PL 613/2021: o Senado reescreve os crimes informáticos sobre um art. 154-A que já não existe

1. O fato e o contexto normativo

Em 6 de maio de 2026, a Comissão de Ciência, Tecnologia, Inovação e Informática (CCT) do Senado aprovou o PL 613/2021, de autoria do Senador Marcos do Val, com parecer favorável do Senador Astronauta Marcos Pontes e sem emendas. O projeto reescreve o art. 154-A do Código Penal, acrescenta os arts. 154-C a 154-J e revoga o § 2º do art. 154-A e o art. 154-B. Segundo a ficha de tramitação, a matéria segue à Comissão de Constituição e Justiça (CCJ), em decisão terminativa, e aguardava designação de relator.

A arquitetura é a da Convenção de Budapeste: acesso ilegítimo (art. 154-A), interferência em dados (154-C), interferência em sistema (154-D), burla informática (154-E), falsidade informática (154-F) e uso abusivo de dispositivo ou dado (154-G). Há também definições de “sistema informático” e “dado informático” (154-I) e uma causa de aumento de um terço a dois terços para crimes contra a administração pública, concessionárias de serviço público ou com prejuízo econômico (154-H). É o desdobramento mais ambicioso do direito penal informático brasileiro desde a Lei nº 12.737/2012.

O problema é a data do projeto. Ele foi apresentado em fevereiro de 2021; a Lei nº 14.155 é de 27 de maio de 2021. A justificação descreve o crime vigente como punido com “reclusão de 3 meses a um ano”, que é a redação anterior, e o parecer de 2026 reproduz o texto sem atualizá-lo.

2. A leitura jurídica e dogmática

O art. 154-A atual já não é o que o projeto supõe. Desde a Lei nº 14.155/2021, o caput pune “invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita”, com reclusão de 1 a 4 anos e multa. O § 3º prevê reclusão de 2 a 5 anos. Comparando com o texto do projeto:

	Código Penal vigente	PL 613/2021
Caput	reclusão, 1 a 4 anos, e multa	detenção, 1 a 3 anos, e multa
§ 3º (conteúdo de comunicações, segredos, controle remoto)	reclusão, 2 a 5 anos, e multa	reclusão, 2 a 4 anos, e multa, se não constituir crime mais grave

Se o texto for sancionado como está, o efeito é o inverso do declarado na justificação: o projeto agrava o rol de condutas, mas reduz a pena do tipo central, e em espécie mais branda. Essa redução seria lex mitior, com os efeitos retroativos que a acompanham.

O tipo muda de natureza. O caput vigente exige um fim específico (obter, adulterar ou destruir dados, ou instalar vulnerabilidades para obter vantagem ilícita). O projeto pune “acessar, de qualquer forma, sem autorização legal ou do seu titular, sistema informático, com ou sem violação de mecanismo de segurança”. O fim específico permanece apenas na modalidade de instalar vulnerabilidades. Passa a haver um crime de mero acesso, o que alarga a tipicidade de modo considerável e reabre a discussão que a Lei nº 12.737/2012 havia circunscrito.

A cláusula de subsidiariedade desloca o § 3º. O novo art. 154-C pune “obter” dados ou informações de sistema informático sem autorização, com reclusão de 2 a 5 anos, sem cláusula de subsidiariedade. O § 3º do art. 154-A, com teto de 4 anos, só se aplica “se a conduta não constitui crime mais grave”. Na minha leitura, a hipótese de obtenção de comunicações privadas ou segredos pelo acesso passaria a ser absorvida pelo art. 154-C, e o § 3º perderia função prática. Cabe à CCJ esclarecer o ponto.

Budapeste admite o tipo mais estreito. O art. 2º da Convenção permite que as Partes exijam, para o acesso ilegítimo, a violação de medidas de segurança, a intenção de obter dados ou outra intenção desonesta, ou a conexão a outro sistema. O projeto adota a versão mais ampla de modo expresso (“com ou sem violação de mecanismo de segurança”). A justificação invoca a Convenção como se ela impusesse isso, e a Convenção, no ponto, deixa margem.

O mesmo vale para os instrumentos. O art. 6º de Budapeste, que inspira o art. 154-G do projeto, só alcança quem age “com a intenção de usá-los” para os crimes dos arts. 2º a 5º, e seu item 2 afasta expressamente a responsabilidade quando a conduta “não se destine à prática” desses crimes, citando como exemplos “a realização de testes autorizados ou a proteção de um sistema de computador”. O art. 154-G tem o dolo específico (“para a prática de quaisquer dos crimes previstos nos arts. 154-C a 154-F”), mas não traz a ressalva, e remete a um rol diferente: o art. 6º de Budapeste alcança o acesso ilegítimo (art. 2º da Convenção), ao passo que o 154-G não inclui o art. 154-A. A ressalva da Convenção para testes autorizados e proteção de sistemas não aparece em nenhum dispositivo do projeto. Também está desatualizada a afirmação de que o tratado “se encontra neste Parlamento”: o Decreto nº 11.491/2023 já o promulgou.

3. Implicações práticas para a persecução penal

• Tipos de dano passam a ter autonomia. Hoje, derrubar um serviço sem “invasão” no sentido do art. 154-A só encontra tipo próprio quando se trata de serviço telemático ou de informação de utilidade pública (art. 266, § 1º, do Código Penal). Fora daí, a subsunção é difícil. O art. 154-D (interferência em sistema) dá resposta direta, para qualquer sistema, à indisponibilidade provocada por ataques de negação de serviço e por ransomware, hipóteses em que o ponto de partida do inquérito costuma ser o dano, não o acesso.
• A prova do “mero acesso” é mais simples. Sem o fim específico, desaparece a necessidade de demonstrar a finalidade do invasor. A contrapartida é o risco de criminalizar pesquisa de segurança de boa-fé, testes de intrusão sem contrato formal e a divulgação responsável de vulnerabilidades, que o texto não ressalva, embora o art. 6º, item 2, de Budapeste ressalve os testes autorizados e a proteção de sistemas.
• O ônus de distinguir passa para a autoridade. Com tipos novos que se sobrepõem (154-A, 154-C, 154-D e 154-E), a capitulação provisória no auto de prisão em flagrante e no relatório final exige mais cuidado, porque a subsidiariedade expressa em alguns tipos e ausente em outros muda qual deles prevalece.
• Representação continua a regra. O art. 154-J mantém a necessidade de representação, salvo contra a administração pública e concessionárias, como o art. 154-B hoje.

4. Questões em aberto e perspectivas

A matéria é terminativa na CCJ, de modo que, se aprovada ali sem emendas, segue à Câmara dos Deputados sem passar pelo Plenário do Senado, salvo recurso. A janela para corrigir o texto é, portanto, a CCJ, e as correções necessárias são pontuais:

1. Alinhar as penas à Lei nº 14.155/2021, para que a reforma não rebaixe o piso de proteção já fixado pelo Congresso.
2. Reconsiderar a supressão do fim específico no caput, ou ao menos prever cláusula que exclua pesquisa de segurança de boa-fé, como o art. 2º de Budapeste autoriza, e reproduzir no art. 154-G a ressalva do art. 6º, item 2, para testes autorizados e proteção de sistemas.
3. Rever a relação entre o § 3º do art. 154-A e o art. 154-C, para que o escalonamento de penas seja coerente.
4. Corrigir a justificação e o texto de referência, que ainda tratam a Convenção como pendente no Parlamento.

O ponto de política criminal de fundo é que um bom projeto de atualização, alinhado a um tratado que o Brasil já incorporou, pode produzir efeito contrário ao pretendido por ter sido redigido sobre texto superado. Cinco anos de tramitação separaram a redação da realidade normativa, e o parecer não os recuperou. A reforma dos crimes informáticos merece ser feita, mas sobre o Código Penal que existe hoje.