Marco Civil da Internet - Lei nº 12.965/2014

O que mais cai

Do que trata o tópico

Este tópico trata da Lei nº 12.965/2014, o Marco Civil da Internet. A lei estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil e fixa as diretrizes para a atuação da União, dos Estados, do Distrito Federal e dos Municípios na matéria.

A apostila segue a ordem da lei. Primeiro vêm os fundamentos, os princípios, os objetivos e as definições. Depois vêm os direitos do usuário, a neutralidade de rede, a guarda de registros e de dados, a responsabilidade dos provedores pelo conteúdo de terceiros e a requisição judicial de registros. No fim, a apostila trata da atuação do poder público e das disposições finais, e traz questões de prova comentadas em cada parte.

Base legal

• Lei nº 12.965/2014, arts. 1º a 6º: objeto, fundamentos, princípios, objetivos, definições e regra de interpretação.
• Lei nº 12.965/2014, arts. 7º e 8º: direitos e garantias dos usuários e cláusulas contratuais nulas.
• Lei nº 12.965/2014, art. 9º: neutralidade de rede.
• Lei nº 12.965/2014, arts. 10 a 17: guarda de registros, de dados pessoais e de comunicações privadas, e sanções.
• Lei nº 12.965/2014, arts. 18 a 21: responsabilidade dos provedores por danos de conteúdo gerado por terceiros.
• Lei nº 12.965/2014, arts. 22 e 23: requisição judicial de registros.
• Lei nº 12.965/2014, arts. 24 a 32: atuação do poder público e disposições finais.

Conteúdo

Disposições preliminares (arts. 1º a 6º)

Antes do Marco Civil, o Brasil não tinha uma lei geral sobre o uso da internet. Um juiz que precisava decidir se uma rede social respondia por uma ofensa publicada por um usuário, ou se uma operadora podia guardar o histórico de navegação dos clientes, decidia com regras gerais do direito civil e do consumidor. O resultado eram decisões diferentes para casos iguais. O Marco Civil existe para dar regras próprias a esse ambiente: quem guarda o quê, por quanto tempo, quem responde por quê e quais direitos o usuário tem.

O art. 1º diz o objeto da lei. Ela estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil e determina as diretrizes para a atuação da União, dos Estados, do Distrito Federal e dos Municípios. A lei vale para todos os entes da Federação, e não só para a União.

Os arts. 2º, 3º e 4º formam a parte que mais confunde o aluno, porque trazem três listas parecidas. O art. 2º traz os fundamentos, isto é, a base sobre a qual a lei se apoia. O art. 3º traz os princípios, que são as normas que orientam a aplicação da lei. O art. 4º traz os objetivos, que são os resultados que a disciplina da internet quer promover.

O fundamento principal está no próprio caput do art. 2º, e os demais estão nos incisos:

Art. 2º A disciplina do uso da internet no Brasil tem como fundamento o respeito à liberdade de expressão, bem como:

I - o reconhecimento da escala mundial da rede;

II - os direitos humanos, o desenvolvimento da personalidade e o exercício da cidadania em meios digitais;

III - a pluralidade e a diversidade;

IV - a abertura e a colaboração;

V - a livre iniciativa, a livre concorrência e a defesa do consumidor; e

VI - a finalidade social da rede.

O respeito à liberdade de expressão aparece no caput, separado dos incisos, e isso mostra o peso que a lei dá a ele. O reconhecimento da escala mundial da rede quer dizer que a internet não para na fronteira do país, e por isso a lei precisa conviver com serviços estrangeiros. A finalidade social da rede indica que a internet serve à sociedade, e não só ao lucro de quem a explora.

Os princípios do art. 3º são estes:

Art. 3º A disciplina do uso da internet no Brasil tem os seguintes princípios:

I - garantia da liberdade de expressão, comunicação e manifestação de pensamento, nos termos da Constituição Federal;

II - proteção da privacidade;

III - proteção dos dados pessoais, na forma da lei;

IV - preservação e garantia da neutralidade de rede;

V - preservação da estabilidade, segurança e funcionalidade da rede, por meio de medidas técnicas compatíveis com os padrões internacionais e pelo estímulo ao uso de boas práticas;

VI - responsabilização dos agentes de acordo com suas atividades, nos termos da lei;

VII - preservação da natureza participativa da rede;

VIII - liberdade dos modelos de negócios promovidos na internet, desde que não conflitem com os demais princípios estabelecidos nesta Lei.

A liberdade de expressão é a única ideia que aparece como fundamento e como princípio ao mesmo tempo. A privacidade, os dados pessoais e a neutralidade de rede são só princípios, e não fundamentos. A prova costuma pôr a privacidade ou a neutralidade na lista de fundamentos, e essa troca torna a afirmação errada.

O inciso VIII tem uma condição que a prova gosta de apagar. A liberdade dos modelos de negócios vale desde que eles não conflitem com os demais princípios da lei. Um modelo de negócio que depende de vigiar o conteúdo dos pacotes de dados dos clientes, por exemplo, conflita com a privacidade e com a neutralidade, e por isso não está protegido pelo inciso VIII.

O parágrafo único do art. 3º diz que a lista não é fechada. Os princípios da lei não excluem outros previstos no ordenamento jurídico pátrio relacionados à matéria ou nos tratados internacionais em que o Brasil seja parte. Por isso, a afirmação de que os princípios do art. 3º são os únicos aplicáveis à internet está errada.

Os objetivos do art. 4º são a promoção do direito de acesso à internet a todos; do acesso à informação, ao conhecimento e à participação na vida cultural e na condução dos assuntos públicos; da inovação e da ampla difusão de novas tecnologias e modelos de uso e acesso; e da adesão a padrões tecnológicos abertos que permitam a comunicação, a acessibilidade e a interoperabilidade entre aplicações e bases de dados. Uma forma simples de separar as três listas é lembrar que o objetivo sempre começa por "promoção" e aponta para o futuro. O acesso à internet a todos é objetivo, e não fundamento nem princípio.

O art. 5º traz as definições que a lei usa no resto do texto. Essas definições caem muito, porque a banca troca uma pela outra:

I - internet: o sistema constituído do conjunto de protocolos lógicos, estruturado em escala mundial para uso público e irrestrito, com a finalidade de possibilitar a comunicação de dados entre terminais por meio de diferentes redes;

II - terminal: o computador ou qualquer dispositivo que se conecte à internet;

III - endereço de protocolo de internet (endereço IP): o código atribuído a um terminal de uma rede para permitir sua identificação, definido segundo parâmetros internacionais;

IV - administrador de sistema autônomo: a pessoa física ou jurídica que administra blocos de endereço IP específicos e o respectivo sistema autônomo de roteamento, devidamente cadastrada no ente nacional responsável pelo registro e distribuição de endereços IP geograficamente referentes ao País;

V - conexão à internet: a habilitação de um terminal para envio e recebimento de pacotes de dados pela internet, mediante a atribuição ou autenticação de um endereço IP;

O terminal é qualquer dispositivo que se conecte, e não só o computador: o celular, o relógio inteligente e a televisão conectada também são terminais. O endereço IP é o código que identifica o terminal na rede, e por isso ele é a peça central de toda investigação de ato ilícito na internet. O administrador de sistema autônomo pode ser pessoa física ou jurídica, e na prática é a empresa que fornece a conexão, como uma operadora de banda larga.

As três últimas definições separam os dois tipos de registro que a lei trata de modo diferente nos arts. 13 a 16. O registro de conexão é o conjunto de informações sobre a data e a hora de início e de término de uma conexão à internet, a sua duração e o endereço IP usado pelo terminal. As aplicações de internet são o conjunto de funcionalidades que podem ser acessadas por meio de um terminal conectado, como redes sociais, sites, aplicativos de mensagem e de banco. O registro de acesso a aplicações de internet é o conjunto de informações sobre a data e a hora de uso de uma determinada aplicação a partir de um determinado endereço IP.

Em resumo, o registro de conexão diz quando o terminal entrou e saiu da internet e com qual IP. O registro de acesso a aplicações diz quando um IP usou uma aplicação específica. Nenhum dos dois registros inclui o conteúdo do que o usuário viu ou escreveu.

A lei não define "provedor", mas usa duas expressões o tempo todo: provedor de conexão e provedor de aplicações. A doutrina majoritária explica que o provedor de conexão é quem habilita o terminal a entrar na internet, e o provedor de aplicações é quem oferece funcionalidades acessadas pela rede, como hospedagem, rede social, buscador e correio eletrônico. A mesma empresa pode ser os dois ao mesmo tempo, e então cada atividade segue a sua regra.

O art. 6º manda que a interpretação da lei leve em conta, além dos fundamentos, princípios e objetivos, a natureza da internet, seus usos e costumes particulares e sua importância para a promoção do desenvolvimento humano, econômico, social e cultural. Isso quer dizer que o juiz não pode ler a lei como se a internet fosse um meio de comunicação igual aos outros. Os usos e costumes da rede também servem de critério.

Na prática, um juiz precisa decidir se o pedido de um usuário para conhecer o IP de quem o ofendeu numa rede social pede o registro de conexão ou o registro de acesso a aplicações. O que a rede social tem é o registro de acesso a aplicações, porque ela sabe em que data e hora a conta foi usada e de qual IP. Com esse IP, a vítima precisa ainda do registro de conexão, que fica com a operadora e liga o IP ao cliente.

Como a banca cobra: a prova troca itens entre as listas de fundamentos, princípios e objetivos, em especial a privacidade, a neutralidade e o acesso a todos. Também troca a definição de registro de conexão pela de registro de acesso a aplicações.

Direitos e garantias dos usuários (arts. 7º e 8º)

O usuário comum não negocia o contrato com a operadora nem com a rede social: ele aceita os termos de uso ou fica sem o serviço. Sem uma lista mínima de direitos, a empresa poderia cortar a conexão por qualquer motivo, vender os dados do cliente ou ler as mensagens dele. Os arts. 7º e 8º criam esse piso de proteção, que nenhum contrato pode retirar.

O caput do art. 7º abre com uma afirmação de valor e depois lista os direitos:

Art. 7º O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados os seguintes direitos:

O acesso à internet é essencial ao exercício da cidadania. A lei usa a palavra "essencial", e a prova às vezes troca por "facultativo" ou "complementar". Os direitos que vêm a seguir podem ser divididos em três grupos: privacidade e sigilo, qualidade e continuidade do serviço, e informação e consentimento sobre dados.

O primeiro grupo trata da privacidade e do sigilo. O inciso I garante a inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente de sua violação. Os incisos II e III tratam do sigilo das comunicações e precisam ser lidos com a letra exata:

II - inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por ordem judicial, na forma da lei;

III - inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por ordem judicial;

O fluxo das comunicações é a comunicação em trânsito, enquanto ela passa pela rede. Quebrar o sigilo do fluxo é interceptar, isto é, captar a mensagem enquanto ela é transmitida, e a lei exige ordem judicial e a forma prevista em lei própria. As comunicações privadas armazenadas são as que já chegaram e ficaram guardadas, como os e-mails na caixa de entrada e as conversas salvas num aplicativo. O acesso a elas também depende de ordem judicial.

A diferença de redação é pequena e cai em prova. O inciso II diz "salvo por ordem judicial, na forma da lei", e o inciso III diz só "salvo por ordem judicial". Nos dois casos, nenhuma autoridade administrativa nem policial pode quebrar o sigilo por conta própria.

O STJ entende que o acesso da polícia às conversas de aplicativo de mensagens guardadas no celular apreendido, sem autorização judicial, é prova ilícita. Esse entendimento aplica a ideia do inciso III: a mensagem armazenada também é protegida, e não só a mensagem em trânsito.

O segundo grupo trata da qualidade e da continuidade do serviço. O inciso IV é o que mais cai:

IV - não suspensão da conexão à internet, salvo por débito diretamente decorrente de sua utilização;

A operadora só pode suspender a conexão por débito diretamente decorrente da utilização da própria internet. Ela não pode cortar a internet por causa de uma dívida do cliente com outro serviço, como a TV por assinatura ou a telefonia, mesmo que o contrato venha em pacote. O inciso V garante a manutenção da qualidade contratada da conexão, e por isso a velocidade contratada é um direito, e não uma promessa.

O inciso VI garante informações claras e completas nos contratos de prestação de serviços, com detalhamento sobre o regime de proteção aos registros de conexão e aos registros de acesso a aplicações e sobre as práticas de gerenciamento da rede que possam afetar a qualidade. O inciso XI garante a publicidade e a clareza das políticas de uso dos provedores de conexão e de aplicações.

O terceiro grupo trata dos dados pessoais. O inciso VII proíbe o fornecimento dos dados a terceiros:

VII - não fornecimento a terceiros de seus dados pessoais, inclusive registros de conexão, e de acesso a aplicações de internet, salvo mediante consentimento livre, expresso e informado ou nas hipóteses previstas em lei;

O inciso VII deixa claro que os registros de conexão e de acesso a aplicações também são dados pessoais protegidos. O fornecimento a terceiros só é possível em duas situações: com consentimento livre, expresso e informado, ou nas hipóteses previstas em lei. O consentimento precisa ter as três qualidades ao mesmo tempo. Consentimento tácito, isto é, presumido pelo silêncio do usuário, não basta.

O inciso VIII garante informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção dos dados pessoais, e limita as finalidades de uso:

VIII - informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais, que somente poderão ser utilizados para finalidades que:

a) justifiquem sua coleta;

b) não sejam vedadas pela legislação; e

c) estejam especificadas nos contratos de prestação de serviços ou em termos de uso de aplicações de internet;

As três alíneas são ligadas por "e", e por isso a finalidade precisa cumprir as três ao mesmo tempo. Uma finalidade apenas lícita, mas não especificada no contrato, não autoriza o uso do dado.

O inciso IX exige consentimento expresso sobre coleta, uso, armazenamento e tratamento de dados pessoais, que deve ocorrer de forma destacada das demais cláusulas contratuais. Uma cláusula escondida no meio de um termo de uso longo não cumpre a lei, porque o consentimento precisa estar em destaque.

O inciso X garante a exclusão dos dados, com dois limites que a prova costuma apagar:

X - exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei e na que dispõe sobre a proteção de dados pessoais;

A exclusão depende de requerimento do usuário e ocorre ao término da relação entre as partes. Ela não alcança os registros que a lei manda guardar, como o registro de acesso a aplicações que o art. 15 obriga a manter. Por isso, o usuário que apaga a conta de uma rede social não consegue apagar no mesmo dia os registros de acesso que a empresa tem o dever de guardar.

Os dois últimos incisos completam a lista. O inciso XII garante acessibilidade, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, nos termos da lei. O inciso XIII manda aplicar as normas de proteção e defesa do consumidor nas relações de consumo realizadas na internet.

O STJ entende que a relação entre o usuário e o provedor de aplicações é de consumo mesmo quando o serviço é gratuito, porque o provedor ganha de forma indireta, com publicidade e com os dados do usuário. Esse entendimento aplica o inciso XIII a redes sociais e buscadores gratuitos.

O art. 8º liga a privacidade e a liberdade de expressão ao próprio acesso à internet:

Art. 8º A garantia do direito à privacidade e à liberdade de expressão nas comunicações é condição para o pleno exercício do direito de acesso à internet.

Parágrafo único. São nulas de pleno direito as cláusulas contratuais que violem o disposto no caput, tais como aquelas que:

I - impliquem ofensa à inviolabilidade e ao sigilo das comunicações privadas, pela internet; ou

II - em contrato de adesão, não ofereçam como alternativa ao contratante a adoção do foro brasileiro para solução de controvérsias decorrentes de serviços prestados no Brasil.

A cláusula que viola o art. 8º é nula de pleno direito, isto é, não produz efeito nenhum, e o juiz pode reconhecer a nulidade sem que a parte precise pedir a anulação. A expressão "tais como" mostra que a lista do parágrafo único é exemplificativa: outras cláusulas que violem a privacidade ou a liberdade de expressão também são nulas.

O inciso II do parágrafo único tem três condições que precisam ser lidas juntas. Ele vale para o contrato de adesão, para controvérsias sobre serviços prestados no Brasil, e torna nula a cláusula que não oferece o foro brasileiro como alternativa. A lei não proíbe a cláusula de foro estrangeiro em si: ela exige que o contratante tenha a opção do foro brasileiro.

Na prática, Joana contrata internet e TV por assinatura da operadora inventada Conecta Mais e deixa de pagar só a parcela da TV. A operadora corta a internet de Joana. O corte é ilegal, porque a lei só permite suspender a conexão por débito diretamente decorrente da utilização da internet.

Como a banca cobra: a prova tira "na forma da lei" do inciso II ou o acrescenta ao inciso III, e muda a causa de suspensão da conexão. Também troca "expresso" por "tácito" no consentimento e diz que a lista de cláusulas nulas do art. 8º é taxativa.

Neutralidade de rede (art. 9º)

Imagine que a operadora de internet tem uma parceria com um serviço de vídeo e deixa os vídeos desse parceiro rápidos e os do concorrente lentos. O cliente pagou pela conexão, mas é a operadora que escolhe o que ele assiste bem. A neutralidade de rede existe para impedir isso: quem transporta os dados não pode escolher quais dados passam melhor.

A regra está no caput do art. 9º:

Art. 9º O responsável pela transmissão, comutação ou roteamento tem o dever de tratar de forma isonômica quaisquer pacotes de dados, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação.

Tratar de forma isonômica quer dizer tratar de modo igual. O dever vale para quem transmite, comuta ou roteia os pacotes, e não só para quem vende o acesso ao cliente. A lista de critérios proibidos é ampla: conteúdo, origem e destino, serviço, terminal ou aplicação. A neutralidade também é um princípio do art. 3º.

A neutralidade não é absoluta. O § 1º permite a discriminação ou a degradação do tráfego, isto é, tratar um pacote de forma diferente ou piorar a sua passagem, em dois casos só:

§ 1º A discriminação ou degradação do tráfego será regulamentada nos termos das atribuições privativas do Presidente da República previstas no inciso IV do art. 84 da Constituição Federal, para a fiel execução desta Lei, ouvidos o Comitê Gestor da Internet e a Agência Nacional de Telecomunicações, e somente poderá decorrer de:

I - requisitos técnicos indispensáveis à prestação adequada dos serviços e aplicações; e

II - priorização de serviços de emergência.

O § 1º tem três informações que caem. A primeira é quem regulamenta: o Presidente da República, por decreto, no uso da atribuição privativa do art. 84, IV, da Constituição. A segunda é quem é ouvido antes: o Comitê Gestor da Internet e a Agência Nacional de Telecomunicações, a Anatel. A terceira é a lista de causas, que é fechada por causa da palavra "somente".

A prova costuma dizer que a Anatel regulamenta a neutralidade, e isso está errado: a Anatel só é ouvida, ao lado do Comitê Gestor. A prova também acrescenta causas que não estão na lei, como o interesse comercial, a parceria com outra empresa ou o plano mais caro do cliente.

O requisito técnico indispensável é uma necessidade da própria rede, como conter um ataque que ameaça a estabilidade do serviço. A priorização de serviços de emergência permite, por exemplo, dar preferência às comunicações de socorro durante um desastre.

Mesmo quando a discriminação é permitida, o responsável tem deveres:

I - abster-se de causar dano aos usuários, na forma do art. 927 da Lei nº 10.406, de 10 de janeiro de 2002 - Código Civil;

II - agir com proporcionalidade, transparência e isonomia;

III - informar previamente de modo transparente, claro e suficientemente descritivo aos seus usuários sobre as práticas de gerenciamento e mitigação de tráfego adotadas, inclusive as relacionadas à segurança da rede; e

IV - oferecer serviços em condições comerciais não discriminatórias e abster-se de praticar condutas anticoncorrenciais.

Os quatro deveres do § 2º são cumulativos: o provedor cumpre todos. O aviso ao usuário é prévio, e não posterior. O inciso IV liga a neutralidade ao direito da concorrência, porque proíbe condições comerciais discriminatórias.

O § 3º traz uma proibição separada, que protege a privacidade do conteúdo:

§ 3º Na provisão de conexão à internet, onerosa ou gratuita, bem como na transmissão, comutação ou roteamento, é vedado bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados, respeitado o disposto neste artigo.

A proibição vale para a conexão onerosa, isto é, paga, e para a gratuita. O Wi-Fi gratuito de uma praça pública ou de uma lanchonete também não pode bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes. Os quatro verbos são diferentes entre si, e a prova costuma tirar um deles ou trocar "conteúdo" por outro elemento.

Na prática, a operadora inventada Rede Sul passa a deixar mais lento o tráfego de um aplicativo de chamadas de vídeo concorrente do seu próprio serviço de telefonia. A operadora viola o art. 9º, porque a degradação só pode decorrer de requisito técnico indispensável ou de priorização de serviço de emergência. Ela viola também o dever de não praticar condutas anticoncorrenciais.

Como a banca cobra: a prova troca o Presidente da República pela Anatel na regulamentação e acrescenta causas de discriminação que a lei não prevê. Também diz que a vedação do § 3º vale só para a conexão paga.

Proteção de registros, dados pessoais e comunicações privadas (arts. 10 a 17)

Toda investigação de crime na internet depende de registros: sem saber qual IP fez a publicação e a qual cliente esse IP pertencia, a vítima não descobre o autor. Ao mesmo tempo, registros guardados para sempre e entregues a qualquer um seriam uma ameaça à privacidade de todos. Os arts. 10 a 17 equilibram essas duas necessidades com três ideias: quem guarda cada registro, por quanto tempo, e quem pode ter acesso a ele.

O art. 10 fixa a regra geral de proteção:

Art. 10. A guarda e a disponibilização dos registros de conexão e de acesso a aplicações de internet de que trata esta Lei, bem como de dados pessoais e do conteúdo de comunicações privadas, devem atender à preservação da intimidade, da vida privada, da honra e da imagem das partes direta ou indiretamente envolvidas.

A proteção alcança as partes direta ou indiretamente envolvidas, e não só o usuário que gerou o registro. Os parágrafos do art. 10 tratam de quatro coisas diferentes, e cada uma tem a sua regra de acesso.

O § 1º trata dos registros. O provedor responsável pela guarda só é obrigado a disponibilizá-los, sozinhos ou associados a dados pessoais que permitam identificar o usuário ou o terminal, mediante ordem judicial. O § 2º trata do conteúdo das comunicações privadas, que também só pode ser disponibilizado mediante ordem judicial, nas hipóteses e na forma que a lei estabelecer.

O § 3º traz a exceção que mais cai:

§ 3º O disposto no caput não impede o acesso aos dados cadastrais que informem qualificação pessoal, filiação e endereço, na forma da lei, pelas autoridades administrativas que detenham competência legal para a sua requisição.

Os dados cadastrais são só três: qualificação pessoal, filiação e endereço. A autoridade administrativa com competência legal pode requisitá-los sem ordem judicial. O registro de conexão, o registro de acesso e o conteúdo das comunicações continuam dependendo de ordem judicial.

O § 4º manda que o responsável pela provisão de serviços informe de forma clara as medidas e os procedimentos de segurança e de sigilo, que devem atender a padrões definidos em regulamento. A lei respeita o direito do provedor à confidencialidade quanto a segredos empresariais.

O art. 11 trata do alcance territorial da lei brasileira. Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, de dados pessoais ou de comunicações por provedores de conexão e de aplicações, basta que pelo menos um desses atos ocorra em território nacional para que a legislação brasileira e os direitos à privacidade, à proteção dos dados e ao sigilo sejam obrigatoriamente respeitados. Uma empresa não escapa da lei brasileira só porque guarda os dados num servidor no exterior.

O § 1º aplica a regra aos dados coletados no território nacional e ao conteúdo das comunicações, desde que pelo menos um dos terminais esteja no Brasil. O § 2º vai além:

§ 2º O disposto no caput aplica-se mesmo que as atividades sejam realizadas por pessoa jurídica sediada no exterior, desde que oferte serviço ao público brasileiro ou pelo menos uma integrante do mesmo grupo econômico possua estabelecimento no Brasil.

As duas condições do § 2º são alternativas, ligadas por "ou": basta ofertar serviço ao público brasileiro, ou basta ter uma empresa do mesmo grupo com estabelecimento no Brasil. A prova costuma exigir as duas ao mesmo tempo, e isso está errado. O § 3º obriga os provedores a prestar, na forma da regulamentação, informações que permitam verificar o cumprimento da legislação brasileira, e o § 4º remete a decreto o procedimento para apurar infrações ao artigo.

O art. 12 traz as sanções para quem viola os arts. 10 e 11. Elas valem sem prejuízo das demais sanções cíveis, criminais ou administrativas e podem ser aplicadas de forma isolada ou cumulativa:

I - advertência, com indicação de prazo para adoção de medidas corretivas;

II - multa de até 10% (dez por cento) do faturamento do grupo econômico no Brasil no seu último exercício, excluídos os tributos, considerados a condição econômica do infrator e o princípio da proporcionalidade entre a gravidade da falta e a intensidade da sanção;

III - suspensão temporária das atividades que envolvam os atos previstos no art. 11; ou

IV - proibição de exercício das atividades que envolvam os atos previstos no art. 11.

A multa tem quatro detalhes que a prova troca. Ela é de até 10%, e não de exatamente 10%; incide sobre o faturamento do grupo econômico no Brasil, e não sobre o faturamento mundial; considera o último exercício; e exclui os tributos. A suspensão é temporária, e a proibição é definitiva, e as duas alcançam só as atividades ligadas aos atos do art. 11.

O parágrafo único do art. 12 trata da empresa estrangeira. A filial, sucursal, escritório ou estabelecimento situado no País responde solidariamente pelo pagamento da multa. Responder solidariamente quer dizer que o credor pode cobrar a multa inteira da filial brasileira, sem precisar cobrar antes a matriz no exterior.

Agora vêm os prazos de guarda, que são o ponto mais cobrado de toda a lei. O art. 13 trata do registro de conexão:

Art. 13. Na provisão de conexão à internet, cabe ao administrador de sistema autônomo respectivo o dever de manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano, nos termos do regulamento.

Quem guarda o registro de conexão é o administrador de sistema autônomo, em regra a operadora que fornece a conexão. O prazo é de 1 ano, e a guarda é feita sob sigilo, em ambiente controlado e de segurança. Essa responsabilidade não pode ser transferida a terceiros.

O art. 13 permite estender o prazo por pedido cautelar, isto é, um pedido urgente para evitar que a prova se perca. A autoridade policial ou administrativa ou o Ministério Público pode requerer cautelarmente que os registros de conexão sejam guardados por prazo superior a 1 ano. Esse pedido só garante a guarda, e não dá acesso ao registro.

§ 3º Na hipótese do § 2º, a autoridade requerente terá o prazo de 60 (sessenta) dias, contados a partir do requerimento, para ingressar com o pedido de autorização judicial de acesso aos registros previstos no caput.

A autoridade tem 60 dias, contados do requerimento, para pedir ao juiz a autorização de acesso. O provedor mantém sigilo sobre o requerimento, e o requerimento perde a eficácia se o pedido judicial for indeferido ou não for protocolado em 60 dias. Em qualquer hipótese, a entrega dos registros ao requerente depende de autorização judicial.

O § 6º do art. 13 lista o que o aplicador considera ao punir quem descumpre o artigo: a natureza e a gravidade da infração, os danos resultantes, a eventual vantagem auferida pelo infrator, as circunstâncias agravantes, os antecedentes do infrator e a reincidência. O § 4º do art. 15 repete a mesma lista para os registros de acesso a aplicações.

O art. 14 traz uma proibição curta e muito cobrada:

Art. 14. Na provisão de conexão, onerosa ou gratuita, é vedado guardar os registros de acesso a aplicações de internet.

A operadora de conexão guarda o registro de conexão, mas não pode guardar o registro de acesso a aplicações. A ideia é impedir que a mesma empresa saiba quando o cliente entrou na internet e também quais aplicações ele usou. A proibição vale para a conexão paga e para a gratuita.

O art. 15 trata do registro de acesso a aplicações:

Art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento.

O dever do art. 15 não vale para todo provedor de aplicações. Ele vale para quem cumpre quatro requisitos ao mesmo tempo:

• é pessoa jurídica;
• exerce a atividade de forma organizada;
• exerce a atividade profissionalmente;
• tem fins econômicos.

O prazo é de 6 meses. A pessoa física que mantém um blog pessoal sem fins econômicos não tem o dever de guardar esses registros. Para quem fica fora do caput, o § 1º permite que uma ordem judicial obrigue a guarda por tempo certo, desde que se trate de registros relativos a fatos específicos em período determinado.

O § 2º do art. 15 repete a guarda cautelar do art. 13. A autoridade policial ou administrativa ou o Ministério Público pode requerer a qualquer provedor de aplicações que guarde os registros de acesso, inclusive por prazo superior a 6 meses, observados os §§ 3º e 4º do art. 13. Isso quer dizer que vale o mesmo prazo de 60 dias para pedir a autorização judicial e o mesmo dever de sigilo. A entrega ao requerente, também aqui, depende de autorização judicial.

O § 2º do art. 15 alcança "qualquer provedor de aplicações", e não só o do caput. Por isso, a autoridade pode pedir a guarda cautelar até a um provedor sem fins econômicos.

O art. 16 proíbe dois tipos de guarda pelo provedor de aplicações, oneroso ou gratuito:

I - dos registros de acesso a outras aplicações de internet sem que o titular dos dados tenha consentido previamente, respeitado o disposto no art. 7º; ou

II - de dados pessoais que sejam excessivos em relação à finalidade para a qual foi dado consentimento pelo seu titular, exceto nas hipóteses previstas na Lei que dispõe sobre a proteção de dados pessoais.

O inciso I impede que um aplicativo registre, sem consentimento prévio, quais outros aplicativos o usuário acessa. O inciso II aplica a ideia de necessidade: o provedor não guarda mais dados do que a finalidade consentida pede, salvo as exceções da lei de proteção de dados pessoais. Um aplicativo de lanterna que guarda a lista de contatos do usuário viola esse inciso.

O art. 17 fecha a seção. Ressalvadas as hipóteses previstas na lei, a opção por não guardar os registros de acesso a aplicações não implica responsabilidade sobre danos decorrentes do uso desses serviços por terceiros. Em outras palavras, o provedor que não tem o dever do art. 15 e não guarda os registros não responde pelo dano só por não ter guardado.

O STJ entende que o provedor de aplicações que tem o dever de guarda deve fornecer, por ordem judicial, os dados que permitam identificar o usuário, como o IP e a data e a hora do acesso. Esse entendimento é a ponte entre os arts. 15 e 22: a ordem judicial é o caminho para chegar ao registro guardado.

Na prática, Carlos é ofendido por um perfil falso numa rede social. Ele pede ao juiz que a rede social entregue o IP e a data e a hora de criação do perfil, que estão nos registros de acesso guardados por 6 meses. Depois, com o IP em mãos, ele pede ao juiz que a operadora informe a qual cliente aquele IP pertencia, com base no registro de conexão guardado por 1 ano. Se Carlos demorar mais de 6 meses, a rede social pode já não ter os registros, salvo se tiver havido pedido de guarda.

Como a banca cobra: a prova inverte os prazos de 1 ano e de 6 meses e troca quem guarda cada registro. Também tira um requisito do art. 15, troca a base de cálculo da multa e diz que os dados cadastrais exigem ordem judicial.

Responsabilidade por danos de conteúdo gerado por terceiros (arts. 18 a 21)

Uma pessoa publica numa rede social um texto que ofende outra. A vítima pode processar o autor, mas muitas vezes quer também processar a rede social, que tem mais dinheiro e é fácil de achar. Se a rede social respondesse por tudo o que os usuários publicam, ela passaria a apagar qualquer texto polêmico por medo, e isso viraria censura privada. Os arts. 18 a 21 decidem quando o provedor responde pelo conteúdo que outra pessoa criou.

O provedor de conexão nunca responde pelo conteúdo de terceiros:

Art. 18. O provedor de conexão à internet não será responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros.

A operadora que leva o cliente à internet só transporta os dados e não escolhe o que o cliente publica. Por isso, a lei afasta a responsabilidade civil dela pelo conteúdo de terceiros, sem exceção.

O provedor de aplicações segue a regra do art. 19:

Art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as disposições legais em contrário.

O art. 19 adota o modelo de ordem judicial e retirada. O provedor de aplicações só responde se, depois de uma ordem judicial específica, não retirar o conteúdo no prazo e nos limites técnicos do seu serviço. Pela letra do art. 19, a responsabilidade não nasce da publicação nem do simples aviso da vítima: ela nasce do descumprimento da ordem. O STF mudou essa regra para a maioria dos casos; veja o entendimento do STF no fim desta parte.

O próprio artigo diz a razão da regra: assegurar a liberdade de expressão e impedir a censura. A ideia é que o juiz, e não a empresa, decida se o conteúdo é ilícito. A ressalva final, "ressalvadas as disposições legais em contrário", permite que outra lei crie regra diferente.

A ordem precisa ser específica, e o § 1º diz o que isso quer dizer:

§ 1º A ordem judicial de que trata o caput deverá conter, sob pena de nulidade, identificação clara e específica do conteúdo apontado como infringente, que permita a localização inequívoca do material.

A ordem genérica, como "retire todas as ofensas a Fulano", é nula. O STJ entende que a identificação clara e específica do conteúdo exige, em regra, a indicação do endereço eletrônico exato da página, a URL. O STJ também entende que o provedor de aplicações não tem o dever de fiscalizar antes o conteúdo publicado pelos usuários.

Os outros parágrafos do art. 19 tratam de casos especiais. O § 2º diz que a aplicação do artigo às infrações a direitos de autor ou a direitos conexos depende de previsão legal específica, que deve respeitar a liberdade de expressão e as garantias do art. 5º da Constituição. Enquanto essa lei não vem, o art. 31 manda aplicar a legislação autoral vigente na data da entrada em vigor do Marco Civil.

O § 3º permite que as causas sobre ressarcimento por danos de conteúdo ligado à honra, à reputação ou a direitos de personalidade, e as causas sobre a indisponibilização desse conteúdo, sejam apresentadas perante os juizados especiais. A lei usa "poderão": o juizado é uma opção da vítima, e não um caminho obrigatório.

O § 4º trata da tutela antecipada, isto é, da decisão urgente que adianta o efeito do pedido antes do fim do processo:

§ 4º O juiz, inclusive no procedimento previsto no § 3º, poderá antecipar, total ou parcialmente, os efeitos da tutela pretendida no pedido inicial, existindo prova inequívoca do fato e considerado o interesse da coletividade na disponibilização do conteúdo na internet, desde que presentes os requisitos de verossimilhança da alegação do autor e de fundado receio de dano irreparável ou de difícil reparação.

O juiz pode antecipar os efeitos no todo ou em parte, inclusive no juizado especial. Os requisitos são:

• prova inequívoca do fato;
• consideração do interesse da coletividade na disponibilização do conteúdo;
• verossimilhança da alegação do autor;
• fundado receio de dano irreparável ou de difícil reparação.

O art. 20 protege o autor do conteúdo retirado. Sempre que tiver informações de contato do usuário responsável, o provedor de aplicações deve comunicar a ele os motivos e as informações da indisponibilização, de modo que ele possa exercer o contraditório e a ampla defesa em juízo. A comunicação não é feita se houver expressa previsão legal ou expressa determinação judicial fundamentada em contrário.

O parágrafo único do art. 20 vale para o provedor que exerce a atividade de forma organizada, profissionalmente e com fins econômicos. Quando o usuário que publicou o conteúdo pede, esse provedor substitui o conteúdo indisponível pela motivação ou pela ordem judicial que fundamentou a retirada.

O art. 21 é a exceção mais cobrada ao modelo do art. 19:

Art. 21. O provedor de aplicações de internet que disponibilize conteúdo gerado por terceiros será responsabilizado subsidiariamente pela violação da intimidade decorrente da divulgação, sem autorização de seus participantes, de imagens, de vídeos ou de outros materiais contendo cenas de nudez ou de atos sexuais de caráter privado quando, após o recebimento de notificação pelo participante ou seu representante legal, deixar de promover, de forma diligente, no âmbito e nos limites técnicos do seu serviço, a indisponibilização desse conteúdo.

No art. 21 basta a notificação do participante ou do seu representante legal, sem ordem judicial. O modelo é o de notificação e retirada. O provedor responde se, depois da notificação, deixar de retirar o conteúdo de forma diligente.

O art. 21 tem quatro detalhes que caem em prova. A responsabilidade é subsidiária, isto é, o provedor só paga se o responsável principal, o autor da divulgação, não pagar; ela não é solidária. O conteúdo é de nudez ou de atos sexuais de caráter privado, divulgado sem autorização dos participantes. Quem notifica é o participante ou seu representante legal, e não qualquer pessoa.

A notificação também tem requisitos. Ela deve conter, sob pena de nulidade, elementos que permitam a identificação específica do material e a verificação da legitimidade de quem pede. A palavra "nulidade" aparece nos dois artigos: no art. 19 ela atinge a ordem judicial genérica, e no art. 21 atinge a notificação sem os elementos exigidos.

O STF julgou a validade do art. 19 e entende que ele é parcialmente inconstitucional, porque a regra da ordem judicial, aplicada a todos os casos, não protege o bastante os direitos fundamentais e a democracia. Até que o Congresso aprove nova lei, o STF fixou as regras abaixo, que a prova cobra junto com a letra da lei.

• Em regra, nos casos de crime ou de ato ilícito, o provedor de aplicações responde se, depois de notificação extrajudicial, não retirar o conteúdo, como no modelo do art. 21.
• Nos crimes contra a honra, como calúnia, difamação e injúria, continua valendo o art. 19: o provedor só responde depois de descumprir ordem judicial, embora possa retirar o conteúdo a partir de notificação.
• Nos anúncios e impulsionamentos pagos e nas redes artificiais de distribuição, como robôs, a responsabilidade do provedor é presumida e não depende de notificação, salvo se ele provar que agiu com diligência e em tempo razoável para retirar o conteúdo.
• Quando uma decisão judicial já reconheceu que um conteúdo é ofensivo, os provedores de redes sociais devem retirar as publicações com conteúdo idêntico a partir de notificação, sem nova decisão judicial.
• O art. 19 continua valendo, por inteiro, para o correio eletrônico, para as aplicações de reunião fechada por vídeo ou voz e para os serviços de mensagem privada, nas conversas entre pessoas.

O STF também entende que o provedor tem um dever de cuidado diante de conteúdos ilícitos graves que circulam em massa, como atos contra a democracia, terrorismo, incitação ao suicídio, discriminação, crimes contra a mulher e crimes sexuais contra crianças. Nesses casos, o provedor responde se houver falha sistêmica, isto é, se ele não adotar medidas adequadas de prevenção e retirada, e não por uma publicação isolada. O art. 18 não foi atingido: o provedor de conexão continua sem responder pelo conteúdo de terceiros.

Na prática, Bia descobre que um ex-namorado publicou num site de vídeos inventado, o VidaTube, um vídeo íntimo dela gravado em ambiente privado. Bia notifica o site, identifica o vídeo de forma específica e mostra que é a pessoa que aparece nele. Se o site não retirar o vídeo de forma diligente, ele responde de forma subsidiária pela violação da intimidade, sem que Bia precise de ordem judicial.

Como a banca cobra: a prova troca o provedor de conexão pelo de aplicações, troca "subsidiariamente" por "solidariamente" no art. 21 e diz que o art. 21 exige ordem judicial. Também cobra os casos em que o STF afastou a exigência de ordem judicial.

Requisição judicial de registros (arts. 22 e 23)

Os arts. 13 e 15 mandam guardar os registros, mas a entrega deles depende de ordem judicial. Os arts. 22 e 23 dizem como pedir essa ordem e como o juiz protege o sigilo depois. A lei quer que o registro só saia do provedor quando houver motivo sério e controle de um juiz.

O art. 22 diz quem pede, para quê e em que processo:

Art. 22. A parte interessada poderá, com o propósito de formar conjunto probatório em processo judicial cível ou penal, em caráter incidental ou autônomo, requerer ao juiz que ordene ao responsável pela guarda o fornecimento de registros de conexão ou de registros de acesso a aplicações de internet.

Quem pede é a parte interessada, e não só a autoridade policial ou o Ministério Público. O pedido serve para formar prova em processo cível ou penal. Ele pode ser incidental, isto é, feito dentro de um processo que já existe, ou autônomo, isto é, feito num processo próprio só para obter os registros.

O requerimento tem três requisitos, e a falta de qualquer um leva à inadmissibilidade, sem prejuízo dos demais requisitos legais:

I - fundados indícios da ocorrência do ilícito;

II - justificativa motivada da utilidade dos registros solicitados para fins de investigação ou instrução probatória; e

III - período ao qual se referem os registros.

Os três requisitos impedem o pedido genérico, do tipo "entregue todos os registros do usuário". O requerente precisa mostrar indícios do ilícito, explicar por que os registros são úteis e indicar o período. A consequência da falta de requisito é a inadmissibilidade do requerimento, e não a nulidade.

O art. 23 trata do sigilo depois da entrega. Cabe ao juiz tomar as providências necessárias à garantia do sigilo das informações recebidas e à preservação da intimidade, da vida privada, da honra e da imagem do usuário. O juiz pode determinar segredo de justiça, inclusive quanto aos pedidos de guarda de registro.

Na prática, a empresa inventada Doce Lar sofre uma campanha de avaliações falsas numa plataforma de compras e quer saber quem as publicou. A empresa ajuíza uma ação autônoma pedindo que a plataforma forneça os registros de acesso das contas que publicaram as avaliações. O pedido indica as avaliações, mostra por que os registros vão identificar os autores e delimita o período, e por isso cumpre os três requisitos.

Como a banca cobra: a prova limita o pedido à autoridade policial ou ao processo penal e tira um dos três requisitos. Também troca a inadmissibilidade pela nulidade e diz que o segredo de justiça não alcança os pedidos de guarda.

Atuação do poder público (arts. 24 a 28) e disposições finais

Os arts. 24 a 28 dizem como a União, os Estados, o Distrito Federal e os Municípios devem agir para desenvolver a internet no país. São regras de orientação, sem sanção, e por isso aparecem pouco na prova. Quando aparecem, a prova pede o reconhecimento de uma diretriz da lista.

As diretrizes do art. 24 são estas:

• mecanismos de governança multiparticipativa, transparente, colaborativa e democrática, com a participação do governo, do setor empresarial, da sociedade civil e da comunidade acadêmica;
• racionalização da gestão, expansão e uso da internet, com participação do Comitê Gestor da internet no Brasil;
• racionalização e interoperabilidade tecnológica dos serviços de governo eletrônico, entre os diferentes Poderes e âmbitos da Federação;
• interoperabilidade entre sistemas e terminais diversos, inclusive entre os diferentes âmbitos federativos e diversos setores da sociedade;
• adoção preferencial de tecnologias, padrões e formatos abertos e livres;
• publicidade e disseminação de dados e informações públicos, de forma aberta e estruturada;
• otimização da infraestrutura das redes e estímulo à implantação de centros de armazenamento, gerenciamento e disseminação de dados no País;
• desenvolvimento de ações e programas de capacitação para uso da internet;
• promoção da cultura e da cidadania;
• prestação de serviços públicos de atendimento ao cidadão de forma integrada, eficiente, simplificada e por múltiplos canais de acesso, inclusive remotos.

Dois detalhes caem. A governança multiparticipativa inclui quatro setores: o governo, o setor empresarial, a sociedade civil e a comunidade acadêmica. A adoção de tecnologias abertas e livres é preferencial, e não obrigatória nem exclusiva.

O art. 25 lista o que as aplicações de internet do poder público devem buscar: compatibilidade com diversos terminais, sistemas operacionais e aplicativos; acessibilidade a todos os interessados, resguardados os aspectos de sigilo e as restrições administrativas e legais; compatibilidade tanto com a leitura humana quanto com o tratamento automatizado das informações; facilidade de uso; e fortalecimento da participação social nas políticas públicas. A compatibilidade com o tratamento automatizado permite que outros sistemas leiam os dados públicos sem digitação manual.

O art. 26 diz que o dever do Estado na educação, em todos os níveis de ensino, inclui a capacitação para o uso seguro, consciente e responsável da internet, integrada a outras práticas educacionais. O art. 27 manda que as iniciativas públicas de fomento à cultura digital promovam a inclusão digital, busquem reduzir as desigualdades, sobretudo entre as regiões do País, e fomentem a produção e circulação de conteúdo nacional. O art. 28 manda o Estado formular e fomentar estudos e fixar metas, estratégias, planos e cronogramas sobre o uso e o desenvolvimento da internet, de forma periódica.

As disposições finais trazem quatro regras. O art. 29 dá ao usuário a livre escolha de programa de computador para o controle parental de conteúdo que ele entenda impróprio aos filhos menores, respeitados os princípios da lei e do Estatuto da Criança e do Adolescente. O parágrafo único cabe ao poder público, em conjunto com os provedores e a sociedade civil, e trata da educação sobre esses programas e da inclusão digital de crianças e adolescentes.

O art. 30 permite que a defesa dos interesses e direitos da lei seja exercida em juízo, individual ou coletivamente, na forma da lei. O art. 31 trata da regra de transição para os direitos de autor, já vista na parte da responsabilidade. O art. 32 diz que a lei entra em vigor depois de decorridos 60 dias de sua publicação oficial. O prazo entre a publicação e a vigência se chama vacatio legis.

Como a banca cobra: a prova troca "preferencial" por "obrigatória" nos formatos abertos e tira um setor da governança multiparticipativa. Também troca o prazo de vigência de 60 dias.

Quadros e comparações

A primeira tabela separa as três listas das disposições preliminares, com os itens que a prova mais troca.

A segunda tabela compara os dois registros que a lei manda guardar.

A terceira tabela compara as regras de responsabilidade pelo conteúdo de terceiros.

A quarta tabela mostra o acesso a cada tipo de informação.

Para decorar

Pegadinhas

Fontes e data

• [1] Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet), arts. 1º a 32.

Texto conferido com a lei em 13/10/2026.