Cibersegurança do indivíduo: limites da proteção e respostas legais

O estudo do Centro de Tecnologia e Sociedade da FGV Direito Rio conclui que a agenda de cibersegurança brasileira tem concentrado proteção em ativos institucionais, enquanto deixa lacunas relevantes na tutela do indivíduo, exigindo mudanças práticas e normativas imediatas.

Contexto

A discussão sobre cibersegurança no Brasil migrou, nos últimos anos, de um foco exclusivo em infraestrutura crítica e operadores vitais para um quadro estratégico que, formalmente, incorpora a proteção da sociedade. O Comitê Nacional de Cibersegurança (CNCiber) e a atualização da Estratégia Nacional de Cibersegurança (E-Ciber) indicam essa tendência, assim como iniciativas legislativas e minutas que tratam de uma Lei Geral de Cibersegurança. Apesar disso, a práxis regulatória e a implementação de medidas permanecem centradas em pessoas jurídicas — programas de gestão de risco, equipes de resposta a incidentes e proteção de redes — deixando o usuário doméstico e grupos vulneráveis sem ferramentas, informação e remédios efetivos.

A E-Ciber e atos executivos correlatos (mencionados em decretos recentes) preveem, porém, um eixo explícito de proteção e conscientização do cidadão, o que tensiona a realidade regulatória. A pesquisa da CTS-FGV, intitulada “Cibersegurança do Indivíduo: direitos, deveres e remédios”, insere-se nesse contexto, testando hipóteses sobre quem são os mais expostos (crianças, idosos, mulheres, consumidores, pessoas neurodivergentes) e sobre a adequação do marco normativo vigente para ampará‑los.

O que foi decidido

O trabalho do CTS-FGV não é uma decisão judicial, mas apresenta teses e recomendações com caráter normativo-político: a proteção digital do indivíduo deve ser tratada como política pública transversal, articulando educação digital, mecanismos jurídicos de reparação e responsabilização de fornecedores/plataformas, e assistência específica a grupos vulneráveis. Entre os achados centrais, destaca-se que a maioria das intervenções atuais é reativa — combate ao dano após sua ocorrência — em vez de preventiva e centrada no usuário. A pesquisa aponta necessidade de medidas concretas: acesso facilitado a remédios jurídicos, padrões mínimos de segurança e design de plataformas que respeitem vulnerabilidades cognitivo-comportamentais.

Nos fundamentos analíticos, a pesquisa sublinha a instrumentalidade do acesso à internet para o exercício de direitos fundamentais e defende que o Estado deve estruturar governança e regulação que assegurem não só disponibilidade técnica, mas também condições de uso seguro e capacidade de reação efetiva por parte do cidadão.

Base normativa e precedentes

• Art. 1º e art. 3º, Decreto 12.573/2025 — previsão estratégica de proteção e criação de condições seguras para o uso de serviços digitais, que legitimam políticas públicas voltadas ao indivíduo.
• Art. 1º, I, do Decreto 12.753/2026 — inclusão da proteção e conscientização do cidadão como eixo da Estratégia Nacional de Cibersegurança (E-Ciber).
• Decreto 12.976/2026 — normatização que contém medidas de proteção específicas para mulheres no ambiente digital, reconhecendo riscos diferenciados.
• Art. 4º, I, do CDC (Lei 8.078/1990) — princípio da vulnerabilidade do consumidor, aplicável ao comércio eletrônico e às relações com plataformas e fornecedores digitais.
• LGPD (Lei 13.709/2018) — direitos dos titulares de dados e deveres de proteção que podem reduzir vetores de risco decorrentes do tratamento de dados pessoais por plataformas.
• Código Penal (estelionato) — tipificação de condutas que se aproveitam de engenharia social e phishing para obter vantagem patrimonial, relevante para a responsabilização penal dos agentes.
• Jurisprudência: a aplicação dos princípios do CDC em ambiente digital e decisões que atribuem deveres reforçados a fornecedores em caso de fraude eletrônica, conforme a jurisprudência consolidada dos tribunais superiores.

Impacto prático

• Advogados: é provável que aumenta a demanda por ações que combinem direitos do consumidor e proteção de dados, exigindo estratégias integradas (responsabilidade objetiva do fornecedor + violação de dados pessoais). Será crucial articular provas técnicas sobre falha de segurança e vulnerabilidade do usuário.
• Empresas e plataformas: pressiona por adoção de padrões mínimos de segurança e medidas de design que evitem manipulação, além de necessitar políticas claras de transparência e canais acessíveis para remediação de incidentes. Programas de compliance precisarão integrar riscos de engenharia social e privacidade behavioral.
• Consumidores e grupos vulneráveis: potencial ampliação de direitos e remédios (acesso a informações, canais de reclamação simplificados, políticas de compensação), mas dependente de iniciativas executivas e normativas para efetivação.
• Poder Público: indicação para criação ou fortalecimento de agência/setor regulador com competências de supervisão, capacitação pública e coordenação de campanhas de conscientização.
• Litígios em curso: decisões que já reconhecem responsabilidade de fornecedores em fraudes eletrônicas podem ganhar reforço com argumentos da pesquisa, especialmente quando demonstrada a previsibilidade do ataque e a assimetria informacional.

O que observar

• Regulamentação futura: acompanhar proposições legislativas e a minuta da Lei Geral de Cibersegurança, em especial dispositivos que disponham sobre deveres de segurança, padrões de due diligence e mecanismos de reparação administrativa.
• Intersecção LGPD x CDC: litígios tenderão a explorar sinergias entre proteção de dados e vulnerabilidade do consumidor; advogados deverão mapear como reparação por dano material e moral se articula com sanções administrativas de proteção de dados.
• Educação e capacidade institucional: a efetividade das medidas propostas depende de investimento público em educação digital e de estruturas de fiscalização. Sem modulação prática, normas poderão permanecer formais e ineficazes.
• Riscos processuais: incremento de ações coletivas e pedidos de tutela de urgência exigirá perícia técnica e demonstração de nexo causal entre falha da plataforma e dano ao usuário.
• Perspectiva penal: a prevalência de condutas de estelionato e outros crimes informáticos exige coordenação entre polícia especializada e políticas de prevenção para reduzir reincidência.

Em suma, a pesquisa da CTS-FGV consolida argumento técnico-jurídico de que a cibersegurança deve migrar de um enfoque essencialmente corporativo para uma política centrada no indivíduo, articulando prevenção, responsabilidade e remédios acessíveis — um desafio que exige mudanças legislativas, regulatórias e de governança pública.