O PL 6.423/25 não é uma discussão acadêmica sobre soberania. Na prática, ele cria um regime de controle formal sobre algo que hoje acontece de modo informal: o fluxo de dados entre empresas privadas e órgãos de inteligência. Minha tese é direta: a partir do momento em que a atividade de inteligência ganha marco de controle e registro, o risco jurídico deixa de ser exclusivamente do Estado e passa a recair, com muito mais peso, sobre quem responde ao pedido — bancos, teles, fintechs, provedores de nuvem. Para o advogado com 2 a 8 anos de OAB, isso abre uma janela de especialização que ainda não tem nome comercial consolidado no mercado: assessoria em interface dados-segurança nacional. Quem constrói esse domínio agora cobra como especialista daqui a dois anos; quem trata isso como “mais um tema de LGPD” continua no balcão de honorários genéricos.
A decisão que separa o advogado caro do advogado commodity não é “posso entregar os dados?” — é “que critério objetivo eu uso para decidir isso em 24 horas, sob pressão, sem virar cúmplice de um desvio de finalidade nem obstruir uma política pública legítima?”
Proponho um critério repetível, aplicável em qualquer mesa, sem depender de doutrina extensa:
Existe lei, decreto ou decisão judicial amparando especificamente aquele pedido — ou é um ofício genérico invocando “segurança nacional”? Ausência de base legal explícita = sinal vermelho automático.
O pedido está atrelado a uma política pública ou investigação identificável, ou existe indício de desvio — perseguição política, vantagem concorrencial, monitoramento de opositor? O PL 6.423/25 avança exatamente aqui: ao exigir controle e registro, torna essa checagem exigível, não apenas recomendável.
Existe possibilidade de auditoria posterior? Há protocolo, número de processo, responsável identificado do lado do órgão? Se a resposta é “não, é um WhatsApp institucional ou um ofício sem rastreabilidade”, a empresa está sendo convidada a assumir um risco que não é dela.
Se os três filtros falham, a decisão correta é recusar a entrega imediata, formalizar a recusa por escrito, acionar o encarregado de dados e provocar judicialização específica antes de qualquer movimentação. A decisão errada — e mais comum entre advogados júnior de compliance — é entregar por medo de parecer não cooperativo com o Estado, ou por pressão de prazo curto imposto pelo próprio órgão solicitante.
Uma fintech recebe ofício de agência de inteligência pedindo dados de geolocalização de um grupo de usuários, “para fins de segurança nacional”, com prazo de 24 horas e sem ordem judicial anexada. O jurídico interno está pressionado pela diretoria, que teme repercussão institucional caso negue. O advogado júnior, sem framework, tende a orientar a entrega “porque é para o bem maior” ou porque “outras empresas do setor já fizeram isso”. O advogado especializado aplica o teste dos três filtros, identifica ausência de base legal específica, documenta formalmente a recusa condicionada, orienta resposta escrita solicitando amparo judicial e comunica o DPO — protegendo a empresa de responsabilização futura por vazamento indevido e, ao mesmo tempo, deixando aberto o canal para cooperação legítima assim que a base legal existir.
Essa é exatamente a competência que separa quem decide sob incerteza de quem só recita a lei: a capacidade de montar raciocínio decisório com informação incompleta, prazo curto e pressão institucional dos dois lados. É esse tipo de músculo — não a memorização de artigo de lei — que simuladores de decisão como os da Galícia treinam: cenários em que o profissional é avaliado pelo raciocínio aplicado, não pela resposta pronta.
Para quem quer estruturar essa competência de forma técnica e mensurável, vale conhecer a Certificação Profissional em Implementação de um Programa de Governança em Proteção de Dados e o Papel do DPO, que trata exatamente da tomada de decisão do encarregado diante de pedidos de terceiros e de órgãos públicos.
1. O controle formal desloca o risco, não o elimina. Ao criar registro obrigatório da atividade de inteligência, o PL 6.423/25 transforma cada resposta da empresa — cooperar ou negar — em prova documentada que pode ser usada contra ela em processo futuro. Empresa sem protocolo formal de resposta é a mais exposta, não a menos.
2. O contencioso vem depois, não antes. Advogados que hoje só fazem compliance preventivo vão precisar dominar também a responsabilização por cooperação indevida — ações de reparação civil e representações criminais contra quem entregou dados sem base legal robusta.
3. Vai nascer uma segunda camada de especialização em dados. LGPD “comum” (relação consumidor-empresa) já está commoditizada. A camada de dados sensíveis à segurança nacional — interface com inteligência, polícia e Forças Armadas — ainda não tem oferta de mercado consolidada, e paga mais exatamente por isso.
4. O ponto de exposição real está no contrato, não no ofício. Cláusulas de cooperação preventiva em contratos de nuvem, telecom e infraestrutura crítica já autorizam acesso antes mesmo de qualquer pedido formal chegar. Advogado que só analisa “o que fazer quando pedirem” e ignora “o que já autorizamos no contrato” perde o controle antes do jogo começar.
5. O produto que o mercado vai pagar mais caro não é o parecer — é o processo decisório documentado. A virada de valor está em desenhar quem decide, em quanto tempo, com que documentação mínima, antes que o pedido chegue. Isso é governança operacional, e cobra-se por ela como projeto, não como hora de parecer avulso.
Como responder a um pedido informal, sem base legal clara, de agência de inteligência?
Formalize a recusa condicionada por escrito, solicite amparo legal ou judicial específico e registre a comunicação com o encarregado de dados antes de qualquer resposta ao órgão.
O DPO pode ser responsabilizado por autorizar entrega sem ordem judicial?
Sim, especialmente se não houver documentação do teste de base legal, finalidade e rastreabilidade — a ausência de registro é o que transforma decisão operacional em falha de governança.
O PL 6.423/25 substitui a exigência de ordem judicial para acesso a dados?
Não. O projeto cria mecanismos de controle e registro da atividade de inteligência, mas não revoga as garantias constitucionais de reserva de jurisdição para quebra de sigilo de dados.
Como precificar essa assessoria de forma diferente do compliance de dados comum?
Cobre por desenho de protocolo decisório (fluxo, responsáveis, prazos, documentação mínima), não por hora de parecer pontual — é isso que justifica ticket mais alto.
Que documentação mínima a empresa precisa ter pronta antes do pedido chegar?
Um protocolo interno com checklist dos três filtros, modelo de resposta formal de recusa condicionada e canal definido de comunicação imediata com o encarregado de dados.
Acesse a lei relacionada em https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=197522
Busca uma pós-graduação ou certificação em Direito reconhecida por grandes nomes da área? Conheça a Escola de Direito da Galícia Educação.
Este artigo teve a curadoria do time da Galícia Educação e foi escrito utilizando inteligência artificial a partir de seu conteúdo original em https://www.conjur.com.br/2026-jul-12/atividade-estatal-de-inteligencia-legitimidade-controle-e-o-pl-6-423-25/.
Advogado que se especializa cobra mais — e escolhe onde atuar.
Pós em Direito: R$ 2.250 no Pix ou 12× R$ 212,50 — a mensalidade não trava o limite do seu cartão.
Prefere falar com alguém? Chamar um especialista no WhatsApp.
Quem ensina aqui atua na área — professores com banca, cátedra e prática.
Ver as pós em Direito