Como a Computer Fraud and Abuse Act define o acesso ilegal a computadores

O que é a Computer Fraud and Abuse Act?

Promotores federais e autores de ações civis nos Estados Unidos se apoiam na Computer Fraud and Abuse Act, uma lei de 1986 codificada em 18 U.S.C. § 1030, para processar quem acessa um computador sem permissão ou além da permissão que recebeu. A disposição central da lei, § 1030(a)(2), impõe responsabilidade a uma pessoa que "intentionally accesses a computer without authorization or exceeds authorized access" e com isso obtém informações de um computador usado no comércio interestadual, uma categoria que abrange quase qualquer computador conectado à internet. A CFAA sustenta tanto acusações criminais movidas pelo Department of Justice quanto ações civis movidas por uma empresa cujos computadores foram acessados, o que explica por que ela aparece constantemente em disputas sobre scraping, ex-funcionários e uso indevido de contas.

Esta página explica o que a lei diz e como duas decisões judiciais moldaram seu significado. Ela não é aconselhamento jurídico, e uma empresa que está avaliando um projeto de scraping ou uma disputa de acesso precisa do próprio advogado para aplicar essas decisões aos seus fatos.

O que a CFAA realmente proíbe?

A CFAA proíbe sete categorias de conduta contra um "computador protegido", e as duas que mais aparecem fora de casos de segurança nacional são acessar um computador "without authorization" e acessar um computador com permissão para depois obter informações que a pessoa não tem direito de obter, o que a lei chama de exceder o acesso autorizado. A seção 1030(e)(6) define "exceeds authorized access" como acessar "a computer with authorization and to use such access to obtain or alter information in the computer that the accesser is not entitled so to obtain or alter." (um computador com autorização e usar esse acesso para obter ou alterar informações no computador que a pessoa não está autorizada a obter ou alterar dessa forma). A lei atribui penas criminais e, por meio do § 1030(g), um direito de ação civil a essa conduta quando ela causa um dano ou prejuízo que atenda aos requisitos.

O mecanismo que torna a CFAA tão contestada é o que ela deixa sem definir. O Congresso escreveu uma definição precisa para "exceeds authorized access", mas nunca definiu "without authorization", deixando que os tribunais decidam onde termina a permissão de uma pessoa para estar em um sistema de computador.

O que significa "without authorization" segundo a CFAA?

A expressão "without authorization" não é definida em nenhum lugar de 18 U.S.C. § 1030, e essa lacuna é a razão pela qual a CFAA produziu decisões conflitantes nos tribunais federais de apelação por duas décadas. Alguns tribunais leem a expressão de forma restrita, no sentido de burlar uma barreira técnica como uma senha ou uma tela de login, enquanto outros a leem de forma mais ampla, incluindo violar os termos de serviço de um site depois de ser avisado para parar. Uma empresa que quer que um visitante seja tratado como não autorizado precisa apontar algo concreto, como credenciais revogadas ou uma carta de cessar e desistir, em vez de contar apenas com o texto da própria lei para traçar a linha.

O que Van Buren v. United States decidiu?

A Supreme Court decidiu Van Buren v. United States em 3 de junho de 2021, entendendo que uma pessoa "exceeds authorized access" segundo a CFAA apenas quando acessa um computador com permissão e depois alcança um arquivo, uma pasta ou um banco de dados vedado a ela, não quando usa mal informações que de outra forma tinha permissão para alcançar. O caso envolvia um sargento da polícia da Geórgia, Nathan Van Buren, que usou suas próprias credenciais válidas do carro de patrulha para pesquisar um banco de dados de placas de veículos em troca de dinheiro, um uso que a política do seu departamento proibia. Escrevendo pela maioria de seis a três, a Justice Barrett rejeitou o argumento do governo de que violar uma política de uso de computador estando por outro lado autorizado conta como exceder o acesso, chamando isso de uma questão "gates-up-or-down" (de portão levantado ou abaixado): ou uma pessoa pode acessar determinado arquivo ou sistema, ou não pode, e a CFAA não fiscaliza o que ela faz depois de ser deixada entrar.

Essa leitura importa além de um único banco de dados policial, porque o argumento rejeitado do governo teria transformado em crime federal qualquer funcionário que checasse o e-mail pessoal ou lesse notícias em um computador de trabalho violando a política da empresa, um resultado que a maioria chamou de uma "breathtaking amount" (uma quantidade impressionante) de uso corriqueiro de computador recém-criminalizado. A decisão do Eleventh Circuit contra Van Buren foi revertida e devolvida para nova análise.

O que hiQ v. LinkedIn decidiu sobre scraping de dados públicos?

O Ninth Circuit decidiu, primeiro em 2019 e de novo após a devolução em 2022, que a hiQ Labs tinha levantado uma questão jurídica séria sobre se fazer scraping de dados que membros do LinkedIn já haviam tornado publicamente visíveis, sem exigir conta ou senha, fica fora da cláusula "without authorization" da CFAA. A HiQ, uma empresa de análise de dados, usava bots automatizados para coletar informações de perfis públicos do LinkedIn; depois que o LinkedIn enviou uma carta de cessar e desistir e bloqueou o acesso da hiQ, a hiQ entrou com uma ação por uma liminar em vez de esperar para ser processada. A decisão original do Ninth Circuit, protocolada em 9 de setembro de 2019, confirmou uma liminar que impedia o LinkedIn de bloquear a hiQ, com o entendimento de que a linguagem "without authorization" da CFAA limita sua abrangência, da forma mais natural, "to computer information for which authorization or access permission, such as password authentication, is generally required." (a informações de computador para as quais geralmente é exigida autorização ou permissão de acesso, como autenticação por senha).

A Supreme Court depois anulou essa decisão e devolveu o caso para nova análise à luz de Van Buren. Na devolução, o Ninth Circuit reafirmou a liminar em 18 de abril de 2022, concluindo que Van Buren reforçava seu raciocínio anterior: a CFAA proíbe acessar um "computador protegido" sem autorização, e a hiQ ainda tinha levantado uma questão séria sobre se fazer scraping de páginas de perfil públicas, que não exigiam senha para serem vistas, podia sequer ser "without authorization". As duas decisões vieram na fase de liminar, então o tribunal estava avaliando se era provável que a hiQ vencesse, não emitindo um julgamento final de que todo scraping de dados públicos é legal; uma página que exige login, ou uma empresa que revogou o acesso de um usuário específico, está em terreno jurídico diferente.

A CFAA se aplica a uma ferramenta de social listening ou monitoramento?

Uma ferramenta que lê publicações e comentários que uma plataforma já mostra ao público, da mesma forma que is web scraping legal explica para scraping em geral, fica nessa linha mais perto do lado hiQ do que do lado Van Buren, porque nenhum login é contornado e nenhuma concessão de acesso específica é usada de forma indevida. O mecanismo que realmente controla a situação jurídica de uma ferramenta de monitoramento são os próprios termos de serviço da plataforma e qualquer regra de robots.txt, que operam independentemente da CFAA e podem restringir condutas que a própria CFAA não alcança. Uma equipe que usa uma API pública, da forma que a comparação com a Reddit API da RedReplier explica para dados do Reddit, evita completamente a questão da autorização, já que a plataforma concede o acesso segundo seus próprios termos declarados, em vez de esse acesso ser inferido do que um crawler como o CCBot consegue tecnicamente alcançar.

Perguntas frequentes

A Computer Fraud and Abuse Act é uma lei criminal ou uma lei civil?

As duas coisas. O Department of Justice pode mover acusações criminais com base em 18 U.S.C. § 1030, e uma empresa que sofre um dano ou prejuízo que atenda aos requisitos também pode processar civilmente com base no § 1030(g). Van Buren foi uma ação criminal, enquanto hiQ v. LinkedIn foi uma disputa civil sobre uma liminar.

A Supreme Court decidiu que fazer scraping de dados públicos é sempre legal?

Não. A própria decisão da Supreme Court em 2021 foi Van Buren v. United States, que tratou de "exceeds authorized access", não de scraping. A questão do scraping foi decidida pelo Ninth Circuit em hiQ v. LinkedIn, na fase de liminar, que encontrou uma questão séria a favor da hiQ, e não uma regra final cobrindo toda disputa de scraping.

Qual é a diferença entre "without authorization" e "exceeds authorized access"?

"Exceeds authorized access" é definido no § 1030(e)(6) e cobre alguém que tem algum acesso, mas alcança arquivos ou dados além do que tem direito de obter. "Without authorization" não é definido na lei e cobre alguém sem nenhum acesso, a questão que Van Buren deixou para casos futuros e que a hiQ tratou para dados públicos.

Fazer login e depois violar os termos de serviço de um site infringe a CFAA?

A decisão de Van Buren diz que exceder o acesso autorizado exige alcançar um arquivo, uma pasta ou um banco de dados vedado, não apenas violar uma política de uso enquanto se está por outro lado autorizado a entrar. Esse raciocínio pesa contra tratar uma simples violação dos termos de serviço como uma violação da CFAA, embora um tribunal ainda possa considerar o acesso não autorizado com base em outros fatos, como um login que o dono do site revogou.

hiQ v. LinkedIn significa que qualquer empresa pode fazer scraping de qualquer perfil público do LinkedIn?

Não. A hiQ tratava de dados que o LinkedIn tinha tornado visíveis sem exigir conta, e as duas decisões do Ninth Circuit foram preliminares, encontrando uma questão jurídica séria em vez de emitir um julgamento final para todo scraper. Os termos de serviço de uma plataforma, reivindicações de direitos autorais e reivindicações de lei estadual ainda podem restringir scraping mesmo onde a CFAA não alcança.

Onde posso ler as decisões judiciais reais em vez de um resumo?

Van Buren v. United States está publicada como slip opinion da Supreme Court em 593 U.S. ___ (2021), e hiQ Labs, Inc. v. LinkedIn Corp. está publicada em 938 F.3d 985 (9th Cir. 2019) e, na devolução, em 31 F.4th 1180 (9th Cir. 2022). As duas estão disponíveis nos próprios sites dos tribunais e em bancos de dados jurídicos gratuitos como Justia e CourtListener.

O que é um "protected computer" segundo a CFAA?

A seção 1030(e)(2) define um protected computer como aquele usado no comércio ou na comunicação interestadual ou estrangeira, ou que os afeta, uma categoria que abrange quase qualquer computador conectado à internet. As duas frentes centrais da CFAA, o acesso sem autorização e o excesso de acesso autorizado, só se aplicam a um protected computer.

Violar regras do robots.txt pode configurar violação da CFAA?

Não sozinho. O robots.txt opera de forma independente da CFAA, junto com os termos de serviço de uma plataforma, e pode restringir condutas que a própria CFAA não alcança. Violar o robots.txt é uma questão distinta de saber se o acesso foi "without authorization" ou excedeu o acesso autorizado.

O que é o teste "gates-up-or-down" de Van Buren?

A juíza Barrett descreveu o excesso de acesso autorizado em Van Buren como uma questão "gates-up-or-down": ou a pessoa pode acessar determinado arquivo ou sistema, ou não pode. A Suprema Corte usou esse enquadramento para rejeitar o argumento do governo de que usar indevidamente informações às quais a pessoa tem acesso permitido, como violar uma política de uso, conta como exceder o acesso.

Por que a Suprema Corte devolveu hiQ v. LinkedIn ao Ninth Circuit?

A Suprema Corte anulou o julgamento original de 2019 do Ninth Circuit em hiQ v. LinkedIn e devolveu o caso para nova análise à luz de sua própria decisão em Van Buren. Na nova análise, o Ninth Circuit reafirmou a liminar em 18 de abril de 2022, concluindo que Van Buren reforçou, em vez de enfraquecer, seu raciocínio anterior.