OSINT é a sigla em inglês para Open Source Intelligence, ou inteligência de fontes abertas. O nome lembra filme de espionagem, mas descreve algo bem menos dramático: a disciplina de buscar, organizar, verificar e cruzar informações que já estão disponíveis publicamente, de forma legítima, para responder a uma pergunta concreta. Não envolve entrar em contas privadas, quebrar senhas ou acessar bases restritas. Ao contrário: se for preciso violar algo para obter um dado, aquilo já não é OSINT — e, no Brasil, pode ser crime. O artigo 154-A do Código Penal, com redação dada pela Lei nº 14.155/2021, pune com reclusão de um a quatro anos, e multa, quem invade dispositivo informático alheio para obter, adulterar ou destruir dados sem autorização.


A confusão mais comum é achar que "jogar no Google" equivale a fazer OSINT. Não equivale. Um buscador pode ser uma das fontes, mas OSINT é antes de tudo um método. O processo se parece muito com o de um jornalista investigativo sério: encontra-se um dado, identifica-se de onde ele veio, avalia-se a confiabilidade da fonte, cruza-se a informação com outra fonte independente, situa-se o fato no tempo e só então se tira uma conclusão. Pular etapas — ficar com o primeiro resultado que aparece — é exatamente o erro que o método procura evitar.


Um exemplo do dia a dia corporativo

Imagine uma empresa brasileira prestes a fechar contrato com um fornecedor com quem nunca trabalhou. Antes do primeiro pagamento, alguém da área de compras consulta o comprovante de inscrição do CNPJ na Receita Federal para checar situação cadastral, data de abertura, atividade econômica e endereço; verifica na Junta Comercial do estado os atos societários e quem são os sócios; consulta, no Portal da Transparência da Controladoria-Geral da União, o Cadastro de Empresas Inidôneas e Suspensas (CEIS) e o Cadastro Nacional de Empresas Punidas (CNEP); procura menções na imprensa e em decisões judiciais publicadas; e compara o endereço declarado com o que aparece no site e nas redes da empresa. Nenhum desses passos exige acesso a nada privado. É informação que qualquer pessoa pode consultar. A diferença é que quase ninguém se dá ao trabalho de reuni-la, organizá-la e compará-la antes de decidir.


Encontrar não é verificar

É aí que aparece o problema central do OSINT, mais sério do que parece à primeira vista: encontrar uma informação não é o mesmo que verificá-la. O risco mais frequente é o falso positivo. No Brasil, onde sobrenomes como Silva, Santos e Oliveira são extremamente comuns, homônimos são a regra, não a exceção: pode haver duas pessoas com o mesmo nome completo, uma com histórico relevante e outra sem qualquer relação com ele. Pode surgir uma notícia antiga sobre uma investigação que depois foi arquivada, sem que o resultado da busca mostre o desfecho. Pode existir um perfil falso criado com o nome de alguém real, ou duas empresas com razão social parecida, uma séria e outra não. E um dado errado, uma vez publicado, costuma ser replicado em dezenas de sites sem que ninguém volte ao original, criando a falsa sensação de que algo está "confirmado em várias fontes" quando todas repetem o mesmo erro.


O tema das notícias antigas merece atenção especial. Em fevereiro de 2021, ao julgar o Tema 786 de repercussão geral (RE 1.010.606), o Supremo Tribunal Federal afirmou que a ideia de um "direito ao esquecimento" é incompatível com a Constituição, ressalvando que eventuais excessos ou abusos devem ser analisados caso a caso. Na prática, isso significa que notícias verdadeiras e licitamente publicadas continuam acessíveis com o passar do tempo. Para quem faz OSINT, a consequência é dupla: o fato antigo pode ser consultado, mas cabe ao analista checar se ele ainda está atualizado — se houve absolvição, arquivamento ou correção — antes de atribuir qualquer peso a ele.


Público não quer dizer liberado

Há um segundo princípio, menos intuitivo, que a lei brasileira trata de forma expressa: o fato de uma informação ser pública não autoriza seu uso para qualquer finalidade. A LGPD determina que o tratamento de dados pessoais de acesso público "deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização" (art. 7º, § 3º). Dispensa o consentimento para dados "tornados manifestamente públicos pelo titular", mas resguarda seus direitos e os princípios da lei (art. 7º, § 4º). E admite o uso posterior para novas finalidades apenas quando observados "propósitos legítimos e específicos" (art. 7º, § 7º).


A Autoridade Nacional de Proteção de Dados (ANPD) reforçou esse entendimento em 2024, no caso em que suspendeu preventivamente o uso de dados de usuários brasileiros para treinar sistemas de inteligência artificial da Met. No voto que fundamentou a medida, a autoridade registrou que "mesmo dados pessoais publicamente disponíveis são objeto de proteção legal". A suspensão foi revogada meses depois, após a aprovação de um plano de conformidade, mas o princípio ficou estabelecido. Uma publicação antiga em rede social pode ser tecnicamente acessível a qualquer pessoa, e isso não a torna automaticamente legítima para embasar uma desisto de contratação, de crédito ou de negócios. É preciso que o dado tenha propósito definido de antemão e relação direta com o que se avalia. Guardar "por via das dúvidas" algo encontrado sobre alguém é justamente o tipo de uso que a lei procura desestimular.


Onde o método faz sentido

Usado com esse critério, o OSINT é uma ferramenta que várias áreas das empresas já aplicam, muitas vezes sem chamá-la assim: na verificação de antecedentes antes de uma contratação, no compliance, na prevenção a fraudes, na due diligence de fornecedores, na identificação de conflitos de interesses entre um colaborador e um terceiro com quem a empresa negocia e em investigações internas diante de uma suspeita concreta. Em todos os casos, a lógica é a mesma: não se trata de investigar a vida inteira de uma pessoa ou empresa, mas de reunir informações pontuais, de fontes legítimas, para responder a uma pergunta de negócio específica.


Na Validato, empresa especializada em background screening e human risk management, a pesquisa em fontes abertas funciona como complemento à verificação de antecedentes quando surge um dado que precisa de contexto — um homônimo a esclarecer, uma notícia cuja atualidade precisa ser confirmada, uma empresa citada em fontes diferentes que pode ou não ser a mesma entidade. Segundo a empresa, esse trabalho combina coleta de dados com revisão de um analista humano, porque boa parte das decisões difíceis não se resolve de forma automática.


“Hoje o difícil não é encontrar informação, há de sobra. O difícil é saber se você encontrou a pessoa certa, se a fonte é confiável, se o dado continua atual e se ele é realmente relevante para a decisão que precisa ser tomada”, afirma Guido Schenone, Comercial & Growth Manager da Validato.


A conclusão para qualquer empresa brasileira que comece a usar fontes abertas em seus processos de decisão é bastante concreta: ter acesso a um dado não equivale a ter autorização para usá-lo, e encontrar um resultado não equivale a tê-lo verificado. Entre buscar e decidir existe uma etapa intermediária — contrastar, contextualizar, confirmar — que separa uma fonte aberta bem usada de um boato com aparência de investigação.


Fontes e referências consultadas

  1. Data de consulta de todas as fontes: 16/10/2026.
  2. Presidência da República (Planalto). Lei nº 14.155/2021 — nova redação do art. 154-A do Código Penal. https://planalto.gov.br/ccivil_03/_ato2019-2022/2021/Lei/L14155.htm
  3. Presidência da República (Planalto). Lei nº 13.709/2018 (LGPD) — art. 6º e art. 7º, §§ 3º, 4º e 7º. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
  4. Receita Federal. Emissão de Comprovante de Inscrição e de Situação Cadastral (CNPJ). https://solucoes.receita.fazenda.gov.br/servicos/cnpjreva/cnpjreva_solicitacao.asp
  5. Controladoria-Geral da União. Portal da Transparência — Sanções (CEIS, CNEP, CEAF, Acordos de Leniência, CEPIM). https://portaldatransparencia.gov.br/sancoes
  6. Supremo Tribunal Federal. RE 1.010.606/RJ — Tema 786 (direito ao esquecimento), julgado em 11/02/2021. Análise: https://www.migalhas.com.br/depeso/340982/direito-ao-esquecimento-e-a-decisao-do-stf-no-re-1010606rj
  7. Autoridade Nacional de Proteção de Dados. Voto nº 11/2024/DIR-MW/CD (medida preventiva — Meta), 01/07/2024. https://static.poder360.com.br/2024/07/voto-anpd-meta-IA.pdf
  8. Mobile Time. "ANPD suspende medida preventiva contra a Meta", 30/08/2024. https://www.mobiletime.com.br/noticias/30/08/2024/meta-anpd-suspende/
  9. Autoridade Nacional de Proteção de Dados. Guia Orientativo — Hipóteses Legais de Tratamento: Legítimo Interesse, 02/02/2024. Resumo: https://www.mattosfilho.com.br/unico/anpd-legitimo-interesse-lgpd/