Violação de dispositivo informático

Invasão de dispositivo informático  (Incluído pela Lei nº 12.737, de 2012)  

Art. 154-A, CP. Invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita:      (Redação dada pela Lei nº 14.155, de 2021)

Pena – reclusão, de 1 (um) a 4 (quatro) anos, e multa.     (Redação dada pela Lei nº 14.155, de 2021)

§ 1^o  Na mesma pena incorre quem produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir a prática da conduta definida no caput.        (Incluído pela Lei nº 12.737, de 2012)   

§ 2º Aumenta-se a pena de 1/3 (um terço) a 2/3 (dois terços) se da invasão resulta prejuízo econômico.       (Redação dada pela Lei nº 14.155, de 2021)

§ 3^o  Se da invasão resultar a obtenção de conteúdo de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas, assim definidas em lei, ou o controle remoto não autorizado do dispositivo invadido:        (Incluído pela Lei nº 12.737, de 2012)     

Pena – reclusão, de 2 (dois) a 5 (cinco) anos, e multa.      (Redação dada pela Lei nº 14.155, de 2021)

§ 4^o  Na hipótese do § 3^o, aumenta-se a pena de um a dois terços se houver divulgação, comercialização ou transmissão a terceiro, a qualquer título, dos dados ou informações obtidos.        (Incluído pela Lei nº 12.737, de 2012)   

§ 5^o  Aumenta-se a pena de um terço à metade se o crime for praticado contra:        (Incluído pela Lei nº 12.737, de 2012)    

I – Presidente da República, governadores e prefeitos;        (Incluído pela Lei nº 12.737, de 2012)  

II – Presidente do Supremo Tribunal Federal;        (Incluído pela Lei nº 12.737, de 2012)  

III – Presidente da Câmara dos Deputados, do Senado Federal, de Assembleia Legislativa de Estado, da Câmara Legislativa do Distrito Federal ou de Câmara Municipal; ou        (Incluído pela Lei nº 12.737, de 2012) 

IV – dirigente máximo da administração direta e indireta federal, estadual, municipal ou do Distrito Federal.      (Incluído pela Lei nº 12.737, de 2012)  

Ação penal       (Incluído pela Lei nº 12.737, de 2012)    

Art. 154-B.  Nos crimes definidos no art. 154-A, somente se procede mediante representação, salvo se o crime é cometido contra a administração pública direta ou indireta de qualquer dos Poderes da União, Estados, Distrito Federal ou Municípios ou contra empresas concessionárias de serviços públicos.      (Incluído pela Lei nº 12.737, de 2012)     

Sujeito ativo

Qualquer pessoa (ver Parte Geral, capítulo XII, item 3.1).

 

Sujeito passivo

Qualquer pessoa. No tocante ao sujeito passivo, o tipo, antes da Lei 14.155/2021, mencionava o titular do dispositivo informático, logo, apontava-se a propriedade ou posse. Na atual redação, fez-se a inserção do termo usuário desse dispositivo, razão pela qual passa-se a tutelar, igualmente, o detentor do aparelho (ver Parte Geral, capítulo XII, item 3.2).

 

Objeto jurídico

É múltiplo, envolvendo a inviolabilidade dos segredos, cuja proteção se volta à intimidade, à vida privada, à honra, à inviolabilidade de comunicação e correspondência e à livre manifestação do pensamento, sem qualquer intromissão de terceiros. Resguarda-se, também, o patrimônio da vítima, que pode ser afetado pelo agente invasor (ver Parte Geral, capítulo XII, item 3.3, “b”).

 

Objeto material

É o dispositivo informático (ver Parte Geral, capítulo XII, item 3.3, “a”).

 

Elementos objetivos do tipo

Invadir significa violar, transgredir, entrar à força em algum lugar, carregando o verbo nuclear do tipo um forte conteúdo normativo. Logo, a conduta do agente não é simplesmente entrar no dispositivo informático alheio, o que se pode dar por mero acidente, mas ocupar um espaço não permitido. O objeto da conduta é o dispositivo informático (qualquer mecanismo apto a concentrar informação por meio de computador ou equipamento similar). São dispositivos informáticos: computador de mesa (desktop), notebook, tablet (iPad e outros), laptop, bem como os smartphones, que hoje constituem verdadeiros “minicomputadores”, dentre outros a surgir com idêntica finalidade. Tal dispositivo informático há de ser alheio (pertencente a terceira pessoa), elemento normativo do tipo, tal como figura no furto (art. 155, CP). Faz-se menção expressa ao estado do dispositivo no tocante à rede de computadores, incluindo, por óbvio, a internet (rede mundial de computadores): é indiferente haja conexão ou não. E está correta tal medida, pois o agente pode invadir computadores desconectados de redes, conseguindo obter dados, adulterar ou destruir informes ali constantes. Pode, ainda, instalar vulnerabilidades, que somente se manifestarão quando houver conexão futura à rede. Há finalidade específica para a conduta. Finalmente, a outra conduta é instalar (preparar algo para funcionar) vulnerabilidade (mecanismos aptos a gerar aberturas ou flancos em qualquer sistema). É de caráter alternativo (praticar a invasão ou a instalação constitui tipo misto alternativo, vale dizer, cometer uma ou as duas condutas implica crime único). Deve-se complementar o objeto dessa conduta, que é o dispositivo informático. Portanto, o propósito do agente é obter qualquer vantagem ilícita, tornando o dispositivo informático, como, por exemplo, o computador de alguém, acessível à violação. Nota-se que a mera instalação de vulnerabilidade (ex.: softwares mal-intencionados, que permitem o acesso ao conteúdo do dispositivo informático tão logo seja conectado à rede) não causa a violação, mas é nitidamente o seu preparo. Optou o legislador por equiparar a preparação e a execução em igual quilate, para fins de criminalização. Assim, o autor pode apenas instalar vulnerabilidade no dispositivo informático para que, no futuro, outrem dele se valha, como também pode, ele mesmo, utilizar o mecanismo de espionagem para a violação de dados e informes. Se o mesmo agente instalar a vulnerabilidade e, depois, invadir o dispositivo informático cometerá um só crime. Caso ele instale, mas outro invada, cada qual cometerá o seu delito distinto, ambos tipificados no art. 154-A. Se duas pessoas, mancomunadas, dividem tarefas (um instala; outro invade), trata-se de crime único, em concurso de agentes (art. 29, CP). Na redação anterior à Lei 14.155/2021, havia a expressão “mediante violação indevida de mecanismo de segurança”, agora retirada. Fez bem o legislador em assim proceder, pois era um empecilho inserido no tipo penal, mas desnecessário. Afinal, indicava haver proteção somente para dispositivos informáticos que tivessem um sistema de proteção instalado; em tese, os que não possuíssem esse mecanismo de segurança ficariam ao largo da tutela deste dispositivo. A expressão sem autorização expressa ou tácita do usuário do dispositivo contém o elemento do injusto, que não precisaria constar do tipo penal. Afinal, por óbvio, somente se pode falar em crime quando houver ingresso em dispositivo informático alheio sem o consentimento deste. Mas optou o legislador por incluir na descrição típica o elemento vinculado à ilicitude. Diante disso, havendo autorização, o fato é atípico. Outro aspecto a se ressaltar foi a cautela de se apontar as modalidades de consentimento – o que não ocorre em vários outros dispositivos legais similares: pode ser expresso (visualizado facilmente por meio escrito ou falado) ou tácito (deduzido da ação do proprietário ou possuidor do dispositivo). A pena é de reclusão, de um a quatro anos, e multa. Conferir o capítulo XIII, item 2.1, da Parte Geral.

 

Elemento subjetivo do crime

É o dolo. Não se pune a forma culposa (ver o capítulo XIV da Parte Geral).

 

Elemento subjetivo do tipo específico

Há elemento subjetivo do tipo específico para as duas condutas previstas no tipo. No tocante à invasão de dispositivo informático é o fim de obter, adulterar ou destruir dados ou informações. Focaliza-se a obtenção (ter acesso a algo), a adulteração (modificação do estado original) ou a destruição (eliminação total ou parcial) de dados (elementos apropriados à utilização de algo) ou informações (conhecimentos de algo em relação a pessoa, coisa ou situação). Quanto à instalação de vulnerabilidade é a obtenção de vantagem ilícita (qualquer lucro ou proveito contrário ao ordenamento jurídico; não há necessidade de ser de natureza econômica). Pode ser, inclusive, a obtenção da invasão do dispositivo informático em momento posterior para obter dados e informações. Aliás, se houver prejuízo econômico, perfaz-se a causa de aumento do § 2º. Ver a Parte Geral, capítulo XIII, item 2.1.

 

Classificação

Comum; formal; de forma livre; comissivo; instantâneo, podendo assumir a forma de instantâneo de efeitos permanentes, quando a invasão ou a instalação de vulnerabilidade perpetua-se no tempo, como rastro da conduta; unissubjetivo; plurissubsistente. Sobre a classificação dos crimes, ver o capítulo XII, item 4, da Parte Geral.

 

Tentativa

É admissível, na violação de dispositivo informático, porém, inaceitável no tocante à figura do § 1º, pois se cuida da preparação do crime previsto no caput. Não se pune a tentativa da preparação, pois esta já é uma exceção em matéria de criminalização.

 

Momento consumativo

Ocorre com a prática das condutas previstas no caput, independentemente de resultado naturalístico.

 

Particularidades

a) na mesma pena, conforme § 1º, incorre quem produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir a prática da conduta de violação de dispositivo informático. Trata-se da punição à preparação do crime principal. Este tipo penal não possui sujeito passivo definido, pois a ação é genericamente preparatória. Por isso, ocupa este espaço a sociedade, em seu interesse de preservar a intimidade e a vida privada dos indivíduos em geral;

b) havendo o exaurimento do delito, com algum prejuízo econômico para a vítima, aumenta-se a pena de um a dois terços (§ 2º). O grau de elevação da pena depende do montante do prejuízo (quanto maior o dano, deverá ser aplicada uma fração mais elevada para o incremento da sanção penal);

c) prevê-se uma forma qualificada pelo resultado, no § 3.o, se da invasão resultar a obtenção de dados de comunicações eletrônicas privadas, segredos comerciais ou industriais, informes sigilosos, conforme definido em lei específica, ou o controle remoto não autorizado do dispositivo informático invadido, com uma pena de reclusão, de dois a cinco anos, e multa;

d) para a figura típica do § 3º, comina-se o aumento da pena de um a dois terços, caso haja a divulgação, a comercialização ou a transmissão a outrem, sob qualquer pretexto, dos dados ou informes obtidos. A variação do aumento precisa levar em consideração a relevância do material sigiloso e o grau de potencialidade do dano a ser causado (§ 4º);

e) há causa de aumento de um terço até a metade se o crime for cometido contra o Presidente da República, governadores e prefeitos, Presidentes do STF, Câmara dos Deputados, Senado, Assembleia Legislativa, Câmara Legislativa do DF ou Câmara Municipal e de dirigente máximo da administração direta ou indireta, estadual, municipal ou do Distrito Federal. O montante de elevação deve guardar proporção à autoridade ou pessoa que foi violada na sua intimidade;

f) a ação penal é pública condicionada à representação da vítima, salvo quando o delito é cometido contra a administração pública direta ou indireta de qualquer dos Poderes da União, Estados, Distrito Federal ou Municípios ou contra empresas concessionárias de serviços públicos (art. 154-B);

g) para o combate a vários tipos penais relativos à tutela das crianças e adolescentes, no cenário da dignidade sexual, a Lei 13.441/2017 introduziu os arts. 190-A a 190-E no Estatuto da Criança e do Adolescente. Entretanto, disciplina, igualmente, a infiltração de agentes para investigar o crime previsto pelo art. 154-A. O principal dos novos artigos preceitua que “a infiltração de agentes de polícia na internet com o fim de investigar os crimes previstos nos arts. 240, 241, 241-A, 241-B, 241-C e 241-D desta Lei e nos arts. 154-A, 217-A, 218, 218-A e 218-B do Decreto-Lei 2.848, de 7 de dezembro de 1940 (Código Penal), obedecerá às seguintes regras: I – será precedida de autorização judicial devidamente circunstanciada e fundamentada, que estabelecerá os limites da infiltração para obtenção de prova, ouvido o Ministério Público; II – dar-se-á mediante requerimento do Ministério Público ou representação de delegado de polícia e conterá a demonstração de sua necessidade, o alcance das tarefas dos policiais, os nomes ou apelidos das pessoas investigadas e, quando possível, os dados de conexão ou cadastrais que permitam a identificação dessas pessoas; III – não poderá exceder o prazo de 90 (noventa) dias, sem prejuízo de eventuais renovações, desde que o total não exceda a 720 (setecentos e vinte) dias e seja demonstrada sua efetiva necessidade, a critério da autoridade judicial” (art. 190-A, ECA).

Veja também: Calúnia: você realmente sabe a diferença entre acusar falsamente e apenas ofender?

---

Trecho extraído da obra Manual de Direito Penal – Volume Único, Ed. Forense, 22ª Edição, 2026.

---

FAQ