Apesar dos enormes desafios que ainda precisam ser enfrentados, o Brasil vem passando por um período de considerável evolução e amadurecimento em cibersegurança. O Comitê Nacional de Cibersegurança (CNCiber), instituído pela Política Nacional de Cibersegurança, promoveu a atualização da Estratégia Nacional de Cibersegurança (E-Ciber) e elaborou uma minuta de anteprojeto de Lei Geral de Cibersegurança, com objetivo de estabelecer direitos e deveres em matéria de cibersegurança em âmbito nacional, além de propor a criação de uma Agência Nacional de Cibersegurança. Esses temas foram abordados em artigo anterior neste espaço.
A regulação da cibersegurança tem se concentrado prioritariamente na proteção de sistemas e redes de infraestruturas críticas e de serviços essenciais, sejam públicos ou privados. Todavia, essa hipertrofia da salvaguarda dos ativos tecnológicos em detrimento da tutela jurídica do elemento humano gera evidente dissonância com a E-Ciber.
Um dos eixos temáticos da Estratégia é, justamente, a proteção e a conscientização do cidadão e da sociedade (artigo 1º, I, do Decreto 12.753/2026), cujo objetivo é criar condições seguras para o uso de serviços digitais (artigo 3º do Decreto 12.573/2025). O diploma aponta, assim, para a necessidade de ampliar o escopo do debate, o que exige superar a visão tradicional que restringe a cibersegurança a uma preocupação corporativa.
Para que tal ampliação seja possível, é necessário superar a atual configuração da cibersegurança como uma preocupação essencialmente voltada às pessoas jurídicas. Enquanto organizações contam com programas de gestão de riscos, equipes de resposta a incidentes e capacitação contínua, o cidadão comum costuma ficar desprovido de ferramentas para identificar e reagir a ameaças digitais. Surgem, então, alguns questionamentos fundamentais: o que é preciso para garantir mais segurança ao indivíduo? E quais direitos, deveres e remédios estão relacionados às ameaças cibernéticas?
Essas perguntas orientam o novo projeto de pesquisa em andamento no Centro de Tecnologia e Sociedade da FGV Direito Rio (CTS-FGV), intitulado “Cibersegurança do Indivíduo: direitos, deveres e remédios”, cujos primeiros resultados foram divulgados em um webinar por meio do lançamento de uma cartilha e de um policy paper[1].
Cibersegurança e foco no consumidor
O estudo adota uma abordagem centrada no ser humano, segundo a qual o acesso à internet e o uso de ativos digitais desempenham um papel instrumental ao permitir o exercício da cidadania e o pleno gozo de direitos fundamentais. Cabe ao Estado definir estruturas de governança e regulação aptas a proteger os direitos e o bem-estar dos indivíduos, inclusive por meio de remédios efetivos, como sustentamos em publicações anteriores. Nessa perspectiva, a cibersegurança do indivíduo exige três elementos articulados: conscientização sobre as ameaças, conhecimento dos direitos e remédios jurídicos transparentes e acessíveis.
A pesquisa sobre Cibersegurança do Indivíduo abrange cinco grupos prioritários: crianças e adolescentes, mulheres, pessoas idosas, pessoas neurodivergentes e consumidores. Três desses grupos foram mencionados expressamente pela E-Ciber (artigo 3º do Decreto 12.573/2025). Os outros dois, embora não figurem nesse rol, já são reconhecidos pelo ordenamento jurídico como expostos a riscos no ambiente digital: as mulheres, pela proteção conferida pelo Decreto 12.976/2026, e os consumidores, pelo reconhecimento de sua vulnerabilidade perante fornecedores de produtos e serviços no Código de Defesa do Consumidor (CDC).
O direito brasileiro reconhece desde 1990 a vulnerabilidade do consumidor nas relações com fornecedores de produtos e serviços. A vulnerabilidade é estabelecida como princípio da Política Nacional das Relações de Consumo no artigo 4º, I, do Código de Defesa do Consumidor. Como as transações comerciais passaram a ocorrer, em grande parte, no meio digital é natural que essa vulnerabilidade se reproduza no comércio eletrônico e, mais do que isso, seja agravada por ele.
A própria arquitetura das plataformas digitais direciona os usuários ao consumo mediante técnicas que envolvem o uso de dados e de sistemas de recomendação baseados no perfil comportamental do consumidor. Além disso, o ambiente digital altera o modo e objeto do consumo, facilitando a elaboração e uso de interfaces enganosas. Assim, não se pode presumir que as escolhas do consumidor nas contratações on-line sejam plenamente livres e informadas se lhe faltam condições para compreender o ambiente e o objeto dessas contratações.
Um exemplo clássico são as práticas de manipulação de consumidores por meio de engenharia social, que se tornam mais verossímeis com o uso de inteligência artificial. No phishing, há personificação e disseminação em escala de mensagens enganosas, de modo que a vítima é induzida a erro e pode acabar transferindo vantagem patrimonial a cibercriminosos, configurando-se, em regra, o crime de estelionato.
Um achado central do estudo revela que a maioria das medidas vigentes atua de forma reativa, reprimindo o dano após a sua ocorrência. Disso decorre a necessidade imperativa de estratégias preventivas. Embora indispensáveis, as políticas de cibereducação não devem ser adotadas isoladamente, sob o risco de sobrecarregar a vítima com a responsabilidade de se defender de fraudes cada vez mais sofisticadas.
Além disso, o ordenamento jurídico estabelece deveres gerais de segurança, mas raramente impõe a fornecedores e provedores obrigações específicas de considerar a segurança no desenho do serviço. Duas leis indicam o caminho a seguir para corrigir o rumo. O artigo 46 da Lei Geral de Proteção de Dados impõe aos agentes de tratamento deveres de segurança desde a fase de concepção do produto ou do serviço (§ 2º), embora seu objeto seja a proteção de dados pessoais, e não a do patrimônio do consumidor.
Já o ECA Digital (Lei 15.211/2025) passou a exigir, para produtos e serviços digitais acessíveis a crianças e adolescentes, deveres de segurança por desenho e de mitigação de riscos que não têm equivalente para o consumidor adulto. Lacuna semelhante existe no regime das plataformas. Após o julgamento do STF sobre o art. 19 do Marco Civil da Internet, anúncios pagos e impulsionados passaram a contar com presunção de responsabilidade do provedor, mas os anúncios, perfis ou a lojas falsas hospedados gratuitamente seguem fora do regime de falha sistêmica fixado pelo Tribunal.
Da reparação à prevenção
Desse diagnóstico decorrem recomendações iniciais dirigidas a cada ator. Ao Executivo, foi proposto incluir o consumidor no rol de vulneráveis da E-Ciber, adotar uma taxonomia oficial das ameaças cibernéticas ao consumidor, com critérios explícitos, instituir um programa permanente de conscientização sobre fraudes digitais e estender, por via regulatória, a lógica de segurança desde a concepção ao processo de contratação e ao patrimônio do consumidor.
Ao Legislativo, foi sugerido generalizar para o consumidor adulto os deveres de segurança por desenho do ECA Digital, no que se refere à prevenção de fraudes patrimoniais, e estabelecer dever de prevenção para o provedor que hospeda gratuitamente conteúdo fraudulento e/ou criminoso.
Ao Judiciário, foi recomendado preservar a coerência com a Súmula 479 e o Tema 466 do STJ nas operações não autorizadas, sem admitir que a sofisticação da fraude desloque o risco para a vítima, e uniformizar, preferencialmente em recurso repetitivo, os critérios de responsabilidade nas fraudes por engenharia social.
Ao setor privado, foram propostas a verificação prévia de anunciantes e vendedores, a detecção de réplicas de interfaces legítimas, a criação de canais de denúncia com prazos de resposta para ocorrências de ameaças cibernéticas, inclusive golpes, a substituição de campanhas pontuais por programas permanentes de conscientização e a emissão de alertas aos consumidores sobre ameaças cibernéticas durante o uso de serviços digitais.
Quanto à conscientização, destaca-se que a experiência brasileira oferece lições valiosas. O Programa Nacional de Imunizações e o controle do tabagismo, por exemplo, mostram que mudanças duradouras de comportamento dependem de ao menos três condições: nomenclatura uniforme, para que os mesmos fenômenos sejam reconhecidos pelos mesmos nomes em todos os canais; permanência, com renovação contínua da mensagem, inclusive por meio de símbolos como o Zé Gotinha; e atenção ao momento, já que a advertência mais eficaz é aquela exibida no instante em que a pessoa está prestes a transferir, instalar ou informar. Esta última condição desloca parte da conscientização para dentro do próprio serviço e aproxima a cibereducação do dever de desenho.
Essa preocupação com o indivíduo, os consumidores e os demais grupos vulneráveis dialoga com os grupos de trabalho temáticos do CNCiber, cujas discussões, em especial no GTT de Cibereducação, enriqueceram a elaboração da pesquisa em curso. A existência de um grupo dedicado especificamente a estratégias de disseminação de materiais educativos indica que o desafio não é apenas produzir conteúdo, mas fazê-lo chegar a quem mais precisa.
Em 2026, o Comitê criou ainda um grupo, coordenado pela Anatel e com a participação do CTS-FGV, voltado à elaboração de estratégias para a disseminação de materiais educativos para crianças e adolescentes, e outro, coordenado pelo GSI e pelo Ministério da Justiça e Segurança Pública, dedicado ao combate a golpes digitais que se valem da personificação de órgãos de governo. Há, portanto, uma convergência institucional que precisa ser aproveitada, em consonância com o amadurecimento da cibersegurança no Brasil.
A conclusão desta primeira etapa é clara: a cibersegurança do consumidor não pode depender apenas de sua capacidade de reconhecer golpes. É preciso passar de um modelo centrado na reparação posterior ao dano para uma abordagem preventiva e compartilhada, que atribua responsabilidades efetivas a quem concebe, disponibiliza e opera os serviços digitais. Afinal, um ambiente digital seguro não se constrói exigindo hipervigilância da vítima, mas garantindo segurança desde a concepção dos serviços.
_____________________________________________________________________
[1] BELLI, Luca; COUTO, Natália; MEDEIROS, Breno Pauli; BAKONYI, Erica. A cibersegurança do indivíduo: ameaças, direitos e remédios. Rio de Janeiro: CTS-FGV, 2026. Policy Brief N. 2.