Por Cleber Lourenço
A suspeita de uso irregular de CPFs dentro do sistema federal de inteligência Córtex levou o Ministério da Justiça a acionar a Polícia Federal após a detecção de um comportamento fora do padrão na ferramenta. O alerta foi emitido pela equipe técnica do Ministério, que identificou um volume anormal de consultas feitas por meio de uma credencial vinculada ao governo do Rio de Janeiro.
O caso abriu uma discussão nacional sobre o uso da plataforma, que integra bases de dados de segurança pública em todo o país. O ponto central da controvérsia é o desvio de padrão identificado pelo sistema, que aciona automaticamente protocolos internos sempre que algo parece destoar da operação habitual. Esse mecanismo permitiu que o ministério detectasse o problema e encaminhasse a situação para investigação.
O secretário de Segurança Pública do Ministério da Justiça, Mário Sarrubo, explicou ao ICL Notícias como funciona a governança do Córtex, detalhou o fluxo de comunicação interna e esclareceu por que a apuração recai sobre indivíduos e não sobre instituições. Ele também confirmou que outros casos já foram analisados no passado e que alguns deles, inicialmente suspeitos, se revelaram grandes operações policiais legítimas.
Antes mesmo de detalhar o caso específico, Sarrubbo enfatizou um ponto que considera central: o Córtex não é uma ferramenta espiã. Segundo ele, o sistema não acessa câmeras, não invade outros bancos de dados e não opera como mecanismo de vigilância oculta. Trata-se, afirma, de uma plataforma que compila informações de bases já existentes, organizando dados para uso de agentes de segurança pública. Essa explicação tem sido defendida reiteradamente por ele desde o início da repercussão.
Sarrubo afirmou ainda que o Ministério trabalha na modernização da plataforma, com a criação do chamado Córtex 2.0, previsto para ser entregue no próximo ano. A nova versão deve trazer mais segurança, trilhas de auditoria reforçadas e melhorias na interface da ferramenta.
ICL Notícias – O que motivou o Ministério da Justiça a encaminhar o caso para investigação da Polícia Federal?
Mário Sarrubo – É importante destacar que o Córtex é uma ferramenta que compila dados das mais variadas fontes abertas e organiza esses dados, transformando, portanto, numa ferramenta de segurança pública, hoje fundamental para todas as agências de todos os estados do Brasil e também da União Federal. Desde que nós assumimos o Ministério da Justiça e Segurança Pública, nós temos tomado providências para que haja uma governança no sentido de se transformar esta ferramenta numa ferramenta absolutamente segura, transparente e auditável. E dentro dessas auditorias, que são feitas por um comitê estratégico montado aqui dentro do ministério especificamente para este fim, nós identificamos em muitas vezes acessos chamados de acessos suspeitos. Muitas vezes esses acessos suspeitos. Isso não se confirma. É uma operação específica que, portanto, busca uma série de dados. Aí que sai um pouco daquele padrão que nós estamos acostumados. E uma dessas foi essa que você acabou de me indagar, que envolveu determinadas consultas de CPF por parte lá do estado do Rio de Janeiro.
ICL Notícias – Quando foi que vocês perceberam esse uso irregular no Rio de Janeiro?
Sarrubbo – Olha, eu não tenho essa memória de datas e tudo mais, porque, evidentemente, isso me é comunicado. Aliás, a comunicação ela vem, inclusive, é quase que automática essa providência. Quando há uma irregularidade, quando se suspeita dessa irregularidade, imediatamente nós acionamos o órgão devido para a investigação acerca de eventual uso indevido da ferramenta. Então foi esse mecanismo que funcionou de forma absolutamente regular. Eu fui comunicado, confesso. Não me lembro bem a data nem quando fui comunicado e disse não há o que se fazer. Vamos comunicar à Polícia Federal. Entramos em contato lá com o Rio de Janeiro, não é? E as investigações correm no âmbito da Polícia Federal. Eu não tenho, confesso, nenhuma notícia de como andam as investigações e nem mesmo se foi uma irregularidade. Por enquanto, esperemos os resultados da investigação para se constatar se houve mesmo alguma irregularidade. E se houve quem é efetivamente o responsável. Eu acho importantíssimo que se registre que não há aqui nenhuma suspeita sobre qualquer entidade. A Polícia Militar ou quem quer que seja do Rio de Janeiro, na medida em que nós não sabemos ainda efetivamente o que aconteceu. É mais do que isso. Tudo indica que isso pode ter sido feito por uma pessoa, uma ou duas pessoas, enfim, o que não deslustra evidentemente qualquer instituição e muito menos aquela a que, em tese, aí seria a dona da senha que teria acesso à ferramenta.
ICL Notícias – Então vocês não detectaram um uso generalizado indevido, mas sim um grupo pequeno de acessos?
Sarrubbo – Houve, na verdade, nós detectamos acessos suspeitos, em princípio, que nos pareceram indevidos. E sempre que isso acontece, por se tratar de uma ferramenta de segurança pública, nós tomamos imediatamente as providências. Essa é uma medida de política de governança que nós resolvemos formatar aqui desde que nós assumimos no início de março de 2024. Nós entendemos que a ferramenta é muito importante para o sistema de segurança pública do país. Portanto, ela precisa haver um modelo de gestão muito transparente, muito sério. E sempre que há uma suspeita, há essa suspeita. Nós tomamos as providências cabíveis para averiguar o que aconteceu. Houve sim, acessos indevidos e vários CPFs. E agora estamos investigando. O que eu gosto sempre de pontuar é que nós precisamos entender quais foram essas circunstâncias e, portanto, não é a entidade, a Polícia Militar ou o Rio de Janeiro que está sendo investigado. Estão sendo investigados aqueles que acessaram, na nossa visão, em princípio de forma inadequada, a ferramenta.
ICL Notícias – A Folha fala em 70 milhões de CPFs. Cada CPF é uma consulta diferente?
Sarrubbo – O CPF pode ser usado para ser consultado. Não significa necessariamente uma consulta. O que houve foi uma consulta excessiva, um número excessivo de CPFs. Foi isso que gerou a suspeita. E é isso que está sendo investigado em função do tamanho dessa consulta e, em especial, pelo número de CPFs que foram utilizados. Então isso chamou a atenção e desviou do padrão que estamos acostumados. É importante destacar. Muitas vezes acontece uma consulta muito acima do padrão e quando a gente checa, é uma operação específica. Recentemente aconteceu: uma determinada agência fez uma consulta. Nós constatamos. Nós estamos fazendo mesmo por conta de uma operação que vamos deflagrar aqui no nosso estado, etc e tal. Então, ok. Normal, né? Então é sempre um sistema de governança que procura dar transparência e segurança para a ferramenta.
ICL Notícias – Vocês identificaram algum perfil dos CPFs consultados?
Sarrubbo – Não. Como houve o desvio do padrão natural, nós não nos aprofundamos nisso. Acho que esse tem que ser um papel da Polícia Federal para saber quem foi investigado, quem investigou, qual a razão e etc e tal. Lembrando, quando a gente fala em investigação, parece que nós estamos diante de uma ferramenta que investiga, uma ferramenta espiã, e não é verdade. A ferramenta, eu insisto, ela não dá acesso a câmeras, ela não dá acesso e não é uma ferramenta espiã. Ela é uma ferramenta que agrega vários bancos de dados, como em sossego, etc e tal, e facilita com que esses dados se cheguem ao agente de segurança pública.
ICL Notícias – Houve listas específicas ou agrupamentos de CPFs?
Sarrubbo – E veja, qualquer conclusão que se tire agora soaria como uma mera especulação. É um achismo. E eu acho que eu não tenho direito de achar nada. Eu acho que nós temos que investigar o que aconteceu, até porque o resultado não foi um erro, foi… não é algo que pode acontecer em sistemas. Essa semana eu recebi um e-mail aqui dizendo que eu não estava mais matriculado no sistema do governo federal. Eu falei: “Uai, será que eu fui demitido, né?” E era um erro do sistema, não é? Eu falei: “Não me avisaram, né?” Então, essas coisas podem acontecer. De toda maneira, insisto, por ser uma ferramenta sensível, uma ferramenta que dá acesso a bancos de dados, a gente precisa ter muita cautela. Foi sempre dessa maneira que a gente agiu. Essa não é a primeira vez que a gente agiu dessa forma e nós continuaremos agindo. Aliás, estamos até modernizando a ferramenta para que ela se adeque às novas necessidades, fique mais à consulta, possa ser mais amigável e para que a gente possa ter ainda mais segurança na governança dessa ferramenta.
ICL Notícias – Já houve comunicação à ANPD?
Sarrubbo – Olha, isso é regra. E a resposta é sim, sempre. Nós sempre tomamos essas providências. Isso é uma regra, né? Isso é um regramento obrigatório. Sempre que há algum indício de violação de sistema ou de uso indevido, isso é feito e nós estamos cumprindo com esse padrão. Sempre.
ICL Notícias – A comunicação já foi feita? Ou aguardam a PF?
Sarrubbo – Não, não vamos esperar a apuração, não. Eu quero crer que já, se isso já tenha sido comunicado e sempre passa aqui pela nossa Secretaria de Direitos Digitais na sequência para a ANPD.
ICL Notícias – Há outros episódios em outros estados?
Sarrubbo – Já tivemos falsos positivos e já tivemos algumas suspeitas que mandamos para investigação. E isso acontece a corriqueiro. A ferramenta estava de fato precisando de uma modernização. E é isso que estamos fazendo aqui. Entre o final deste ano e o início do ano que vem, nós teremos uma ferramenta nova, mais moderna, mais segura, mais intuitiva, mais amigável, dentro de um processo de modernização que é sempre feito nesse tipo de sistema por um determinado período. Nós estamos aqui neste momento e é neste momento que nós entendemos. Era necessário a modernização, mas isso já aconteceu de enviarmos para a Polícia Federal. Já aconteceu de detectarmos aqui numa apuração preliminar que foi algo, como eu disse há pouco, absolutamente natural. Se consultou a agência: “Nós estamos preparando uma operação de grande porte, por isso elevou o número de consultas.” Pois não? Então tá ótimo. De fato, a operação aconteceu e é assim que funciona.
ICL Notícias – Já houve confirmação de acesso indevido?
Sarrubbo – Confirmação do acesso indevido. Ela acontecerá com a apuração da Polícia Federal e com a responsabilização penal. Então seria, insisto, especulação da minha parte. Quando a gente detecta, insisto, algo fora do padrão, nós tomamos as providências. Uma apuração preliminar aqui, rápida, muito superficial, e tomamos as devidas providências. Insisto por ser.
ICL Notícias – Mas digo mais, secretário, fora do episódio do Rio de Janeiro?
Sarrubbo – Não tenho informação. Está sendo apurado pela Polícia Federal alguns casos que nós já mandamos. Poucos, mas está sendo apurado.
ICL Notícias – Então hoje os casos de suspeita estão em apuração com a PF?
Sarrubbo – Poucos, eu não saberia dizer o número. Quero crer. Muito poucos. Um, dois, três, algo assim. Mas sempre enviados pela Polícia Federal.
ICL Notícias – Nas comunicações feitas em junho ao diretor-geral Andrei, vocês chegaram a apontar alguma hipótese?
Sarrubbo – Meu caro, não fui nem eu. Isso ocorre automaticamente, até porque tem vários policiais federais que trabalham aqui. Então é um link quase que direto, automatizado. É o pessoal da Diop que está na gestão da ferramenta. Então há uma comunicação ou um ofício básico de suspeita de acesso indevido. Solicitamos a apuração, mas não há nenhuma conversa específica, nenhuma suspeita específica. Até porque aqui no Ministério nós não somos uma agência de investigação. Então nós não investigamos. A gente faz uma apuração preliminar para entender se foi algo normal ou uma irregularidade. E, em havendo indícios de irregularidade, o nosso papel é enviar sem qualquer juízo de valor. Esse não é o nosso papel.
ICL Notícias – Alguns parlamentares defendem mais accountability, relatórios periódicos por órgão ou tipo de consulta. Isso foi discutido?
Sarrubbo – Não. Nós estamos, insisto, como disse, trabalhando para trazer transparência para a ferramenta. Há sempre uma aura no sentido de que é uma ferramenta de investigação e etc e tal. E como qualquer tipo de ferramenta de consulta, quando ela é mal utilizada, ela gera toda esta preocupação. Por isso nós estamos com todas as salvaguardas possíveis aqui dentro do Ministério da Justiça para que isso não ocorra. E quando ocorrer, a gente toma as providências. Agora veja: se um dia quiserem fazer algum tipo de controle de relatório, etc e tal, nenhum problema. Eu só acho que é uma ferramenta de investigação de segurança pública. E em sendo uma ferramenta de consulta para investigação de segurança pública, eu não sei mesmo se caberia qualquer tipo de contabilidade envolvendo o controle do Congresso Nacional e etc e tal. Eu acho que é muito mais um controle interno e as responsabilidades de quem está gerindo a ferramenta. Não é por isso que eu sempre digo: a responsabilidade nesse momento é minha. E, sendo minha responsabilidade, a qualquer suspeita de irregularidade eu tomo imediatamente todas as providências. Acho que esse é o caminho. Agora, se amanhã alguém aqui achar alguma irregularidade que porventura eu não tenha percebido, eu posso ser responsabilizado? Acho que sim. Mas a minha obrigação é perceber, estar de olhos abertos aqui. Pode ter passado alguma coisa? Pode. Mas o que eu posso te dizer é que nós temos uma preocupação muito grande, porque era uma ferramenta muito eficiente. E insisto: ela não tem nenhum acesso indevido. Muitas vezes as pessoas imaginam, não é, que é uma ferramenta espiã que acessa bancos de dados. Não, não. São bancos de dados que essas agências que consultam já teriam. Ela tem uma facilidade de compilar todos esses dados, então ela facilita. Ela é uma ferramenta apenas facilitadora de consulta de vários bancos de dados.
ICL Notícias – Seria então um hub de informação?
Sarrubbo – Exatamente, é isso. Então, não há nenhum grande mistério. Córtex tem uma fama. Muita gente pensa: “Olha, é alguma feira?” Não, não há mistério. É uma ferramenta de consulta. Como você tem buscadores, vamos dizer assim. Essa é um buscador de segurança pública, claro, mais sofisticado, muito eficiente pelas respostas rápidas. É o que a gente precisa: estar sempre modernizando e tomando as cautelas devidas.
ICL Notícias – Quais seriam as medidas caso a PF confirme uso indevido no Rio? O estado poderia perder o acesso?
Sarrubbo – Olha, a primeira providência é uma ação criminal, porque é um uso indevido, acesso a banco de dados. Isso é crime. Então aqueles que acessaram vão ser responsabilizados criminalmente, aqueles que negligenciaram esse acesso. Por exemplo, a pessoa que tem uma determinada senha impressa, a senha pra outra pessoa, indevidamente, criminosamente. Isso é uma cadeia de responsabilidade. Agora, a ferramenta, ela está aí para as autoridades de segurança pública, e a gente pressupõe que se alguma autoridade usou indevidamente da ferramenta, essa autoridade perde o cargo do seu estado e, portanto, não há necessidade de se acessar a ferramenta. É uma ferramenta, na verdade, da população brasileira, da população do Rio, de São Paulo, de Minas Gerais, do Paraná. E, portanto, se a autoridade usa indevidamente, que se puna a autoridade. A população não pode ser punida, não podendo mais as autoridades usarem esse processo. Não, não é disso que se trata.
ICL Notícias – O senhor mencionou melhorias no Córtex. O que está previsto para o futuro da ferramenta?
Sarrubbo – Olha, aumentando os níveis de segurança para evitar invasões, né? Porque as invasões, elas muitas vezes acontecem nos vários sistemas. Aumentar a eficiência para se tornar mais rápida, torná-la mais amigável, como a gente gosta de dizer, mais fácil de ser utilizada. É um sistema efetivamente que possa deixar muito clara a cadeia de responsabilidade daquele que acessa, né? Então é uma modernização que eu vou confessar a vocês: a gente tem as linhas mestras gerais do que a gente pede e isso está acontecendo aqui na STI. Quem tá fazendo é a STI aqui no próprio Ministério. Então é um trabalho muito sério, um investimento importante. Mas a gente espera aí no início do ano que vem, no primeiro trimestre do ano que vem, que esta ferramenta possa estar apta, funcionando bem melhor, mais segura e levando informação de segurança pública para todo o Brasil.
ICL Notícias – Caso um cidadão tenha seu CPF consultado indevidamente, ele será notificado?
Sarrubbo – Veja: se for indevido, se tiver um processo, etc e tal. Aí vai depender da autoridade judiciária que toma essa ação, do Ministério Público, etc e tal. A nossa parte é pedir a apuração de responsabilidades, ué. Então essa não seria uma ação aqui por parte do Ministério da Justiça. Eu insisto com você: a partir do momento em que a gente detecta algum desvio que saia do padrão de uso da ferramenta, nós tomamos imediatamente as providências e, a partir daí, isso fica a cargo das autoridades: Polícia Federal, Ministério Público Federal, Poder Judiciário Federal. Se alguém foi consultado indevidamente — e aí vai depender da razão dessa consulta — esse alguém pode ou não ser notificado. Tudo vai depender das circunstâncias que envolveram esse acesso indevido.
