EUA aprovam limites às NDO e prorrogam CISA

A Câmara de Representantes dos Estados Unidos aprovou o NDO Fairness Act, que encerra as chamadas ordens de não divulgação permanentes ao limitar sua duração e exigir maior justificativa judicial. Em outra medida de financiamento, também prorrogou até 11 de dezembro a vigência da Cybersecurity Information Sharing Act de 2015 e de outras autoridades de cibersegurança. Em paralelo, o Congresso continuou movimentando projetos sobre dados de saúde, segurança de redes e tratamento de informações de menores.

O que mudou com o NDO Fairness Act?

O projeto H.R.6048 foi aprovado em 31 de agosto de 2026 pela Câmara de Representantes, por moção para suspender as regras e por votação simbólica. Segundo o Congressional Record, a norma limita as ordens de não divulgação a 90 dias, com possibilidade de renovação se a emergência persistir, e obriga os promotores a justificar por escrito, com fatos específicos, por que precisam manter o sigilo.

A Microsoft descreveu a reforma como um conjunto de padrões mais rigorosos para as ordens que impedem provedores de tecnologia de informar seus clientes sobre acessos de autoridades a e-mails, mensagens e outros dados pessoais na nuvem. A empresa afirmou que a mudança reforça a proteção dos direitos dos usuários e a confiança nos serviços, sem eliminar as NDO quando elas forem necessárias para uma investigação.

Qual é o alcance das novas regras de sigilo?

A análise técnico-jurídica citada pela The Capitol Wire indica que a reforma ao Stored Communications Act fixa um limite de 90 dias para investigações gerais e de até um ano em casos de exploração infantil. Essa mesma leitura aponta que os tribunais terão de emitir determinações por escrito, baseadas em fatos articuláveis, sobre riscos à vida, destruição de evidências ou fuga.

A proposta também reconhece o direito expresso de provedores de serviços eletrônicos contestarem as NDO, com suspensão automática de 72 horas. Além disso, o governo deverá notificar o cliente dentro de cinco dias úteis após o vencimento, com cópia da ordem e detalhes da investigação. O procurador-geral também terá de apresentar relatórios anuais sobre o uso dessas ordens e seu impacto na imprensa.

O que acontece com a CISA 2015 e outras autoridades de cibersegurança?

A Câmara aprovou uma resolução de financiamento temporário que estende até 11 de dezembro a Cybersecurity Information Sharing Act de 2015, o Federal Cybersecurity Enhancement Act e o Technology Modernization Fund. Federal News Network, MeriTalk e Nextgov concordam que se trata de uma continuing resolution pensada para evitar a paralisação do governo e ganhar tempo até uma nova reautorização ou uma reforma mais ampla.

A prorrogação deixa a lei de compartilhamento de informações de cibersegurança em uma janela curta de continuidade, sem mudanças substanciais nas obrigações para entidades privadas. Coberturas posteriores ressaltam que a CISA 2015 estava prevista para expirar em 30 de setembro e que a nova data apenas a mantém em vigor durante o período de financiamento temporário. Isso preserva a incerteza regulatória para empresas que dependem desses esquemas de cooperação com o governo dos Estados Unidos.

Que outros projetos avançam em paralelo?

O Subcomitê de Comércio, Manufatura e Comércio da Câmara pretende analisar seis projetos sobre ameaças tecnológicas, entre eles o H.R.4950 Data BRIDGE Act e o H.R.7294 AI for Secure Networks Act. Os documentos de liderança democrata descrevem este último como uma iniciativa para estimular o uso de inteligência artificial no reforço da segurança de redes de comunicação.

Também entrou na pauta o RESET Act, em um markup previsto para uma terça-feira de setembro às 10h15, no horário do Leste dos EUA. Uma análise crítica aponta que o texto não impõe uma verificação explícita de idade, mas deixa às plataformas a definição de como identificar usuários com menos de 16 anos. Depois do encerramento dessas contas, os dados pessoais devem ser apagados em geral, com um prazo de 90 dias para solicitar uma cópia portátil.

Na área de saúde, a análise da Paubox sobre o S.3097 Health Information Privacy Reform Act indica que a iniciativa determina que o secretário de Saúde e Serviços Humanos, em consulta com a FTC, publique regulações sobre privacidade, segurança e notificação de incidentes para uma nova categoria de applicable health information. Essa categoria incluiria dados identificáveis sobre saúde física ou mental, atendimento médico ou pagamentos, mesmo que nunca tenham sido criados ou recebidos por um provedor, plano de saúde, empregador ou clearinghouse. Isso aproximaria, pela primeira vez, apps de bem-estar, rastreadores de fitness e serviços de sintomas de padrões semelhantes aos da HIPAA.