Staatstrojaner, Zitiergebot e a decisão do Bundesverfassungsgericht de 2025: atualização do quadro constitucional da busca remota on-line do § 100b StPO (policeware)
Resumo: Este artigo examina a decisão do Tribunal Constitucional Federal da Alemanha de 24 de junho de 2025, na reclamação constitucional BvR 180/23, Trojaner II, que redefiniu o quadro constitucional da busca remota on-line (Online-Durchsuchung) e da interceptação de telecomunicações na fonte (Quellen-TKÜ) em sistema informático do investigado, no âmbito do processo penal germânico. A Corte consolidou um duplo controle das normas habilitadoras da investigação oculta digital: um controle material, que reserva a medida à criminalidade especialmente grave, e um controle formal, fundado no Zitiergebot, a exigência da nomeação expressa de cada direito fundamental comprimido pela lei restritiva. Examinam-se, ainda, o regime bifásico de proteção do núcleo essencial da vida privada e a advertência quanto à gestão estatal de vulnerabilidades tecnológicas. Ao final, projeta-se o precedente sobre o ordenamento brasileiro, à luz do PL 402/2024 e da ADPF 1143/DF. Palavras-chave: Policeware. Busca remota on-line. Quellen-TKÜ. Zitiergebot. Prova digital. Bundesverfassungsgericht.
Abstract: This article analyses the judgment of the German Federal Constitutional Court (Bundesverfassungsgericht) of 24 June 2025 in Constitutional Complaint No. 1 BvR 180/23 (Trojaner II), which substantially reshaped the constitutional framework applicable to remote digital searches (Online-Durchsuchung) and source telecommunications surveillance (Quellen-TKÜ) carried out through the infiltration of an investigated person’s information system within the German criminal process. The Court articulated a dual constitutional review of statutory authorisations for covert digital investigations: a substantive review, limiting such powers to the investigation of particularly serious offences, and a formal review, based on the constitutional principle known as the Zitiergebot, which requires the legislature expressly to identify every fundamental right affected by a restrictive statute. The decision also elucidates a two-tier mechanism for safeguarding the inviolable core sphere of private life and highlights the constitutional risks arising from the State’s retention and management of technological vulnerabilities. Finally, the article explores the possible repercussions of the ruling for Brazilian law, with particular reference to Bill No. 402/2024 and ADPF 1143/DF.
Keywords: Policeware. Online remote search. Source telecommunications surveillance. Zitiergebot. Digital evidence. German Federal Constitutional Court.
A permissão para o uso do policeware (software de vigilância eletrônica instalado ocultamente no dispositivo do investigado para a captação remota de dados e de comunicações, seja em tempo real, seja por acesso ao conteúdo armazenado), como medida investigativa na apuração de crimes praticados, introduzida no § 100b na Strafprozessordnung (StPO), o Código de Processo Penal alemão, em julho de 2017, não encerrou o ciclo de exame constitucional sobre a matéria.
Em 24 de junho de 2025, o Bundesverfassungsgericht (BVerfG), Tribunal Constitucional Federal alemão, guardião da Grundgesetz (GG, a Lei Fundamental de Bonn, isto é, a Constituição alemã5 ) e cujo controle de constitucionalidade corresponde, no Brasil, ao exercido pelo Supremo Tribunal Federal, ao julgar o processo BvR 180/236 (Trojaner II, por constituir o segundo pronunciamento do tribunal sobre o Staatstrojaner, após o precedente de 2008), submeteu o uso da ferramenta investigativa a novo controle de constitucionalidade, exigindo observância a requisitos materiais e formais que condicionam a ferramenta tecnológica.
A decisão não proibiu o emprego do Staatstrojaner, mas delimitou com maior rigor as fronteiras da intervenção estatal no espaço digital do investigado, impondo ao legislador exigências de densidade normativa que o marco regulatório então vigente não satisfazia.
O ponto de partida do tribunal foi o diagnóstico de que a Online-Durchsuchung e a Quellen-Telekommunikationsüberwachung (Quellen-TKÜ), respectivamente, a busca remota que acessa a totalidade dos dados armazenados no sistema informático (§ 100b StPO) e a interceptação, na própria fonte, das telecomunicações em curso antes de sua criptografia (§ 100a, Abs. 1, S. 2 e 3, StPO), não afetam um único direito fundamental, mas podem atingir dois simultaneamente.
A vigilância de telecomunicações na fonte, operada pela instalação de software oculto diretamente no dispositivo do investigado, para fins de monitoramento eletrônico, afeta tanto o IT-Grundrecht, direito à confidencialidade e à integridade dos sistemas informáticos, construído pela própria corte desde 2008, quanto o sigilo das telecomunicações previsto no art. 10, Abs. 1, GG, considerando que o acesso direto ao dispositivo possibilita a captação de comunicações em curso.
A Online-Durchsuchung do § 100b, por alcançar todos os dados armazenados no sistema informático do investigado, sujeita-se igualmente a essa dupla incidência quando o conteúdo interceptado inclui comunicações em curso. O tribunal reafirmou que os sistemas informáticos contemporâneos, sobretudo os smartphones, funcionam como verdadeiros “centrais da personalidade”, acumulando dados de comunicação, registros pessoais, informações de localização, dados de saúde e elementos biométricos em densidade suficiente para reconstituir um retrato detalhado da personalidade do indivíduo, o que, por si só, revela a intensidade da intervenção estatal, impondo a elevação das exigências de justificação constitucional.
No plano material, o BVerfG declarou a nulidade parcial do § 100a, Abs. 1, Sätze 2 e 3, StPO, por violação ao princípio da proporcionalidade em sentido estrito11. A Quellen-TKÜ lato sensu (§ 100a, Abs. 1, S. 2, StPO), que autoriza a vigilância das telecomunicações em curso mediante acesso direto ao dispositivo, foi reputada incompatível com o art. 2º, Abs. 1, c/c art. 1º, Abs. 1, e com o art. 10, Abs. 1, GG (respectivamente, o direito geral de personalidade, do qual deriva o direito à confidencialidade e à integridade dos sistemas informáticos, além do sigilo das telecomunicações), na medida em que o catálogo de crimes autorizadores não abrangia crimes especialmente graves, mas sim infrações cuja pena máxima não excedesse três anos de privação de liberdade. Levando em conta a dupla e intensa afetação de direitos fundamentais decorrente do acesso direto ao dispositivo, que permite capturar, além do conteúdo da comunicação, sincronizações de nuvem, dados de localização, padrões de uso e registros de alta pessoalidade, o tribunal reputou que a medida somente se justifica na persecução de criminalidade de especial gravidade, com pena máxima superior a cinco anos ou de peso equivalente ao dessa faixa sancionatória (isto é, ainda que a pena máxima cominada não supere cinco anos, admite-se a medida quando o desvalor concreto do crime se equipare ao das infrações dessa faixa, afastando-se um critério puramente aritmético), em linha com o parâmetro já estabelecido para outras medidas de alta invasividade, como a escuta ambiental. A Quellen-TKÜ ampliada (§ 100a, Abs. 1, S. 314 , StPO), que autoriza o acesso a conteúdos de comunicação já armazenados no dispositivo, não foi declarada inconstitucional, mas o tribunal delimitou-lhe o alcance. É lícita apenas em relação a dados que, durante o período de vigilância, também seriam alcançáveis por uma interceptação telefônica convencional (§ 100a, Abs. 1, S. 1, StPO), de modo que o acesso retroativo a conteúdos armazenados, fora daquele intervalo temporal, ou seja, anteriores ao início da medida, seria vedado. Assim, uma conversa de aplicativo trocada e gravada no aparelho dias antes da autorização judicial, embora ainda armazenada no dispositivo, não poderia ser acessada.
No plano formal, a decisão introduziu exigência autônoma de validade que não havia sido objeto de escrutínio constitucional anterior nas matérias de investigação digital, isto é, o cumprimento do Zitiergebot, previsto no art. 19, Abs. 1, S. 2, GG. Por força desse princípio constitucional, toda lei que restringe direito fundamental deve indicar expressamente, em seu texto, qual direito está sendo limitado, com a menção do respectivo artigo da Lei Fundamental.
Assim, o § 100b StPO, ao autorizar a Online-Durchsuchung, permite ingerência tanto no IT-Grundrecht quanto no art. 10, Abs. 1, GG, mas o texto legal omitiu a referência expressa a este último direito. Consequentemente, o BVerfG tratou essa omissão como vício de inconstitucionalidade formal, sem emitir qualquer juízo sobre o mérito ou sobre a proporcionalidade da medida, pois o erro do legislador não foi autorizar uma intervenção de conteúdo abusivo, mas ter regulamentado de forma imprecisa e sem especificar expressamente quais liberdades constitucionais estariam sendo comprimidas, impedindo que os cidadãos soubessem com exatidão de que modo o Estado poderia interferir em sua esfera privada. Tal requisito (de transparência normativa) adquire relevo no ambiente digital, no qual uma única medida investigativa pode incidir sobre múltiplos direitos fundamentais de forma simultânea e difusa. Como solução pragmática, o BVerfG declarou o § 100b StPO incompatível com a Constituição, todavia, manteve sua vigência provisória até a edição de nova disciplina legislativa, gerando período de transição em que as investigações em curso não foram automaticamente interrompidas.
No plano metodológico, a decisão de 2025 consolida, na jurisprudência do BVerfG, o chamado duplo controle constitucional das normas permissivas de investigação oculta digital. De um lado, o controle material, centrado na proporcionalidade em sentido lato (adequação, necessidade e proporcionalidade em sentido estrito), que examina se a intensidade da medida e o catálogo de crimes autorizadores guardam relação de equilíbrio com a magnitude da intervenção em direitos fundamentais. De outro, o controle formal, fundado no Zitiergebot, que escrutina se o texto legal nomeia explicitamente cada direito fundamental afetado, impondo ao legislador um dever de clareza e transparência como condição autônoma de validade.
Esses dois níveis de controle são independentes entre si e a ausência de qualquer um deles invalida a norma, mesmo que o outro esteja plenamente satisfeito. Trata-se de evolução significativa em relação ao marco anterior de 2008, que havia criado o IT-Grundrecht como direito à confidencialidade e integridade dos sistemas informáticos, mas que não havia articulado de forma tão nítida essa camada formal de exigência democrática de transparência legislativa.
A decisão também reforçou as obrigações decorrentes da proteção do núcleo essencial da vida privada, regulada no § 100d StPO, estabelecendo que ela deve ser observada em dois momentos sequenciais. No primeiro, durante a coleta de dados, os órgãos responsáveis pela implementação do Staatstrojaner devem adotar filtros tecnológicos destinados a impedir, na medida do possível, a extração de informações pertencentes à esfera central da vida privada do investigado. No segundo, durante a análise e o processamento dos dados obtidos, os elementos eventualmente capturados que pertençam àquela esfera devem ser destruídos imediatamente ou submetidos ao tribunal competente para deliberação sobre sua usabilidade, nos termos já previstos no § 100d, Abs. 3, StPO. O BVerfG ressalvou, contudo, que em vigilâncias automatizadas em tempo real a interrupção imediata da operação ao se detectar conteúdo de núcleo pode ser tecnicamente inviável, de forma que o dever de destruição imediata a posteriori substitui, nessas hipóteses, o dever de interrupção da medida.
Um aspecto que o BVerfG deixou em aberto, mas sobre o qual emitiu advertência ao legislador, é a dependência estrutural do Staatstrojaner em relação a vulnerabilidades de software não corrigidas, as denominadas zero-day exploits (falhas de segurança ainda desconhecidas do próprio fabricante e, por isso, sem correção disponível). Para que o programa malicioso de monitoramento eletrônico seja instalado secretamente no dispositivo do investigado, é necessário explorar falhas existentes em sistemas operacionais ou aplicativos, falhas essas que, por definição, não ficam disponíveis apenas para os órgãos investigativos, mas também para atacantes hackers de qualquer natureza. O tribunal não reconheceu nessa dependência uma violação do dever de proteção do Estado em relação à segurança digital da população em geral, mas impôs expressamente ao legislador a obrigação de desenvolver um regime de gestão dessas vulnerabilidades, a fim de que o instrumento de investigação não se converta em vetor de risco para a infraestrutura digital de toda a sociedade, através de comunicação da falha ao fabricante para sua correção, depois de alcançada a finalidade investigativa, evitando que a mesma brecha permaneça explorável por criminosos contra, por exemplo, hospitais, instituições financeiras ou serviços públicos essenciais.
O Trojaner II não reverte o modelo alemão de persecução penal digital construído entre 2008 e 2017, e sim o refina em três dimensões. Restringe o catálogo material de crimes autorizadores da Quellen-TKÜ a infrações de especial gravidade; estabelece o Zitiergebot como requisito formal autônomo de validade das normas de investigação digital, cobrando do legislador dever de transparência constitucional explícita quanto a cada direito fundamental afetado; e especifica o regime bifásico de proteção do núcleo essencial da vida privada, ajustando-o às características próprias das técnicas da vigilância automatizada.
O precedente tem significado para além do sistema alemão, na medida em que evidencia uma tensão estrutural presente em qualquer ordenamento que pretenda incorporar o policeware como meio de obtenção de prova. A multifuncionalidade das tecnologias investigativas digitais reclama normas de maior densidade do que as habitualmente suficientes para medidas tradicionais de investigação, porque uma única intervenção pode atravessar, simultaneamente, múltiplos âmbitos de proteção constitucional de direitos fundamentais, e o legislador que não os nomeia com precisão produz, mesmo sem intenção, um poder opaco incompatível com o Estado Democrático de Direito.
No Brasil, esse desafio está posto. Tramita no Senado Federal o Projeto de Lei nº 402/2024, que disciplina a utilização de ferramentas de monitoramento remoto de terminais de comunicações pessoais por órgãos e agentes públicos, civis e militares, enquanto o Supremo Tribunal Federal examina a Arguição de Descumprimento de Preceito Fundamental (ADPF) 1143/DF, proposta pela Procuradoria-Geral da República, na qual se discute a ausência de regulamentação do uso desses programas, requerendo à corte a fixação de balizas para uso imediato pelos órgãos de investigação, ação em cuja audiência pública o autor deste artigo expôs, como representante da Associação Nacional dos Membros do Ministério Público (CONAMP), alguns dos parâmetros aqui examinados.
Veja o artigo em PDF e leia as notas e referências bibliográficas do promotor Sauvei lai.