Central de conhecimento

É o que se pode fazer com elas depois de encontrá-las.

A dificuldade se destaca especialmente quando, durante uma verificação de antecedentes baseada em fontes abertas, surge informação ligada a um crime, a uma investigação, a um processo judicial ou a uma conduta de natureza criminal.

Pode ser uma sentença publicada numa base de dados jurídica.

Uma matéria antiga num site de notícias.

Um comunicado de uma autoridade pública.

Uma notícia sobre uma denúncia criminal.

Uma publicação sobre uma condenação.

Ou até um documento público que descreve um evento factual sem usar em momento algum as palavras "antecedentes criminais".

Numa situação assim surge uma pergunta natural:

Se a informação não veio da polícia e não foi extraída do registro criminal, mas foi encontrada numa busca comum na internet, é permitido repassá-la ao empregador e levá-la em conta numa decisão de contratação?

A resposta não é um sim ou não simples.

E a razão é que é preciso separar três perguntas diferentes:

1. É permitido coletar a informação?

2. É permitido repassá-la a quem toma a decisão?

3. É permitido que essa parte a use numa decisão de contratação?

São três etapas completamente diferentes.

Antes de tudo: o que é afinal "informação criminal" segundo a lei?

A Lei israelense de Informação Criminal e Reabilitação de Infratores, de 2019, define "informação criminal" como informação do registro criminal e do registro policial.

O registro criminal inclui, entre outras coisas, detalhes sobre condenações e certas decisões enumeradas na lei.

O registro policial inclui outros tipos de informação, como processos pendentes e informações policiais adicionais conforme as disposições da lei.

A implicação inicial é importante:

Nem toda informação que descreve conduta criminal é necessariamente "informação criminal" no sentido técnico da lei.

Uma matéria de jornal não é o registro criminal.

Uma sentença publicada ao público não é o banco de dados da polícia.

Um comunicado de uma autoridade pública não vira registro policial só porque descreve um crime.

Mas é exatamente aqui que começa a complexidade.

A fonte da informação não é o fim da discussão

É muito fácil chegar à seguinte conclusão:

"Se encontrei no Google, posso usar."

É uma conclusão perigosa.

A Lei de Informação Criminal não trata apenas da forma como uma pessoa obtém informações.

O artigo 38 estabelece que quem não tem direito a receber determinada informação criminal, ou informação criminal em geral, não deve levá-la em conta ao tomar uma decisão.

O artigo prossegue e estabelece que também "informação adicional relacionada à referida informação criminal" não deve ser levada em conta.

Ou seja, o fato de a informação ter vindo de uma fonte aberta não a desconecta necessariamente das restrições que se aplicam ao uso de informação criminal.

O teste não é apenas:

"De onde veio a informação?"

É preciso perguntar também:

"O que de fato aprendemos com ela?"

E:

"O que pretendemos fazer com essa informação?"

É uma distinção crítica.

O OSINT não pode virar uma rota de desvio para obter informação cujo uso a lei quis restringir.

Em outras palavras:

Se um empregador não tem direito a receber determinada informação do registro criminal, não é correto presumir que ele pode simplesmente reconstruir essa mesma informação por meio de uma busca em fontes abertas e então usá-la como se a restrição não existisse.

Mas a direção oposta também não é correta

Aqui é importante evitar o erro inverso.

O fato de uma fonte pública descrever conduta criminal não transforma automaticamente cada detalhe dela em informação proibida de coletar, reportar ou considerar.

Uma verificação de antecedentes pode revelar informação factual com significado claro para a avaliação de risco.

Às vezes essa informação também está ligada a um processo criminal.

A pergunta não é apenas qual rótulo jurídico se pode colar nela.

É preciso entender o contexto.

Trata-se de uma condenação?

De uma investigação?

De uma denúncia criminal?

De um caso arquivado?

De uma absolvição?

De uma alegação de uma parte num processo civil?

De uma constatação factual de um tribunal?

De uma reportagem cujo desfecho não é claro?

Ou de uma conduta documentada relevante para o cargo, mesmo que o processo judicial em si não seja o foco da verificação?

Cada um desses casos é diferente.

Um exemplo: um candidato que deve administrar dinheiro

Suponha que uma pessoa seja candidata ao cargo de diretor financeiro.

O cargo inclui assinatura de pagamentos, acesso a contas bancárias, permissões em sistemas financeiros e responsabilidade por somas significativas de dinheiro.

Durante a verificação de antecedentes é encontrada uma sentença pública e confiável descrevendo o envolvimento anterior dessa pessoa num ato de fraude financeira.

Aqui duas reações extremas seriam problemáticas.

A primeira reação:

"É uma sentença pública, então automaticamente podemos repassá-la e recomendar não contratar."

É uma conclusão ampla demais.

A segunda reação:

"Há aqui ligação com um crime, então não podemos de forma alguma tocar nessa informação."

Também é uma conclusão ampla demais.

Uma verificação de antecedentes profissional precisa decompor o achado.

O que exatamente a sentença determinou?

Trata-se de uma condenação ou apenas da descrição de uma alegação?

Quando o evento ocorreu?

Qual foi o papel da pessoa?

O processo terminou de uma forma que muda o significado do achado?

Existem fontes adicionais que o confirmam?

E a pergunta central do ponto de vista da gestão de risco:

Qual é a relação entre o achado e o cargo avaliado?

Quando uma pessoa vai receber controle sobre dinheiro, um achado confiável sobre conduta financeira fraudulenta pode ter um significado muito mais claro do que num cargo sem acesso a fundos, ativos ou permissões financeiras.

Mas também aqui, relevância para o cargo não é um "passe livre da lei".

Ela é parte da verificação, não um substituto da análise jurídica.

Relevância é uma condição central, mas não a única

Essa é talvez a distinção mais importante.

No mundo das verificações de antecedentes estamos acostumados a pensar em termos de relevância.

Com razão.

O objetivo de uma verificação de antecedentes não é coletar cada detalhe que se pode encontrar sobre uma pessoa.

O objetivo é identificar informação com ligação real ao risco decorrente do cargo.

Por exemplo:

Um passado de fraude financeira pode ser muito relevante para um cargo com acesso a fundos.

Um episódio de uso indevido de informação pode ser relevante para um cargo com permissões a bancos de dados sensíveis.

Comportamento violento pode ganhar significado especial num cargo com responsabilidade pela segurança de outros.

Uma quebra de confiança substancial pode ser relevante para um cargo em que o funcionário terá grande autonomia e acesso a ativos sensíveis.

Mas a relevância por si só não basta.

Mesmo informação muito relevante pode ser informação cujo uso a lei restringe.

Por isso a ordem correta é:

Primeiro a legalidade.

Depois a relevância.

E não o contrário.

Nem toda menção na imprensa equivale a "antecedentes criminais"

Há também outro problema profissional.

A internet quase nunca oferece um quadro jurídico completo.

É possível encontrar uma matéria de 2018 dizendo que uma pessoa foi presa.

Mas o que aconteceu depois?

Foi apresentada uma denúncia?

O caso foi arquivado?

A pessoa foi absolvida?

É sequer a pessoa certa?

Foi publicada uma correção da matéria?

Uma instância superior reverteu a sentença?

Uma verificação de antecedentes que coleta a primeira menção e para ali pode ser pior do que não fazer verificação alguma.

Especialmente quando se trata de informação com potencial de prejudicar uma pessoa.

Por isso um achado desses exige verificação, contexto e atualização.

A absolvição é um bom exemplo da armadilha

Suponha que uma busca pelo nome de um candidato traga dezenas de matérias sobre um julgamento criminal de grande repercussão.

À primeira vista a impressão é grave.

Mas depois de ler a sentença descobre-se que a pessoa foi absolvida.

Se o analista se contenta com as manchetes antigas, ele na prática cria uma imagem oposta à realidade jurídica.

Essa é uma das razões pelas quais uma verificação de antecedentes não pode se resumir a uma busca por palavras-chave.

É preciso entender a sequência dos eventos e o desfecho.

A idade da informação também importa

Um achado de um ano atrás não é necessariamente igual a um achado de vinte anos atrás.

A própria Lei de Informação Criminal é construída, entre outras coisas, sobre um conceito de prescrição, apagamento e reabilitação.

O objetivo não é apenas proteger informação.

É também permitir que uma pessoa não carregue para sempre todo o peso de um evento do seu passado.

Por isso, quando informação antiga aparece na internet, o fato de a internet "lembrar" dela não significa que o empregador deva necessariamente lembrá-la da mesma forma.

Isso vale especialmente para informação cuja influência a própria lei buscou reduzir ao longo do tempo.

E quanto a informação que não é condenação?

Aqui é preciso cautela ainda maior.

Prisão não é condenação.

Investigação não é condenação.

Denúncia não é condenação.

Caso arquivado certamente não é condenação.

Matéria sobre suspeita não é prova de que a suspeita era verdadeira.

E mesmo assim, uma busca OSINT pode trazer tudo isso à tona.

Por isso uma verificação de antecedentes profissional não pode se contentar com as palavras:

"Encontramos uma publicação negativa."

É preciso dizer o que exatamente foi encontrado.

Quem publicou.

Quando.

Qual é o seu status jurídico.

E o que aconteceu depois.

A diferença entre:

"O candidato foi condenado por fraude"

E:

"Em 2019 foi publicado que o candidato foi interrogado sob suspeita de fraude"

É enorme.

Três perguntas a fazer antes de incluir um achado desses num relatório

Quando, durante uma verificação de antecedentes, surge informação ligada a um processo criminal, o correto é separar três camadas.

1. É permitido coletá-la?

Trata-se de informação de fonte pública legítima?

A forma como a informação foi obtida é legal?

Não há aqui uma tentativa de contornar uma restrição legal por meio de um terceiro?

2. É correto e permitido reportá-la?

Mesmo informação encontrada legalmente não precisa entrar automaticamente no relatório.

É preciso examinar sua confiabilidade, atualidade, gravidade e relevância.

Também é preciso avaliar se o simples repasse pode colocar quem decide numa situação em que fica exposto a informação que a lei não lhe permite levar em conta.

3. O empregador pode usá-la na decisão?

Essa é uma pergunta separada.

Um empregador pode estar autorizado a receber um tipo de informação e outro não.

Certos cargos estão sujeitos a regimes especiais.

Certos órgãos detêm poderes que um empregador privado comum não tem.

E às vezes a lei permite levar informação em conta apenas sob certas condições.

Por isso não há uma resposta única que sirva para toda organização e todo cargo.

A Emenda 10 da lei demonstra exatamente esse princípio

Em 2026 foi acrescentado à lei um regime novo e focado relativo a certos crimes de terrorismo.

A lei permite, nas condições estabelecidas, que o empregador peça à polícia uma notificação informando se um candidato adulto tem ou não um registro criminal relativo a um crime grave de terrorismo ou a certos crimes segundo a Lei de Combate ao Terrorismo.

O pedido depende do consentimento por escrito do candidato, e a notificação não fornece ao empregador todos os detalhes do registro.

A emenda entrou em vigor em 24 de agosto de 2026.

A própria necessidade de o legislador criar uma via tão específica ilustra um ponto importante:

O acesso a informação criminal para fins de contratação não é questão de "há consentimento" ou "encontrei a informação".

É questão de competência, condições e finalidade.

Então qual é o papel de uma verificação de antecedentes baseada em OSINT?

Uma verificação de antecedentes não é substituto do registro criminal.

E não deve ser uma forma de reconstruí-lo.

Seu papel é muito mais amplo e diferente.

O OSINT pode revelar informações sobre:

Conflitos de interesse.

Empresas e vínculos comerciais.

Alegações falsas no currículo.

Histórico profissional.

Sanções.

Vínculos com partes de alto risco.

Processos civis.

Reportagens na mídia.

Declarações públicas.

Atividade comercial atípica.

Padrões de comportamento.

Informação ligada à confiabilidade, quando relevante para o cargo e coletada e analisada conforme a lei.

E às vezes, dentro desse espaço, surgirá também informação com ligação ao mundo criminal.

Nesse ponto a responsabilidade profissional não é fazê-la sumir automaticamente, nem correr para repassá-la.

A responsabilidade é entender o que exatamente foi encontrado.

A pergunta não é apenas "o que encontramos?"

É:

Qual é a fonte da informação?

Qual é o seu nível de confiabilidade?

Qual é o seu status jurídico?

Existe um desdobramento posterior?

Qual é a idade do achado?

É a pessoa certa?

É permitido repassá-lo?

O empregador pode usá-lo?

E qual é a sua ligação real com o risco decorrente do cargo?

Só depois que todas essas perguntas recebem resposta é possível decidir se o achado deve entrar na verificação de antecedentes e de que forma.

A linha de fundo

"Informação pública" e "informação que pode ser usada numa decisão de contratação" não são sinônimos.

Mas "informação ligada a conduta criminal" e "informação que nunca pode ser reportada" também não são sinônimos.

A realidade é mais complexa.

O OSINT não é uma forma de contornar a Lei de Informação Criminal.

Mas uma verificação de antecedentes também não deve ignorar informação pública, confiável e relevante só porque diz respeito a uma conduta que pode ser criminal.

O teste profissional está na combinação de quatro coisas:

O quadro jurídico.

A fonte e a qualidade da informação.

A relevância para o cargo.

E a forma como a informação será usada na tomada da decisão.

Encontrar informação na internet é a parte fácil.

O profissionalismo começa na pergunta sobre o que é permitido, correto e justo fazer com ela depois que a encontramos.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Ao mesmo tempo, a emenda esclarece uma distinção importante que muitas pessoas desconhecem: existe uma separação entre a informação criminal contida no registro criminal e protegida por lei e a informação factual e pública encontrada em fontes abertas (OSINT), que não faz parte do registro criminal de forma alguma. É precisamente essa distinção que hoje torna as verificações de antecedentes baseadas em OSINT uma ferramenta mais importante do que nunca.

O que a Emenda n.º 10 mudou? A emenda acrescenta um novo mecanismo de «notificação sobre a existência de um registro no cadastro criminal», por meio do novo artigo 16A da lei. Em determinados casos, em vez de divulgar o conteúdo completo do registro criminal, o órgão autorizado receberá uma notificação informando que existe um registro no cadastro criminal, de acordo com as disposições estabelecidas na lei. Além disso, essa notificação foi definida como parte do termo «informação criminal». O objetivo da emenda é continuar a fortalecer o princípio da reabilitação de infratores, equilibrando o interesse público com o direito de uma pessoa à reabilitação.

O que significa para os empregadores? Para a maioria dos empregadores, a situação jurídica básica não mudou. Ainda hoje: um empregador comum não pode exigir que um candidato apresente um registro criminal; é proibido exigir que um candidato obtenha informações da polícia em nome do empregador; e apenas os órgãos expressamente autorizados por lei podem receber informações do registro criminal, e somente na medida estabelecida por lei. Ou seja, mesmo após a emenda, a maioria dos empregadores não pode basear o seu processo de tomada de decisão no registro criminal.

Mas é aqui que começa o erro mais comum. Não poucas pessoas acreditam que, se não for possível obter um registro criminal, não é permitido saber nada sobre o passado de um candidato. Essa não é a interpretação correta. A lei regula o acesso ao registro criminal e à informação criminal gerida pelo Estado. Ela não proíbe localizar informações factuais que já foram legalmente publicadas em fontes abertas. Essa é uma distinção jurídica muito importante.

Qual é a diferença entre um registro criminal e a informação aberta? Um registro criminal é informação gerida no registro criminal da Polícia de Israel, e o acesso a ele é regulado por lei. Em contrapartida, informações como sentenças publicadas em bases de dados jurídicas, publicações oficiais dos tribunais, comunicados do porta-voz da Polícia de Israel, comunicados da Procuradoria do Estado, publicações de autoridades reguladoras, artigos jornalísticos fiáveis, anúncios de licitações e inabilitações, documentos de liquidação, recuperação judicial ou processos legais, informações comerciais públicas e publicações de sanções ou listas negras internacionais não constituem «informação criminal», tal como definida em lei, apenas por descreverem um evento criminal ou uma condenação. Trata-se de informação pública publicada conforme a lei e, portanto, não faz parte do próprio registro criminal. É claro que o uso dessa informação também deve ser feito em conformidade com as leis de proteção da privacidade, a proibição de difamação e os princípios de relevância, proporcionalidade e boa-fé.

É aqui que entram em cena as verificações de antecedentes baseadas em OSINT. Uma verificação de antecedentes de qualidade não tenta contornar a lei nem procura obter informações confidenciais. Pelo contrário. Opera unicamente por meio de fontes de informação públicas e legais. Quando se realiza OSINT profissional, por vezes é possível localizar informações substanciais que não são acessíveis através do registro criminal, por exemplo: condenações publicadas em sentenças, envolvimento em casos de fraude que tiveram divulgação, denúncias publicadas legalmente, processos de insolvência, processos cíveis significativos, relações comerciais problemáticas, conflitos de interesses, ligações a empresas ou partes de alto risco, indícios de fraude ou falsificação de identidade e padrões de comportamento públicos com relevância profissional. Por vezes, é precisamente esse tipo de informação que dá ao empregador uma imagem mais ampla do que a mera existência de um registro criminal.

Isto substitui um registro criminal? Não. São duas ferramentas completamente diferentes. O registro criminal é informação oficial do Estado. O OSINT não é um registro criminal nem pretende sê-lo. A sua finalidade é identificar indícios de risco a partir de informação pública que pode ser verificada, cruzada e avaliada de forma profissional. Por isso, em muitas organizações, especialmente em cargos sensíveis, as verificações de OSINT não substituem as verificações previstas em lei, mas sim complementam-nas.

O significado prático para os empregadores: a Emenda n.º 10 dá continuidade à tendência do legislador de fortalecer a proteção da privacidade das pessoas e o princípio da reabilitação. No entanto, ela não elimina o dever de cuidado dos empregadores para com os seus funcionários, os seus clientes e a organização. Por isso, quanto mais restrito se torna o acesso à informação criminal oficial, maior é a importância de realizar verificações de antecedentes de qualidade baseadas em informação aberta, legal, relevante e verificada.

O desafio do empregador hoje não é obter mais informação. O desafio é saber distinguir entre a informação que não pode ser recebida e a informação pública que é permitida, e até digna de ser considerada, como parte de um processo de tomada de decisão fundamentado. É também importante lembrar que qualquer uso de informação proveniente de OSINT deve ser feito em conformidade com toda a legislação pertinente, incluindo a Lei de Proteção da Privacidade, a proibição de difamação, as leis laborais e os princípios de igualdade e proporcionalidade. O simples facto de uma informação ter sido publicada publicamente não a torna automaticamente relevante ou legítima para qualquer decisão de contratação.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Esta história não é apenas uma história sobre investimentos, cripto ou o mercado de capitais.

É uma história sobre uma falha na verificação de antecedentes.

Muitas pessoas pensam que uma verificação de antecedentes serve apenas para contratar funcionários. Na prática, ela não é menos importante na hora de escolher um sócio comercial, um gestor de investimentos, um fornecedor, um consultor ou qualquer pessoa que deva ter acesso a dinheiro, informações ou ativos.

Neste caso, parte das informações estava totalmente disponível em fontes abertas: uma condenação criminal por crimes de fraude; um longo período de prisão; publicações na mídia ao longo do tempo; processos e decisões judiciais; e informações comerciais e públicas que podem ser localizadas por meio de uma pesquisa profissional.

O problema é que encontrar a informação não basta. É preciso saber ligar os pontos.

Uma verificação de antecedentes baseada em OSINT não se resume a coletar dados. O verdadeiro valor está na análise e na compreensão do que a informação significa para a tomada de decisão.

Quando avaliamos uma pessoa que deve gerir o nosso dinheiro ou tomar decisões financeiras, a pergunta não é apenas "Ele teve uma condenação anterior?", mas sim: ele a divulgou integralmente? Existem outros sinais de alerta? Há discrepâncias entre a imagem pública e a realidade? E existem padrões que se repetem ao longo dos anos?

No fim das contas, a maioria das grandes fraudes não começa com sofisticação tecnológica. Elas começam com a confiança.

E antes de conceder confiança, vale a pena realizar uma verificação de antecedentes profissional baseada em fontes de informação abertas, para tomar uma decisão consciente fundamentada em fatos e não em impressão pessoal ou carisma.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Na minha opinião, essa é justamente a parte fácil.

O verdadeiro desafio começa logo depois de termos encontrado a informação: temos certeza de que ela pertence à pessoa que estamos realmente verificando?

Num mundo em que milhões de pessoas compartilham nomes parecidos, usam apelidos, mantêm múltiplos perfis digitais e às vezes deixam apenas rastros parciais, é muito fácil cair na armadilha de uma "identificação rápida".

Deparo-me com frequência com casos em que investigadores, recrutadores ou gestores veem um perfil problemático na internet, uma matéria antiga ou uma menção negativa, e se apressam a tirar conclusões.

Mas uma verificação de antecedentes profissional não é um exercício de coleta de informação. É um exercício de verificação de identidades.

Antes de tirar conclusões, é preciso verificar: trata-se da mesma pessoa? A localização geográfica corresponde? A linha do tempo bate? Existem identificadores adicionais que conectem os dados? E existem fontes independentes que confirmem essa ligação?

O maior perigo não é deixar passar uma informação negativa. O maior perigo é atribuir uma informação negativa à pessoa errada.

Um erro desses pode levar a decisões de contratação equivocadas, a danos à reputação de uma pessoa inocente e até a exposição jurídica.

Por isso, um dos princípios mais importantes no trabalho de inteligência de fontes abertas (OSINT) é: primeiro se verifica. Só depois se conclui.

Essa é a diferença entre coletar informação e buscar a verdade.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

No início parecia totalmente confiável. Fotos, explicações, resultados no Google, menções em diversos sites, incluindo a Wikipédia.

Mas quanto mais eu me aprofundava, mais descobria que a maior parte da história não tem fundamento algum. Algumas das fotos eram esculturas de lã de um artista japonês. Outras eram imagens de espécies completamente diferentes. E, na prática, a única coisa que realmente existe é uma única fotografia de uma mariposa não identificada tirada na Venezuela (a imagem no canto superior esquerdo). Não há sequer um reconhecimento científico oficial de tal espécie.

O que é interessante aqui não é a mariposa, mas a forma como a informação se transforma em "verdade".

Hoje os mecanismos de busca já não se baseiam apenas em fontes originais. Eles também são alimentados por conteúdo criado por AI, por resumos automáticos, por cópias entre sites e por informação que se recicla a si mesma repetidamente.

E isso significa que, mesmo que você tente fazer um "rastreamento reverso" e verificar qual é a fonte verdadeira, isso se torna muito difícil. Porque, em certo ponto: a fonte original desaparece, a informação é copiada centenas de vezes, os sistemas de AI resumem informações erradas, e o conteúdo não verificado começa a parecer mais confiável do que a própria realidade.

E este é exatamente um dos grandes desafios no mundo das verificações de antecedentes.

Não basta saber buscar informação. É preciso saber duvidar da informação.

É preciso entender: quem é a fonte? Há alguma verificação? Trata-se de informação primária ou de uma cópia? Há algum interesse por trás? E será que todos estão simplesmente citando uns aos outros?

Numa era em que a AI consegue gerar quantidades enormes de conteúdo convincente, a capacidade de pensar de forma crítica torna-se um ativo profissional crítico.

É exatamente por isso que verificações de antecedentes profissionais não podem se basear apenas numa busca rápida no Google ou em ferramentas de AI.

No fim, ainda são necessárias pessoas que saibam conectar contextos, identificar manipulações, entender o que falta no quadro — e, acima de tudo, saber quando não acreditar de imediato em algo que parece confiável.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

O pedido era claro: localizar a fonte da disseminação, interrompê-la rapidamente e remover o conteúdo.

À primeira vista, isso parece uma tarefa clássica de inteligência de fontes abertas. Mas é exatamente aí que começa o problema.

Quero compartilhar com vocês, com honestidade profissional, onde o OSINT é forte e onde ele simplesmente não é suficiente.

Onde o OSINT entrega valor real: é possível mapear como o conteúdo se espalha, identificar grupos, canais e focos de disseminação, rastrear usuários recorrentes em diferentes plataformas e entender quem "empurra" a história adiante. Isso oferece um panorama de inteligência muito importante.

Mas aqui vem a limitação crítica: não é possível identificar com certeza quem é a pessoa por trás da conta, provar quem criou o conteúdo, acessar informações fechadas (IP, dispositivos, logs) nem garantir a remoção completa da internet.

E quando se trata de incidentes delicados, especialmente envolvendo menores ou violações de privacidade, o menor erro na identificação pode se transformar em um grave problema jurídico.

O risco real: o problema não é apenas tecnológico, é de gestão. Quando se fazem promessas como "vamos achar quem fez isso" e "vamos tirar tudo da rede" sem compreender os limites, essa é uma receita para a decepção no melhor dos casos, e para o dano no pior.

Então, o que é certo fazer em casos assim? A abordagem correta é sempre multidisciplinar: o OSINT para mapear e compreender, o DFIR para coletar provas de dispositivos e sistemas, acompanhamento jurídico para abordar as plataformas, gestão de danos e prevenção de disseminação repetida, e monitoramento contínuo. Quem trata disso sozinho, apenas de um único ângulo, perde o quadro completo.

A conclusão: a inteligência de fontes abertas é uma ferramenta muito poderosa, mas não é mágica.

Saber o que pode ser feito é importante. Mas saber o que não pode ser feito é o que distingue o trabalho profissional do risco.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

E é exatamente aqui que muitas organizações falham.

Vivemos numa era com informação aberta infinita: fóruns, grupos, vazamentos, pequenas pistas. Mas sem um contexto de negócio real, sem compreender o que é relevante para uma organização específica, tudo se transforma em ruído.

E isto não acontece apenas no mundo do ciber.

É exatamente o mesmo princípio no mundo da inteligência de fontes abertas.

Vejo isto o tempo todo: as organizações pensam que precisam de "mais verificações", "mais fontes", "mais dados". Mas a verdade é o oposto. O valor real vem da capacidade de ligar os pontos.

Por exemplo: alguém publica num fórum obscuro oferecendo acesso a um sistema. Não menciona o nome de uma empresa. Não há palavras-chave claras. Os sistemas clássicos não vão detetar isso. Mas se você entende o contexto, o tipo de sistema, o tamanho da empresa, a localização geográfica, o tipo de atividade, de repente já não é "informação geral". É uma ameaça muito específica.

E agora pensem nisto no contexto dos insider threats.

Muitas vezes a ameaça não começa dentro da organização. Ela começa fora, na dark web, em fóruns, em grupos. Mas conecta-se a pessoas de dentro: um funcionário com acesso, um fornecedor com permissões, um candidato que tenta entrar.

Sem uma ligação entre a inteligência externa e uma compreensão interna da organização, perde-se a história.

E este é o ponto verdadeiramente importante: a AI sozinha não resolve o problema. Apoiar-se apenas em OSINT não resolve o problema.

Apenas a combinação de um contexto de negócio real, uma análise humana que entende o comportamento e uma tecnologia capaz de operar em escala cria uma vantagem real.

Quem continuar a recolher informação sem entender o que é relevante para si vai afogar-se no ruído. Quem souber ligar os pontos a tempo identificará a ameaça antes de ela se tornar um incidente.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Para as organizações que realizam verificações de antecedentes baseadas em inteligência de fontes abertas (OSINT), por vezes surge a questão de saber se essas regulamentações tornarão tais verificações impossíveis ou prejudicarão a sua eficácia.

A resposta profissional é não.

A regulamentação altera a forma como a verificação é realizada, mas não elimina a necessidade dela nem impede a realização de verificações de qualidade quando estas são conduzidas de forma profissional, legal e proporcional.

O que é a Emenda 13 à Lei de Proteção da Privacidade? A Emenda 13 destina-se a fortalecer as capacidades de fiscalização da Autoridade de Proteção da Privacidade e a alinhar a legislação israelense aos padrões internacionais modernos. Entre outras coisas, a emenda concede à Autoridade de Proteção da Privacidade poderes de fiscalização mais amplos, aumenta significativamente o valor das sanções financeiras, obriga as organizações a gerir as informações pessoais de forma mais responsável, aumenta a responsabilização dos titulares de bancos de dados e dos processadores de dados, e fortalece os direitos dos titulares dos dados. Na prática, a implicação para as organizações é que a violação das disposições de privacidade pode tornar-se um risco empresarial, jurídico e reputacional significativo.

Como as regulamentações de privacidade afetam as verificações de antecedentes? O erro mais comum é pensar que a legislação de privacidade proíbe a coleta de informações. Na verdade, a maioria das regulamentações no mundo não proíbe a coleta de informações pessoais de forma generalizada. Elas exigem que a coleta seja realizada com base em princípios claros: uma finalidade legítima, proporcionalidade, transparência, minimização de dados, segurança da informação e conservação limitada no tempo. Ou seja, a questão não é "é permitido coletar informações?", mas sim "que informações são coletadas, por que são coletadas e como são utilizadas?".

O uso de OSINT não está isento das leis de privacidade. Existe outra percepção equivocada segundo a qual as informações publicadas na Internet são "de uso livre". O fato de a informação se encontrar na rede não anula a sua condição de informação pessoal. Por exemplo: um perfil do LinkedIn, as publicações em redes sociais, os artigos jornalísticos, os registros comerciais e os conteúdos em fóruns. Todos estes podem ser considerados informações pessoais e estar sujeitos às leis de privacidade. Por isso, uma organização que realiza verificações de antecedentes não pode basear-se na alegação de que a informação era meramente "pública".

Como é possível realizar verificações de antecedentes de qualidade em conformidade com a regulamentação?

Definir uma finalidade clara: Uma verificação de antecedentes deve estar diretamente relacionada com o risco que a organização procura mitigar. Por exemplo: detetar conflitos de interesses, identificar fraudes passadas, detetar comportamentos que possam prejudicar a organização, examinar riscos reputacionais e identificar relações comerciais problemáticas. A coleta de informações não relacionadas com essa finalidade pode ser considerada um desvio do princípio da proporcionalidade.

Coletar apenas informações relevantes: Uma verificação profissional não se mede pela quantidade de informações coletadas, mas pela qualidade das informações. Em muitos casos, um excesso de informações dificulta justamente a tomada de decisões. A abordagem correta é concentrar-se em informações com valor empresarial real e vinculá-las à avaliação de risco necessária.

Recorrer a analistas humanos: Um dos problemas centrais das verificações automatizadas é a coleta massiva de informações sem contexto. Um analista profissional sabe distinguir entre fato e opinião, cruzar fontes, identificar erros de identificação, compreender contextos culturais e linguísticos e exercer o discernimento. Justamente num mundo de regulamentação rigorosa, o valor do fator humano aumenta.

Transparência e consentimento quando necessário: Em processos de contratação de funcionários ou em determinadas relações contratuais, recomenda-se obter um consentimento explícito para a realização de uma verificação de antecedentes. Mesmo quando a lei não o exige plenamente, um consentimento claro fortalece a legitimidade do processo e reduz os riscos jurídicos.

Eliminação de informações e conservação limitada: Um dos princípios fundamentais da maioria das regulamentações de privacidade é a limitação da duração da conservação. Após concluir a verificação e tomar a decisão empresarial, deve-se examinar se há justificação para continuar a conservar as informações, se os relatórios podem ser eliminados e se é necessária apenas uma conservação parcial dos dados. Essa abordagem reduz os riscos de segurança da informação e diminui a exposição regulatória.

A vantagem do OSINT justamente na era da privacidade: Paradoxalmente, as regulamentações de privacidade fortalecem justamente a posição das verificações OSINT de qualidade. No passado, muitas organizações baseavam-se na coleta de informações de inúmeros bancos de dados, alguns deles problemáticos do ponto de vista jurídico. Hoje, a ênfase desloca-se para as informações coletadas de fontes abertas, legais, documentadas e verificáveis. Quando a verificação é realizada de forma profissional, é possível chegar a conclusões significativas mesmo sem acesso a informações privadas ou confidenciais. Em muitos casos, são justamente as informações abertas que fornecem os indícios mais importantes sobre o comportamento, as relações comerciais, os riscos reputacionais ou os conflitos de interesses.

A chave é a Governance e não a proibição: A mensagem central da Emenda 13 e das regulamentações de privacidade no mundo não é "não realizem verificações de antecedentes". A mensagem é: realizem-nas de forma responsável. As organizações que construírem processos de trabalho organizados, zelarem pela proporcionalidade, operarem mecanismos de controlo e recorrerem a analistas profissionais poderão continuar a realizar verificações de antecedentes extremamente eficazes mesmo sob uma regulamentação rigorosa.

De fato, num mundo em que as ameaças internas, as fraudes, as falsificações de identidade baseadas em AI e os conflitos de interesses se tornam mais complexos, a necessidade de verificações de antecedentes profissionais só aumenta.

O novo desafio não é encontrar informações. O desafio é saber coletar as informações certas, utilizá-las de forma legal e delas extrair conclusões de valor real para a tomada de decisões.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

A ideia central é simples, mas muito profunda: o nosso corpo não apenas "expressa" emoções e pensamentos, mas também os influencia e, às vezes, até os revela antes que o cérebro consiga controlar a mensagem.

Durante anos, a linguagem corporal foi vista como um "acréscimo" à comunicação. Hoje já está claro que ela faz parte do próprio sistema de pensamento. A postura ao sentar, a posição das mãos, o ritmo da respiração, os movimentos da cabeça, a distância da câmera, o uso do espaço, as microexpressões, as mudanças de voz e até a forma de digitar: tudo isso faz parte de um sistema de informação comportamental.

No perfilamento empresarial isso é crítico.

Quando realizamos uma avaliação de confiabilidade ou tentamos identificar o potencial de uma ameaça interna dentro de uma organização, não procuramos apenas uma "mentira". É muito mais complexo. Procuramos a incongruência.

O Embodiment Effect permite compreender quando o comportamento físico não se sincroniza com a narrativa que a pessoa tenta produzir. Por exemplo: um candidato que fala com segurança, mas cujo corpo está em defesa contínua; um funcionário que declara compromisso com a organização, mas reage fisicamente com tensão quando surgem temas de autoridade, controle ou lealdade; um gestor que apresenta estabilidade, mas exibe sinais anormais de excitação em torno de questões financeiras ou conflitos internos; um candidato remoto que produz um contato visual "perfeito demais", com um ritmo de resposta artificial e padrões de comunicação que lembram o uso de recursos externos ou de AI em tempo real.

E aqui entra o novo desafio: a avaliação remota.

Na era do trabalho híbrido e das entrevistas por Zoom, algumas pessoas pensam que é possível "esconder" o comportamento através de uma tela. Na prática, às vezes acontece o contrário.

A câmera reduz o ruído de fundo e nos obriga a focar nos microcomportamentos: atrasos na resposta, mudanças de tom, saltos no olhar, sobreajustes, escuta não natural, desconexões entre voz e expressão, congelamento motor e uso excessivo de gestos calculados.

Justamente em um ambiente remoto, quando se sabe o que procurar, é possível identificar indicações muito significativas de confiabilidade, tensão, ocultação, manipulação ou conflito interno.

Mas é importante dizer a verdade profissional: não existe um "sinal mágico" que prove uma mentira. Esse é um dos maiores erros na área.

O perfilamento profissional não se constrói sobre mitos do tipo "tocar no nariz = mentira". Ele se constrói sobre: criar uma linha de base comportamental, identificar anomalias, cruzar fontes de informação, analisar o contexto, compreender motivações e ler a dinâmica e não apenas sinais isolados.

O Embodiment Effect é especialmente importante na identificação de ameaças internas nas organizações, porque as pessoas conseguem controlar as palavras muito mais do que o corpo. E em situações de tensão, conflito de lealdades, sensação de ameaça ou ocultação, o corpo quase sempre "vaza" informação.

O futuro do mundo do perfilamento empresarial não será baseado apenas na tecnologia nem apenas na intuição humana. Será uma combinação de: compreensão comportamental profunda, análise digital, apoio no OSINT, detecção de anomalias e a capacidade humana de ler as pessoas mesmo através de uma tela.

Porque, no fim, mesmo na era da AI, a pessoa ainda deixa uma assinatura comportamental.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Trata-se de três traços de personalidade que no início podem parecer autoconfiança, carisma ou assertividade, mas dentro de uma organização podem se transformar numa verdadeira ameaça interna: o narcisismo, que envolve uma necessidade de admiração, um sentimento de superioridade e dificuldade em aceitar críticas; a manipulação (Machiavellianism), que significa usar as pessoas como ferramentas para alcançar objetivos, sem muita culpa pelo caminho; e a psicopatia funcional, que envolve uma frieza extrema, uma falta de empatia e a capacidade de realizar ações prejudiciais sem consciência.

A parte interessante é que pessoas com esses traços nem sempre fracassam nas entrevistas de emprego. Pelo contrário.

Não raro, são muito impressionantes. Sabem falar. Sabem se vender. Sabem identificar as fraquezas dos outros. E sabem exatamente que figura a organização quer ver à sua frente.

É por isso que penso que um dos maiores desafios hoje no mundo das ameaças internas não é apenas identificar um 'passado problemático', mas compreender padrões de personalidade e de comportamento que no futuro podem se transformar num risco organizacional.

Isso pode se manifestar no vazamento de informações, em prejudicar deliberadamente a organização, em manipular funcionários, em criar uma cultura tóxica, ou simplesmente em tomar decisões perigosas sem nenhuma empatia pelas consequências.

É claro que nem toda pessoa com traços da Tríade Sombria é um criminoso ou uma ameaça interna. Mas quando se combinam o acesso a informações sensíveis, a pressão, o ego, a falta de supervisão e a capacidade manipuladora, obtém-se uma combinação que os gestores precisam conhecer.

E é exatamente aqui que entra o valor de uma avaliação aprofundada, de uma sondagem adequada, de inteligência a partir de fontes de informação abertas e da identificação de sinais de alerta antes que o dano ocorra.

Porque, no fim, a ameaça mais perigosa numa organização normalmente não é quem parece perigoso. Mas sim quem sabe parecer perfeito.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Por exemplo, há culturas em que evitar o contato visual é um sinal de respeito. Para outras, isso logo levanta dúvidas. Há lugares onde a comunicação direta é considerada positiva, enquanto em outros é percebida como grosseira.

E é aqui que entram os vieses.

Quando não temos consciência deles, não estamos realmente analisando a pessoa. Estamos analisando a distância entre ela e nós.

Na elaboração de perfis empresariais, isso é especialmente crítico. Decisões são tomadas sobre pessoas: candidatos, parceiros, fornecedores. Um erro de interpretação pode levar a perder uma pessoa excelente ou, pior ainda, a não identificar um risco real.

Então, o que aprendemos com isso?

Antes de tudo, humildade profissional. Compreender que nem tudo o que nos parece "certo" realmente o é.

Em segundo lugar, o contexto. Perguntar sempre: de onde vem essa pessoa? O comportamento dela combina com a cultura de onde ela vem?

E, por fim, a combinação correta entre ferramentas analíticas e compreensão humana. Sem isso, não há verdadeira objetividade.

Quem lida com pessoas precisa entender culturas. Caso contrário, está simplesmente adivinhando.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Lembro-me de uma época em que o LinkedIn era um lugar muito "limpo". Profissional, calculado, um pouco estéril. Todos escreviam a mesma coisa, todos soavam iguais, e quase não havia ali nada que revelasse de verdade quem era a pessoa por trás do perfil.

E então começou a enshittification.

Mais publicações pessoais. Mais política. Mais opiniões extremas. Mais provocações que ganham exposição porque o algoritmo adora barulho.

Para quem procura uma plataforma puramente profissional, isto parece uma deterioração. E, em grande medida, realmente é.

Mas, do meu ponto de vista, aconteceu aqui algo interessante.

É justamente esse conteúdo "deslocado" que começa a contar a história verdadeira.

Quando verifico alguém no âmbito de uma checagem de antecedentes a partir de fontes de informação abertas, não procuro apenas o que ele faz. Procuro como ele pensa. Como reage. O que o aciona. Onde estão os seus limites.

E essas coisas quase nunca apareciam no antigo LinkedIn.

Hoje estão lá. E em abundância.

Uma publicação política escrita sem filtros, uma resposta agressiva a um debate profissional, a escolha de aderir a uma tendência provocadora, tudo isso já não é "barulho" para mim. São sinais.

O que antes era um deserto árido em termos de compreensão da personalidade tornou-se uma mina de ouro de indicadores comportamentais.

Então sim, o LinkedIn mudou. E talvez não para melhor para quem procura apenas profissionalismo.

Mas para quem entende como ler nas entrelinhas, é uma plataforma que conta muito mais verdade do que antes.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento