Alemanha: depois do atentado no Orgulho de Berlim, a retenção de IP volta

Quatro dias depois de uma carrinha ter avançado sobre a multidão na Marcha do Orgulho de Berlim, o projeto de lei alemão sobre retenção de endereços IP, até aqui encalhado, volta ao centro da agenda política. Um deputado da CDU pediu ao parlamento que aprove o pacote de segurança pendente, que obrigaria cada fornecedor de internet do país a registar que assinante tinha que endereço IP, durante três meses, para toda a gente. O texto já tinha sido aprovado em conselho de ministros em abril. O atentado não mudou o seu conteúdo, mas a sua urgência.

O que aconteceu em Berlim

Na noite de 25 de julho de 2026 uma carrinha avançou sobre pessoas reunidas num percurso pedonal do Tiergarten durante o Christopher Street Day berlinense. Uma mulher de 65 anos vinda da Polónia morreu e 29 pessoas ficaram feridas. O suspeito, um alemão de 21 anos de origem libanesa, fugiu a pé e foi encontrado na tarde seguinte em Spandau, onde uma unidade especial da polícia o abateu durante a tentativa de detenção. O ministro do Interior, Alexander Dobrindt, classificou o caso como atentado terrorista islamista.

Em dois dias a resposta política passou para o plano legislativo. O deputado da CDU Alexander Throm instou publicamente os colegas a aprovarem a lei de segurança parada, cujo elemento central é a retenção de endereços IP.

O projeto que agora é empurrado

O documento tem o título pouco prático de "Lei para introduzir a retenção de endereços IP e ampliar os poderes de recolha de dados no processo penal". O Ministério Federal da Justiça e da Defesa do Consumidor publicou-o a 22 de dezembro de 2025 e o conselho de ministros federal aprovou-o a 22 de abril de 2026, depois de coordenado entre a ministra da Justiça Stefanie Hubig e o ministro do Interior Alexander Dobrindt. Ficou depois à espera de tempo parlamentar.

• O que é guardado: o endereço IP atribuído a um assinante e, quando necessário, os números de porta associados, durante três meses.
• Quem é abrangido: todos os clientes de acesso à internet, sem que a retenção em si exija qualquer suspeita prévia.
• O que fica excluído: endereços IP de destino, conteúdos, dados de localização e restantes dados de tráfego ficam expressamente fora da obrigação.
• Para além da retenção: novas ordens de preservação para dados de tráfego que de outro modo seriam apagados, e um alargamento das buscas por célula.

Este último ponto merece atenção porque passa facilmente despercebido. As buscas por célula, que revelam todos os telemóveis ligados a uma antena perto do local de um crime, passariam dos "crimes especialmente graves" para os "crimes de relevância substancial". Isso inverte uma restrição imposta pelo Supremo Tribunal Federal em janeiro de 2024.

O que muda de facto e o que não muda

Um ponto que se perde no ruído: os investigadores alemães já podem pedir os dados do assinante associados a um endereço IP. A sociedade de advogados Gleiss Lutz nota, na sua análise, que aqui os poderes de acesso não são alargados. A novidade é a obrigação de os operadores guardarem efetivamente os dados, para que haja algo a pedir. O acesso continua a exigir suspeita razoável de crime e a demonstração de que os dados são necessários à investigação.

A distinção importa e corta nos dois sentidos. Os apoiantes podem dizer, com razão, que a lei não concede novos poderes de investigação. Os críticos podem responder, com igual razão, que transforma um mosaico, em que alguns registos existem por acaso e a maioria não, num registo nacional garantido de quem estava por trás de que endereço em qualquer dia do trimestre. Hoje, saber se um IP é rastreável três meses atrás depende em larga medida do operador. Com esta lei passa a ser uma certeza.

A indústria e o CCC: isto não sobrevive em tribunal

A associação da indústria da internet eco opõe-se ao texto desde fevereiro de 2026 e repetiu as objeções após a decisão do conselho de ministros. O argumento central é que a retenção indiscriminada continua a falhar os padrões do Tribunal de Justiça da União Europeia, que anulou a Diretiva de conservação de dados em 2014. A eco recorda também a sua vitória de 2023 ao lado da empresa associada SpaceNet, quando o Tribunal Administrativo Federal alemão confirmou que as regras de retenção anteriores eram contrárias ao direito da União.

Para além da legalidade, a eco levanta uma objeção processual fácil de ignorar: o controlo judicial desloca-se da apreciação prévia para a notificação posterior. O membro da direção Klaus Landefeld sustenta que esses mecanismos "não conseguem assegurar proteção jurídica efetiva na mesma medida" e avisa que a fiscalização ficaria enfraquecida na prática. Aponta ainda o custo: pede-se de novo às empresas que invistam numa infraestrutura de estatuto jurídico duvidoso.

Constanze Kurz, porta-voz do Chaos Computer Club, chamou à proposta uma lei de vigilância em massa. O debate alemão sobre a Vorratsdatenspeicherung dura há quase duas décadas e os tribunais devolveram repetidamente várias das suas versões. A resposta do Ministério da Justiça é que este texto é deliberadamente mais estreito, limitado a endereços IP em vez do vasto conjunto de dados de tráfego antes rejeitado, e que a jurisprudência europeia recente deixa espaço precisamente para esse modelo mais apertado.

O pormenor incómodo

O suspeito não era desconhecido das autoridades. Tinha antes tentado prosseguir viagem para se juntar ao Estado Islâmico, foi detido no Líbano e aí condenado, e estava no radar dos serviços de segurança alemães. Fosse o que fosse que falhou neste caso, não foi a incapacidade de identificar um desconhecido a partir de um endereço IP. Essa distância entre a medida exigida e os factos do caso em nome do qual é exigida é o que vale a pena vigiar à medida que o texto avança.

Para quem vive na Alemanha, o efeito prático seria o operador tornar-se arquivista obrigatório do histórico dos seus endereços. É aqui que a questão da VPN surge de forma honesta e não como argumento de venda: encaminhar o tráfego por uma VPN não elimina o registo, no operador, de que se ligou; muda qual o endereço que os serviços visitados veem e registam. São duas exposições diferentes e a lei só toca numa. Quem acompanha o tema pode reler a nossa análise do projeto alemão de retenção de dados quando surgiu pela primeira vez e de como o Chat Control avançou na UE apesar de uma maioria contra.

Conclusão