Marcos Legais (EO 12333, AG Guidelines, LGPD, IPA)

Nota do capítulo "13 - Contra-Inteligência (CI)", pasta "07 - Liderança e Governança".
Baliza juridicamente as atividades de contra-inteligência corporativa a partir dos marcos que governam estados e empresas.
Conecta-se com Responsabilidade Executiva, Ética e Oversight da mesma pasta e com Privacidade e Considerações Legais do capítulo 12.

1. Contexto e Posicionamento na Biblioteca

A contra-inteligência corporativa opera na fronteira entre poder e proibição: ela copia métodos de serviços de inteligência, mas não herda nenhuma de suas prerrogativas legais. Estados coletam com base em mandatos públicos; empresas coletam com base em contratos, propriedade e legislação de proteção de dados. Esta nota apresenta os marcos que balizam esse limite em três camadas: as referências doutrinárias dos Estados Unidos, que mostram como um Estado se auto limita, a LGPD brasileira, que regula diretamente o que a empresa pode fazer com dados de pessoas, e a legislação correlata de inteligência e de comunicações, que fixa o que permanece monopólio estatal. O objetivo prático é dar ao programa de CI uma régua de legalidade usável antes de qualquer operação.

O posicionamento na pasta é estrutural: a nota de Responsabilidade Executiva define quem autoriza, e esta nota define o que pode ser autorizado. Sem essa régua, o programa oscila entre o excesso, que gera responsabilidade legal e perda de evidência, e o subuso, que deixa a organização cega para ameaças reais. A nota de Ética vai além do legal, e a de Oversight verifica o cumprimento; o tripé começa aqui, na legalidade verificável.

2. Por que Marcos Legais Balizam a CI Corporativa

O primeiro motivo é de competência: interceptação de comunicações, vigilância de indivíduos e acesso a dispositivos são atividades juridicamente reservadas a autoridades públicas com ordem judicial ou mandato específico. A empresa que as exercita por conta própria não está inovando em defesa, e sim assumindo conduta típica de crime, com responsabilidade civil e penal da pessoa física que executou e da organização. Conhecer o limite legal não é conformidade burocrática, é a condição para que o programa continue existindo.

O segundo motivo é a qualidade da inteligência. Evidência coletada sem base legal, sem aviso ou fora de escopo declarado pode ser inadmissível em processo trabalhista, cível ou penal, e contaminar todo o caso a partir do ponto da coleta. A lição prática dos marcos estatais é que procedimento documentado protege o valor do produto de inteligência: quem registra origem, base legal, escopo e prazo de retenção tem produto utilizável; quem coleta por impulso tem informação que não serve para decidir nem para processar.

O terceiro motivo é regulatório e reputacional. A LGPD dá à ANPD poder de fiscalizar e sancionar, e o vazamento de uma investigação interna conduzida de forma desproporcional gera dano jurídico e de marca desproporcional ao risco originalmente combatido. O caso de uso mais comum, a investigação de insider com telemetria sobre funcionários, é exatamente o mais sensível, e por isso a seção sobre LGPD detalha bases legais, princípios e limites aplicáveis.

3. EO 12333 e AG Guidelines como Referência Doutrinária

A Executive Order 12333, editada em 1981 e revisada depois, organiza as atividades de inteligência dos Estados Unidos e define os conceitos centrais que a doutrina usa até hoje: inteligência estrangeira, contra-inteligência e proteção de pessoas norte-americanas. Sua relevância para a CI corporativa não é de aplicação direta, pois a ordem vincula órgãos governamentais, e sim de espelho metodológico: ela mostra que até um Estado precisa declarar propósito de coleta, delimitar quem pode ser alvo, exigir procedimentos aprovados e preservar direitos de pessoas em análise. A empresa que traduz essa lógica para o próprio programa já sai na frente da maioria do mercado.

As Attorney General Guidelines complementam a ordem na camada operacional, ao definir limiares, procedimentos e controles para coleta, retenção e disseminação de informações pelas agências do Departamento de Justiça. O princípio de minimização, presente nessas diretrizes, é o mais transferível para o setor privado: colete o necessário para o propósito declarado, proteja o que não é relevante, registre quem acessou e descarte no prazo. O segundo princípio transferível é o de propósito: informação coletada para investigação de segurança não se converte livremente em insumo de decisões de carreira, disciplina ou negociação comercial.

A tradução corporativa desses dois princípios tem forma concreta e verificável. O propósito declarado vira objetivo escrito no caso, com pergunta de segurança redigida antes da coleta; os procedimentos aprovados viram política interna revisada pelo jurídico, com matriz de autorização anexada; a minimização vira lista nomeada de campos coletados, com justificativa por campo; e a retenção vira prazo de descarte automático no repositório de dossiês, auditável pela auditoria interna. Um programa que consegue mostrar esses quatro artefatos em qualquer caso aberto nos últimos doze meses está, na prática, aplicando a doutrina estatal em escala privada, e tem a documentação que o oversight da nota seguinte vai pedir.

Complete o quadro doutrinário com duas referências de controle judicial e externo. A FISA (Foreign Intelligence Surveillance Act) exige ordem de tribunal específico para vigilância de alvos protegidos nos Estados Unidos, e representa a ideia de que vigilância séria passa por autorização independente. E o modelo de oversight dos Inspectors General e de comitês parlamentares, tratado na nota de Oversight desta pasta, mostra que coleta de inteligência sem supervisão externa se corrompe por estrutura, e não por má intenção de pessoas.

4. LGPD no Brasil

A Lei Geral de Proteção de Dados, Lei 13.709 de 2018, é o marco que efetivamente governa a CI corporativa brasileira, porque a maior parte das operações de contra-inteligência termina tocando dados de pessoas: funcionários investigados, titulares de contas comprometidas, contatos de fontes e envolvidos em incidentes. A lei exige base legal para cada tratamento, aplica princípios obrigatórios e confere direitos a titulares, com fiscalização da ANPD. Investigar ameaças não cria exceção legal; cria apenas contextos específicos de aplicação.

Para investigações internas e operações de CI, as bases legais mais usadas são três, e a tabela abaixo fixa quando cada uma serve e o que exige de documentação. A escolha da base é decisão registrada no caso, e não rótulo aplicado depois.

A base de legítimo interesse é a mais flexível e a mais exigida em documentação: ela permite tratamento de segurança quando a expectativa do titular foi respeitada, o teste de equilibragem está registrado e o escopo é proporcional. Dados sensíveis, como saúde e crença, têm régua própria e restritiva, e não devem constar de dossiês de CI sem necessidade comprovada e base específica.

Os princípios do artigo 6 da lei funcionam como checklist de desenho de operação. Necessidade limita a coleta ao mínimo para o fim; finalidade e adequação proíbem reaproveitar telemetria de segurança para decisões de gestão de pessoas; transparência exige aviso claro sobre monitoramento de meios corporativos; segurança exige controle de acesso ao próprio dossiê de investigação; e responsabilização exige registro que prove a conformidade. Na prática trabalhista brasileira, a jurisprudência admite controle dos meios fornecidos pela empresa, como e-mail corporativo, quando houver aviso prévio, finalidade legítima e proporcionalidade, e rejeita vigilância clandestina sem fundamento. O desenho do caso de insider deve nascer dessas restrições, e não descobri-las depois.

O custo de ignorar a lei é quantificável, e vale conhecer os números para calibrar a conversa com a diretoria. A ANPD pode aplicar sanções que vão de advertência a multa de até 2 por cento do faturamento da organização no Brasil, limitada a 50 milhões de reais por infração, além de bloqueio ou eliminação dos dados envolvidos e publicização da infração. O montante raramente é o pior dano: a publicização de uma investigação interna desproporcional, com nomes e métodos, custa confiança interna que nenhum programa de CI recupera rápido, e é esse custo reputacional que a nota de Ética da pasta coloca sobre a régua puramente legal.

5. IPA e Legislação Correlata de Inteligência

O Investigatory Powers Act de 2016, do Reino Unido, é a referência europeia mais útil para entender o que permanece monopólio estatal. A lei concentra poderes de interceptação e de vigilância em autoridades públicas, com mandato emitido por autoridade política e revisão judicial dupla, e transforma as empresas em prestadoras de assistência obrigatória, não em agentes autorizados. A lição direta para a CI corporativa é inequívoca: interceptar comunicações não é capacidade que a empresa possa se autoconferir, nem sob o argumento de que o tráfego passa por sua rede.

O papel de assistência do IPA também ensina algo que a empresa brasileira vai enfrentar na prática: pedidos de autoridades. Quando a autoridade competente pede registros ou dados, a organização precisa de processo próprio para validar o pedido, verificar competência e escopo, responder pelo canal formal e registrar tudo; atender por cortesia, sem controle, transfere à empresa a responsabilidade pelo excesso. O mesmo desenho vale na direção oposta: a empresa não compra de agentes públicos acesso informal, e o registro de qualquer solicitação recebida é evidência de conformidade que auditorias e oversight cobram.

No Brasil, o mesmo desenho aparece em camadas. A Lei 9.296 de 1996 reserva a interceptação de comunicações telefônicas e de informática a investigação criminal ou instrução penal, por ordem judicial, com requisição de autoridade policial ou do Ministério Público. O Marco Civil da Internet, Lei 12.965 de 2014, garante a inviolabilidade do fluxo de comunicações na internet, com exceção de ordem judicial, e restringe o fornecimento de registros a terceiros. E o Código Penal, com a Lei Carolina Dieckmann de 2012, tipifica como crime a invasão de dispositivo alheio, o que fecha a porta de contramedidas ofensivas do tipo hack back, mesmo contra infraestrutura do atacante.

Dois pontos complementam o quadro de referência para quem opera em múltiplas jurisdições. O GDPR europeu aplica-se a operações com titulares na União Europeia e segue a mesma lógica da LGPD em bases legais, minimização e transferência internacional. E a estrutura brasileira de inteligência de Estado, organizada pelo Sistema Brasileiro de Inteligência, é composta por órgãos públicos com mandato próprio, o que reforça o ponto de partida desta nota: atividade de inteligência como função estatal delegada e regulada, exercida pelo setor privado apenas na forma de proteção do próprio ambiente, com base própria e limitada.

6. O que o Setor Privado Não Pode Fazer

A lista abaixo resume as proibições práticas que mais aparecem em propostas mal formuladas de contra-inteligência corporativa. Cada linha traz a razão jurídica central e a alternativa legal que preserva o objetivo defensivo, para que a conversa com o comitê aconteça em termos de método, e não apenas de veto.

O padrão que atravessa a tabela é simples: o método da inteligência estatal é preservável, a prerrogativa estatal não é. Todo projeto de operação de CI deve conseguir responder em uma página o que está sendo coletado, sobre quem, com qual base legal, com qual aviso, por quanto tempo e com quem compartilhado; a ausência de qualquer resposta é o sinal de que a operação precisa voltar para a prancheta.

As duas linhas finais da tabela merecem nota específica porque são as mais pedidas por executivos com boa intenção. O GPS de frota e a aproximação controlada de funcionários são práticas com versões legítimas e úteis, e a diferença entre a versão legal e a abusiva nunca está na tecnologia, está no desenho: política escrita, escopo delimitado, autorização registrada e revisão posterior. O programa que documentar esse desenho uma vez pode reutilizá-lo em todos os casos, e o que não tem desenho documentado é tratado pela régua desta nota como proibido até que tenha.

7. Tabela-Resumo de Marcos e Implicações

A tabela consolida os marcos citados, seu âmbito e a implicação prática direta para o programa de CI corporativa, e serve de referência rápida para revisão de operações.

A leitura conjunta da tabela revela o desenho de equilíbrio que todos os marcos repetem: quanto maior o poder de olhar sobre pessoas, maior a exigência de propósito declarado, autorização independente e registro auditável. O programa de CI maduro não disputa esse equilíbrio; ele o adota como especificação de arquitetura própria.

8. Matriz Restringe x Permite por Marco

A implicação prática de cada marco se organiza em duas colunas: o que ele restringe e o que, em contrapartida, permite ou recomenda ao programa de CI. A matriz abaixo complementa a tabela-resumo da seção 7 e é o material de apoio mais usado em treinamento de novos analistas, porque responde à pergunta operacional imediata: diante deste marco, o que deixa de estar disponível e o que passa a ser o caminho legítimo.

A matriz tem uso operacional direto em dois momentos. No desenho da operação, cada linha é percorrida para verificar se a coleta prevista encontra restrição e se a alternativa da coluna da direita já está no plano; na revisão pelo jurídico, a matriz serve de roteiro de parecer, e o parecer que cita a linha aplicada é mais rápido de emitir e mais fácil de defender depois. O programa que usa a matriz nas duas pontas converte a régua legal em parte do fluxo de trabalho, e não em obstáculo consultado tarde demais.

9. Exemplo Prático: Checklist Jurídico de uma Investigação Interna

O checklist abaixo estrutura a porta de entrada legal de uma investigação interna de vazamento, e deve ser preenchido e aprovado antes do primeiro acesso ampliado a dados do investigado. Ele materializa, em uma página, os princípios desta nota.

CASO: CI-2025-014 - Suspeita de vazamento de lista de clientes
Objetivo declarado: identificar origem do vazamento e conter dano.

1. Base legal: legítimo interesse para segurança, com teste de
   equilibragem registrado; consulta ao jurídico anexada.
2. Escopo de coleta: telemetria corporativa de contas e sistemas
   envolvidos; sem acesso a comunicações pessoais ou a dados sensíveis.
3. Aviso: confirmar que a política de uso de meios corporativos prevê
   monitoramento e que o colaborador assinou o termo correspondente.
4. Minimização: listar campos coletados e justificar cada um; descartar
   campos sem relação com o caso.
5. Retenção: prazo de guarda do dossiê definido (exemplo: 24 meses ou
   até encerramento de eventual processo).
6. Acesso: dossiê em repositório restrito, com trilha de auditoria e
   lista nomeada de acessos.
7. Papéis: autorizador (CISO), executor (CI), revisor (jurídico e RH);
   ninguém acumula autorização e execução.
8. Gatilhos de escala: achado que envolva crime, dados de terceiros ou
   colaborador vulnerável reabre avaliação com jurídico e, se cabível,
   comunicação a autoridades.
9. Comunicação: plano de disclosure a titulares avaliado com o DPO em
   caso de confirmação de vazamento de dados pessoais.
10. Encerramento: relatório com base legal, achados, medidas e lições,
    arquivado para auditoria e para oversight.
11. Capacitação: executores com registro vigente de treinamento em
    coleta legal; certificados arquivados junto ao caso.
12. Encerramento técnico: iscas, acessos ampliados e regras de coleta
    temporárias desativados e verificados por segunda pessoa.

O checklist tem efeito colateral positivo que vale registro: ele acelera a investigação. Com base legal, escopo e acessos definidos antes do início, a equipe não trava em discussão jurídica no meio do caso, e o produto final nasce com admissibilidade preservada. É a tradução operacional do princípio central desta nota: legalidade bem resolvida no desenho é o que permite velocidade na execução.

10. Erros Comuns e Pontos de Atenção

• Copiar prerrogativas estatais sem o mandato: adotar métodos de coleta estatal sem a autorização correspondente transforma defesa em infraestrutura de crime; o método se copia, a prerrogativa não.
• Tratar LGPD como entrave: a lei não proíbe investigar, ela exige desenhar; programas que ignoram a lei descobrem tarde que sua evidência não serve para processo e que a organização virou réu.
• Usar legítimo interesse como capa: a base exige teste de equilibragem documentado e expectativa do titular respeitada; sem isso, a base legal é uma citação decorativa, e não um fundamento.
• Estender escopo por conveniência: telemetria coletada por segurança reaproveitada em decisões de gestão de pessoas viola finalidade e adequação; escopo é contrato, e ampliação precisa de nova avaliação.
• Responsabilizar só o fornecedor de OSINT: a empresa responde pelo método do prestador; due diligence de métodos e cláusulas de conformidade são parte da operação, não do contrato administrativo.
• Ignorar jurisdição transnacional: operação com titulares ou sistemas na União Europeia aciona GDPR, e dados movidos entre jurisdições exigem atenção a transferência internacional.
• Deixar o checklist fora do caso: régua legal que não é aplicada por caso não governa nada; o registro de aplicação é a evidência que o oversight vai procurar.
• Atender pedido de autoridade sem processo próprio: pedidos de dados por autoridades exigem validação de competência, de escopo e registro formal; atender por cortesia, sem controle, transfere à empresa a responsabilidade pelo excesso.
• Concentrar a decisão legal em uma pessoa: a régua depende de revisão independente e registrada, e não de ok informal em conversa; o parecer do jurídico é artefato do caso, e não favor do consultor.

11. Integração com o Restante da Biblioteca

Esta nota é a camada legal sobre a qual as demais notas de governança operam: a matriz de autorização da nota de Responsabilidade Executiva só pode aprovar o que esta nota define como possível, a revisão da nota de Ética assume a legalidade como piso e vai além dela, e o oversight da nota seguinte verifica a adesão real aos limites aqui descritos. Na outra ponta do capítulo, o checklist legal da seção 9 se conecta diretamente aos casos de insider tratados na nota de Ameaças Internas, pois é lá que o programa mais frequentemente toca dados de pessoas.

No restante da biblioteca, a nota de Privacidade e Considerações Legais do capítulo 12 cobre a dimensão geral de privacidade de CTI e hunting, e esta nota detalha o recorte específico de contra-inteligência. As notas de coleta e de governança de dados dos capítulos 02 e 15, em especial o controle DAT.5 de qualidade e retenção, recebem daqui os requisitos de prazo e de trilha que sustentam a defesa em auditoria. O resultado esperado é que qualquer operação de CI, ao ser revisada por qualquer uma dessas notas, encontre a mesma resposta consistente: base legal declarada, escopo registrado e produto utilizável.