Hackers ao serviço do Estado

Perry Mason (1957-1966) – Ann Rutherford

A lei do Cibercrime vai ser alterada para transpor a nova diretiva europeia para a cibersegurança. A proposta prevê a institucionalização de hackers éticos, ao serviço do Estado, que entrarão nos sistemas informáticos pela calada. A Polícia Judiciária concordou

Com a entrada em vigor da nova diretiva europeia para a cibersegurança, Portugal irá legalizar a espionagem informática, criando brigadas de hackers éticos que, com o objetivo de detetarem vulnerabilidades, poderão entrar nos sistemas das empresas e das instituições públicas sem pedir licença e sem dizerem nada a ninguém.

Para isso, a Lei do Cibercrime terá de ser alterada, no seu artigo 6.º, em que é criminalizado o acesso ilegítimo aos sistemas digitais. Essa proposta de despenalização surge no articulado da proposta de lei que visa autorizar o governo a transpor para o direito interno a Diretiva 2022/2555 (NIS2). Este diploma destina-se a garantir um elevado nível comum de cibersegurança em toda a União Europeia (UE).

A proposta de lei para aprovação da transposição, com a inclusão da alteração à Lei do Cibercrime, já se encontra na Assembleia da República desde 14 de fevereiro e o seu conteúdo vai manter-se, embora a mudança de legislatura preveja a ‘morte’ dos projetos em carteira e obrigue à apresentação de nova proposta na legislatura seguinte. Mas, o articulado do novo documento vai ser o mesmo porque, por um lado, o novo governo tem a mesma raiz partidária, e, por outro, a UE já ameaçou aplicar sanções a Portugal pelo atraso da transposição da NIS2, a qual deveria ter ocorrido em outubro do ano passado. Trata-se de um processo urgente. «Fosse quem fosse o vencedor das eleições, a proposta na nova legislatura nunca sofrerá alterações técnicas significativas», afirmou ao Nascer do SOL o diretor-geral do Gabinete Nacional de Segurança (GNS), António Gameiro Marques, que no final do mês deverá abandonar o cargo. Questionado pelo Nascer do SOL sobre se o governo pretende manter o projeto, o ministério da Presidência considerou ser «inoportuno estar a comentar iniciativas que só serão assumidas na próxima legislatura».

Transposta a diretiva, a mudança da Lei do Cibercrime irá permitir a criação de brigadas de ‘hackers éticos’, não polícias, que reportarão diretamente ao Centro Nacional de Cibersegurança (CNCS), entidade até agora dirigida por um subdiretor-geral do GNS, mas que, com a nova lei, reforçará a sua função de autoridade nacional no domínio da cibersegurança. O GNS, a par da Autoridade Nacional de Comunicações, passará a autoridade nacional setorial.

Alterar a Lei do Cibercrime, despenalizando o acesso ilegítimo aos sistemas informáticos, tem o propósito de «o Estado não penalizar quem, por motivos benignos, pretende assinalar às autoridades a existência de vulnerabilidades que, se exploradas por pessoas com maus intentos, podem impactar muito negativamente o funcionamento dos mesmos e assim a comunidade servida», explica António Gameiro Marques. E adianta: «O conceito que se pretende implementar, e essa parte da legislação foi amplamente discutida, nomeadamente com a Polícia Judiciária, é o da divulgação responsável de vulnerabilidades, também conhecida como divulgação coordenada de vulnerabilidades». Ou seja, adiantou: «É um processo em que investigadores de segurança, ou hackers éticos, descobrem vulnerabilidades, fraquezas ou falhas em software, hardware ou sistemas e as comunicam à organização ou ao fornecedor afetado».

Assim, com a aprovação da transposição, a Lei do Cibercrime passará a ter um aditamento ao artigo 8.º com o título ‘Atos não puníveis por interesse público de cibersegurança’, determinando-se, no n.º 1, que «não são puníveis factos suscetíveis de consubstanciar os crimes de acesso ilegítimo e de intercessão ilegítima previstos, respetivamente, nos artigos 6.º e 7.º se, verificadas, cumulativamente as seguintes circunstâncias». A primeira é a de que o «agente atue com a intenção única de identificar a existência de vulnerabilidades em sistema de informação, produtos e serviços de tecnologias de informação e comunicação (...) e com propósito de, através da sua divulgação, contribuir para a segurança do ciberespaço».

De acordo com a proposta, o hacker ético terá sempre de reportar a execução do ato de espionagem ao CNCS e este, por seu lado, deverá reportar à PJ caso haja indício de crime. Se o hacker detetar alguma anomalia no sistema, deverá reportá-la ao proprietário, para que a repare, assim como ao CNCS, para conhecimento, e apagar esse reporte no prazo de 10 dias.

Ir além da diretiva…

A questão é que em lado nenhum da diretiva europeia se atesta a obrigatoriedade de os estados membros da UE criarem os hackers éticos para fiscalização do cumprimento das normas europeias de cibersegurança.

«Na Diretiva 2022/2555 (NIS 2) nada consta sobre esta proposta de despenalização, tratando-se, portanto, de uma opção legislativa. Por outro lado, na exposição de motivos da Proposta de Lei nº 50/XVI/1ª também não há qualquer menção aos fundamentos ou motivos para esta opção, o que não permite apurar o que levou o governo a propor esta exclusão da ilicitude no caso ali previsto», explica ao Nascer do SOL o advogado Ricardo Sardo.

Este causídico, especialista em cibercrime, assina o parecer da Ordem dos Advogados sobre a proposta de lei apresentada pelo anterior governo e acredita que a proposta do futuro executivo terá o mesmo conteúdo técnico. O texto, refere, tal como está resultou de um amplo consenso. Também António Gameiro Marques lembrou que a proposta recebeu o contributo de mais de 120 entidades.

Não tão consensual será, para os advogados, a questão da despenalização do acesso ilegítimo aos sistemas informáticos, mesmo no caso concreto de o acesso ser realizado com fins legítimos, como verificar fragilidades do sistema para que sejam retificadas.

«Há questões maiores que se levantam», adverte Ricardo Sardo, sublinhando: «Desde logo, existe o risco, mesmo que reduzido, de hackers profissionais puderem aceder a um sistema, sob o manto ou justificação da ‘legitimidade’ e da ‘bondade’, de cumprir os requisitos e, de forma camuflada e não detetada, aceder a informação ou dados de forma ilegítima, ou para fins ilegítimos». Neste sentido, defende: «Esta concreta proposta exige ampla discussão e profunda análise, precisamente em virtude do risco existente de acesso ilegítimo».

Sendo o sigilo profissional a ‘vaca sagrada’ dos advogados, Ricardo Sardo alerta ainda: «Nesta proposta de lei continua a não estar prevista qualquer norma específica sobre a compatibilização das regras em matéria de cibersegurança e do regime do sigilo profissional, tendo em conta que a Ordem dos Advogados tem nos seus sistemas matéria e informação sensível e confidencial». E apela: «Há que adaptar as regras em matéria de acesso aos seus sistemas e comunicação às autoridades com o sigilo profissional (que é perfeitamente possível nos termos da diretiva), princípio fundamental do nosso sistema jurídico».

Contactado pelo Nascer do SOL, o Conselho Superior da Magistratura informou que «reserva a emissão de parecer para o momento próprio do processo legislativo». Já a Procuradoria-Geral da República e a Polícia Judiciária não responderam às questões colocadas.

Fonte: Sol, 31 de maio de 2025

A História repete-se, umas vezes em mau outras em bom.

Vigilância postal

Durante a vigência do regime do Estado Novo em Portugal (1933–1974), a vigilância e o controlo da informação assumiram um papel central no esforço repressivo do aparelho de Estado. Entre os vários instrumentos utilizados pela PIDE/DGS a violação sistemática da correspondência destacou-se como uma prática discreta, mas profundamente intrusiva, que visava neutralizar qualquer tentativa de contestação ao regime.

A abertura de cartas, através do engenhoso método do vapor de água, a leitura e cópia de conteúdos privados, bem como a retenção ou destruição de correspondência, eram operações rotineiras realizadas com o conluio de funcionários dos CTT, eram os agentes benignos avant la lettre, antes do aparecimento do conceito de hacker ou através da infiltração de agentes da polícia política no serviço postal. O objetivo era claro: vigiar os opositores do regime, identificar redes de contacto internas e internacionais, antecipar manifestações, denúncias ou simples críticas que pudessem circular no seio da sociedade civil ou entre exilados políticos.

Esta prática não visava apenas militantes comunistas ou republicanos. Padres progressistas, professores universitários, jornalistas, estudantes e até familiares de presos políticos eram alvo regular da vigilância postal. Cartas enviadas para ou vindas do estrangeiro — sobretudo de países como França, União Soviética, Brasil ou Espanha — eram meticulosamente analisadas, copiadas e, em muitos casos, retidas. A própria lentidão inexplicável dos correios tornava-se um elemento de censura tácita.

Tecnicamente, a abertura da correspondência era feita com grande perícia: utilizava-se vapor para levantar cuidadosamente os selos dos envelopes, ou ferramentas especializadas que permitiam reabrir e voltar a fechar sem danos visíveis. No interior da PIDE, existiam secções dedicadas ao controlo epistolar, onde as cartas eram analisadas, classificadas, e, por vezes, serviam como prova em interrogatórios ou justificação para detenções preventivas.

Com o endurecimento do regime após o Ato Institucional de 1933, e mais fortemente após a repressão de 1961–1970, a vigilância postal tornou-se uma forma quase invisível de coerção psicológica. Muitos cidadãos aprendiam, por tentativa e erro, que certas cartas “não chegavam”, que os seus interlocutores deixavam de responder, ou que determinados assuntos escritos em papel se convertiam subitamente em matéria de interrogatório.

O Relatório Final da Comissão Nacional da Verdade (2014) e diversos arquivos da Torre do Tombo documentam estas práticas de modo sistemático, incluindo reproduções de cartas intercetadas e fichas classificativas elaboradas pelos agentes da polícia política. Entre os visados mais recorrentes estavam Álvaro Cunhal, Mário Soares, Helena Pato, e inúmeros militantes anónimos que viram a sua correspondência ser transformada em instrumento de controlo e intimidação.

Um exemplo: o rendez-vous Mário Soares – Pinto Balsemão. “No primeiro contacto com Mário Soares conversámos muito e gostámos um do outro, mas a PIDE forjou uma carta para logo lançar a discórdia”, diz Balsemão.

Após um encontro entre ambos em 1968, Balsemão recebeu uma carta, supostamente assinada por Soares, criticando severamente o almoço que haviam partilhado. Desconfiado do conteúdo, Balsemão contactou Soares, e juntos concluíram que a carta era uma falsificação da PIDE, que os havia observado durante o encontro. Este episódio, em vez de causar discórdia, fortaleceu a amizade entre os dois, que perdurou ao longo das décadas.

A violação de correspondência durante o Estado Novo foi, assim, mais do que uma simples técnica de vigilância: tratou-se de um verdadeiro instrumento de poder simbólico, que minava a confiança entre indivíduos, distorcia os laços familiares e impunha um clima de medo subtil, mas eficaz. Ao transformar o gesto íntimo de escrever uma carta num risco político, o regime inscrevia-se nos métodos clássicos dos autoritarismos europeus do século XX. Substituídos os autoritarismos pelos democratismos, as diretivas da União Europeia atualizam os controlos sobre os meios de troca de mensagens do século XXI.