Portugal define regras claras para hackers éticos não serem punidos criminalmente

Portugal acaba de desenhar um mapa legal para os hackers éticos. Em setembro, o Gabinete de Cibercrime da Procuradoria-Geral da República publicou a Nota Prática n.º 32/2026, um documento que explica quando investigadores de segurança podem procurar falhas nos sistemas sem correr o risco de serem processados criminalmente. A mudança vem do Decreto-Lei n.º 125/2025, que entrou em vigor em abril deste ano e introduziu o artigo 8.º-A na Lei do Cibercrime — uma exceção específica para ações que, à primeira vista, pareceriam crimes de acesso ou interceção ilegítima.

Mas a lei não é um cheque em branco. O Ministério Público deixa claro que todos os requisitos são cumulativos: não basta dizer que se é um hacker ético ou que a intenção era boa. É preciso cumprir cada uma das condições. A primeira delas é a intenção. O investigador deve atuar exclusivamente para identificar vulnerabilidades e contribuir para a segurança do ciberespaço. Não pode ter criado a vulnerabilidade ele próprio. E não pode haver qualquer objetivo de ganho económico — nem uma promessa de recompensa. É aqui que o Ministério Público traça uma linha clara: os chamados bug bounty hunters, que procuram falhas sem autorização do proprietário com o objetivo de receber recompensas, ficam fora desta proteção.

Há uma distinção importante para profissionais contratados. Se um especialista é contratado pelo dono do sistema para fazer testes de segurança, a situação é diferente. Nesse caso, existe autorização, e os elementos dos crimes de acesso ilegítimo não se preenchem. Mas mesmo assim, há uma obrigação adicional: se encontrar vulnerabilidades, deve comunicá-las ao Centro Nacional de Cibersegurança.

A comunicação é o coração deste novo regime. Assim que uma falha é identificada, o investigador tem de a comunicar imediatamente ao proprietário ou responsável pelo sistema, produto ou serviço. Se houver dados pessoais envolvidos, também deve avisar os titulares desses dados, conforme a lei exige. Além disso, tudo deve ir para o CNCS. E o processo deve manter-se confidencial — a organização precisa de tempo para corrigir a vulnerabilidade antes de ela ser tornada pública.

A proteção legal tem limites muito precisos. A atuação deve ser proporcional e estritamente limitada ao necessário para encontrar a falha. Ficam expressamente excluídos ataques DoS ou DDoS, engenharia social, phishing, roubo de palavras-passe ou informação sensível, eliminação ou alteração de dados, danos deliberados nos sistemas, instalação de malware, cópia não autorizada de dados, e qualquer ação que cause prejuízo à entidade afetada ou a terceiros. Também não pode haver violação de dados pessoais protegidos.

O CNCS recebeu competências específicas sobre divulgação coordenada de vulnerabilidades e aprovou, em junho de 2026, a Instrução Técnica n.º 1/2026, que estabelece as regras e procedimentos. A instrução define como as vulnerabilidades devem ser comunicadas, que informações devem ser incluídas, e que prazos devem ser respeitados antes de qualquer divulgação pública.

O legislador português procurou criar um espaço jurídico para os hackers éticos, reconhecendo que encontrar e corrigir vulnerabilidades antes de serem exploradas por criminosos é do interesse público. Mas a proteção está longe de ser absoluta. A intenção, a ausência de benefício económico, a comunicação imediata, a proporcionalidade e o respeito pelos dados pessoais são elementos fundamentais. Para investigadores de segurança e organizações, a mensagem é clara: comunicar uma vulnerabilidade de forma responsável pode estar protegido pela lei, mas explorar um sistema para além do necessário pode fazer desaparecer essa proteção.