STJ lança Programa Confiança Digital para proteger informações

O STJ anunciou a criação do Programa Confiança Digital para fortalecer a proteção das informações sob sua guarda e reduzir riscos relacionados a identidades, acessos, fluxos de trabalho e soluções tecnológicas, inclusive as que utilizam inteligência artificial, com medidas imediatas de padronização, fiscalização e protocolos de segurança.

Contexto

A iniciativa surge em meio a investigações sobre supostos repasses indevidos de minutas, compartilhamento de material sigiloso e favorecimento de terceiros envolvendo servidores do Tribunal. Esses episódios desencadearam tanto apurações internas administrativas quanto diligências de natureza criminal a cargo de outros órgãos, o que expõe fragilidades práticas na guarda, no controle de acesso e na rastreabilidade dos processos decisórios e de documentação. Em termos mais amplos, a controvérsia espelha um problema atual na administração pública: a necessidade de conjugar garantias de transparência e responsabilização com proteção de dados e continuidade de serviços digitais, num momento em que tribunais ampliam o uso de sistemas informatizados e ferramentas de IA.

A discussão interessa porque toca fronteiras entre direito administrativo disciplinar, proteção de dados pessoais, segurança da informação e prova em inquéritos criminais e procedimentos administrativos. A adoção de rotinas e mecanismos técnicos de auditoria e de rastreabilidade pode alterar tanto o modo de produção de provas quanto o alcance do dever de sigilo funcional e a responsabilização de agentes públicos.

O que foi decidido

O Tribunal decidiu lançar um programa institucional voltado a quatro vetores: prevenção e detecção de incidentes; resposta e recuperação de serviços; proteção de informações sigilosas; e governança sobre o uso de tecnologias, com ênfase em auditoria, transparência e possibilidade de correção ou descontinuação de soluções tecnológicas. Entre as providências já comunicadas estão o reforço da fiscalização interna, a padronização de procedimentos de manuseio de informação nos gabinetes e unidades, e a implementação de protocolos para aumentar a rastreabilidade dos fluxos de trabalho.

Administrativamente, foi aberto procedimento disciplinar (PAD) contra servidor sob suspeita de receber vantagem indevida, favorecimento de terceiros e violação de sigilo funcional, com prazo inicial de 60 dias, observando-se o contraditório e a ampla defesa. Em outro caso, houve exoneração de servidor em cargo de confiança em razão de apuração interna sobre repasse indevido de minuta; diligências policiais e periciais foram autorizadas em âmbito criminal.

Do ponto de vista prático, a turma administrativa do Tribunal aposta em controles técnicos (logs, trilhas de auditoria, controles de acesso) e em normas procedimentais para reduzir vulnerabilidades e criar evidência digital confiável que possa subsidiar tanto averiguações internas quanto processos penais ou civis, preservando garantias processuais.

Base normativa e precedentes

• Art. 37, CF/88 — Princípios da administração pública (legalidade, impessoalidade, moralidade, publicidade e eficiência) que orientam a responsabilização e o dever de proteção de informações no serviço público.
• Lei 8.112/1990 — Regime Jurídico dos Servidores Públicos Civis da União, que disciplina o procedimento disciplinar (PAD), garantias do contraditório e ampla defesa e as possíveis sanções administrativas.
• Lei 13.709/2018 (LGPD) — Regras sobre tratamento de dados pessoais, obrigações de segurança, responsabilização e bases legais para tratamento de dados em órgãos públicos; relevante para definição de medidas técnicas e legítima coleta/uso de informações institucionais.
• Decreto-Lei 3.689/1941 (CPP) — Regras sobre investigação criminal e medidas cautelares (busca e apreensão, quebra de sigilo), que interferem nas apurações paralelas ao PAD.
• Lei 12.527/2011 (LAI) — Regras de acesso à informação pública, na interface entre transparência e proteção de dados sigilosos no processo decisório.
• Jurisprudência consolidada do Tribunal sobre responsabilidade funcional e dever de sigilo — orienta critérios de apuração e aplicação de sanções administrativas em episódios de divulgação indevida.

Impacto prático

• Para advogados que atuam em defesa de servidores: reforço da necessidade de acompanhamento técnico da cadeia de custódia digital, solicitação de logs e perícias de integridade de arquivos e contestação de prova cuja origem e rastreabilidade não estejam claras.
• Para comissões de sindicância/PAD: expectativa de maior uso de elementos técnicos (trilhas de auditoria, registros de acesso) como prova administrativa, exigindo capacitação pericial e padronização de tais instrumentos.
• Para o Tribunal e demais órgãos públicos: imposição de controles mais robustos sobre ambientes de trabalho (gabinetes), gestão de privilégios de acesso e políticas de uso de IA, com impacto orçamentário e necessidade de governança de tecnologia.
• Para titulares de dados e terceiros afetados: possibilidade de maior proteção jurídica e técnica de informações sigilosas; contudo, aumentam-se também os riscos de uso automático de dados por sistemas de IA, o que impõe avaliações de impacto e bases legais por força da LGPD.
• Para investigações penais: logs e mecanismos de rastreabilidade, quando bem implementados, ampliam oportunidades de prova; quando falhos, podem gerar nulidades ou fragilizar a produção probatória.

O que observar

• Integração entre apuração administrativa e investigação criminal: é essencial preservar garantias processuais do servidor (contraditório e ampla defesa) sem obstruir medidas cautelares cabíveis em inquérito criminal; a coordenação institucional exige protocolos claros sobre compartilhamento de material e responsabilidade pela cadeia de custódia.
• Implementação técnica: a eficácia do programa dependerá da qualidade das trilhas de auditoria, retenção de logs, metodologias de perícia digital e políticas de gestão de privilégios. Sem padrões técnicos robustos e auditorias independentes, a iniciativa pode virar retórica.
• Governança de IA: a previsão de mecanismos para corrigir ou descontinuar soluções é positiva, mas precisa de critérios formais — avaliação de impacto de proteção de dados (Privacy Impact Assessment), métricas de viés e documentação de modelos, conforme LGPD.
• Transparência e LAI: o equilíbrio entre publicidade e sigilo exigirá protocolos que delimitem o que é acessível e sob quais hipóteses, com previsão de reavaliação quando surgirem novas provas.
• Riscos processuais: fragilidades em provas digitais podem acarretar nulidade probatória; partes e defensores devem requerer perícias e contestar registros sem cadeia de custódia confiável.
• Próximos passos: normatização interna detalhada, capacitação técnica, eventual pactuação com órgãos periciais e possivelmente a publicação de normativas internas que esclareçam governança da IA e regras de registro e retensão de logs.