Lei de Poderes Investigativos

A Lei de Poderes Investigativos de 2016 (Investigatory Powers Act 2016 - IPA) é uma legislação do Reino Unido que regula o uso de poderes de vigilância e investigação por autoridades públicas, incluindo agências de inteligência, forças policiais e vários departamentos governamentais.

A lei detalha como esses órgãos podem coletar dados de comunicação, interferir em equipamentos e interceptar comunicações com o propósito expresso de vigilância.

Apelidada de "Carta dos Bisbilhoteiros" pelos críticos, a IPA é uma lei controversa, com muitos alegando que ela infringe os direitos individuais e as liberdades civis. Por outro lado, seus defensores argumentam que ela é uma ferramenta crucial para manter a segurança nacional e combater o terrorismo.

As empresas que lidam com dados sensíveis ou de clientes devem compreender a Lei de Proteção de Dados Pessoais (IPA) para fins de conformidade. A conformidade não é apenas uma exigência legal, mas também constrói confiança com os clientes, demonstrando o compromisso com a proteção de dados.

A Cyera desempenha um papel fundamental ao ajudar as empresas. avaliar o risco dos dados e manter prontidão para conformidade Em cenários regulatórios complexos, incluindo o IPA.

Por que foi introduzida a Lei de Poderes Investigativos?

A Lei de Proteção à Privacidade (IPA, na sigla em inglês) foi introduzida para modernizar as leis de vigilância do Reino Unido, que se tornaram obsoletas devido aos rápidos avanços na tecnologia de comunicação nas últimas duas décadas.

Telefones celulares, mensagens SMS, aplicativos de mensagens criptografadas, armazenamento em nuvem e navegação na internet não eram suportados pelas estruturas de segurança obsoletas que existiam na época.

As autoridades precisavam de uma legislação mais clara e abrangente para lidar com as formas modernas como as pessoas se comunicam e armazenam dados.

Antes da introdução da IPA, as atividades de vigilância eram regidas pela Lei de Regulamentação dos Poderes Investigativos de 2000 (RIPA) e por várias disposições da Lei de Telecomunicações de 1984.

Essas leis careciam de clareza e abrangência para cobrir as novas tecnologias digitais. Portanto, a IPA foi criada para consolidar e expandir essas leis antigas em uma estrutura unificada.

Essencialmente, os objetivos da IPA são:

• Dotar as agências de segurança pública e de inteligência das ferramentas adequadas para prevenir e responder a ameaças à segurança nacional.
• Criar mecanismos formais de autorização e supervisão, incluindo a função de Comissário de Poderes Investigativos, para aumentar a responsabilização e garantir o uso legítimo dos poderes de vigilância.
• Abordar as lacunas na interceptação de dados digitais e nos registros de conexão à internet. Isso se concentra na interceptação de comunicações online e na retenção de registros de conexão à internet e metadados.

Principais disposições e poderes ao abrigo da IPA

É importante compreender que os poderes da IPA são amplos e abrangentes, estendendo-se a empresas, famílias e até mesmo entidades fora do Reino Unido.

As principais disposições do IPA são:

• Interceptação direcionada de comunicações (com aprovação do Secretário de Estado e judicial), como ligações telefônicas, e-mails e outros métodos.
• Coleta em massa de metadados e conjuntos de dados pessoais, incluindo registros de indivíduos que não estão sob suspeita direta.
• Retenção obrigatória de registros de conexão à Internet (ICRs, na sigla em inglês) por provedores de serviços de comunicação (CSPs, na sigla em inglês), rastreando os sites e serviços acessados ​​pelos usuários.
• Interferência em equipamentos (também conhecida como hacking legal), incluindo acesso remoto a computadores, telefones e redes.

Os provedores de serviços de comunicação (CSPs) são legalmente obrigados a apoiar investigações, inclusive por meio de Notificações de Capacidade Técnica (TCNs), que podem envolver a descriptografia de dados ou a ativação da interceptação em tempo real para auxiliar as autoridades.

Supervisão e salvaguardas: como a IPA é controlada?

Dadas as amplas competências da IPA, foram estabelecidas diversas camadas de supervisão para garantir a responsabilização e o uso legal de suas disposições.

Os métodos de vigilância mais intrusivos estão sujeitos a um processo de aprovação dupla, no qual um Secretário de Estado e um Comissário Judicial devem revisar e aprovar a decisão de forma independente antes que ela entre em vigor.

O Comissário de Poderes Investigativos realiza auditorias regulares sobre a utilização dos poderes previstos na Lei de Poderes Investigativos (IPA) pelas autoridades públicas, apresentando relatórios anuais ao Parlamento sobre questões de conformidade ou uso indevido, a fim de manter a transparência.

Proteções adicionais se aplicam quando se trata de vigilância de profissões sensíveis, como jornalistas, advogados ou membros do Parlamento, para proteger direitos fundamentais como a liberdade de expressão e o sigilo profissional.

É importante notar que, em 2024, a IPA foi atualizada para dar aos órgãos de supervisão mais flexibilidade na revisão das decisões de vigilância, acompanhando os avanços tecnológicos e as mudanças no cenário global.

Quem pode acessar os dados de acordo com a IPA?

Aqueles que podem acessar dados sob a IPA estão principalmente envolvidos em segurança nacional, investigações criminais e aplicação da lei.

Por exemplo, as agências de inteligência do Reino Unido têm poderes de investigação, incluindo:

• MI5: Serviço de segurança do Reino Unido
• MI6: Serviço secreto de inteligência do Reino Unido
• GCHQ: Comunicações do governo do Reino Unido

Todas as divisões policiais do Reino Unido podem solicitar dados para auxiliar em investigações criminais, assim como a Agência Nacional de Combate ao Crime (National Crime Agency), órgão central de combate ao crime organizado e ao cibercrime.

A Receita e Alfândega do Reino Unido (HM Revenue & Customs) pode solicitar dados para auxiliar em investigações relacionadas à evasão fiscal e fraude aduaneira. O Ministério do Interior (Home Office) pode usar os poderes da Lei de Poderes de Investigação (IPA) para fins de fiscalização da imigração e segurança de fronteiras. O Departamento de Trabalho e Pensões (Department for Work and Pensions) pode acessar dados para investigar fraudes em benefícios sociais e delitos relacionados, e o Ministério da Defesa (Ministry of Defence) necessita de poderes de vigilância para segurança militar, contra-inteligência e proteção de ativos de defesa.

Outras organizações com diferentes níveis de acesso incluem a Autoridade de Conduta Financeira (Financial Conduct Authority), o Escritório de Combate à Fraude Grave (Serious Fraud Office), autoridades locais para fins específicos e diversos órgãos reguladores que investigam crimes graves em suas jurisdições.

Essas entidades não precisam de mandado judicial para acessar os ICRs. A solicitação requer apenas a aprovação de um "funcionário sênior designado" dentro da organização, e a finalidade do acesso deve estar relacionada a:

• Detectar ou prevenir crimes graves
• Proteger a segurança nacional
• Localizar pessoas desaparecidas

Controvérsias e debate público

Embora o governo do Reino Unido considere a IPA essencial para a segurança pública, grupos de defesa das liberdades civis manifestaram sérias preocupações quanto à vigilância em massa de indivíduos inocentes e ao abuso de poder por parte da autoridade.

A principal preocupação dos críticos é a erosão dos direitos fundamentais, incluindo o direito à privacidade e à liberdade de expressão.

Em 2018, o Tribunal Superior do Reino Unido decidiu que partes da Lei violavam a legislação da UE, especialmente no que diz respeito ao acesso a dados de comunicações retidos sem aprovação.

Como resultado, a lei foi alterada para estar em conformidade com os padrões legais. Desde a saída do Reino Unido da UE em 2020, essas alterações foram parcialmente revertidas, causando ainda mais preocupação.

A ampla reação pública contra a lei resultou em petições para sua reforma ou revogação, investigações da mídia e campanhas de grupos da sociedade civil que defendem mais transparência e fiscalização.

Por outro lado, os defensores da Lei afirmam que a IPA aumenta a transparência e a supervisão das práticas que ocorrem sob as leis anteriores, argumentando que ela capacita as autoridades a proteger a sociedade em uma era digital onde as ameaças são cada vez mais complexas.

Alterações recentes: O que mudou em 2024?

Em 2024, a IPA passou por mais uma reforma e introduziu diversas atualizações significativas. Entre elas:

• Novas exigências de notificação para empresas de tecnologia, como provedores de rede e serviços de comunicação. Agora, elas devem notificar o governo do Reino Unido antes de implementar certas alterações em seus serviços, especialmente se essas alterações afetarem sua capacidade de cumprir as solicitações da Lei de Proteção da Informação (IPA).
• Os provedores de serviços de comunicação devem notificar a IPC sobre quaisquer violações de dados pessoais.
• As agências de inteligência agora possuem poderes ampliados que incluem acesso mais amplo a grandes conjuntos de dados, especialmente em casos onde os indivíduos têm pouca ou nenhuma expectativa de privacidade. Por exemplo, dados que já são públicos ou facilmente acessíveis.
• Os poderes ampliados também incluem um acesso mais abrangente aos ICRs.

É importante destacar que houve um esclarecimento de que as empresas estrangeiras que atendem usuários no Reino Unido são consideradas "operadoras de telecomunicações" e agora estão sujeitas aos requisitos de conformidade da IPA, independentemente de onde estejam localizadas.

Outras alterações geraram preocupação generalizada, particularmente em relação às seguintes:

• A remoção da trava dupla de segurança em determinados casos.
• Redução da supervisão judicial sobre certas ordens ou notificações emitidas pelo governo.
• Uma elevada concentração de poder é atribuída ao Secretário de Estado, o que pode reduzir a responsabilização.

Por que as empresas e as equipes de segurança devem se importar?

A Lei de Proteção de Informações (IPA) impacta diretamente qualquer empresa que lide com dados e comunicações digitais. Como a conformidade é obrigatória, todas as organizações precisam estar preparadas caso sejam solicitadas a conceder acesso a informações nos termos da IPA.

As empresas podem ser obrigadas a:

• Auxiliar ou entregar dados sensíveis. Isso inclui interceptar comunicações, divulgar dados armazenados e instalar tecnologias de vigilância.
• Equilibre as exigências do IPA com conformidade com a segurança de dados obrigações ao abrigo do RGPD e de outras leis globais, criando complexidade em torno da manutenção da conformidade.
• Gerencie os riscos reputacionais e operacionais caso os clientes tomem conhecimento de quaisquer práticas de vigilância, especialmente de fornecedores de tecnologia e nuvem.
• Mantenha uma visibilidade clara dos fluxos de dados e dos riscos de terceiros por meio de controles e auditorias automatizados.

Melhores práticas para organizações que precisam atender aos requisitos do IPA

Para operar em conformidade com a IPA, as organizações devem gerenciar proativamente o risco de dados e os requisitos legais da Lei.

Confiar apenas em medidas reativas não é suficiente. Em vez disso, as empresas devem implementar processos consistentes, apoiados por ferramentas que promovam a governança de dados e a preparação para auditorias.

Esses processos incluem:

• Realizar avaliações regulares de risco de dados para mapear dados sensíveis.
• Manter uma governança clara sobre criptografia, controles de acesso e solicitações de acesso legais.
• Manter um registro de auditoria das atividades de conformidade.
• Capacitar os funcionários sobre as obrigações no tratamento de dados e os procedimentos de escalonamento.
• Monitoramento contínuo e adaptação às mudanças nas regulamentações do Reino Unido, da UE e globais.
  
  

Usando um plataforma de segurança de dados Assim como a Cyera, que simplifica a conformidade automatizando a classificação de dados, monitorando pontos de acesso e rastreando a atividade do usuário em tempo real.

Os painéis de controle de conformidade centralizados sinalizam riscos e a prontidão para auditorias, enquanto a aplicação de políticas alinhadas às obrigações da IPA está incorporada ao sistema.

Como a Cyera apoia organizações que enfrentam desafios de IPA

Com o sistema certo implementado, lidar com os requisitos do IPA torna-se significativamente mais fácil.

Cyera foi criada para:

• Classifique, governe e proteja dados sensíveis em ambientes de nuvem e híbridos.
• Proporcionar visibilidade às solicitações de acesso e às movimentações de dados de terceiros.
• Automatize o monitoramento de conformidade e o envio de alertas para possíveis violações.
• Equipe as equipes com ferramentas para construir estruturas de conformidade adaptáveis ​​e resilientes.

Com o Cyera, as organizações obtêm a capacidade e o controle necessários para responder com confiança aos requisitos da IPA sem comprometer a segurança dos dados ou os padrões operacionais.

Faça da privacidade e da conformidade uma vantagem competitiva.

Não basta simplesmente estar ciente da IPA e de outras estruturas regulatórias e de conformidade.

As organizações precisam adotar uma postura proativa e implementar sistemas que atendam aos padrões atuais, adaptando-se simultaneamente às mudanças regulatórias.

Convidamos você a experimentar em primeira mão as soluções da Cyera para privacidade, segurança e conformidade.

Agende uma demonstração hoje mesmo e experimente gratuitamente. avaliação de risco de dados Descubra como sua organização pode se beneficiar de uma abordagem proativa em relação à conformidade.