Lei 14.155/21 e os crimes de fraude digital: primeiras impressões e reflexos no CP e no CPP

1. INVASÃO DE DISPOSITIVO INFORMÁTICO (ART. 154-A DO CP)

A Lei 12.737, de 30 de novembro de 2012, tipificou como crime a invasão de dispositivo informático, criminalização fomentada pelo episódio que vitimou a atriz Carolina Dieckmann, que teve seu computador invadido e seus arquivos pessoais subtraídos, vendo expostas suas fotos íntimas na rede mundial de computadores.

Apesar de a sociedade estar cada vez mais inserida no mundo da informática, percebe-se que o Direito (em especial, o Direito Penal) não acompanha, como deveria, a evolução que movimenta o setor cibernético. No espírito de modernização da legislação criminal, o art. 154-A do CP tipifica o comportamento de quem, com propósitos escusos, invade dispositivo informático alheio para obter, adulterar ou destruir dados ou informações ou para instalar vulnerabilidades que lhe possam proporcionar vantagem ilícita.

Em vigor desde 2012, o tipo penal foi modificado pela Lei 14.155/21, que alterou a redação do caput e aumentou sua pena, elevou as frações da majorante do § 2º e impôs novos patamares de pena para o crime qualificado na forma do § 3º.

1.1. Alterações nas penas

A pena abstratamente cominada era de detenção de três meses a um ano. Em regra, o crime era de menor potencial ofensivo, exceto se, qualificado (§ 3º), fosse ainda majorado na forma do § 4º ou do § 5º. Nesse caso, deixava de ser competência do JECRIM, passando a admitir o acordo de não persecução penal (art. 28-A do CPP).

A pena atual é de reclusão de um a quatro anos. Perdeu a natureza de menor potencial ofensivo. Permite-se a suspensão condicional do processo, desde que não incidente circunstância majorante. Admite-se igualmente o acordo de não persecução penal (art. 28-A do CPP) nas formas  simples, majorada ou qualificada do crime.

O § 2º manteve seu núcleo, relativo ao aumento da pena se da invasão resulta prejuízo econômico. Mas, antes, o aumento variava entre 1/6 e 1/3. Agora, varia entre 1/3 e 2/3.

O § 3º também manteve sua essência para qualificar o crime se da invasão resulta a obtenção de conteúdo de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas definidas em lei, ou o controle remoto não autorizado do dispositivo invadido. A pena, no entanto, que antes consistia em reclusão de seis meses a dois anos, passou a ser de reclusão de dois a cinco anos.

Outra alteração no § 3º foi a supressão da ressalva sobre a incidência da qualificadora “se a conduta não constitui crime mais grave”. A redação atual não se refere à subsidiariedade dessa infração penal, mas isso é indiferente, pois o caso concreto deve determinar se a conduta descrita na qualificadora constitui o crime do art. 154-A ou outro de natureza mais grave.

No mais, manteve-se, tanto no caput quanto na qualificadora, a pena de multa cumulativa.

1.2. Redação do caput

O caput do art. 154-A sofreu algumas alterações que ampliam a incidência do tipo penal.

Originalmente, o crime consistia em invadir dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita.

Segundo a redação atual, o crime consiste em invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita.

Nota-se, primeiramente, que o tipo penal não exige mais que o dispositivo informático seja de propriedade alheia, bastando que esteja sendo utilizado por outra pessoa. Dessa forma, ainda que o agente seja o proprietário do aparelho, pode cometer o crime se esse aparelho estiver sendo utilizado por alguém. E, por coerência, a lei agora faz referência à falta de autorização expressa ou tácita do usuário do dispositivo, não mais do titular.

Além disso, o tipo não pressupõe mais que haja violação indevida de mecanismo de segurança. Antes, a violação era um meio necessário para que o invasor respondesse criminalmente pela invasão com a finalidade de obter, adulterar ou destruir dados ou informações ou de instalar vulnerabilidades no aparelho. A ausência de dispositivo de segurança, ou o seu não acionamento, impedia a configuração típica, como ensinava Bitencourt:

“Assim, o tipo penal é aberto e exige um juízo de valor para complementar a análise da tipicidade. Aliás, é um tipo semiaberto, ou seja, nem aberto nem fechado, pois ao mesmo tempo que abre com a locução “mediante violação indevida”, fecha com a complementação. “de mecanismo de segurança”, limitando, portanto, o âmbito da violação. Em outros termos, qualquer outra violação que não se refira a “mecanismo de segurança”, não tipificará a conduta descrita no caput que ora examinamos. Ou, dito de outra forma, ainda que haja a violação ou invasão “de dispositivo informático alheio, conectado ou não à rede de computadores”, se não houver “mecanismo de segurança” (ou caso haja, não estando acionado) que seja violado, a conduta não se adequará a esta descrição típica. Poderá, eventualmente, adequar-se a outro dispositivo penal, mas não a este, sob pena de violar-se a tipicidade estrita” (Tratado de direito penal: parte especial. São Paulo: Saraiva, 2019. v. 2 (19 ed.), p. 633).

Exatamente com o propósito de evitar essa restrição, o tipo penal foi alterado para possibilitar a punição do simples ato de invadir o dispositivo informático com o fim de obter, adulterar ou destruir dados ou informações ou de instalar vulnerabilidades para obter vantagem ilícita.

2. FURTO (ART. 155 DO CP)

De acordo com o disposto no art. 155, § 4º, inc. II, do CP, o crime de furto é qualificado – punido com reclusão de dois a oito anos – se cometido com abuso de confiança, ou mediante fraude, escalada ou destreza. Na lição de Damásio de Jesus, a fraude é

“[…] meio enganoso capaz de iludir a vigilância do ofendido e permitir maior facilidade na subtração do objeto material. Ex.: O sujeito se fantasia de funcionário da companhia telefônica para penetrar na residência da vítima e subtrair-lhe bens. Há furto com fraude no caso dos dois sujeitos que entram num estabelecimento comercial, sendo que, enquanto um distrai o ofendido, o outro lhe subtrai mercadorias” (Direito penal: parte especial. São Paulo: Saraiva. v. 2 (26. ed., 2004), p. 327).

Os exemplos mencionados pelo autor eram os mais comuns desde a entrada em vigor do Código Penal até alguns anos atrás. Mas a expansão da rede mundial de computadores, do mercado de dispositivos eletrônicos e de informática conectados à internet e da gama de serviços eletrônicos oferecidos nos mais diversos segmentos criou um ambiente vulnerável no qual milhares de pessoas se tornaram alvos fáceis e recorrentes de criminosos hábeis na exploração dessas circunstâncias. Uma breve pesquisa na página eletrônica do Superior Tribunal de Justiça nos revela reiteradas decisões em conflitos de competência relativos a subtrações fraudulentas cometidas pela rede mundial de computadores, nas quais a conduta é cometida em um lugar e o patrimônio atacado se encontra em outro. No ano de 2020, em razão da pandemia do coronavírus, milhões de pessoas tiveram de permanecer a maior parte do tempo em suas casas e passaram a utilizar com maior frequência serviços eletrônicos das mais diversas espécies, o que multiplicou de forma preocupante os casos de fraude eletrônica.

Até agora, essas subtrações se subsumiram à qualificadora do art. 155, § 4º, inc. II, com pena de dois a oito anos. No entanto, em razão dos prejuízos provocados e da maior dificuldade de apuração revelada nesses casos, o legislador decidiu inserir no art. 155 uma qualificadora específica para as situações em que o furto mediante fraude é cometido por meio de  dispositivo eletrônico ou informático.

Para esse efeito, dispositivo eletrônico ou informático pode ser conceituado como qualquer aparelho com capacidade de armazenar e processar automaticamente informações/programas: computador, notebook, tablet, smartphone. Como destaca o próprio dispositivo legal, é indiferente o fato de o dispositivo estar ou não conectado à rede interna ou externa de computadores (intranet ou internet), embora seja recorrente a prática do crime por meio de internet.

Pouco importa, também, a forma como o agente comete a fraude, ou seja, se viola mecanismo de segurança, se utiliza componentes ou arquivos maliciosos, se simplesmente acessa o dispositivo após ter obtido uma senha, se induz a vítima a praticar algum ato que a distraia e facilite a subtração. Qualquer manobra fraudulenta que, envolvendo dispositivo eletrônico ou informáticoSe o agente utiliza a invasão de dispositivo informático para cometer o furto, o crime do art. 154-A é absorvido, e o ato de invasão deve ser considerado na aplicação da pena-base do furto qualificado pelo § 4º-B, tendo em vista a maior gravidade da conduta., resulta em subtração atrai a qualificadora.

Lembramos que a qualificadora do § 4º-B se refere a um meio de cometer a fraude, que mantém o pressuposto do inc. II do § 4º: a manobra ardilosa visa a afastar a vigilância da vítima e possibilitar a subtração. O bem é retirado sem que a vítima o perceba. Não se trata de induzir alguém em erro para que entregue voluntariamente o bem (fazendo uma transferência, por exemplo), caso em que ocorre estelionato.

O § 4º-C traz circunstâncias em que a pena da qualificadora do § 4º-B é majorada.

De acordo com o inciso I, aumenta-se de 1/3 a 2/3 a pena se o crime é praticado por meio de servidor mantido fora do território nacional. Justifica-se a elevação da pena em razão das barreiras naturalmente impostas à investigação. Essa circunstância, por óbvio, não determina, por si só, a competência da Justiça Federal.

O inciso II aumenta a pena de 1/3 até o dobro se o crime é praticado contra idoso ou vulnerável. É idosa a pessoa com idade igual ou superior a sessenta anos, como dispõe o art. 1º da Lei 10.741/03.

A lei não conceitua, para os efeitos do furto, quem pode ser considerado vulnerável. O conceito pode ser obtido no art. 217-A, ou seja, podemos considerar vulneráveis o menor de quatorze anos e a pessoa que,  por enfermidade ou deficiência mental, não tem o necessário discernimento para a prática do ato.

O § 4º-C se refere ao aumento da pena “considerada a relevância do resultado gravoso”, fórmula inédita no Código Penal. Considerando que ambos os incisos têm frações variáveis, infere-se que o legislador deixou expresso o que seria mesmo intuitivo: quanto mais severo o prejuízo, maior deve ser o aumento. Mas, no parecer em que se analisava o projeto de lei, o relator da matéria fez a seguinte observação:

“Todavia, concordamos que a elevação da pena do crime de furto mediante fraude eletrônica cometida contra idosos ou fora do território nacional não deva se dar indiscriminadamente: deve haver algo mais que torne a conduta mais grave. Assim, a elevação de pena se justificará diante da relevância do resultado gravoso, como exemplo, quando gera graves prejuízos para a sobrevivência da vítima. Ademais, a elevação não deve se dar de forma estanque, mas em um patamar flexível”.

Essa não nos parece a melhor forma de aplicar a causa de aumento de pena. Ora, se a majorante se refere ao crime cometido fora do território nacional e ao crime cometido contra idoso ou vulnerável, são as características intrínsecas do idoso, do vulnerável e da transnacionalidade do meio de execução que justificam primariamente o aumento. Se essas são as circunstâncias do crime, impõe-se o aumento, cuja variação, sim, deve se basear na maior gravidade do caso concreto. Utilizar a gravidade como fundamento da majorante, e não como algo derivado das circunstâncias mencionadas nos incisos I e II,  subverte a lógica da aplicação da pena. Se o fundamento para a majoração fosse a extensão do prejuízo, o texto legal deveria consistir em algo como “Aumenta-se a pena de 1/3 a 2/3 conforme a relevância do resultado”.

Note-se, por fim, que a majoração da pena pressupõe a ciência das circunstâncias referidas no § 4º-C. O autor da subtração deve ter conhecimento de que sua conduta se vale de conexão internacional. Ou deve saber que a vítima é idosa ou vulnerável, o que nem sempre ocorrerá, em razão das circunstâncias dos crimes cibernéticos, nos quais muitas vezes o criminoso não tem nenhum contato – nem mesmo remoto – com sua vítima.

3. ESTELIONATO (ART. 171 DO CP)

O crime de estelionato também passou a contar com uma qualificadora semelhante à inserida no furto. Neste caso, contudo, a lei não faz referência específica a dispositivo eletrônico ou informático, que, no furto, pode ser invadido por meio de manobras fraudulentas. A invasão é justamente o que possibilita a subtração sem que a vítima se dê conta. No caso do estelionato, é mais grave a conduta de quem obtém vantagem utilizando informações fornecidas pela vítima ou por terceiro induzido em erro:

a) por meio de redes sociais: atualmente são muito comuns os anúncios promovidos em redes sociais como Facebook e Instagram. Não raro, são anúncios fraudulentos, manobras ardilosas para atrair pessoas que forneçam seus dados;

b) por contatos telefônicos: são também muito comuns as fraudes cometidas por meio telefônico. Uma situação que se vê com certa frequência é o envio de mensagem (por WhatsApp, por exemplo) na qual o estelionatário se identifica como amigo ou familiar da vítima e lhe pede um depósito bancário devido a uma emergência. Sem dar-se conta, a vítima efetua o depósito na conta do criminoso;

c) pelo envio de correio eletrônico fraudulento: neste caso, a vítima recebe um e-mail fraudulento, muitas vezes imitando os caracteres de empresas ou organizações conhecidas e, a partir do acesso por meio do link disponibilizado, insere dados de cartão de crédito ou efetua pagamentos de compras simuladas, o que proporciona a vantagem ao estelionatário;

d) por qualquer outro meio fraudulento análogo: nesta fórmula analógica se inserem quaisquer outras práticas fraudulentas cometidas por meios eletrônicos ou informáticos, como páginas na internet, por exemplo, em que a vítima não é diretamente abordada pelo estelionatário, como nas modalidades anteriores, mas é induzida em erro por fatores diversos (simulação de um estabelecimento comercial regularmente constituído; cópia de outra página conceituada etc.).

Nesses casos, ao contrário do que acontece no furto, a vítima, ao fornecer informações que possibilitam a prática do crime, integra diretamente o ardil preparado pelo estelionatário para obter a vantagem indevida. Ilustremos com exemplos ambas as figuras para bem diferenciá-las:

a) Aproveitando a vulnerabilidade de pessoas que utilizam uma rede pública de internet, um hacker intercepta a conexão e obtém dados de acesso a contas bancárias. Com esses dados à disposição, acessa as contas e transfere quantias em dinheiro para outra conta da qual efetua saques. É um caso típico de furto mediante fraude, no qual a manobra ardilosa (interceptar os dados transmitidos entre o usuário e o ponto de conexão) é utilizada para que as vítimas sejam despojadas de seus bens sem que nada percebam.

b) Pretendendo adquirir um televisor, um indivíduo faz uma pesquisa na internet e encontra a página de uma conhecida rede varejista na qual o produto está sendo anunciado por um preço muito abaixo das concorrentes. Insere seus dados pessoais e bancários sem saber que, na verdade, se trata de uma página clonada, que apenas copia os caracteres da famosa rede varejista, para induzir as pessoas em erro. Efetuado o pagamento, o dinheiro é creditado ao autor da fraude, que evidentemente não pretende entregar o produto anunciado. Nesse exemplo, ao contrário do anterior, a vítima tem participação direta, pois, induzida por um anúncio enganoso, fornece os dados para que o autor da fraude possa obter a vantagem. Trata-se, portanto, de estelionato.

Houve ainda duas alterações relativas a causas de aumento de pena para o estelionato.

O § 2º-B foi inserido no art. 171 para majorar de 1/3 a 2/3 a pena se o crime é praticado mediante a utilização de servidor mantido fora do território nacional. O § 4º, por sua vez, foi modificado para aumentar de 1/3 (um terço) ao dobro a pena se o crime é cometido contra idoso ou vulnerável.

Em ambos os dispositivos, assim como no § 4º-C do art. 155, a lei faz referência à relevância do resultado gravoso. Ressaltamos novamente que a gravidade do resultado deve servir não para a incidência das majorantes, mas sim para dosar a fração de aumento. Como já destacamos nos comentários ao crime de furto, o que justifica o aumento da pena são as características inerentes ao crime cometido por meio de conexões transnacionais ou que vitima idosos e vulneráveis.

Há um detalhe importante em relação ao § 4º, que integra o art. 171 desde a edição da Lei 13.228, em 2015. O dispositivo determinava a aplicação da pena em dobro no caso da vítima idosa. A redação atual impõe um aumento variável entre 1/3 e o dobro, ou seja, a majorante passou a ser mais branda, e pode retroagir para beneficiar condenados pela prática de estelionato contra idosos se as circunstâncias concretas não justificam a manutenção do aumento no máximo.

4. ART. 70 DO CÓDIGO DE PROCESSO PENAL

Dadas as diversas circunstâncias em que o estelionato pode ser cometido, não raro surgem dúvidas a respeito do juízo competente para julgamento, pois nem sempre quem sofre o prejuízo e quem obtém a vantagem se encontram no mesmo local e, em tais situações, pode haver certa dificuldade para estabelecer com precisão onde o estelionatário realmente alcançou o proveito de seu ardil.

O Superior Tribunal de Justiça julga incontáveis casos dessa natureza. Em seus julgamentos, a Terceira Seção do tribunal tem diferenciado as situações em que a fraude é cometida por meio de saque ou compensação de cheque das situações em que a vítima efetua depósito ou transferência de valores para uma conta corrente designada pelo estelionatário:

“[…] 2. Nos termos do art. 70 do CPP, a competência será de regra determinada pelo lugar em que se consumou a infração e o estelionato, crime tipificado no art. 171 do CP, consuma-se no local e momento em que é auferida a vantagem ilícita. De se lembrar que o prejuízo alheio, apesar de fazer parte do tipo penal, está relacionado à consequência do crime de estelionato e não à conduta propriamente. De fato, o núcleo do tipo penal é obter vantagem ilícita, razão pela qual a consumação se dá no momento em que os valores entram na esfera de disponibilidade do autor do crime, o que somente ocorre quando o dinheiro ingressa efetivamente em sua conta corrente. 3. Há que se diferenciar a situação em que o estelionato ocorre por meio do saque (ou compensação) de cheque clonado, adulterado ou falsificado, da hipótese em que a própria vítima, iludida por um ardil, voluntariamente, efetua depósitos e/ou transferências de valores para a conta corrente de estelionatário.

Quando se está diante de estelionato cometido por meio de cheques adulterados ou falsificados, a obtenção da vantagem ilícita ocorre no momento em que o cheque é sacado, pois é nesse momento que o dinheiro sai efetivamente da disponibilidade da entidade financeira sacada para, em seguida, entrar na esfera de disposição do estelionatário. Em tais casos, entende-se que o local da obtenção da vantagem ilícita é aquele em que se situa a agência bancária onde foi sacado o cheque adulterado, seja dizer, onde a vítima possui conta bancária.

Já na situação em que a vítima, induzida em erro, se dispõe a efetuar depósitos em dinheiro e/ou transferências bancárias para a conta de terceiro (estelionatário), a obtenção da vantagem ilícita por certo ocorre quando o estelionatário efetivamente se apossa do dinheiro, seja dizer, no momento em que ele é depositado em sua conta. Precedentes: CC 169.053/DF, Rel. Ministro SEBASTIÃO REIS JÚNIOR, TERCEIRA SEÇÃO, julgado em 11/12/2019, DJe 19/12/2019; CC 161.881/CE, Rel. Ministro JOEL ILAN PACIORNIK, TERCEIRA SEÇÃO, julgado em 13/03/2019, DJe 25/03/2019; CC 162.076/RJ, Rel. Ministro JOEL ILAN PACIORNIK, TERCEIRA SEÇÃO, julgado em 13/03/2019, DJe 25/03/2019; CC 114.685/RS, Rel. Ministro MARCO AURÉLIO BELLIZZE, TERCEIRA SEÇÃO, julgado em 09/04/2014, DJe 22/04/2014; CC 101.900/RS, Rel. Ministro JORGE MUSSI, TERCEIRA SEÇÃO, julgado em 25/08/2010, DJe 06/09/2010; CC 96.109/RJ, Rel. Ministro ARNALDO ESTEVES LIMA, TERCEIRA SEÇÃO, julgado em 26/08/2009, DJe 23/09/2009. 4. Tendo a vítima efetuado transferências bancárias para contas de pessoas físicas cujas agências bancárias localizam-se todas no Município de Guarulhos/SP, é de se reconhecer que a competência para condução do inquérito policial é do Juízo de Direito da 4ª Vara criminal de Guarulhos/SP, o suscitado” (AgRg no CC 171.632/SC, j. 10/06/2020).

A Lei 14.155/21 inseriu no art. 70 do CPP o § 4º para dispor o seguinte:

“Nos crimes previstos no art. 171 do Código Penal, quando praticados mediante depósito, mediante emissão de cheques sem suficiente provisão de fundos em poder do sacado ou com o pagamento frustrado ou mediante transferência de valores, a competência será definida pelo local do domicílio da vítima, e, em caso de pluralidade de vítimas, a competência firmar-se-á pela prevenção”.

A partir de agora, portanto, grande parte da controvérsia envolvendo a competência do estelionato plurilocal está resolvida: o crime cometido mediante depósito, emissão de cheques sem suficiente provisão de fundos ou com o pagamento frustrado ou mediante transferência de valores deve ser julgado segundo o domicílio da vítima.

Nota-se que a solução legal diverge um tanto da orientação firmada pelo STJ. Para o tribunal, como vimos, o estelionato em que a vítima efetua depósito ou transferência bancária deve ser julgado no local em que se localiza a agência na qual o criminoso recebe o dinheiro. Mas o § 4º do art. 70 determina que, também nesse caso, a competência deve ser determinada pelo domicílio da vítima.

Por fim, uma observação: nos casos de pagamento por cheque, as decisões do STJ fazem referência ao local em que situada a agência bancária na qual a vítima mantém sua conta corrente. Embora, na grande maioria dos casos, a vítima mantenha a conta bancária no mesmo lugar de seu domicílio, é possível que isso não ocorra. Pela regra do § 4º do art. 70, importa o domicílio da vítima, não o local em que se situa a instituição financeira.

É provável que o legislador tenha concebido a regra pensando também nas contas bancárias digitais, operadas por instituições financeiras que têm apenas uma agência – a sede, a qual na maioria das vezes está muito distante do local em que o crime é cometido.