EUA aprova limites às NDO e prorroga CISA

Atualização 6 de setembro de 2026: A Câmara dos Representantes aprovou a NDO Fairness Act of 2025 e a encaminhou ao Senado. O projeto impõe limites mais rígidos às ordens de não divulgação, enquanto a prorrogação temporária da CISA 2015 segue válida até 11 de dezembro.

A Câmara dos Representantes dos Estados Unidos aprovou a NDO Fairness Act, que acaba com as chamadas ordens de não divulgação permanentes ao limitar sua duração e exigir mais justificativa judicial. Ao mesmo tempo, outra resolução de financiamento estendeu até 11 de dezembro a vigência da Cybersecurity Information Sharing Act de 2015 e de outras autoridades de cibersegurança. Em paralelo, o Congresso continuou avançando com projetos sobre dados de saúde, segurança de redes e tratamento de informações de menores.

O que mudou com a NDO Fairness Act?

O projeto H.R.6048 foi aprovado em 31 de agosto de 2026 pela Câmara dos Representantes, por moção para suspender as regras e votação simbólica. Segundo o Congressional Record e a análise citada pelo The Capitol Wire, a norma limita as ordens de não divulgação a 90 dias em investigações gerais e a até um ano em casos de exploração infantil, além de exigir determinações judiciais escritas com base em fatos específicos.

A Microsoft descreveu a reforma como um conjunto de padrões mais rigorosos para as ordens que impedem provedores de tecnologia de informar seus clientes sobre acessos de autoridades a e-mails, mensagens e outros dados pessoais na nuvem. A empresa afirmou que a mudança reforça a proteção dos direitos dos usuários e a confiança nos serviços, sem eliminar as NDO quando elas forem necessárias para uma investigação.

Qual é o alcance das novas regras de sigilo?

A análise técnico-jurídica citada pelo The Capitol Wire indica que a reforma ao Stored Communications Act estabelece limite de 90 dias para investigações gerais e de até um ano em casos de exploração infantil. A mesma leitura aponta que os tribunais deverão emitir determinações escritas, com base em fatos articuláveis, sobre riscos à vida, destruição de provas ou fuga.

A proposta também reconhece o direito expresso de provedores de serviços eletrônicos contestarem as NDO, com suspensão automática de 72 horas. Além disso, o governo terá de notificar o cliente em até cinco dias úteis após o vencimento, com cópia da ordem e detalhes da investigação. O Departamento de Justiça também precisará apresentar relatórios anuais sobre o uso dessas ordens e seu impacto sobre veículos de imprensa.

O que acontece com a CISA 2015 e outras autoridades de cibersegurança?

A Câmara aprovou uma resolução de financiamento temporária que estende até 11 de dezembro a Cybersecurity Information Sharing Act de 2015, o Federal Cybersecurity Enhancement Act e o Technology Modernization Fund. Federal News Network, MeriTalk e Nextgov concordam que se trata de uma continuing resolution pensada para evitar a paralisação do governo e ganhar tempo até uma nova reautorização ou reforma de fundo.

A prorrogação deixa a lei de compartilhamento de informações de cibersegurança em uma janela curta de continuidade, sem mudanças substanciais nas obrigações para entidades privadas. Coberturas posteriores destacam que a CISA 2015 estava prevista para expirar em 30 de setembro e que a nova data apenas a mantém vigente durante o período de financiamento temporário, o que preserva a incerteza regulatória para empresas que dependem desses mecanismos de cooperação com o governo dos Estados Unidos.

Quais outros projetos avançam em paralelo?

O Subcomitê de Comércio, Manufatura e Comércio da Câmara tem previsão de analisar seis projetos sobre ameaças tecnológicas, entre eles o H.R.4950 Data BRIDGE Act e o H.R.7294 AI for Secure Networks Act. Os documentos de liderança democrata descrevem este último como uma iniciativa para incentivar o uso de inteligência artificial no reforço da segurança de redes de comunicação.

Também entrou na pauta o RESET Act, em uma sessão de markup prevista para uma terça-feira de setembro às 10h15, no horário de Washington. Uma análise crítica aponta que o texto não impõe uma verificação explícita de idade, mas deixa que as plataformas definam como identificar usuários menores de 16 anos. Depois que essas contas forem encerradas, os dados pessoais deverão ser apagados em geral, com um prazo de 90 dias para solicitar uma cópia portátil.

Em saúde, a análise da Paubox sobre o S.3097 Health Information Privacy Reform Act indica que a proposta obriga o Secretário de Saúde e Serviços Humanos, em consulta com a FTC, a editar regulações sobre privacidade, segurança e notificação de incidentes para uma nova categoria de applicable health information. Essa categoria incluiria dados identificáveis sobre saúde física ou mental, atendimento ou pagamentos, mesmo que nunca tenham sido criados ou recebidos por um provedor, plano de saúde, empregador ou clearinghouse. Isso aproximaria, pela primeira vez, apps de bem-estar, rastreadores de fitness e serviços de sintomas de padrões semelhantes aos da HIPAA.