LGPD e OSINT: o que é permitido no Brasil
Uma das maiores confusões de quem começa em OSINT é achar que, se o dado é público, pode ser usado livremente. No Brasil, isso não é verdade. A coleta de informações em fontes abertas é legal, mas o tratamento desses dados pessoais é regulado. Este artigo explica, de forma objetiva, o que a lei permite, o que proíbe e como conduzir investigações de forma ética e defensável.
O marco legal brasileiro
Vários diplomas legais se combinam para regular o tratamento de dados pessoais no Brasil. Os principais são:
- LGPD (Lei 13.709/2018): a Lei Geral de Proteção de Dados, que disciplina qualquer operação com dados pessoais.
- Marco Civil da Internet (Lei 12.965/2014): estabelece princípios de uso da internet, incluindo privacidade e proteção de registros.
- Lei de Acesso à Informação (Lei 12.527/2011): garante acesso a informações públicas de órgãos do Estado.
- Código de Defesa do Consumidor (Lei 8.078/1990): relevante em contextos de cadastros e perfis.
A LGPD complementa e atualiza dispositivos do Marco Civil, formando um conjunto mais completo de proteção de dados.
O ponto central: coletar não é a questão, tratar é
A LGPD não proíbe acessar dados públicos. Ela regula o tratamento, ou seja, o que você faz com os dados depois de coletá-los: armazenar, cruzar, perfilar, compartilhar. Mesmo um dado disponível publicamente continua sendo dado pessoal e, ao ser tratado, precisa de uma base legal e de uma finalidade específica.
Em outras palavras: ver um post público é uma coisa; montar um dossiê cruzando dezenas de fontes para traçar o perfil de alguém é outra, e esta exige fundamentação.
Bases legais aplicáveis ao OSINT
Para tratar dados pessoais, a LGPD exige uma das bases legais do artigo 7. No contexto de investigação, as mais comuns são:
| Base legal | Quando se aplica |
|---|---|
| Legítimo interesse (art. 7, IX) | Investigação de fraude, diligência prévia, compliance |
| Cumprimento de obrigação legal (art. 7, II) | Quando a lei exige o tratamento |
| Execução de contrato (art. 7, V) | Verificações necessárias a um contrato |
| Proteção ao crédito | Análises previstas em legislação específica |
O legítimo interesse é a base mais usada em OSINT corporativo. O artigo 7, IX, permite tratar dados para atender interesses legítimos do controlador ou de terceiro, desde que respeitados os direitos e liberdades fundamentais do titular. Isso não é um cheque em branco: exige um teste de proporcionalidade (o chamado LIA, avaliação de legítimo interesse) que pondere a necessidade da coleta contra o impacto na privacidade da pessoa.
Dados sensíveis (origem racial, convicção religiosa, opinião política, saúde, vida sexual, dados biométricos) têm proteção reforçada e, em regra, não podem ser tratados com base apenas em legítimo interesse.
O que a LGPD proíbe na prática
- Coleta indiscriminada e sem finalidade. Juntar dados "porque pode ser útil um dia" é ilegal. A finalidade precisa ser específica e informada.
- Uso discriminatório. Usar dados públicos para discriminar por raça, religião ou orientação é vedado.
- Compilação e revenda de dossiês. Montar e comercializar perfis de pessoas sem base legal viola a lei.
- Desvio de finalidade. Coletar para um propósito e usar para outro, incompatível, é irregular.
Na prática: um checklist de conformidade
Antes de iniciar uma investigação de OSINT que envolva pessoas, passe por este roteiro:
- Defina a finalidade. Escreva, em uma frase, por que você está coletando. Se não conseguir, pare.
- Escolha a base legal. Em geral, legítimo interesse; documente a escolha.
- Minimize. Colete apenas o necessário para a finalidade. Nada de "pegar tudo".
- Prefira fontes oficiais e abertas. Portais de transparência, diários oficiais, registros públicos.
- Não acesse o que exige autorização. Áreas logadas, sistemas protegidos e dados vazados estão fora.
- Registre a origem. Para cada dado, anote a fonte e a data de coleta.
- Avalie o impacto. Faça o teste de proporcionalidade do legítimo interesse.
- Defina retenção e descarte. Não guarde indefinidamente.
A linha vermelha
Há uma fronteira clara que separa OSINT legal de ilegal: o acesso a sistemas sem autorização, o uso de credenciais de terceiros, a exploração de dados obtidos por vazamentos e o uso de informações para assédio ou perseguição. Cruzar essa linha pode configurar crime, independentemente de os dados terem aparência "pública".
Dados de órgãos públicos
Informações divulgadas por órgãos públicos, como processos, publicações oficiais e portais de transparência, são, em princípio, de acesso legítimo. Ainda assim, o uso precisa respeitar a finalidade original e a dignidade da pessoa. Reunir publicações espalhadas em um perfil detalhado pode ultrapassar o que a transparência pretendia permitir.
Ética além da lei
Conformidade legal é o piso, não o teto. Um investigador responsável se pergunta não apenas "posso?", mas "devo?". Expor dados de terceiros, mesmo públicos, pode causar dano real. Trabalhe com proporcionalidade, mantenha sigilo sobre o que não é essencial e lembre-se de que por trás de cada dado há uma pessoa.
OSINT feito com ética fortalece a credibilidade do investigador e da comunidade. Quer debater casos concretos e dúvidas sobre LGPD aplicada a investigações? Traga sua pergunta para a comunidade OsintHunters Brasil.
Observação: este conteúdo é informativo e não substitui orientação jurídica. Para casos concretos, consulte um advogado especializado em proteção de dados.