7 de julho de 2026
A Coalizão Direitos na Rede manifesta profunda preocupação com a tramitação do Projeto de Lei nº 6.423/2025, que pretende instituir um novo marco legal para a atividade de inteligência no Brasil. Embora seja legítimo que o Estado disponha de instrumentos para prevenir ameaças e proteger a ordem democrática, o texto atualmente em discussão amplia significativamente os poderes de vigilância estatal sem estabelecer salvaguardas equivalentes de controle, transparência e responsabilização, alterando profundamente o equilíbrio entre segurança e direitos fundamentais previsto pela Constituição Federal. A promessa de segurança não pode servir como justificativa para a criação de uma infraestrutura permanente de vigilância sem freios e contrapesos.
O contexto e passado histórico brasileiro nos basta como mais do que suficiente para nos demonstrar os riscos diante da utilização de estruturas de inteligência sem controles democráticos efetivos. A utilização política de mecanismos de vigilância durante períodos autoritários evidencia que poderes excepcionais, quando não acompanhados de limites institucionais claros, podem ser desviados contra cidadãos, movimentos sociais, defensores dos direitos humanos, jornalistas e grupos considerados opositores. Um novo marco legal deve romper com essa tradição de opacidade e construir uma cultura de responsabilidade pública.
A discussão sobre a atualização do marco legal da inteligência no Brasil é legítima e necessária. Estados democráticos precisam desenvolver capacidades institucionais para responder a ameaças complexas, inclusive aquelas que ocorrem em ambientes digitais. Entretanto, a ampliação dessas capacidades deve estar acompanhada de mecanismos igualmente robustos de controle democrático. Atividades de inteligência possuem uma característica particular: operam sob sigilo, envolvem assimetria informacional e podem produzir impactos profundos sobre direitos fundamentais. Por essa razão, quanto maior a capacidade de coleta, análise e tratamento de dados pelo Estado, maior deve ser a densidade dos mecanismos de supervisão, salvaguardas, transparência e responsabilização.
O PL nº 6423/2025, contudo, caminha na direção oposta ao priorizar a expansão das capacidades de vigilância sem construir uma arquitetura proporcional de freios e contrapesos. O texto cria novas possibilidades de coleta e circulação de informações pessoais, mas não estabelece, com a mesma precisão, quais instituições terão capacidade efetiva de fiscalizar essas práticas, quais procedimentos deverão ser observados antes da adoção de medidas invasivas e quais direitos terão as pessoas eventualmente afetadas por essas atividades.
Um dos principais pontos de preocupação está no artigo 7º do projeto, que autoriza órgãos de inteligência a reunir e cruzar dados provenientes de fontes abertas, inclusive de forma automatizada, cooperar com organismos nacionais e estrangeiros para obtenção e intercâmbio de informações, utilizar ferramentas de inteligência artificial, tecnologias de big data, sistemas de processamento, consulta, cruzamento, mineração e raspagem de dados. Isso permite que sejam gerados perfis comportamentais, inferências sobre indivíduos e grupos, além de classificações automatizadas difíceis de identificar ou contestar. Embora o dispositivo mencione proporcionalidade e rastreabilidade, não estabelece critérios objetivos sobre finalidade, necessidade, limites de tratamento, supervisão independente e mecanismos de contestação. Sem isso, essas ferramentas automatizadas podem transformar informações fragmentadas em instrumentos de vigilância permanente, ampliando riscos de discriminação, perseguição indevida e usos desviados da finalidade legal.
Também preocupa o artigo 8º, que permite que profissionais de inteligência acessem, independentemente de autorização judicial, dados cadastrais mantidos por órgãos públicos, serviços notariais e de registro, empresas telefônicas, instituições financeiras, provedores de internet e administradoras de cartão de crédito. O acesso estatal a informações pessoais sem controle judicial prévio amplia a assimetria entre Estado e cidadãos e cria uma estrutura de baixa fiscalização entre instituições, na qual decisões capazes de afetar direitos fundamentais podem ocorrer sem uma avaliação externa prévia — o que precisa ser feito apenas em casos excepcionalíssimos a partir de decisões legislativas amadurecidas com ampla participação social, sob risco de abuso de poder.
O projeto também determina, em seu artigo 11, que provedores de conexão e aplicações de internet mantenham, pelo prazo de 5 anos, registros do usuário1. A criação de uma infraestrutura permanente de armazenamento de dados de cidadãos brasileiros representa um risco significativo quando combinada com mecanismos facilitados de acesso e a baixa fiscalização entre instituições já mencionadas. A retenção desnecessariamente prolongada de informações pessoais não pode ser tratada como consequência natural da atividade de inteligência. A existência de uma finalidade de segurança pública ou segurança nacional não pode justificar a criação de bases permanentes de informações pessoais sem limites claros de armazenamento, revisão periódica e destruição quando não houver mais necessidade de retenção.
Da mesma forma, o compartilhamento de informações entre órgãos nacionais e estrangeiros precisa estar submetido a regras mais rigorosas. O intercâmbio de dados pessoais exige critérios claros de finalidade, registro dos responsáveis pelo acesso, rastreabilidade das operações e avaliação dos riscos envolvidos. A circulação de informações entre diferentes instituições, especialmente em atividades sigilosas, não pode ocorrer sob uma lógica informal de compartilhamento baseado apenas na utilidade operacional.
Também causa preocupação o artigo 13, que autoriza o emprego amplo de técnicas e meios sigilosos de forma genérica — incluindo acompanhamento e monitoramento de alvos, infiltração de inteligência, captação ambiental de sinais eletromagnéticos, ópticos ou acústicos e meios técnicos e cibernéticos. A amplitude da redação abre espaço para utilização de tecnologias altamente invasivas, incluindo ferramentas de monitoramento remoto capazes de acessar dispositivos pessoais, explorar vulnerabilidades digitais e coletar dados armazenados, informações de conexão e localização. Tecnologias dessa natureza, como ferramentas de spyware2, possuem capacidade intrusiva comparável a uma busca completa do ambiente digital de uma pessoa. Por isso, seu uso exige salvaguardas excepcionais e a previsão genérica de emprego desses mecanismos não é suficiente diante dos riscos envolvidos.
O artigo 20, ao disciplinar ferramentas de monitoramento remoto de terminais de comunicações pessoais, reconhece a existência dessas tecnologias, mas não estabelece controles compatíveis com sua capacidade invasiva. A previsão de transparência posterior sobre contratos, características técnicas, desenvolvedores e revendedores das ferramentas representa um avanço limitado, mas insuficiente. É necessário garantir mecanismos de supervisão capazes de acompanhar a utilização dessas tecnologias, idealmente antes, durante e depois das operações, assim como melhor descrever as exceções.
Nesse contexto, a aprovação de um novo marco legal para inteligência deve ser acompanhada pela criação de uma arquitetura democrática de controle. Atividades sigilosas não podem depender exclusivamente de mecanismos internos ou de revisões posteriores. É necessário fortalecer instâncias externas, independentes e especializadas, capazes de acompanhar continuamente as operações de inteligência para verificar a legalidade das práticas adotadas e atuar quando forem identificados desvios.
Em atividades marcadas por sigilo e alta complexidade tecnológica, um órgão controlador deve possuir capacidade técnica e autonomia para acompanhar fluxos de dados, sistemas e procedimentos de forma contínua. A supervisão democrática exige acesso efetivo às informações necessárias para fiscalizar, e não apenas a possibilidade formal de solicitar esclarecimentos aos próprios órgãos responsáveis pela vigilância.
Além disso, medidas de maior impacto sobre direitos fundamentais devem contar com mecanismos qualificados de autorização. A análise judicial não deve ocorrer apenas a partir das informações apresentadas pelo órgão interessado na medida, especialmente quando não há contraditório tradicional. Modelos democráticos contemporâneos demonstram a importância de incluir instâncias independentes capazes de avaliar a necessidade e proporcionalidade das medidas antes de sua execução.
O controle da inteligência também precisa incorporar uma dimensão social. A transparência institucional, a produção de relatórios públicos, a proteção a denunciantes de irregularidades e mecanismos de notificação posterior de pessoas submetidas a medidas invasivas são elementos fundamentais para construir confiança democrática. O sigilo necessário à proteção de determinadas operações não pode significar ausência permanente de prestação de contas.
Por essas razões, a Coalizão Direitos na Rede alerta para os riscos de aprovação do PL nº 6423/2025 sem alterações profundas que garantam equilíbrio entre capacidade estatal e proteção de direitos fundamentais. A modernização da atividade de inteligência no Brasil deve ser construída com base em controles externos independentes, autorização adequada para medidas invasivas, regras específicas de tratamento de dados pessoais, transparência e participação social. Defendemos que a tramitação do projeto seja acompanhada de amplo debate público, com participação da sociedade civil, especialistas, órgãos de controle e instituições comprometidas com a defesa da democracia. Um Estado democrático forte é aquele capaz de proteger a sociedade sem abandonar os direitos fundamentais que justificam sua existência.
Coalizão Direitos na Rede
- Registros de identificação de usuários, metadados de tráfego, endereços IP, portas lógicas utilizadas, horários de conexão e informações técnicas necessárias à individualização da origem do acesso. ↩︎
- Software malicioso projetado para infiltrar-se em um dispositivo, monitorar suas atividades e coletar informações confidenciais (senhas, histórico de localização, transações bancárias etc.) sem consentimento, enviando esses dados a terceiros. ↩︎
