Mandado de busca reverso: quando a ordem judicial mira todos os seus usuários de uma vez

Um homem entrou de chapéu de pescador e colete de trânsito na Call Federal Credit Union, em Midlothian, Virgínia, no fim da tarde de 20 de maio de 2019. Entregou um bilhete à caixa, roubou o dinheiro e foi embora. Nenhum nome, nenhuma identidade. A polícia, então, fez algo que gerou quase uma década de litígio: pediu ao Google a localização de todos os celulares que estiveram perto daquele banco naquele horário. Não havia suspeito. Havia uma cerca geográfica digital desenhada ao redor do crime.

Isso tem nome técnico: geofence warrant, ou mandado de busca reverso. No caso que ficou conhecido como Chatrie, a lógica inverteu a investigação criminal tradicional. Em vez de identificar o culpado e depois buscar prova, a autoridade buscou dados de centenas de pessoas inocentes pra tentar encontrar o culpado no meio delas. O debate jurídico que se abriu não terminou. E ele vai chegar ao Brasil com a mesma força, possivelmente sem a mesma preparação.

A lógica que vira o processo criminal de cabeça pra baixo

No mandado de busca tradicional, o investigador sabe quem quer. Tem nome, tem endereço, tem alvo definido. O mandado é só a autorização judicial pra ir até lá e colher prova. No mandado reverso, a lógica não funciona assim. O investigador sabe onde o crime aconteceu e quando. Mas não sabe quem praticou. Então pede à plataforma digital todos os dados de todos os usuários naquele espaço e tempo, e a investigação começa depois, com o material já coletado.

O custo de privacidade é imediato e alto. No caso Chatrie, um dos identificados foi temporariamente apontado como suspeito e chegou a ser abordado antes de a polícia perceber que havia pegado a pessoa errada. Ele estava naquela área por razão completamente legítima. Ele não era investigado. Mas seus dados foram entregues, analisados e usados numa investigação criminal.

A pergunta constitucional que o caso levantou é direta: uma ordem que mira centenas de pessoas sem suspeita individualizada respeita a exigência de que buscas sejam específicas? Ou ela é uma rede de arrasto que viola direitos de quem nunca foi alvo?

No Brasil, esse cenário é possível?

A resposta é sim. Com problemas sérios de lacuna legal.

A Lei 12.850/2013 e o Código de Processo Penal já permitem que autoridades requisitem dados de aplicativos e plataformas digitais com autorização judicial. A LGPD, no art. 7º, VI, autoriza o tratamento de dados para cumprimento de obrigação legal, e o art. 11, II, 'a' faz o mesmo para dados sensíveis. Isso significa que, diante de uma ordem judicial válida, a empresa pode ser obrigada a entregar dados sem violar a LGPD.

O problema é o que a lei não cobre. A LGPD não diz nada sobre o que acontece quando a ordem é ampla demais. Quando mira centenas de usuários inocentes pra encontrar um suspeito dentro desse grupo. O Marco Civil da Internet (Lei 12.965/2014) exige ordem judicial específica pra acesso a dados de conteúdo, mas dados de geolocalização vivem numa zona cinza sem parâmetro claro na legislação nacional.

Nossa leitura: a empresa que coleta localização hoje e não tem resposta pra "o que você faz quando a polícia pede os dados de todos os seus usuários num determinado dia e área?" está operando com risco jurídico real. Não é cenário distante. Já há precedentes nacionais de requisições a plataformas com esse formato, sem a sistematização que o debate americano produziu.

O que a sua empresa precisa ter organizado

Se o seu negócio coleta geolocalização de usuários, seja num app de delivery, numa plataforma logística, num sistema de frota, num CRM com check-in ou qualquer serviço com mapa, os pontos abaixo não são hipóteses de futuro. São vulnerabilidades abertas agora:

• Política de retenção de dados de localização com prazo definido: dado que não existe não pode ser entregue. Reter localização por tempo indeterminado amplia a janela de exposição sem nenhuma utilidade de negócio depois de certo período.
• Protocolo escrito de resposta a requisições de autoridades: quando chega um ofício policial ou uma ordem judicial, quem responde? Em quanto tempo? Com que análise jurídica antes de cumprir? Empresa sem protocolo responde por impulso, e impulso nesse contexto vira problema documentado.
• Registro das entregas já realizadas: a LGPD exige que o controlador mantenha registro das operações de tratamento de dados. Entrega judicial é operação de tratamento. Ceder dados sem registrar é descumprimento duplo.
• Avaliação da legalidade antes de cumprir: empresa não é obrigada a obedecer qualquer papel com carimbo. Ordem manifestamente ilegal, excessivamente ampla ou sem autorização judicial válida pode, e deve, ser questionada antes de cumprida. Esse filtro precisa ter responsável definido.
• Verificar obrigação de notificar o titular: a LGPD não proíbe notificar o usuário quando há fornecimento de dados a terceiros. Em alguns cenários, notificar pode ser obrigação. O DPO precisa ter posição escrita sobre isso antes de a situação acontecer.

O que o caso americano ensina pra quem opera aqui

A jurisprudência americana sobre geofence warrants levou quase uma década pra produzir algum consenso, e ainda não chegou lá. Tribunais de Apelação diferentes chegaram a conclusões diferentes. A Suprema Corte americana ainda não deu a palavra final sobre o tema.

O Brasil vai percorrer esse mesmo caminho. Mais rápido, porque a digitalização avançou antes da regulação. E provavelmente com menos debate público, porque o tema é técnico e chega despercebido até bater na porta de uma empresa que não estava preparada.

Falando sério: a questão não é se a polícia vai pedir dados de localização em massa num contexto de investigação criminal. A questão é o que a sua empresa vai fazer quando isso acontecer. Ter protocolo, ter retenção definida e ter análise jurídica pronta faz diferença entre uma resposta controlada e um incidente de compliance com registro na ANPD.

A próxima semana é boa pra duas tarefas concretas: revisar por quanto tempo a sua plataforma retém dados de localização, e verificar se existe alguém com atribuição clara pra analisar requisições de autoridades antes de qualquer dado ser entregue. Se nenhuma das duas existir de forma documentada, é por aí que começa.