Cibercrime: Convenção de Budapeste e Leis Brasileiras

O Conselho da Europa celebrou na cidade de Budapeste, em 23 de novembro de 2001, a Convenção sobre o Crime Cibernético, visando harmonizar elementos do direito penal interno, fornecer parâmetros para poderes processuais necessários para a investigação e julgamento de tais crimes e estabelecer um regime eficaz de cooperação internacional.

A Convenção entrou em vigor internacionalmente em 2004 e representa, desde então, o arcabouço mínimo a ser adotado pelos Estados-parte no combate ao cibercrime, não impedindo que estes empreguem medidas mais amplas, adequadas a suas realidades locais. O número adesões já passa de seis dezenas (1), contando com a maior parte dos membros da União Europeia, Estados Unidos, Argentina, Chile, Paraguai, Colômbia etc.

Apesar de negociada e firmada, inicialmente, no âmbito do Conselho da Europa, a adesão por outros Estados está prevista no art. 37 e o Brasil foi convidado a aderir à Convenção em 2019, concluindo seu processo de adesão em novembro de 2022 (2).

Ontem, 13 de abril de 2023, o Decreto n. 11.491/23 promulgou a Convenção de Budapeste.

Ao abordar o cibercrime no submundo dos mercados financeiros (3), ofereceu-se um olhar sobre os grupos que atuam nesse mercado ilícito, os desafios representados por essa forma de criminalidade e um conceito possível de cibercrime, a partir da perspectiva da Convenção.

Naquela ocasião, disse-se que a Convenção de Budapeste classifica os crimes cibernéticos em quatro modalidades:

a) crimes contra a confidencialidade, integridade e disponibilidade de dados e sistemas de computador: acesso ilegal (illegal access, art. 2º), interceptação ilícita (illegal interception, art. 3º), violação de dados (data interference, art. 4º), interferência em sistema (system interference, art. 5º) e uso indevido de aparelhagem (misuse of devices, art. 6º);

b) crimes informáticos propriamente ditos: englobando a falsificação (computer-related forgery, art. 7º) e a fraude informática (computer-related fraud, art. 8º);

c) crimes relacionados ao conteúdo da informação, cujo único mandamento de criminalização contido no corpo da Convenção é o que genericamente se chama de pornografia infantil (offences related to child pornography, art. 9º), embora o 1º Protocolo Adicional tenha trazido outros crimes relacionados com racismo e xenofobia (arts. 3º e 6º);

d) violações a direitos autorais (offences related to copyright and neighbouring rights, art. 10), quando cometido intencionalmente, em escala comercial e por meio de um sistema de computador.

As tipologias mais comuns de crimes cibernéticos foram analisadas em outra postagem (4).

Agora, por ocasião da promulgação da Convenção de Budapeste, oportuna é a analisar a compatibilidade de suas disposições à legislação nacional.

Conceitos

O Brasil possui um conjunto de dispositivos legais, espalhado em diversos diplomas, que procura contemplar a tipificação dos principais crimes cibernéticos, as técnicas especiais de investigação e as ferramentas de cooperação jurídica internacional constantes da Convenção de Budapeste. Não há correspondência completa entre o modelo internacional e as leis internas, mas o Brasil, em termos de legislação, está longe de ser um paraíso para cibercriminosos.

No Brasil não há lei definindo sistema de computador, tal como o art. 1º da Convenção de Budapeste. O Marco Civil da Internet (Lei n. 12.965/14) conceitua terminal como “o computador ou qualquer dispositivo que se conecte à internet” (art. 1º, inciso II, MCI) e conexão à internet como a habilitação de um terminal para envio e recebimento de pacotes de dados pela internet, mediante a atribuição ou autenticação de um endereço IP (art. 1º, inciso V, MCI). O computador ou dispositivo acessa aplicações de internet, ou seja, o conjunto de funcionalidades que podem ser acessadas por meio de um terminal conectado à internet (art. 1º, inciso V, MCI). A lei nacional ainda define o que se entende por internet: “o sistema constituído do conjunto de protocolos lógicos, estruturado em escala mundial para uso público e irrestrito, com a finalidade de possibilitar a comunicação de dados entre terminais por meio de diferentes redes” (art. 1º, inciso I, MCI).

Para a Convenção de Budapeste, a característica mais importante de um sistema de computador é sua capacidade de realizar o “processamento eletrônico de dados”, esteja ou não conectado à internet. O conceito não se confunde com o de terminal do art. 5º, inciso II, do Marco Civil. Para este, o elemento distintivo é ser um dispositivo conectado à internet. Um terminal será sempre sistema de computador, mas a recíproca não é verdadeira.

Dados de computador (art. 1.c, CB) também não encontra correlação perfeita com outros dados descritos na legislação nacional. São dados de computador, por exemplo, o endereço de protocolo de internet (endereço IP) (o código atribuído a um terminal de uma rede para permitir sua identificação, art. 5º, III, MCI); o registro de conexão (o conjunto de informações referentes à data e hora de início e término de uma conexão à internet, sua duração e o endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados, art. 5º, VI, MCI); e o registro de acesso a aplicações de internet (o conjunto de informações referentes à data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP, art. 5º, VIII, MCI).

Alguns dos conceitos empregados pela Lei Geral de Proteção de Dados (Lei n. 13.709/18) também podem ser dados de computador, acaso constantes em banco de dados eletrônico (art. 5º, inciso IV, LGPD), tais como os dados pessoais (informação relacionada a pessoa natural identificada ou identificável, art. 5º, I, LGPD) e os dados pessoais sensíveis (dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural, art. 5º, I, LGPD).

O Brasil possui norma constitucional prevendo a possibilidade de interceptação do fluxo de dados telemáticos (art. 5º, inciso XII, CF) e lei que regulamentou o dispositivo (Lei n. 9.296/96). A “interceptação do fluxo de comunicações em sistemas de informática e telemática”, como definido na lei, trata efetivamente de dados de tráfego, como definido na Convenção de Budapeste.

A Convenção conceitua provedor de serviço (service provider, art. 1.c) como qualquer entidade pública ou privada que permite aos seus usuários se comunicarem por meio de um sistema de computador; e qualquer outra entidade que realiza o processamento ou armazenamento de dados de computador em nome desses serviços de comunicação ou de seus usuários. Esse conceito do tratado internacional é bastante amplo e abrange, na legislação nacional, os conceitos de provedor de conexão à internet (definido na lei como administrador de sistema autônomo: pessoa física ou jurídica que administra blocos de endereço IP específicos e o respectivo sistema autônomo de roteamento, devidamente cadastrada no ente nacional responsável pelo registro e distribuição de endereços IP geograficamente referentes ao País, art. 5º, IV, MCI) e de provedor de aplicação de internet (art. 1º, inciso V, e art. 15, MCI).

Como se observa, ainda que os conceitos nacionais não sejam rigorosamente idênticos aos da Convenção de Budapeste, eles seguem a mesma lógica e cobrem, satisfatoriamente, os seus propósitos. Mesmo porque os signatários da Convenção não são obrigados a copiar textualmente em suas leis internas os conceitos definidos no art. 1º, desde que essas leis cubram tais conceitos de maneira consistente com os princípios da Convenção e ofereçam um quadro equivalente para a sua implementação (5).

Crimes

No que diz respeito aos mandamentos de criminalização da Convenção de Budapeste (crimes contra a confidencialidade, integridade e disponibilidade de dados e sistemas de computador, arts. 2º a 6º; crimes informáticos, arts. 7º e 8º; crimes relacionados ao conteúdo da informação, art. 9º; e violações a direitos autorais e correlatos, art. 10) e do 1º Protocolo Adicional (condutas relacionadas ao racismo e à xenofobia, arts. 3º a 6º), as leis nacionais cobrem grande parte das previsões lá constantes.

Alguns dos principais crimes cibernéticos próprios do tratado internacional estão previstos no artigo 154-A do Código Penal como invasão de dispositivo informático, incluído pela Lei n. 12.737/12 e modificado pela Lei n. 14.155/21.

Por ele, comete crime quem “invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita”. A pena é reclusão de 1 a 4 anos e multa. Ao se referir a dispositivo informático conectado ou não à internet, o tipo importa o conceito de sistema de computador (art. 1.a) da Convenção de Budapeste.

O tipo penal exige um interesse específico de agir: obter, adulterar ou destruir dados ou instalar vulnerabilidades para obter vantagem ilícita. Com isso, a lei nacional não tipifica o mero acesso ilegal previsto no art. 2º da Convenção de Budapeste e, valendo-se de autorização do mesmo dispositivo do tratado (6), exige um fim fraudulento. Com isso, a tipificação nacional se aproxima dos crimes de violação de dados do art. 4º (7) e da burla informática do art. 8º da Convenção.

Na mesma pena do caput (1 a 4 anos e multa) incorre aquele agente que produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir tais práticas (§ 1º). O dispositivo espelha, de forma mais restrita, o art. 6º da Convenção de Budapeste.

Normas do mesmo artigo da lei brasileira contemplam situações relacionadas. Há causa de aumento de pena se resulta da invasão em prejuízo econômico (§ 2º). Se da invasão resultar a obtenção de conteúdo de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas, assim definidas em lei, ou o controle remoto não autorizado do dispositivo invadido, modifica-se a pena (2 a 5 anos e multa) (§ 3º), podendo ainda haver aumento de pena se houver divulgação, comercialização ou transmissão a terceiro, a qualquer título, dos dados ou informações obtidos (§ 4º). Por fim, aumenta-se a pena se o crime for praticado contra algumas autoridades nacionais (§ 5º) (8).

Nos crimes definidos no art. 154-A, somente se procede mediante representação, salvo se for cometido contra a administração pública direta ou indireta de qualquer dos Poderes da União, Estados, Distrito Federal ou Municípios ou contra empresas concessionárias de serviços públicos (art. 154-B).

O art. 10 da Lei de Interceptações (Lei n. 9296/96) tipifica o crime de interceptação ilegítima (art. 3º, CB) como aquele que realiza interceptação de comunicações de informática ou telemática sem autorização judicial ou com objetivos não autorizados em lei. Pena de reclusão de 2 a 4 anos e multa. Incorre na mesma pena a autoridade judicial que determina a execução de interceptação ilegítima com objetivo não autorizado em lei.

O crime de interferência em sistemas (art. 5º, CB) não possui correspondência completa em dispositivos do direito brasileiro. Conduta mais restrita está prevista no art. 266, § 1º, do Código Penal, inserido pela Lei n. 12.737/12, como interromper, impedir ou perturbar serviço telemático ou de informação de utilidade pública, ou lhe dificultar o restabelecimento. Pena de detenção de 1 a 3 anos, aplicando em dobro se ocorrem por ocasião de calamidade pública.

Os arts. 313-A e 313-B do Código Penal, incluídos pela Lei n. 9.983/00, referem-se à interferência em sistemas da administração pública pela inserção de dados falsos em sistema de informações (inserir ou facilitar, o funcionário autorizado, a inserção de dados falsos, alterar ou excluir indevidamente dados corretos nos sistemas informatizados ou bancos de dados da Administração Pública com o fim de obter vantagem indevida para si ou para outrem ou para causar dano, pena 2 a 12 anos e multa) ou pela modificação ou alteração não autorizada de sistema de informações (modificar ou alterar, o funcionário, sistema de informações ou programa de informática sem autorização ou solicitação de autoridade competente, pena de detenção de 3 meses a 2 anos). As penas são aumentadas de um terço até a metade se da modificação ou alteração resulta dano para a Administração Pública ou para o administrado.

O crime de falsificação informática (art. 7º, CB) pode ser enquadrado na forma do art. 154-A, caput e § 2º, e no art. 313-A, caso envolva a Administração Pública.

Por sua vez, a fraude informática do art. 8º da Convenção de Budapeste, relacionada com o prejuízo patrimonial da vítima, foi tratado de forma mais sistemática com a redação conferida pela Lei n. 14.155/21 ao crime de furto qualificado (art. 155, § 4º-B, “cometido por meio de dispositivo eletrônico ou informático, conectado ou não à rede de computadores, com ou sem a violação de mecanismo de segurança ou a utilização de programa malicioso, ou por qualquer outro meio fraudulento análogo”) (9) e o estelionato na modalidade de fraude eletrônica (art. 171, § 2º-A, “cometida com a utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos ou envio de correio eletrônico fraudulento, ou por qualquer outro meio fraudulento análogo”) (10).

Sobre a pornografia infantil (art. 9º, CB), as normas nacionais previstas no Estatuto da Criança e do Adolescente (Lei n. 8.069/90), em dispositivos introduzidos pela Lei n. 11.829/08, possuem compatibilidade total com a Convenção de Budapeste e, em alguns aspectos, criminalizando outras condutas. Lá constam as variadas condutas de compartilhamento e armazenamento de pornografia por meio de sistema informático ou telemático (art. 241-A e 241-B), a simulação desse material (art. 241-C) e o aliciamento, assédio, instigação ou constrangimento, inclusive virtual, de criança para a pornografia (art. 241-D, cyber-grooming).

Outros aspectos relacionados à sexualidade das crianças e adolescentes, que são preocupações internacionais mas não estão inseridas na Convenção de Budapeste, também são previstas na legislação interna, tais como o cyberstalking, tipificado aqui como perseguição (art. 147-A, CP) (11); cyberbullying (12), cuja forma de atuação pode se enquadrada em calúnia (art. 138, CP), difamação (art. 139, CP) ou injúria (art. 140, CP); e pornografia de vingança (art. 218-C, CP) (13).

As infrações relacionadas com a violação do direito de autor e dos direitos conexos (art. 10, CB) estão tipificadas no art. 184 do Código Penal, com modificações introduzidas pela Lei n. 10.695/03. As normas são tipos penais em branco porque, ao se referirem a violação de direitos do autor e seus conexos, remete à legislação sobre a matéria, atualmente a Lei n. 9.610/98.

Os mandamentos de criminalização do 1º Protocolo Adicional, relacionados ao racismo e à xenofobia (arts. 3º a 6º) estão todos previstos na Lei n. 7.716/89, que prevê os crimes resultantes de discriminação ou preconceito de raça, cor, etnia, religião ou procedência nacional.

Não existe na legislação nacional a possibilidade de responsabilidade penal de pessoas jurídicas (art. 12, CB) por crimes tipificados de acordo com o tratado. Todavia, a responsabilização civil e administrativa da pessoa jurídica (art. 12, 2) encontra possibilidade no Brasil.

Investigação

Instrumentos de investigação previstos na Convenção de Budapeste possuem ampla compatibilidade com as normas nacionais.

A preservação expedita de dados de computador (arts. 16 e 29, CB) é, no Brasil, ordem de preservação prevista nos art. 13, § 2º e art. 15, § 2º, do Marco Civil da Internet. A peculiaridade nacional reside no fato de que as normas brasileiras tratam da preservação de registros de conexão e de acesso a aplicações, enquanto que a Convenção de Budapeste prevê, além desses, a conservação de dados de conteúdo e de tráfego. Por outro lado, o Marco Civil brasileiro prevê regras de retenção de dados de conexão e registros de aplicação por 1 ano e seis meses, respectivamente (arts. 13, caput, e 15, caput), em norma que não existe no âmbito da Convenção de Budapeste.

O Supremo Tribunal Federal encontra-se discutindo no Habeas Corpus n. 222141 a necessidade de ordem judicial para pedidos de preservação.

A preservação expedita e revelação parcial de dados de tráfego (art. 17 e 30, CB) não possui dispositivo nacional equivalente. Se o caso exigir, a Convenção de Budapeste pode servir de fundamento para a adoção desta técnica investigativa, tendo em vista que ela ingressou no Direito nacional como lei ordinária, após aprovação pelo Congresso Nacional e promulgação por decreto federal (Decreto n. 11.491/23), conforme entendimento firmado pelo STF na ADI 1480 (14).

A ordem de exibição do art. 18, 1.a da Convenção de Budapeste representa a obtenção de dados de computador especificados, controlados ou detidos por residentes no país, que estejam armazenados em sistema de computador ou em qualquer meio de armazenamento de dados de computador. A ordem volta-se principalmente a dados armazenados em provedores de serviços (art. 1º, c).

No Brasil, a ordem de exibição representa modalidade de afastamento de sigilo telemático (art. 7º, III, Lei n. 12.965/14) de dados de conteúdo (art. 10, § 2º), dados de conexão (art. 13, § 2º) e dados de acesso a aplicação (art. 15, § 3º), desde que atendidos os requisitos do art. 22. O Marco Civil da Internet obriga provedores de serviços que atuam no Brasil a observarem a lei nacional (art. 11), em dispositivo validado pelo STF na ADI n. 51 (15). Em caso de descumprimento, eles estão sujeitos às penalidades previstas no art. 12.

Por outro lado, a ordem de exibição de informações cadastrais de assinantes do art. 18, 1.b, equivale à requisição da dados cadastrais prevista em diversos dispositivos nacionais, tais como o art. 13-A do Código de Processo Penal, arts. 15 a 17 da Lei das Organizações Criminosas (Lei n. 12.850/13) e art. 10, § 3º do Marco Civil da Internet.

Ocorre que, a despeito da abrangência dada pela Convenção de Budapeste para informação cadastral do assinante (art. 18, 3) (16), a legislação nacional é mais restrita. Na forma do Decreto n. 8.771/16, que regulamenta a Marco Civil da Internet, são dados cadastrais qualificação pessoal (nome, prenome, estado civil e profissão), a filiação e o endereço de cadastro do usuário. Aqui também, caso necessário, a Convenção de Budapeste pode servir de fundamento direto para a requisição dos dados mais abrangentes uma vez que ela tem status de lei ordinária (ADI 1480).

A busca e apreensão de dados de computador (art. 19, CB) é prevista no arts. 240 a 250 do Código de Processo Penal. Enquanto, a obtenção de dados de tráfego em tempo real (arts. 20 e 33, CB) e a interceptação de dados de conteúdo (art. 21 e 34, CB) são modalidades da técnica especial de investigação da interceptação telemática (art. 1º, parágrafo único, Lei n. 9.296/96).

Cooperação Internacional

Em matéria de cooperação jurídica internacional, o quadro montado pela Convenção de Budapeste também se compatibiliza com as leis nacionais. As normas de jurisdição previstas no art. 22 da Convenção estão representado pelos arts. 5º e 7º do Código Penal e os princípios gerais relativos à cooperação internacional (arts. 23, CB), extradição (art. 24, CB) e assistência mútua (art. 25, CB) são aceitos no ordenamento jurídico pátrio.

A mesma compatibilidade é observada no instituto da informação espontânea (art. 26, CB) e nos procedimentos relativos aos pedidos de auxílio mútuo na ausência acordos internacionais (art. 27, CB). A confidencialidade e restrição de utilização de informações transmitidas (art. 28, CB) é semelhante a outras utilizadas em tratados de cooperação internacional. Por fim, o Auxílio Mútuo Relativamente ao Acesso a Dados Informáticos Armazenados (art. 31) possui total sincronia com as normas nacionais, assim como o Acesso Transfronteiriço a Dados Informáticos Armazenados, com Consentimento ou Quando Acessíveis ao Público (art. 32).

1. As partes do tratado podem ser consultadas aqui: https://www.coe.int/en/web/cybercrime/the-budapest-convention;
2. https://www.gov.br/mre/pt-br/canais_atendimento/imprensa/notas-a-imprensa/nota-conjunta-do-ministerio-das-relacoes-exteriores-e-do-ministerio-da-justica-e-seguranca-publica-2013-adesao-do-brasil-a-convencao-sobre-o-crime-cibernetico-celebrada-em-budapeste-em-23-de-novembro-de-2001; e https://www.mpf.mp.br/pgr/noticias-pgr/brasil-aprova-adesao-a-convencao-de-budapeste-que-facilita-cooperacao-internacional-para-combate-ao-cibercrime;
3. https://investigacaofinanceira.com.br/submundo-dos-mercados-financeiros-iv-cibercrime/;
4. https://investigacaofinanceira.com.br/cibercrime-tipologias/;
5. COUNCIL OF EUROPE, Explanatory Report to the Convention on Cybercrime, European Treaty Series – No. 185, 2001, Disponível em https://rm.coe.int/16800cce5b;
6. Art. 2º. (…) Qualquer Parte pode exigir para a tipificação do crime o seu cometimento mediante a violação de medidas de segurança; com o fim de obter dados de computador ou com outro objetivo fraudulento; ou contra um sistema de computador que esteja conectado a outro sistema de computador;
7. O crime de interferência de dados do art. 4º da Convenção de Budapeste (a destruição ou modificação de dados informatizados) pode ser caracterizada como crime de dano (art. 163, CP), se for demonstrado que os dados possuem valor patrimonial. De outro lado, o artigo 313-A, crime próprio de funcionário público, prevê punição a aquele que altera dados visando a obtenção de vantagem indevida;
8. Presidente da República, governadores e prefeitos; Presidente do Supremo Tribunal Federal; Presidente da Câmara dos Deputados, do Senado Federal, de Assembleia Legislativa de Estado, da Câmara Legislativa do Distrito Federal ou de Câmara Municipal; ou dirigente máximo da administração direta e indireta federal, estadual, municipal ou do Distrito Federal;
9. Tais penas são ainda aumentadas (§ 4º-C, I), considerada a relevância do resultado gravoso, se o crime é praticado mediante a utilização de servidor mantido fora do território nacional;
10. A pena é aumentada (§ 2º-B), considerada a relevância do resultado gravoso, se o crime é praticado mediante a utilização de servidor mantido fora do território nacional;
11. Perseguição. Art. 147-A. Perseguir alguém, reiteradamente e por qualquer meio, ameaçando-lhe a integridade física ou psicológica, restringindo-lhe a capacidade de locomoção ou, de qualquer forma, invadindo ou perturbando sua esfera de liberdade ou privacidade. Pena – reclusão, de 6 (seis) meses a 2 (dois) anos, e multa. § 1º A pena é aumentada de metade se o crime é cometido: I – contra criança, adolescente ou idoso; II – contra mulher por razões da condição de sexo feminino, nos termos do § 2º-A do art. 121 deste Código; III – mediante concurso de 2 (duas) ou mais pessoas ou com o emprego de arma. § 2º As penas deste artigo são aplicáveis sem prejuízo das correspondentes à violência. § 3º Somente se procede mediante representação.
12. A Lei n. 13.185/15 institui o Programa de Combate à Intimidação Sistemática (Bullying) e prevê no art. 2º, parágrafo único, que “há intimidação sistemática na rede mundial de computadores (cyberbullying), quando se usarem os instrumentos que lhe são próprios para depreciar, incitar a violência, adulterar fotos e dados pessoais com o intuito de criar meios de constrangimento psicossocial”;
13. Divulgação de cena de estupro ou de cena de estupro de vulnerável, de cena de sexo ou de pornografia. Art. 218-C. Oferecer, trocar, disponibilizar, transmitir, vender ou expor à venda, distribuir, publicar ou divulgar, por qualquer meio – inclusive por meio de comunicação de massa ou sistema de informática ou telemática -, fotografia, vídeo ou outro registro audiovisual que contenha cena de estupro ou de estupro de vulnerável ou que faça apologia ou induza a sua prática, ou, sem o consentimento da vítima, cena de sexo, nudez ou pornografia: Pena – reclusão, de 1 (um) a 5 (cinco) anos, se o fato não constitui crime mais grave;
14. “Os tratados ou convenções internacionais, uma vez regularmente incorporados ao direito interno, situam-se, no sistema jurídico brasileiro, nos mesmos planos de validade, de eficácia e de autoridade em que se posicionam as leis ordinárias” (ADI 1480 MC, Relator CELSO DE MELLO, Tribunal Pleno, julgado em 04-09-1997, DJ 18-05-2001);
15. “1. A controvérsia constitucional veiculada na ADC é, a rigor, mais ampla do que a simples declaração de validade do uso das cartas rogatórias e dos acordos MLAT para fins de investigação criminal. O escopo da ação declaratória compreende não apenas o exame de constitucionalidade dos dispositivos invocados pelos requerentes, como também da norma prevista no art. 11 do Marco Civil da Internet e art. 18 da Convenção de Budapeste. 2. O art. 11 do Marco Civil da Internet, que encontra respaldo no art. 18 da Convenção de Budapeste, é norma específica em relação às regras gerais do MLAT. O referido dispositivo assegura a aplicação da legislação brasileira em relação a atividades de coleta, armazenamento, guarda e tratamento de registros, dados e comunicações eletrônicas ocorridas em território nacional, desde que pelo menos um dos atos ou terminais se encontrem em território nacional, mesmo que a pessoa jurídica portadora dessas informações esteja localizada ou armazene tais informações no exterior. 3. As hipóteses de requisição direta previstas no art. 11 do Marco Civil da Internet e no art. 18 da Convenção de Budapeste reafirmam os princípios da soberania e da independência nacional, concretizando o dever do Estado de proteger os direitos fundamentais e a segurança pública dos cidadãos brasileiros ou residentes no país. 4. Constitucionalidade dos dispositivos do MLAT, do CPC e do CPP que tratam da cooperação jurídica internacional e da emissão de cartas rogatórias, nos casos em que a atividade de comunicação ou a prestação de tais serviços não tenham ocorrido em território nacional. 5. Dispositivos que convivem com a possibilidade de solicitação direta de dados, registros e comunicações eletrônicas nas hipóteses do art. 11 do Marco Civil da Internet e do art. 18 da Convenção de Budapeste. 6. Pedido julgado parcialmente procedente para declarar a constitucionalidade dos dispositivos indicados e da possibilidade de solicitação direta de dados e comunicações eletrônicas das autoridades nacionais a empresas de tecnologia nos casos de atividades de coleta e tratamento de dados no país, de posse ou controle dos dados por empresa com representação no Brasil e de crimes cometidos por indivíduos localizados em território nacional” (ADC 51, Relator GILMAR MENDES, Tribunal Pleno, julgado em 23-02-2023);
16. Na convenção, informação cadastral do assinante representa qualquer informação mantida em forma eletrônica ou em qualquer outra, que esteja em poder do provedor de serviço e que seja relativa a assinantes de seus serviços, com exceção dos dados de tráfego e do conteúdo da comunicação, e por meio da qual se possa determinar: o tipo de serviço de comunicação utilizado, as medidas técnicas tomadas para esse fim e a época do serviço; a identidade do assinante, o domicílio ou o endereço postal, o telefone e outros números de contato e informações sobre pagamento e cobrança, que estejam disponíveis de acordo com o contrato de prestação de serviço; e quaisquer outras informações sobre o local da instalação do equipamento de comunicação disponível com base no contrato de prestação de serviço.