A Lei nº 15.487, de 6 de agosto de 2026, introduziu no Estatuto da Criança e do Adolescente (ECA) uma disciplina expressa para a chamada ronda virtual. O novo artigo 190-F declara lícita a utilização, por órgãos de persecução penal, de software “estritamente destinado” à identificação e à coleta de arquivos disponibilizados em ambientes digitais públicos e relacionados a crimes de violência sexual contra criança ou adolescente.
A alteração é relevante porque a ronda virtual não nasceu com a lei. A técnica já vinha sendo empregada em investigações e, nos últimos anos, foi progressivamente validada pelo Superior Tribunal de Justiça. O que a lei faz é retirar a ronda de uma zona de atipicidade legislativa e transformá-la em técnica de investigação expressamente positivada.
O ponto, porém, não se encerra aí, pois a positivação resolve uma pergunta (existe base legal para a técnica?), mas abre outra, talvez mais difícil: o que exatamente a lei autorizou quando passou a falar em “ronda virtual”?
Da ausência de disciplina à construção jurisprudencial
Quando tratei da vigilância policial em meio digital em pesquisa concluída em 2021 [1], uma das dificuldades centrais estava justamente na utilização de técnicas investigativas sem disciplina legal própria. O problema nunca foi afirmar que toda prova atípica seria, por definição, ilícita. A questão é diferente quando o Estado emprega um meio de obtenção de prova capaz de interferir em direitos fundamentais. Nessa hipótese, a ausência de regulamentação não pode ser confundida com autorização irrestrita.
A ronda virtual tornou esse problema bastante concreto nos casos que chegaram ao STJ, em que a polícia utilizava softwares voltados ao rastreamento de arquivos compartilhados em redes peer-to-peer (P2P), especialmente a partir de hashes previamente associados a material ilícito, sendo a controvérsia saber se essa atividade exigia autorização judicial ou se configurava, por exemplo, infiltração policial em meio virtual.
No RHC 176.286/SP, julgado em 2023, a 5ª Turma entendeu que a atuação se dava em fonte aberta e que o monitoramento recaía inicialmente sobre arquivos, não sobre pessoas determinadas, entendimento que o AgRg no REsp 2.060.047/SP manteve na mesma direção em 2024.
SpaccaA formulação mais clara veio no RHC 199.047/MS, julgado pela 6ª Turma em outubro de 2025. O STJ qualificou a rede P2P como “ambiente virtualmente público”, no qual os usuários compartilham arquivos e expõem seus endereços IP aos demais participantes. A corte ressaltou, ainda, que se tratava de “ronda contínua de arquivos que não se direciona a pessoas determinadas”.
Esse breve histórico é relevante para a nossa análise. Como se depreende dos julgados acima, a jurisprudência não reconheceu uma autorização genérica para monitorar a internet. Ela validou uma técnica concreta, em uma arquitetura concreta, marcada por rede aberta, ausência de mecanismo especial de ingresso, acesso a informações expostas aos demais participantes e impessoalidade na etapa inicial, e foi exatamente essa construção, não uma autorização genérica, que chegou ao legislador.
O que a Lei nº 15.487/2025 positivou e o que ampliou
O artigo 190-F incorpora boa parte da estrutura desenvolvida pelo STJ. O § 4º afirma expressamente que a ronda não configura interceptação de comunicações nem infiltração policial e dispensa autorização judicial prévia. O caput fala em identificação e coleta de arquivos por software específico. Até aqui, a aproximação com os precedentes é evidente.
A diferença mais relevante aparece no § 1º. Os casos julgados pelo STJ tratavam de redes P2P. A lei, porém, definiu “ambientes digitais públicos” de forma muito mais ampla. Passou a abranger redes P2P, fóruns, sites, canais, redes sociais e outros ambientes cibernéticos correlatos, desde que qualquer pessoa possa visualizar o conteúdo, com ou sem cadastro, sem autorização individual ou permissão prévia, e é justamente aqui, a meu ver, que a discussão muda de nível, expandindo-se para além dos limites antes discutidos.
Isso porque o P2P explica a jurisprudência, mas não necessariamente explica, sem mediações, todas as situações agora abrangidas pela lei. A arquitetura de uma rede P2P é diferente da de uma rede social, de um fórum ou de um canal público. Em um caso, o software pode atuar como mais um participante da rede e identificar arquivos disponibilizados diretamente aos demais pares. Em outro, pode existir coleta automatizada em larga escala, correlação de perfis, armazenamento histórico e tratamento de metadados.
A lei utiliza um critério de acessibilidade para definir o ambiente público. Isso é importante, mas não responde a todas as perguntas. Uma coisa é visualizar aquilo que qualquer usuário consegue visualizar. Outra diferente é coletar, conservar, correlacionar e processar esse conteúdo em escala, de forma automatizada e permanente.
Por isso, “ambiente digital público” não deve ser tratado como sinônimo de espaço juridicamente livre de proteção. O fato de determinado conteúdo estar acessível ao público reduz a expectativa de reserva sobre aquela informação, mas não torna irrelevantes a forma de coleta, a intensidade do tratamento, a finalidade e os dados produzidos a partir da correlação automatizada, distinção que se tornou ainda mais relevante depois que a proteção de dados pessoais passou a integrar expressamente o rol de direitos fundamentais, por força da Emenda Constitucional nº 115/2022.
Software também precisa caber na autorização legal
Outro ponto que merece atenção está na própria redação do caput. O legislador não autorizou qualquer software utilizado para fins investigativos. Falou em software “estritamente destinado à identificação e à coleta de arquivos”. Veja-se que a expressão utilizada pelo legislador não parece ornamental.
Se a ferramenta se limita a localizar e coletar arquivos disponibilizados em ambiente público, a atividade se aproxima da técnica que deu origem aos precedentes. Mas a qualificação jurídica pode mudar se o programa acrescentar outras capacidades: criar perfis, correlacionar identidades em diferentes plataformas, manter histórico de usuários, obter dados não expostos ao usuário comum ou executar outras formas de classificação e tratamento para além do necessário à identificação do arquivo.
A pergunta, portanto, passa a ser funcional, buscando esclarecer o que o software efetivamente faz. A autorização para a ronda não pode servir como carta branca para funcionalidades investigativas autônomas. A circunstância de uma ferramenta ser utilizada durante uma ronda virtual não dispensa a identificação do fundamento jurídico necessário para cada interferência adicional.
Esse cuidado também evita um problema recorrente no debate sobre tecnologia e processo penal: discutir o nome da ferramenta em vez de discutir a atividade que ela executa. A mesma expressão “software de ronda” pode encobrir operações tecnicamente muito diferentes.
Da ronda impessoal à investigação dirigida
Há ainda um ponto de inflexão que a lei não resolve integralmente. A jurisprudência justificou a dispensa de autorização judicial, entre outros fatores, porque a ronda não se dirige inicialmente a pessoa determinada. O software procura arquivos; a identificação do IP e, depois, do usuário responsável pela conexão ocorre em momento posterior, mas a ronda começa impessoal e, se for bem-sucedida, termina produzindo um alvo, momento que, a meu ver, precisa ser juridicamente identificável.
A licitude da etapa inicial não transforma todas as providências posteriores em atos de livre investigação. Dados cadastrais, registros de conexão, registros de acesso, conteúdo armazenado, busca domiciliar e outras medidas possuem regimes próprios na legislação brasileira que precisam ser atendidos.
O próprio RHC 199.047/MS fazia essa distinção. Ao admitir a requisição direta de dados cadastrais, o STJ preservou, no regime então vigente, a diferença em relação aos registros de conexão e de acesso a aplicações, submetidos a maior proteção.
A Lei nº 15.487/2026 criou uma exceção importante. Nos casos de flagrante, risco à vida ou risco à integridade física de criança ou adolescente identificados durante a ronda, o § 2º permite à autoridade policial ou ao Ministério Público requisitar diretamente registros de conexão ou dados cadastrais, sem ordem judicial prévia. O § 3º exige comunicação ao Judiciário em até 48 horas para controle da legalidade e veda o uso dos dados para finalidade diversa. Não se trata de uma autorização ordinária para acesso direto a registros de conexão.
O próprio parecer da Comissão de Constituição e Justiça do Senado, quando a Lei ainda era o PL nº 3.066/2025, reconheceu que esses registros estão, em regra, sujeitos à autorização judicial e qualificou a hipótese do artigo 190-F como excepcional, afirmando que sua aplicação deve permanecer estritamente limitada às situações de urgência previstas na lei. A urgência justifica o deslocamento temporal do controle judicial; não elimina a excepcionalidade da medida.
Cadeia de custódia e auditabilidade
A nova lei também resolveu expressamente outro ponto que, até então, aparecia de forma lateral no debate sobre a ronda virtual. O § 5º determina que a coleta observe as regras do Código de Processo Penal relativas à cadeia de custódia.
Em uma investigação automatizada, não basta conhecer a conclusão do software. É preciso ser possível reconstruir o caminho que levou até ela: qual ferramenta foi utilizada, em qual versão e configuração, quais parâmetros orientaram a busca, qual hash serviu de referência, quando e de onde o arquivo foi obtido, quais IPs e demais dados foram registrados e como o material foi preservado, não porque a prova digital deva ser demonizada, mas porque precisa ser rastreável como condição de licitude.
Se a defesa recebe apenas um relatório final informando que determinado IP compartilhou determinado arquivo, mas não dispõe de elementos suficientes para verificar a operação que produziu essa conclusão, o contraditório incide sobre o relatório, e não propriamente sobre a prova.
A referência expressa à cadeia de custódia deve ser lida, portanto, como exigência de auditabilidade da ronda. Quanto maior o grau de automatização, maior a importância de documentar a execução da ferramenta e preservar os elementos necessários à verificação independente.
Problema mudou de lugar
A Lei nº 15.487/2026 representa avanço ao retirar a ronda virtual da zona de silêncio legislativo. A técnica agora tem objeto, finalidade, ambiente de atuação e limites procedimentais expressamente indicados no ECA, mas a positivação não encerra o controle: apenas desloca o seu objeto.
Antes da lei, a pergunta principal era se uma técnica não disciplinada especificamente poderia ser utilizada sem autorização judicial. Depois da lei, a questão passa a ser outra: a atividade concretamente executada ainda está dentro da técnica que o artigo 190-F autorizou?
Essa pergunta exige olhar menos para o rótulo e mais para a execução, o que remete a uma série de indagações necessariamente concretas: qual ambiente foi acessado, qual arquivo foi buscado, o que exatamente o software coletou, se houve correlação ou retenção de outros dados, se a ronda permanecia impessoal ou se já havia pessoa determinada, que providência foi adotada após a identificação, se havia urgência a justificar o acesso direto a registros e se a cadeia de custódia permite reconstruir toda a operação.
Também é importante não perder de vista o recorte da nova lei. O artigo 190-F disciplina a ronda para arquivos relacionados a crimes de violência sexual contra criança ou adolescente. Não é uma cláusula geral de autorização para monitoramento automatizado de ambientes digitais em qualquer investigação criminal, e a legalidade abstrata da técnica é apenas ponto de partida, não presunção de licitude de qualquer forma de execução.
Quanto mais a ferramenta concreta se afastar das características que sustentaram os precedentes do STJ, isto é, a publicidade funcional do ambiente, o acesso ordinário, a ausência de dissimulação e a impessoalidade inicial, maior será a necessidade de identificar fundamento jurídico próprio para a interferência adicional.
A Lei nº 15.487/2026 respondeu à pergunta que estava aberta. O desafio agora é impedir que a amplitude da categoria legal apague os limites que justificaram a sua própria construção.
[1] SMANIO, Gianluca Martins. A vigilância policial em meio digital: entre o garantismo e a eficiência. Curitiba: Juruá, 2022.
