também é uma "expressa restrição de acesso", que como dito acima, pode ser tecnológica, jurídica ou contratual).

Exemplo 2: Resgatar música de um iPod de volta para o computador. Configura "obter dado em desconformidade com a autorização do legítimo titular do dispositivo de comunicação ou sistema informatizado, protegidos por expressa restrição de acesso".

***

O Artigo 163-A inciso 1º talvez seja um dos mais problemáticos de todo o projeto (Art. 163-A - Inserir ou difundir código malicioso em dispositivo de comunicação, rede de computadores ou sistema informatizado. Parágrafo 1º. Se do crime resulta destruição, inutilização, deterioração, alteração, dificultação do funcionamento, ou funcionamento desautorizado pelo legítimo titular de dispositivo de comunicação, de rede de computadores, ou de sistema informatizado: Pena de 2 a 4 anos e multa.)

Esse artigo, feito para combater a questão dos vírus do computador, foi muito além do conceito de "vírus". Ele diz respeito a qualquer programa que resulte na "alteração", "dificultação do funcionamento" ou "funcionamento desautorizado pelo legítimo titular".

Exemplo: Desbloqueio do iPhone utilizando um software como o jailbreak. Configura "inserir código malicioso em dispositivo de comunicação que resulta em funcionamento desautorizado pelo legítimo titular". Vale repetir a pena: 2 a quatro anos e multa.

O artigo 6º inciso VII também é problemático (VII - difundir, por qualquer meio, código malicioso com intuito de facilitar ou permitir acesso indevido à rede de computadores, dispositivo de comunicação ou sistema informatização).

Dada a definição de "código malicioso" do artigo 163-A, parágrafo 1º, essa definição vai muito além dos "vírus" de computador. Vale notar que diferente de todas as outras hipóteses de estelionato do Código Penal, esse tipo criminaliza os chamados "atos preparatórios", ou seja, independente de alguém efetivamente receber ou usar o "código malicioso" e causar um dano efetivo, sua mera "difusão" já é crime.

Exemplo: Alguém que coloca um link no seu site para o programa que desbloqueia o iPhone ou que desbloqueia qualquer software (como o iTunes). Configura "difusão de código malicioso com intuito de facilitar ou permitir acesso indevido a sistema informatizado".

***

O artigo 22, inciso III também já foi bastante discutido e há consenso (inclusive com relaçâo à ABRANET) de que o mesmo é muito problemático (Art. 22, III - [o provedor] deve informar, de maneira sigilosa, à autoridade competente, denúncia que tenha recebido e que contenha indícios da prática de crime sujeito a acionamento penal público incondicionado, cuja perpetração haja ocorrido no âmbito da rede de computadores sob sua responsabilidade).

A pergunta que se faz é: a denúncia não deveria ser feita diretamente à autoridade competente? O provedor, nesse sentido, não tem a obrigação de receber denúncias. Como não existe restrição para que qualquer interessado possa enviar denúncias aos provedores, isso cria uma espécie de "indústria de denúncias". Além disso, a própria definição de "provedor" não é clara no texto da lei (há vários tipos de provedores de acesso: à rede, a conteúdo, a serviços online etc.). Essa definição precisaria também ser melhorada.

Exemplo 1: Um usuário monta um MP3 blog hospedado em um provedor brasileiro, o qual possui "links patrocinados", como o adsense do Google. Alguém denuncia a pessoa ao provedor, que por sua vez é obrigado a denunciá-lo à autoridade compente. A situação configura "denúncia de atividade sujeita a acionamento penal público incondicionado, cuja perpetração ocorreu no âmbito da rede de computadores sob sua responsabilidade".

Com o novo dispositivo, interessados (como a indústria do conteúdo) podem evitar completamente um processo prévio de identificação, ficando prejudicado o direito constitucional de devido processo legal. Isso ocorre porque a partir da simples denúncia ao provedor de acesso, este fica obrigado a encaminhá-las imediatamente à autoridade competente, podendo inclusive mandar os dados do usuário vinculado ao IPs "denunciados". Dessa forma, ocorrerá automaticamente a identificação do usuário, ao arrepio do devido processo legal.

***

Em síntese, a imprecisão do texto e suas conseqüências imprevisíveis (algumas das quais listadas acima) demandam que sejam vetados no mínimo os artigos 285-A, 285-B, 163-A, parágrafo primeiro, Art. 6º, inciso VII, Artigo 22, III. Caso os artigos persistam, condutas triviais na rede serão passíveis de punição com penas de até 4 anos de reclusão.