Perspectivas Jurídicas Internacionais sobre Operações Cibernéticas
Documento original em inglês publicado pelo CCDCOE (NATO Cooperative Cyber Defence Centre of Excellence).
Fonte original: https://ccdcoe.org/uploads/2026/06/International_Legal_Perspectives_on_Cyber_Operations.pdf
Tradução e diagramação: RDS @RDSWEB
Cópias digitais ou impressas desta publicação podem ser produzidas para uso interno dentro da OTAN e para uso pessoal ou educacional, sem fins lucrativos e não comerciais, desde que as cópias contenham a citação completa.
Sobre as autoras
Agnes Kasper, PhD, é Chefe do Departamento Jurídico (Law Branch) do NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE). É também Professora Sênior de Direito e Tecnologia no Departamento de Direito da Tallinn University of Technology (TalTech). É coautora do "Handbook on Developing a National Position on International Law and Cyber Activities: A Practical Guide for States" (Manual sobre o Desenvolvimento de uma Posição Nacional sobre Direito Internacional e Atividades Cibernéticas: Um Guia Prático para Estados), projeto colaborativo liderado pela University of Exeter, em conjunto com o NATO CCDCOE, o Ministério das Relações Exteriores do Japão e o Ministério das Relações Exteriores da Estônia. As opiniões expressas neste artigo são exclusivamente da autora e podem não representar necessariamente as posições do CCDCOE.
Karine Veersalu é ex-pesquisadora jurídica do NATO CCDCOE, onde seu trabalho concentrou-se na pesquisa e análise de posições estatais e estratégias nacionais de cibersegurança, apoiando o desenvolvimento do referido Manual. É bacharel em Direito pela Tallinn University of Technology e está concluindo seu LLM na Universidade de Lund. As opiniões expressas neste artigo são exclusivamente da autora e podem não representar necessariamente as posições das instituições a que está vinculada.
Sobre o CCDCOE
O NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE) é um centro de conhecimento credenciado pela OTAN, que oferece uma abordagem interdisciplinar única para as questões mais relevantes em defesa cibernética. O núcleo do CCDCOE é um grupo diversificado de especialistas internacionais oriundos das áreas militar, governamental, acadêmica e industrial, representando atualmente 39 nações.
O CCDCOE mantém sua posição como um hub de defesa cibernética reconhecido internacionalmente, fonte primordial de conhecimento especializado e recurso fundamental nos aspectos estratégicos, jurídicos, operacionais e técnicos da defesa cibernética. O Centro oferece liderança de pensamento na vanguarda de todos os aspectos da defesa cibernética e proporciona uma visão de 360 graus do setor. O Centro incentiva e apoia o processo de disseminação da cibersegurança na governança e nas capacidades nacionais e da OTAN, dentro de suas áreas de foco intimamente conectadas: tecnologia, estratégia, operações e direito.
O Manual de Tallinn (Tallinn Manual), elaborado a convite do CCDCOE, é o guia mais abrangente para assessores de política e especialistas jurídicos sobre como o direito internacional se aplica a operações cibernéticas conduzidas entre e contra Estados e atores não estatais. Desde 2010, o Centro organiza o Locked Shields, o maior e mais complexo desafio técnico de defesa cibernética "ao vivo" do mundo. A cada ano, o Locked Shields oferece a especialistas em cibersegurança a oportunidade de aprimorar suas habilidades na defesa de sistemas de TI nacionais e infraestruturas críticas sob ataques em tempo real. O foco está em cenários realistas, tecnologias de ponta e na simulação de toda a complexidade de um incidente cibernético massivo, incluindo tomada de decisão estratégica e aspectos jurídicos e de comunicação.
O CCDCOE sedia a International Conference on Cyber Conflict (CyCon), um evento anual único em Tallinn que reúne especialistas-chave e tomadores de decisão da comunidade global de defesa cibernética. A conferência, realizada em Tallinn desde 2009, atrai mais de 600 participantes a cada primavera.
O CCDCOE é responsável por identificar e coordenar soluções de educação e treinamento no campo de operações de defesa cibernética para todos os órgãos da OTAN em toda a Aliança. Os centros de excelência credenciados pela OTAN não fazem parte da Estrutura de Comando da OTAN.
www.ccdcoe.org — publications@ccdcoe.org
Sumário
Resumo
O arcabouço jurídico internacional geral não mudou nas últimas décadas. O que mudou foi a maturidade do debate e da compreensão sobre como as regras existentes se aplicam ao uso de tecnologias de informação e comunicação. O ano de 2024 marcou um ponto de virada, e agora a maioria dos Estados-Membros da OTAN possui uma posição nacional individual ou aderiu a um entendimento comum sobre a aplicação do direito internacional no "ciberespaço". Como as operações cibernéticas são frequentemente encobertas, classificadas, negáveis ou tecnicamente ambíguas, e a maior parte das regras internacionais aplicáveis é tecnologicamente neutra, a prática verbal e escrita — particularmente essas elaboradas posições nacionais e comuns — assume importância excepcional. Este artigo curto foca-se principalmente nas áreas em que os Aliados concordam, áreas de convergência entre os Estados-Membros da OTAN, deixando a discussão sobre as divergências para outra ocasião. Analisando as posições nacionais publicadas dos Estados-Membros e o entendimento comum da UE, este artigo mapeia as áreas de convergência ou uma "base comum" dentro da OTAN, o que pode ser de imenso valor para promover a interoperabilidade jurídica e o desenvolvimento doutrinário no campo das operações cibernéticas (particularmente à luz da revisão em curso da Doutrina Conjunta Aliada para Operações Cibernéticas, AJP 3.20), podendo potencialmente servir de fundamento para uma futura posição comum formalmente acordada pela OTAN. É oportuno que a OTAN incorpore o entendimento coletivo dos Aliados sobre como o direito internacional se aplica às atividades cibernéticas.
1. Introdução
O debate jurídico acadêmico sobre a "Lei do Cavalo" (Law of the Horse) surgiu com a disseminação das tecnologias de informação e comunicação (TICs) em meados da década de 1990. O juiz Frank H. Easterbrook argumentou que o ciberespaço não exige um corpo de leis inteiramente novo e especializado, assim como não haveria necessidade de um regime distinto — a lei do cavalo — para os diversos casos envolvendo venda, lesão, cuidados etc. relacionados a cavalos. Em suas palavras, tal tentativa estaria "condenada a ser superficial e a não captar princípios unificadores". Em seu artigo e livro seminais, Lawrence Lessig contra-argumentou de forma célebre que o ciberespaço de fato exige novas considerações jurídicas, embora as doutrinas jurídicas existentes devam permanecer como ponto de partida, podendo precisar ser reinterpretadas ou adaptadas para acomodar a regulação do design técnico. Hoje, o debate entre Easterbrook e Lessig (a respeito do direito interno) consolidou-se no entendimento de que as novas tecnologias devem ser regidas por regras gerais e já estabelecidas, que podem precisar de adaptações. Essa proposição é igualmente válida para o direito internacional e, uma vez que suas regras gerais são tecnologicamente neutras, permanecem válidas para todas as tecnologias, como também confirmado no Parecer Consultivo sobre Armas Nucleares da Corte Internacional de Justiça (CIJ).
A aplicabilidade do direito internacional ao ciberespaço e às atividades cibernéticas foi objeto de controvérsia até meados da década de 2010. As discussões sobre o comportamento responsável dos Estados no ciberespaço avançaram por meio de diversos fóruns globais e regionais, incluindo, inicialmente, o Grupo de Especialistas Governamentais (GGE) das Nações Unidas (ONU) e, posteriormente, os Grupos de Trabalho de Composição Aberta (OEWG) da ONU. Em 2013, o GGE chegou à conclusão histórica de que "o direito internacional e, em particular, a Carta [das Nações Unidas], é aplicável e essencial para a manutenção da paz e da estabilidade e para a promoção de um ambiente de TIC aberto, seguro, pacífico e acessível", conclusão também endossada pela Assembleia Geral da ONU ainda naquele ano. Embora uma minoria marginal de Estados continue a propor uma nova convenção global sobre o ciberespaço, hoje mais de cem Estados já expressaram suas posições, de alguma forma, sobre como as regras internacionais existentes se aplicam às atividades cibernéticas.
2. Tendências gerais na OTAN
Muitos Estados-Membros da OTAN vêm publicando posições nacionais desde 2012, e a Declaração da Cúpula de Gales de 2014, em seu parágrafo 72, estabeleceu uma mudança histórica na política da OTAN, reconhecendo formalmente que o direito internacional se aplica ao ciberespaço. Alguns Estados-Membros — também integrantes da União Europeia (UE) — expressaram suas posições por meio da Declaração de 2024 sobre um Entendimento Comum do Direito Internacional no Ciberespaço, adotada pelo Conselho da União Europeia. A tabela a seguir relaciona os Membros da OTAN que emitiram posição nacional individual, indicando o(s) ano(s) do(s) documento(s) (ver Tabela 1). A tabela também identifica os Estados-Membros da OTAN que ainda não emitiram posição nacional individual, mas integram o Entendimento Comum da UE.
| Estado-Membro | Posição Pública | Estado-Membro | Posição Pública | Estado-Membro | Posição Pública | Estado-Membro | Posição Pública |
|---|---|---|---|---|---|---|---|
| Albânia | — | Finlândia | 2020 | Lituânia | Apenas UE | Romênia | 2021 |
| Bélgica | 2025 | França | 2019, 2021 | Luxemburgo | Apenas UE | Eslováquia | Apenas UE |
| Bulgária | Apenas UE | Alemanha | 2021 | Montenegro | — | Eslovênia | 2026 |
| Canadá | 2022 | Grécia | Apenas UE | Países Baixos | 2019 | Espanha | Apenas UE |
| Croácia | Apenas UE | Hungria | Apenas UE | N. Macedônia | — | Suécia | 2022 |
| Chéquia | 2020, 2024 | Islândia | — | Noruega | 2021 | Turquia | — |
| Dinamarca | 2023 | Itália | 2021 | Polônia | 2022 | Reino Unido | 2018–2022 |
| Estônia | 2019, 2021 | Letônia | Apenas UE | Portugal | Apenas UE | EUA | 2012–2021 |
Tabela 1. Panorama das posições nacionais e comuns relevantes para os Aliados da OTAN. Fonte: Cyber Law Toolkit — https://cyberlaw.ccdcoe.org
Uma lista abrangente das posições nacionais e comuns publicamente disponíveis sobre a aplicação do direito internacional às operações cibernéticas, com ferramentas analíticas adicionais e links para os textos originais, é mantida no Cyber Law Toolkit, gerido pela University of Exeter, pelo NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE) e pela Agência Nacional de Cibersegurança e Informação da República Tcheca (NUKIB).
Como as operações cibernéticas são frequentemente encobertas, classificadas, negáveis ou tecnicamente ambíguas, e a maior parte das regras internacionais aplicáveis é tecnologicamente neutra, a prática verbal e escrita — particularmente as elaboradas posições nacionais e comuns — assume importância excepcional. As posições nacionais e comuns existentes sobre direito internacional e atividades cibernéticas cobrem uma gama muito ampla de questões jurídicas, incluindo visões sobre a aplicação de regras e princípios fundacionais, regimes especializados, e o direito da responsabilidade do Estado, entre outros. Embora essas posições sirvam a muitas funções, também são úteis para mapear áreas de convergência, divergência e eventuais lacunas no arcabouço jurídico existente. Além disso, particularmente as posições comuns são um testemunho da possibilidade de diálogo construtivo e do progresso que os Estados já alcançaram na obtenção de entendimentos comuns, apesar das diferenças jurídicas. Este artigo curto foca-se principalmente nas áreas em que os Aliados concordam, áreas de convergência entre os Estados-Membros da OTAN, deixando a discussão das divergências para outra ocasião. Analisando as posições nacionais publicadas dos Estados-Membros e o entendimento comum da UE, este artigo mapeia as áreas de convergência ou uma "base comum" dentro da OTAN, o que pode ser de imenso valor para promover a interoperabilidade jurídica e o desenvolvimento doutrinário no campo das operações cibernéticas, podendo potencialmente servir de fundamento para uma futura posição comum formalmente acordada pela OTAN.
O ano de 2024 marcou um ponto de virada, e agora a maioria dos Estados-Membros da OTAN possui uma posição nacional ou aderiu a um entendimento comum sobre a aplicação do direito internacional no "ciberespaço". No entanto, duas ressalvas são pertinentes. Primeiro, o grau de detalhamento nas diferentes posições varia, dificultando conclusões sobre questões em que os Estados optaram por permanecer em silêncio. Segundo, este é um campo altamente dinâmico, e alguns Estados estariam, segundo relatos, desenvolvendo suas posições nacionais (mesmo que já tenham aderido ao entendimento comum da UE) ou revisando suas posições existentes. Portanto, as conclusões deste estudo devem ser tratadas como um retrato momentâneo das convergências no início de 2026.
3. Principais áreas de convergência
3.1 Aplicação do direito internacional
Todas as posições nacionais dos Estados-Membros da OTAN afirmam consistentemente que o direito internacional se aplica aos usos estatais de TICs. Essa afirmação, geralmente encontrada no início do documento de posição, costuma conter um reconhecimento geral dos processos do GGE e do OEWG da ONU e das conclusões neles alcançadas, além de uma declaração sobre a aplicabilidade da Carta da ONU, do direito internacional humanitário e do direito internacional dos direitos humanos, que são então detalhados. A OTAN, como aliança, também afirmou, já em 2014, a base de que "o direito internacional, incluindo o direito internacional humanitário e a Carta da ONU, aplica-se ao ciberespaço", reconhecendo que operações cibernéticas poderiam ameaçar a segurança coletiva. Além disso, a Doutrina Conjunta Aliada para Operações no Ciberespaço (AJP-3.20) também reconhece que as operações cibernéticas da OTAN, bem como as operações cibernéticas fornecidas pelos Estados-Membros em nome da aliança, devem ser conduzidas em conformidade com o direito internacional, incluindo a Carta da ONU, o direito internacional humanitário e o direito internacional dos direitos humanos.
Assim, a aplicabilidade geral do direito internacional às atividades cibernéticas não é, em si, contestada, mas sim como as regras estabelecidas operam na prática que exige maior esclarecimento. Os Estados-Membros da OTAN têm mantido em suas posições que o direito internacional existente é adequado para regular o uso de TICs, com vários Estados adicionalmente — implícita ou explicitamente — afirmando que não veem necessidade de novas regras para esse fim.
3.2 Soberania
Todas as posições nacionais e comuns sobre a aplicação do direito internacional às atividades cibernéticas, incluindo as dos Aliados da OTAN, abordam o princípio da soberania em suas declarações. Há um consenso geral de que a soberania, como princípio central do direito internacional, aplica-se ao uso estatal de TICs. Contudo, o ciberespaço, além de uma camada física composta por hardware como computadores, cabos e infraestrutura física enraizada no território de um Estado, também é composto por fluxos de dados, redes virtuais e infraestrutura cibernética interconectada, que não são facilmente vistos sob uma perspectiva estritamente territorial.
Isso pode, portanto, representar desafios inéditos à aplicação do conceito "tradicional" de soberania no ciberespaço. Permanecem questões sobre o exato caráter jurídico desse princípio — se se trata de uma regra autônoma, cuja violação pode gerar responsabilidade do Estado — visão refletida na maioria das posições estatais examinadas —, ou de um princípio que meramente orienta as interações entre Estados, sem constituir, em si, uma regra passível de violação. Embora uma análise mais aprofundada da divergência dessas visões esteja fora do escopo deste artigo, ela ainda deixa em aberto a questão de como os Estados devem tratar operações cibernéticas que ficam abaixo do limiar de não intervenção e uso da força.
Além do debate sobre a natureza jurídica do princípio, um denominador comum nas posições examinadas é que todos os Estados-Membros reconhecem que a soberania deve, ainda assim, ser considerada na condução de operações cibernéticas. Assim, essa divergência não deve minar o número significativo de exemplos e critérios práticos de violação de soberania que os Estados expressaram em suas posições. Isso criou mais previsibilidade e transparência acerca de quais critérios os Estados utilizam em seu planejamento operacional para avaliar operações cibernéticas que possam potencialmente ser consideradas invasivas de sua própria soberania ou da de outros Estados.
O acúmulo de posições estatais e comuns agora fornece orientação mais clara para a identificação de tais limiares de conduta potencialmente ilícita e violação de soberania. Embora não haja acordo sobre o limiar exato dos efeitos ou danos necessários — e muitos Estados tenham defendido um limiar mais baixo —, parece haver, no mínimo, um entendimento mais amplo de que operações cibernéticas que causem efeitos nocivos substanciais no território de outro Estado, tais como dano físico, lesão, perda ou morte, seriam, com alta probabilidade, consideradas pela maioria dos Estados como violação de soberania. Ao mesmo tempo, nem todas as operações cibernéticas não consensuais são consideradas ilícitas — vários Estados parecem concordar, em geral, que operações cibernéticas com efeitos negligenciáveis ou de minimis não constituiriam violação do direito internacional. De todo modo, os Estados concordam que todos os incidentes devem ser avaliados caso a caso, levando em consideração seu escopo, escala, impacto e gravidade.
3.3 Não intervenção
As posições dos Aliados convergem no entendimento de que o princípio da não intervenção é um princípio fundacional do direito internacional e, à exceção das declarações mais antigas, a maioria das posições detalha sua natureza, elementos e exemplos. Os termos precisos utilizados variam ligeiramente; há preferência tanto por "princípio da não intervenção" ou "não intervenção", quanto pelos sinônimos "proibição de intervenção" ou "proibição de intervenção ilícita". Não há diferença no conteúdo da regra.
A proibição de intervenção decorre da soberania estatal e da igualdade soberana entre os Estados. Aplica-se apenas à conduta estatal, mas não a atores não estatais, salvo se sua conduta for atribuível a um Estado. Há concordância de que a não intervenção não é apenas um princípio, mas sim uma regra primária passível de violação. A maioria dos Estados declarou inequivocamente que ela integra o direito internacional consuetudinário. Diversas posições fazem referência ou citam o julgamento da Nicarágua da CIJ como autoridade jurídica que sustenta seu raciocínio.
A proibição de intervenção é plenamente aplicável às atividades cibernéticas. Uma violação dessa regra pode ocorrer se duas condições cumulativas forem satisfeitas: a conduta envolve interferência no domaine réservé, ou os assuntos soberanos do Estado-alvo, e a conduta é coercitiva.
Diversas posições apontam que o domaine réservé refere-se a assuntos dentro dos negócios internos ou externos dos Estados, e listam exemplos como a escolha de decidir livremente sobre sistemas políticos, econômicos, sociais, culturais, ou a formulação da política externa. Para melhor esclarecer a aplicação dessa regra no contexto cibernético, a maioria dos Estados-Membros especifica casos que podem ser qualificados como pertencentes ao domaine réservé dos Estados no ciberespaço, por exemplo, adulteração de processos eleitorais por meio de TICs, ou interferência em serviços de nuvem ou redes, ou, de forma mais geral, por meio de vetor cibernético dentro do território ou jurisdição do Estado-alvo.
A interferência também precisa ser coercitiva para ser qualificada como intervenção ilícita segundo o direito internacional. Contudo, coerção não é definida no direito internacional. Portanto, as posições nacionais são fundamentais para esclarecer seu significado real. O uso da força pode ser uma das formas mais graves de coerção. Diversos Aliados apontam que a coerção também se distingue de operações de influência de menor intensidade, propaganda, diplomacia pública e outras formas de persuasão, uma vez que essas últimas são insuficientes para qualificarem-se como intervenção. Isso não significa que todas as operações de influência e desinformação estejam fora dessa categoria. Mas o que importa certamente são as consequências, ou, para alguns Estados-Membros, a intenção e o design das medidas para alcançar efeito coercitivo. Portanto, como base comum para as posições dos Aliados, a interferência coercitiva precisa atingir a escala e o efeito capazes de privar o Estado-alvo de sua liberdade de escolha em relação aos seus assuntos soberanos, sendo necessária uma avaliação caso a caso. Praticamente todos os Aliados concordam que uma operação cibernética que adultere sistemas eleitorais do Estado-alvo pode constituir intervenção proibida, caso seja atribuível a um Estado.
3.4 Uso da força
A proibição da ameaça ou uso da força, consagrada no Artigo 2(4) da Carta da ONU, é uma norma peremptória do direito internacional geral e está presente em todas as posições nacionais e comuns examinadas. A proibição, sem dúvida, aplica-se à conduta de atores estatais no contexto cibernético. As posições dos Aliados confirmam uniformemente que, ao avaliar quando uma operação cibernética configura uso da força, a ênfase recai sobre os efeitos, e não sobre os meios da operação. Uma operação cibernética estará dentro do escopo do Artigo 2(4) se suas consequências forem comparáveis àquelas produzidas por um uso convencional da força, como morte, lesão, destruição ou dano físico significativo. Exemplos repetidamente citados incluem operações cibernéticas que causam mau funcionamento ou dano a infraestrutura crítica, ou que levam a acidentes como a queda de uma aeronave. Muitos dos Aliados estão abertos à interpretação de que consequências não físicas de operações cibernéticas também podem ser consideradas na determinação de se uma operação cibernética, potencialmente combinada com efeitos de outras operações, ultrapassou o limiar do uso da força. Todos os Estados-Membros concordam que a avaliação deve ser feita caso a caso. Alguns Estados-Membros referem-se a fatores contextuais e adicionais em tais avaliações e frequentemente apontam, inter alia, os critérios de gravidade e imediaticidade dos efeitos, conforme previstos no Manual de Tallinn 2.0.
Um tema recorrente nas posições é a referência à jurisprudência da CIJ acerca do uso da força. Chéquia, França, Alemanha, Países Baixos, Noruega, Polônia, Romênia e Suécia apontam para casos específicos da CIJ e/ou utilizam citações relativas aos limiares de uso da força e ataque armado. A maioria dos Estados distingue inequivocamente entre os dois conceitos, seguindo a posição da CIJ de que "ataque armado" é considerado a forma mais grave de uso da força — em outras palavras, um uso da força nem sempre constitui um ataque armado. Apenas a posição dos EUA indica uma visão alternativa, utilizando a formulação "uso da força / ataque armado", não distinguindo, portanto, entre os limiares relevantes, mas também reconhecendo expressamente que outros Estados podem discordar.
3.5 Diligência devida (Due Diligence)
A questão da diligência devida está presente em todas as posições e opiniões examinadas, que convergem no sentido de que se trata de um padrão de conduta aplicável ao contexto cibernético. Geralmente, esse padrão de conduta deriva de duas fontes: primeiro, o princípio formulado pela CIJ no caso Corfu Channel, segundo o qual é "obrigação de todo Estado não permitir, conscientemente, que seu território seja utilizado para atos contrários aos direitos de outros Estados". Segundo, o princípio do "não dano" (no-harm), reconhecido no caso Trail Smelter, também refletido nos Artigos sobre Prevenção de Dano Transfronteiriço decorrente de Atividades Perigosas da Comissão de Direito Internacional.
Todos os Estados-Membros examinam se a diligência devida também constitui regra vinculante, mas divergem em suas abordagens e conclusões. Enquanto as posições do Reino Unido e dos EUA de 2021 concluem que a diligência devida não constitui atualmente uma obrigação vinculante de direito internacional, a posição do Canadá — bastante ambígua nesse aspecto — também utiliza os termos "deveria" e "expectativa", mas não "deve" e "obrigação", o que pode sinalizar a natureza voluntária e não vinculante da norma. A diligência devida é atualmente reconhecida como uma norma não vinculante no contexto cibernético, e a Assembleia Geral da ONU endossou tanto o relatório do GGE de 2015 quanto o de 2021, que detalham a Norma 13(c), segundo a qual "os Estados não devem permitir conscientemente que seu território seja utilizado para atos internacionalmente ilícitos por meio de TICs". Persiste, no entanto, uma falta de clareza quanto ao caráter jurídico da diligência devida também fora do contexto das atividades cibernéticas, e o que os Estados parecem realmente concordar é sobre a importância da diligência devida e que o tema requer estudo adicional.
No entanto, a maioria dos Aliados concorda que a diligência devida é uma obrigação vinculante, de modo que todas as suas posições confirmam a existência de, pelo menos, uma expectativa de adoção de medidas razoáveis caso um Estado seja notificado sobre atividades nocivas provenientes de seu território. Há concordância sobre os elementos-chave da diligência devida. Estes incluem a expectativa de um determinado padrão de conduta (adoção de medidas apropriadas, razoavelmente disponíveis e factíveis para lidar com a atividade nociva), mas não necessariamente um resultado específico por parte do Estado de cujo território emana a atividade nociva; conhecimento prévio como pré-requisito para acionar a expectativa; ausência de presunção de responsabilidade do Estado pelo próprio ato nocivo; e ausência de expectativa de monitoramento de todas as atividades de TIC dentro de um território.
3.6 Direito internacional dos direitos humanos
Há um consenso claro e estabelecido entre os Estados de que o direito internacional dos direitos humanos se aplica aos usos estatais de TICs. Os Estados, portanto, possuem tanto um dever negativo de se absterem de interferência ilícita com os direitos humanos quanto um dever positivo de proteger os direitos individuais, e essas obrigações aplicam-se online da mesma forma que offline.
Os Estados-Membros reconhecem, contudo, que determinados direitos humanos são de particular relevância no ambiente digital. Questões-chave que os Aliados têm consistentemente levantado em suas posições incluem as liberdades de expressão e opinião, o direito à privacidade, as liberdades de reunião e associação, e o direito de acesso à informação. Embora esses temas permaneçam centrais, também parecem existir diversas questões emergentes que os Estados vêm considerando e incorporando cada vez mais em suas posições nacionais, tais como o direito de acesso à internet, e o papel de atores não estatais em relação aos direitos humanos no ciberespaço.
Os Estados geralmente aceitam que direitos qualificados podem ser legitimamente restringidos por objetivos legítimos, como segurança nacional, ordem pública ou combate ao crime. Ao mesmo tempo, determinadas medidas, incluindo bloqueios de internet e censura ampla, podem não satisfazer esses padrões, ponto ressaltado por Estados como Romênia e Estados Unidos. Por fim, embora os Estados afirmem que os direitos humanos internacionais se aplicam online da mesma forma que offline, reconhecem que a natureza do ciberespaço e das novas tecnologias apresenta desafios singulares e levanta questões complexas de território e jurisdição, uma vez que a conduta digital frequentemente transcende fronteiras físicas, deixando em aberto a questão de até que ponto os Estados devem agir para garantir a proteção dos direitos humanos além de suas fronteiras.
3.7 Responsabilidade do Estado
As posições nacionais e comuns demonstram um acordo claro e unânime de que as regras gerais do direito internacional consuetudinário sobre responsabilidade do Estado são plenamente aplicáveis à conduta estatal no ciberespaço. Esse corpo normativo bem estabelecido está refletido nos Artigos sobre Responsabilidade dos Estados por Atos Internacionalmente Ilícitos (ARSIWA) da Comissão de Direito Internacional.
Um ato internacionalmente ilícito de um Estado no contexto cibernético requer duas condições:
- Uma conduta consistente em ação ou omissão que constitua violação de uma obrigação internacional do Estado.
- A conduta seja atribuível ao Estado nos termos do direito internacional.
3.7.1 Atribuição
Todas as posições examinadas abordam especificamente a atribuição e concordam que as regras de atribuição permanecem plenamente válidas no ciberespaço. Aponta-se que a atribuição pode ser tecnicamente desafiadora. No entanto, trata-se de uma questão de evidência, e não de falta de clareza do direito internacional. Com base em regras consuetudinárias internacionais bem estabelecidas, uma operação cibernética é atribuível a um Estado quando conduzida por seus órgãos, por pessoas ou entidades habilitadas pela legislação daquele Estado a exercer elementos de autoridade governamental agindo nessa capacidade, ou por atores não estatais agindo sob instrução, direção ou controle daquele Estado. É central às posições nacionais e comuns que os Estados não podem se eximir de responsabilidade jurídica por atos cibernéticos ilícitos ao agir por meio de intermediários (proxies) ou atores não estatais.
Diversos Estados-Membros enfatizam que a atribuição no sentido jurídico — identificar um Estado como responsável por um ato internacionalmente ilícito — deve ser distinguida da identificação técnica de um ator e da atribuição política ou de declarações públicas que designam responsabilidade. A atribuição jurídica é matéria de direito internacional; as atribuições técnica e política envolvem considerações factuais, técnicas e políticas.
Há amplo consenso de que as decisões sobre atribuição são prerrogativas soberanas dos Estados. Um Estado pode atribuir operações cibernéticas de forma individual ou coletiva, e tem discricionariedade para tornar tal atribuição pública. Diversos Estados apontam que o direito internacional não impõe obrigação de divulgar as evidências ou a base sobre a qual a atribuição foi feita, embora os Estados possam optar por fazê-lo por razões políticas ou de cooperação. A ausência de atribuição pública não afeta a aplicação do direito internacional nem a existência de responsabilidade do Estado.
As determinações de atribuição baseiam-se na avaliação das informações disponíveis, que podem incluir dados técnicos, inteligência e fatores contextuais como a natureza, os efeitos e as circunstâncias da operação. Certeza absoluta não é exigida; ainda assim, algumas posições nacionais ressaltam a importância de uma avaliação razoável — pelo Estado atribuidor — dos fatos, considerando as circunstâncias.
3.7.2 Respostas
Segundo a presunção de Lotus no direito internacional, Estados soberanos são livres para agir, salvo proibição específica. Embora esse princípio tenha evoluído — e os Estados frequentemente sejam levados a justificar suas ações, especialmente quando agem em contrariedade a proibições legais — trata-se de um ponto de partida útil no que diz respeito ao uso estatal de TICs, em que a aplicabilidade ou interpretação de certas regras ainda é incerta. As posições nacionais e comuns concentram-se principalmente em atos e respostas que podem configurar violações do direito internacional, limiares específicos de violações, ou quando são hostis, ou dizem respeito a expectativas sobre como resolver suas diferenças. Raramente detalham diretamente as diversas ações possíveis que não são proibidas pelo direito internacional, mas sim estabelecem os limites.
3.7.2.1 Retorsão pacífica
A obrigação dos Estados de resolver suas disputas pacificamente é um princípio fundacional consagrado nos Artigos 2(3) e 33 da Carta da ONU. Trata-se de regra consuetudinária, que exige que os Estados busquem a resolução de suas disputas por meios pacíficos, incluindo "negociação, inquérito, mediação, conciliação, arbitragem, solução judicial, recurso a agências ou acordos regionais, ou outros meios pacíficos de sua própria escolha", a fim de salvaguardar a paz e a segurança internacionais. Os Estados têm afirmado consistentemente em suas posições nacionais que essa obrigação se aplica igualmente às disputas surgidas no contexto dos usos estatais de TICs — os Estados devem se comprometer com a manutenção de um ambiente de TIC pacífico e, diante de operações cibernéticas nocivas, buscar uma resposta pacífica em vez de retaliatória, que poderia arriscar escalada. Não obstante, vários Estados especificam explicitamente que o dever de resolver disputas por meios pacíficos não impede o recurso a outras respostas disponíveis segundo o direito internacional, incluindo a autodefesa em caso de ataque armado ou por meio de contramedidas, desde que os requisitos relevantes sejam atendidos.
3.7.2.2 Retorsão
Há entendimento comum entre os Aliados de que os Estados podem responder a operações cibernéticas maliciosas, e é geralmente subentendido que tais respostas incluem, evidentemente, condutas que não configuram violação do direito internacional. Algumas posições enfatizam isso ao incluir declaração sobre retorsões. Os Estados concordam que retorsões são atos lícitos, porém não amistosos, que um Estado pode adotar em resposta a conduta nociva ou indesejável de outro Estado, incluindo operações cibernéticas maliciosas. Por serem lícitas por definição, as retorsões estão sempre disponíveis como opção de resposta, independentemente de a atividade cibernética que as motivou ter sido ilícita ou não. Podem ser utilizadas tanto em reação a atos hostis ou nocivos quanto em resposta a atos internacionalmente ilícitos. Exemplos incluem a imposição de determinados tipos de sanções (isto é, aquelas que não configuram violação do direito internacional), a declaração de que um diplomata é persona non grata, ou mesmo a atribuição pública de operações cibernéticas hostis.
3.7.2.3 Circunstâncias que excluem a ilicitude: contramedidas, necessidade, legítima defesa
Em certos casos, os Estados podem responder adotando medidas que, de outra forma, violariam o direito internacional. Tais respostas são exceções, e sua ilicitude é excluída, mas em razão de violação prévia do direito internacional que gere responsabilidade do Estado ou, no caso de invocação do estado de necessidade, em razão de perigo grave e iminente. As posições nacionais e comuns abordam contramedidas e necessidade, nos termos dos ARSIWA, bem como legítima defesa, no contexto do Artigo 51 da Carta da ONU. Há diversos pontos convergentes quanto ao escopo, finalidade e elementos procedimentais dessas respostas.
Contramedidas
Todas as posições examinadas concordam que a finalidade das contramedidas é estritamente induzir o cumprimento do direito internacional, incluindo a cessação do ato ilícito e a reparação. Elas não podem ser adotadas para fins de retaliação, punição ou retribuição. Os Estados afirmam consistentemente que as contramedidas devem cumprir o direito internacional consuetudinário, conforme refletido nos Artigos da CDI sobre Responsabilidade do Estado, e respeitar as limitações aplicáveis. Contramedidas não podem envolver ameaça ou uso da força.
As contramedidas são temporárias, devem cessar assim que o Estado responsável retomar o cumprimento de suas obrigações, e devem ser dirigidas apenas contra o Estado responsável. Como base comum atual dos Aliados, as contramedidas estão disponíveis ao Estado lesado, embora haja uma visão emergente de que contramedidas coletivas possam ser admissíveis. As contramedidas devem ser necessárias e proporcionais ao dano sofrido e ao objetivo de induzir o cumprimento. Devem respeitar normas peremptórias (jus cogens) e não podem violar direitos humanos fundamentais, obrigações de caráter humanitário que proíbam represálias, ou a inviolabilidade das instalações e do pessoal diplomático e consular. Devem ser reversíveis, na medida do possível.
Os Estados-Membros concordam que as contramedidas podem ser adotadas por meios cibernéticos ou não cibernéticos, sem necessidade de simetria. Contramedidas cibernéticas podem responder a atos ilícitos não cibernéticos, e vice-versa. Antes de recorrer a contramedidas, o Estado lesado deve, em princípio, exigir que o Estado responsável cumpra suas obrigações, o que inclui fornecer notificação (com algumas exceções aplicáveis ao contexto cibernético), e oferecer negociação, dando ao Estado responsável a oportunidade de cessar sua conduta ilícita.
Legítima defesa
Há concordância entre os Aliados de que uma operação cibernética pode configurar ataque armado quando sua escala e efeitos forem comparáveis aos de um ataque armado cinético. Além disso, os Aliados reconhecem que o impacto de atividades cibernéticas maliciosas cumulativas significativas pode, em certas circunstâncias, ser considerado equivalente a um ataque armado. Todas as posições nacionais e comuns examinadas confirmam ainda que o direito inerente à legítima defesa, previsto no Artigo 51 da Carta da ONU e no direito internacional consuetudinário, aplica-se aos usos estatais de TICs. Um Estado alvo de operação cibernética que configure ataque armado pode exercer seu direito de legítima defesa individual ou coletiva, sujeito às mesmas condições aplicáveis a outras formas de uso da força. O Estado que responde pode utilizar a força em legítima defesa e não está limitado a meios cibernéticos; tanto respostas cibernéticas quanto convencionais (cinéticas) estão disponíveis. Reciprocamente, uma resposta cibernética pode ser utilizada em legítima defesa contra um ataque armado cinético. Não há exigência de resposta na mesma modalidade.
O exercício da legítima defesa — seja cibernética ou cinética — deve observar os requisitos consuetudinários de necessidade e proporcionalidade. A força só pode ser utilizada quando necessária para repelir ou fazer cessar o ataque armado, e as medidas de resposta não podem exceder esse objetivo. O direito de legítima defesa permanece sujeito às obrigações de notificação pertinentes, inclusive a notificação ao Conselho de Segurança da ONU.
Necessidade
A maioria, mas não todos os Aliados, aborda quando o estado de necessidade pode ser invocado no contexto cibernético. Enfatizam que se trata de uma justificativa estreita e excepcional, disponível apenas em condições rigorosas e a ser avaliada caso a caso.
O estado de necessidade pode ser invocado nos termos do Artigo 25 dos ARSIWA apenas quando o ato for o único meio de o Estado salvaguardar um interesse essencial contra perigo grave e iminente. O perigo deve ser sério, iminente e claramente estabelecido com base nas informações razoavelmente disponíveis à época, e o dano ameaçado não precisa já ter se materializado, tampouco precisa necessariamente ser físico. Ponto-chave é que o perigo não precisa ser atribuível a um Estado. A invocação da necessidade permanece estritamente limitada em escopo e duração, e disponível apenas quando não existir alternativa real para enfrentar o perigo grave e iminente.
3.8 Direito internacional humanitário
Todas as posições examinadas dos Aliados estão em claro alinhamento quanto à plena aplicação do Direito Internacional Humanitário (DIH) às operações cibernéticas em conflitos armados. Além disso, concordam que a aplicação do DIH não legitima o conflito nem militariza o ciberespaço. Ao contrário, o DIH existe para limitar os efeitos do conflito armado, o que inclui limites de conduta e de uso de capacidades (inclusive cibernéticas) pelas partes. O DIH também busca proteger civis, bens civis e outras pessoas e bens protegidos, além de regular a condução das hostilidades. Princípios e proteções centrais do DIH — como humanidade, distinção, proporcionalidade, necessidade militar, precauções e proteção de civis — aplicam-se igualmente ao contexto cibernético. Algumas posições nacionais reconhecem, ainda, que o DIH limita as capacidades cibernéticas e exige revisão jurídica de armas, meios e métodos de guerra cibernéticos ou habilitados por meios cibernéticos.
3.8.1 Ataque em conflito armado
As posições dos Aliados afirmam que operações cibernéticas podem configurar "ataque" nos termos do DIH quando conduzidas no contexto de conflito armado. Uma operação cibernética é considerada ataque em conflito armado quando equivale a ato de violência contra um adversário, seja ofensivo ou defensivo, significando que seja razoavelmente esperado causar lesão ou morte a pessoas, ou dano ou destruição a objetos, incluindo efeitos nocivos sobre infraestrutura cibernética ou sistemas dela dependentes. Essa determinação baseia-se primordialmente nos efeitos da operação, não nos meios utilizados. Embora as definições de dano possam variar, há crescente concordância de que dano físico, disrupção funcional significativa ou destruição são indicadores centrais. Além disso, embora alguns Aliados tenham incluído linguagem sobre efeitos "razoavelmente previsíveis", como padrão mínimo na definição de ataque, permanece incerto quais tipos precisos ou qual ordem de efeitos, além dos efeitos diretos de primeira ordem, são relevantes para determinar se uma operação cibernética configura ataque nos termos do DIH.
Quando uma operação cibernética se qualifica como ataque, aplicam-se as mesmas regras e princípios do DIH que regem ataques por meios cinéticos. Esse arcabouço se aplica independentemente de a operação cibernética ser ofensiva ou defensiva, e mesmo quando a infraestrutura relevante for de uso duplo, isto é, compartilhada entre os setores civil e militar. Operações cibernéticas que não atinjam o nível de ataque continuam sujeitas às regras e princípios gerais pertinentes do DIH, como a proteção geral de civis e a obrigação de adotar cuidados constantes, quando conduzidas no curso de um conflito armado.
3.8.2 Objetivos militares
As posições examinadas dos Aliados enfatizam, unanimemente, que as regras relativas ao princípio da distinção se aplicam ao contexto cibernético. Assim, os ataques, incluindo aqueles realizados por meio de operações cibernéticas, devem se limitar estritamente a objetivos militares. Ataques indiscriminados são proibidos, independentemente do uso de meios convencionais ou digitais. Os Estados-Membros reconhecem que os bens indispensáveis à sobrevivência da população, protegidos pelo Artigo 54 do Protocolo Adicional I, podem incluir infraestrutura de TIC, que, portanto, também é protegida. Não é controverso que infraestruturas e objetos civis de TIC (por exemplo, computadores, dispositivos em rede etc.) sem significância militar gozam de status protegido. Contudo, a infraestrutura no ciberespaço pode frequentemente ter uso duplo, de modo que o contexto pode exigir considerações específicas. É concebível que atos de civis que conduzam operações cibernéticas possam ser caracterizados como participação direta nas hostilidades; nesse caso, os respectivos civis se tornariam alvos militares legítimos.
Permanece controverso como o DIH se aplica aos dados enquanto tais, se dados podem constituir um "objeto" e, com base nisso, gozar de proteções como bens civis. Alguns Estados consideram que operações cibernéticas direcionadas a dados podem estar dentro do escopo do DIH quando a operação se qualificar como ataque em conflito armado, e, nesse caso, aplicam-se as limitações relevantes do direito de escolha de alvos (por exemplo, regras de distinção, proporcionalidade, precauções). Contudo, diversos Estados observam que o tema requer considerações adicionais.
4. Conclusões
Os Aliados que conduzem operações cibernéticas — contribuindo ou não com efeitos cibernéticos de forma separada ou em nome da Aliança — devem conduzi-las em conformidade com o direito internacional, bem como observar suas próprias legislações nacionais e, quando aplicável, outros arcabouços jurídicos.
O arcabouço jurídico internacional geral não mudou nas últimas décadas. O que mudou recentemente, nos últimos anos, é que a maioria dos Aliados agora possui posições claras e públicas sobre como interpretar e aplicar as regras desse arcabouço no uso de TICs. Ao emitir posições nacionais e comuns, os Estados-Membros da OTAN agora exercem ativamente seu papel no desenvolvimento e esclarecimento do direito internacional, na medida em que tais documentos possuam valor jurídico.
Duas implicações disso são aqui destacadas. Primeiro, agora que muitos Estados expressaram suas posições, os Aliados precisam levá-las em consideração ao projetar, planejar e conduzir operações cibernéticas. É natural que o desenvolvimento doutrinário e político das operações cibernéticas da OTAN se apoie, ou até mesmo derive, das convergências identificadas nessas posições. Segundo, no entanto, também é necessário considerar as diferenças e os pontos em que os Estados optaram por permanecer em silêncio sobre questões específicas, cabendo aos Estados identificar como os arcabouços jurídicos se aplicam aos usos estatais de TICs, e articular e confirmar publicamente esses padrões. Muitas questões permanecem em aberto nas posições nacionais e comuns, havendo amplo espaço tanto para aprofundar quanto para ampliar a discussão sobre as convergências e divergências.
É necessária maior prática estatal e opinio juris para esclarecer, por exemplo, os limiares para violações de soberania, não intervenção, proibição do uso da força etc. A articulação de exemplos específicos de incidentes que os Estados provavelmente considerariam atos ilícitos segundo o direito internacional pode reduzir a margem de erro de má interpretação por terceiros. Isso, por sua vez, gera mais transparência, clareza e previsibilidade. A análise caso a caso de incidentes cibernéticos que os Estados possam considerar em seu planejamento operacional também fortaleceria o respeito mútuo e solidificaria as expectativas (regras) da comunidade internacional. Portanto, vale a pena facilitar e apoiar os processos que abordam a aplicação do direito internacional existente às atividades cibernéticas, seja no desenvolvimento ou revisão de uma posição nacional, na capacitação sobre esses temas, ou em discussões e exercícios baseados em cenários para reduzir as lacunas de interpretação.
Até o momento, a maioria dos Aliados já considerou a questão de como o direito internacional se aplica aos usos estatais de TICs. Eles abordaram essa questão individualmente, e alguns também coletivamente, sob a ótica da UE. É oportuno que a OTAN incorpore o entendimento coletivo dos Aliados sobre como o direito internacional se aplica às atividades cibernéticas.
Notas de rodapé (tradução resumida)
As notas de rodapé do documento original contêm majoritariamente citações jurídicas e referências bibliográficas em inglês, mantidas conforme a fonte original para preservar a precisão da referência acadêmica. Para os textos completos das notas e para a lista integral de posições nacionais e comuns citadas, consulte o documento original no link da fonte, no início desta página, ou o Cyber Law Toolkit em https://cyberlaw.ccdcoe.org.
Comentários
Postar um comentário