Resenha
A verificação de vulnerabilidades é essencial, mas exige autorização, escopo e
governança. O artigo analisa os limites jurídicos entre proteção legítima e acesso
indevido a sistemas.
Artigo
A intensificação dos incidentes de segurança da informação e o avanço da
regulação aplicável ao ambiente digital tornaram a verificação de vulnerabilidades
uma prática recorrente nas empresas de tecnologia. Testes de intrusão, auditorias
técnicas e análises de risco passaram a integrar rotinas de compliance, processos
contratuais e operações societárias.
Apesar disso, a realização dessas atividades sem adequada estrutura jurídica expõe
empresas e profissionais a riscos relevantes. A distinção entre verificação legítima
de segurança e acesso indevido a sistemas informáticos é clara do ponto de vista
jurídico, ainda que frequentemente desconsiderada na prática.
Sob a ótica do direito, a licitude da verificação de vulnerabilidades não decorre da
finalidade alegada de proteção, mas da existência de autorização válida, da
delimitação objetiva do escopo e do respeito aos limites previamente estabelecidos.
O acesso a sistemas, redes ou bancos de dados sem consentimento expresso do
titular, ou em desconformidade com as balizas concedidas, pode caracterizar
acesso indevido, independentemente da inexistência de dano concreto ou de
intenção maliciosa.
A extrapolação do escopo autorizado, a permanência indevida em sistemas após o
encerramento da atividade ou a coleta de informações além do necessário são
condutas que podem gerar responsabilização. O ordenamento jurídico brasileiro
tutela a inviolabilidade de sistemas e dados, não sendo admissível a relativização
desses direitos sob o argumento genérico de prevenção técnica.
No campo civil, o acesso indevido pode ensejar indenizações por danos materiais,
morais e reputacionais, sobretudo quando há exposição de dados pessoais,
segredos empresariais ou interrupção de serviços. A responsabilidade pode
alcançar tanto o executor do teste quanto a empresa que autorizou ou se beneficiou
da atividade sem a devida formalização.
Na esfera administrativa, a coleta ou o tratamento inadequado de dados durante
testes de segurança pode configurar infração às normas de proteção de dados,
revelando falhas de governança e de segurança da informação. Já no âmbito penal,

determinadas condutas podem ser enquadradas como crimes informáticos, ainda
que não haja dolo específico de causar prejuízo.
A segurança da informação, portanto, não se limita à dimensão técnica. Trata-se de
matéria transversal, que envolve direito digital, proteção de dados, responsabilidade
civil e governança corporativa. Para que a verificação de vulnerabilidades seja
juridicamente válida, é indispensável a formalização de instrumentos que
estabeleçam autorização, escopo técnico, ambientes abrangidos, técnicas
permitidas, deveres de confidencialidade e regras claras de reporte e encerramento.
A banalização de testes informais, sem contrato ou delimitação adequada, além de
juridicamente arriscada, demonstra baixa maturidade de compliance e pode ser
severamente questionada em auditorias, litígios e operações de investimento.
Proteger sistemas é um dever. Ultrapassar limites legais, ainda que sob o pretexto
de proteção, caracteriza ilicitude. A maturidade jurídica em segurança da informação
exige método, documentação e respeito às fronteiras do direito.

Qualificação:
Pricilla Dias é Advogada inscrita na OAB/SP 540.240 e OAB/RN 21.894, pós
graduanda em Direito Empresarial pela Fundação Getúlio Vargas (FGV), sócia do
BZV Advogados e membro da comissão de Direito Digital da OAB/RN.