Marco Civil da Internet: princípios, direitos e deveres

1. Mapa do problema: quem faz o quê com qual informação?

Considere uma situação hipotética. Ana acessa uma rede social pelo celular de casa, publica uma mensagem e, dias depois, uma investigação precisa descobrir de onde partiu determinado acesso. Em seguida, alguém pede à plataforma que retire uma postagem.

Há problemas diferentes dentro da mesma história. Antes de procurar um artigo, separe quatro perguntas:

1. quem é o ator? — usuário, provedor de conexão, provedor de aplicação, poder público ou autoridade;
2. qual é o objeto? — dado cadastral, registro técnico, comunicação privada ou conteúdo publicado;
3. qual é o verbo? — guardar, preservar, disponibilizar, remover ou responsabilizar;
4. qual é o regime aplicável? — regra da Lei nº 12.965/2014, interpretação do STF ou regulamentação posterior.

O MCI estabelece princípios, garantias, direitos e deveres para o uso da internet e diretrizes ao poder público; não é um código de crimes digitais nem uma lei exclusiva de redes sociais ou proteção de dados.

Duas distinções evitam boa parte dos erros:

• conexão coloca um terminal em condições de enviar e receber dados pela internet;
• aplicação oferece uma funcionalidade que pode ser usada por um terminal conectado, como correio eletrônico, armazenamento ou rede social.

E três espécies de informação não podem ser tratadas como sinônimas:

Registro não é conteúdo. Guarda não é acesso. Preservação não é entrega.

2. O desenho da lei: fundamentos, princípios, objetivos e conceitos

2.1 Fundamento, princípio e objetivo não são a mesma coisa

O art. 2º parte do respeito à liberdade de expressão e também reconhece escala mundial da rede; direitos humanos, personalidade e cidadania; pluralidade e diversidade; abertura e colaboração; livre iniciativa, livre concorrência e defesa do consumidor; e finalidade social da rede.

O art. 3º traz princípios: liberdade de expressão, privacidade, proteção de dados pessoais, neutralidade, estabilidade e segurança, responsabilização conforme a atividade, natureza participativa e liberdade dos modelos de negócios compatíveis com os demais princípios.

O art. 4º traz objetivos: acesso à internet, informação, conhecimento e participação; inovação e difusão tecnológica; e padrões abertos que favoreçam comunicação, acessibilidade e interoperabilidade — troca e uso de informações entre sistemas diferentes.

Use a sequência: fundamento explica o ponto de partida → princípio orienta o funcionamento → objetivo indica o resultado buscado. O art. 6º manda considerar natureza, usos e costumes da internet e sua importância para o desenvolvimento humano, econômico, social e cultural.

2.2 Conceitos que mudam a resposta

O art. 5º define termos essenciais:

Um pacote de dados é uma unidade de informação transportada pela rede. Transmitir, comutar ou rotear pacotes não torna o agente autor do conteúdo. O art. 5º não define “rede social” nem “moderação de rede social”.

Desde 20 de julho de 2026, a regulamentação também exige que a guarda de endereço IP, por provedores de conexão e de aplicações, abranja a porta lógica de origem quando ela for necessária para identificar inequivocamente o terminal de origem ou o próximo enlace da rede. O dever recai autonomamente sobre cada provedor e independe de requisição prévia.

A porta lógica importa especialmente em cenários de CGNAT, nos quais vários usuários podem compartilhar o mesmo endereço IP público. Guardar esse dado não autoriza entregá-lo sem observar as regras de acesso do MCI.

3. Direitos do usuário: acesso, privacidade, dados e contrato

O art. 7º afirma que o acesso à internet é essencial ao exercício da cidadania — sem, por isso, criar direito a plano gratuito e ilimitado. Entre os direitos do usuário estão:

• inviolabilidade da intimidade e da vida privada, com proteção e indenização pelo dano decorrente de violação;
• inviolabilidade e sigilo do fluxo das comunicações pela internet, salvo ordem judicial na forma da lei;
• inviolabilidade e sigilo das comunicações privadas armazenadas, salvo ordem judicial;
• não suspensão da conexão, salvo por débito diretamente decorrente de sua utilização;
• manutenção da qualidade contratada;
• informações claras e completas sobre contratos e práticas de gerenciamento de rede;
• não fornecimento a terceiros de dados pessoais, inclusive registros, salvo mediante consentimento livre, expresso e informado ou nas hipóteses previstas em lei;
• informações claras sobre coleta, uso, armazenamento, tratamento e proteção de dados;
• consentimento expresso e destacado das demais cláusulas quando ele for exigido pelo MCI;
• exclusão definitiva, ao término da relação, dos dados pessoais fornecidos a determinada aplicação, ressalvadas as hipóteses legais de guarda;
• publicidade e clareza das políticas de uso;
• acessibilidade;
• aplicação das normas de proteção e defesa do consumidor às relações de consumo realizadas na internet.

O art. 8º reforça que privacidade e liberdade de expressão são condições para o pleno exercício do acesso. Em contrato de adesão relativo a serviço prestado no Brasil, é nula, por exemplo, a cláusula que não ofereça ao contratante a alternativa de foro brasileiro para solucionar a controvérsia.

3.1 Ponte com a LGPD

O MCI disciplina registros, dados e comunicações; a LGPD trata de modo mais amplo o tratamento de dados. Logo, consentimento não é autorização universal nem a única base possível, e o direito de exclusão não elimina obrigação legal de guarda. Nas relações de consumo, incide também o CDC.

4. Neutralidade de rede: transportar sem escolher vencedores

Se dois serviços de vídeo concorrem, quem transporta os pacotes não pode tornar um deles permanentemente mais rápido só porque recebeu pagamento. Essa é a intuição da neutralidade de rede.

O art. 9º determina tratamento isonômico dos pacotes de dados, sem distinção por:

• conteúdo;
• origem e destino;
• serviço;
• terminal;
• aplicação.

4.1 Quando a discriminação ou degradação pode ocorrer

A lei admite apenas duas bases:

1. requisitos técnicos indispensáveis à prestação adequada de serviços e aplicações;
2. priorização de serviços de emergência.

O Decreto nº 8.771/2016 admite, por necessidade técnica, medidas de estabilidade, segurança e funcionalidade, como controle de ataques de negação de serviço, restrição de spam e rotas alternativas em congestionamento excepcional ou interrupção.

Nos serviços de emergência, a priorização pode alcançar comunicações entre prestadores de emergência e comunicações necessárias para informar a população em situações de risco de desastre, emergência ou calamidade pública. A transmissão dos dados nessas hipóteses é gratuita.

Mesmo quando a exceção é válida, o responsável deve:

• abster-se de causar dano ao usuário;
• agir com proporcionalidade, transparência e isonomia;
• informar previamente e de modo claro as práticas de gerenciamento e mitigação;
• oferecer condições comerciais não discriminatórias;
• abster-se de condutas anticoncorrenciais.

A regulamentação veda priorização de pacotes por arranjos comerciais e favorecimento de aplicação própria ou de empresa do mesmo grupo.

4.2 Neutralidade também limita inspeção de conteúdo

Na provisão de conexão, onerosa ou gratuita, e nas atividades de transmissão, comutação ou roteamento, é vedado bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados, respeitadas as hipóteses do próprio art. 9º.

Portanto:

• gerenciar a rede por necessidade técnica legítima não significa liberdade geral para inspecionar conteúdo;
• neutralidade não proíbe toda gestão técnica;
• parceria comercial não é requisito técnico indispensável.

5. Registros: guardar, preservar e disponibilizar são etapas diferentes

Em uma investigação, separe três etapas: guardar o registro → preservar para impedir descarte → disponibilizar quando houver base jurídica.

5.1 Quem guarda o quê e por quanto tempo

A responsabilidade pela manutenção dos registros de conexão não pode ser transferida a terceiros.

Na provisão de aplicações, também é vedado guardar, fora das hipóteses legais:

• registro de acesso a outra aplicação sem consentimento prévio do titular;
• dados pessoais excessivos em relação à finalidade, observadas as hipóteses da legislação de proteção de dados.

A porta lógica de origem, quando necessária à identificação inequívoca, acompanha o endereço IP no dever de guarda de conexão e de aplicação; o fornecimento continua sujeito aos arts. 10 e 22 do MCI.

5.2 Guardar com segurança não é apenas “ter um arquivo”

O Decreto nº 8.771/2016 exige, na guarda, armazenamento e tratamento:

• controle estrito de acesso, com responsabilidades e privilégios definidos;
• autenticação, isto é, verificação individual de quem acessa os registros;
• inventário de acessos — quando, duração, responsável e arquivo acessado;
• encriptação ou proteção equivalente;
• menor retenção possível, com exclusão ao atingir a finalidade ou encerrar o prazo legal;
• dados do art. 11 em formato interoperável e estruturado, apto à troca padronizada e ao acesso autorizado.

Guardar obrigatoriamente não autoriza acumular indefinidamente nem acessar internamente sem rastreabilidade.

5.3 Preservar não é entregar

Autoridade policial, autoridade administrativa ou Ministério Público podem pedir preservação cautelar: impedir o descarte enquanto se busca autorização judicial de acesso.

Para a preservação ampliada dos registros de conexão:

• o pedido é sigiloso;
• a autoridade requerente tem 60 dias, contados do requerimento, para ingressar com pedido judicial de acesso;
• se não judicializar a tempo, ou se o pedido for indeferido, a medida perde eficácia;
• a entrega do registro continua dependendo de autorização judicial.

A preservação cautelar também alcança registros de acesso a aplicações. Preservação não substitui ordem de acesso.

5.4 O que exige ordem judicial e o que pode seguir via administrativa

A requisição administrativa de dados cadastrais deve indicar a competência legal, ser motivada, individualizar as pessoas e especificar as informações pretendidas. Pedido coletivo, genérico ou inespecífico não satisfaz o regulamento. Se o provedor não coleta o dado cadastral solicitado, deve informar essa circunstância à autoridade.

5.5 Pedido judicial de registros

O art. 22 permite requerer judicialmente registros de conexão ou de acesso a aplicações para formar prova em processo cível ou penal. O requerimento deve conter:

1. fundados indícios da ocorrência do ilícito;
2. justificativa motivada da utilidade dos registros;
3. período ao qual os registros se referem.

O juiz deve adotar providências para preservar sigilo, intimidade, vida privada, honra e imagem e pode determinar segredo de justiça.

Se a identificação inequívoca depender de endereço IP e porta lógica, a ordem pode alcançar esses dados na medida em que estejam abrangidos pelo dever vigente de guarda. O fato de cada provedor ter dever autônomo de guarda não elimina a reserva judicial para fornecimento.

5.6 Aplicação territorial e sanções

A legislação brasileira incide quando ao menos uma operação de coleta, armazenamento, guarda ou tratamento ocorre no país e nas demais hipóteses do art. 11, inclusive sobre empresa estrangeira quando presentes os vínculos legais.

Infrações às regras dos arts. 10 e 11 podem levar, conforme o caso, isolada ou cumulativamente, a:

• advertência;
• multa de até 10% do faturamento do grupo econômico no Brasil no último exercício, excluídos os tributos, observados os critérios legais;
• suspensão temporária das atividades relacionadas aos atos do art. 11;
• proibição dessas atividades.

6. Conteúdo de terceiros: primeiro leia a lei

Responsabilidade por publicação depende do papel do provedor e do conteúdo. Comece pela literalidade dos arts. 18 a 21.

6.1 Art. 18: provedor de conexão

O provedor de conexão não é civilmente responsabilizado por danos decorrentes de conteúdo gerado por terceiros. Transportar o tráfego não equivale a criar ou hospedar a publicação.

6.2 Art. 19: literalidade da lei

O texto do art. 19 prevê que o provedor de aplicações somente poderá ser responsabilizado civilmente por conteúdo de terceiro se, após ordem judicial específica, não tomar as providências para tornar indisponível o conteúdo apontado, dentro do prazo e dos limites técnicos do serviço.

A ordem deve identificar o conteúdo de forma clara e específica, permitindo sua localização inequívoca, sob pena de nulidade.

O dispositivo trata da responsabilização civil por omissão, não de uma reserva judicial para toda moderação. A plataforma pode aplicar termos de uso e remover conteúdo por iniciativa própria, respeitados contrato, lei e direitos fundamentais.

6.3 Art. 20: comunicação ao responsável

Quando possuir os dados de contato do usuário diretamente responsável pelo conteúdo, o provedor deve comunicar-lhe os motivos e as informações relativas à indisponibilização, ressalvadas as exceções legais e determinação judicial fundamentada em contrário.

6.4 Art. 21: nudez ou ato sexual de caráter privado

O art. 21 cria um regime específico. O provedor de aplicações que disponibiliza conteúdo de terceiros responde subsidiariamente — em posição secundária em relação ao responsável direto — pela violação da intimidade se, após notificação do participante ou de seu representante legal, deixar de indisponibilizar diligentemente imagens, vídeos ou outros materiais divulgados sem autorização que contenham nudez ou atos sexuais de caráter privado.

A notificação deve identificar especificamente o material e permitir verificar a legitimidade do requerente. Aqui, o dever legal não depende de ordem judicial prévia.

7. Depois do STF: o art. 19 não é mais a resposta geral

O STF reconheceu inconstitucionalidade parcial e progressiva do art. 19 e fixou regime até nova legislação. O texto continua existindo, mas não descreve sozinho toda a responsabilidade das plataformas.

7.1 Regime geral: responsabilidade possível, mas não objetiva

Fora das hipóteses preservadas pelo próprio STF, o provedor de aplicações pode ser civilmente responsável de forma solidária — permitindo cobrar a reparação de qualquer dos responsáveis nas condições da tese — por conteúdo ilícito de terceiro nas condições da tese.

Duas ideias caminham juntas: não há responsabilidade objetiva pela mera existência da plataforma ou publicação ilícita; e a diligência importa, pois dúvida razoável após análise qualificada pode afastar a responsabilização.

Desde 20 de julho de 2026, a regulamentação detalha notificações: devem indicar possível ilicitude, conteúdo específico, notificante e, quando necessário, legitimidade. O provedor confirma o recebimento, analisa e fundamenta remoção ou manutenção.

Notificação válida não equivale a remoção automática: no regime geral do Decreto nº 8.771/2016, a dúvida razoável após análise diligente pode justificar manutenção, considerando gravidade, contexto e eventual finalidade informativa, educativa, crítica, satírica ou paródica, além da liberdade religiosa e de crença.

7.2 Situações que continuam ligadas ao art. 19

A exigência de ordem judicial específica continua central, entre as hipóteses indicadas na tese, para:

• crimes e ilícitos civis contra a honra;
• correio eletrônico interpessoal;
• reuniões fechadas por voz ou vídeo;
• mensageria privada interpessoal;
• provedores que não exerçam interferência editorial ou de curadoria, isto é, seleção e organização do que circula, sobre o fluxo informacional, nos termos da tese.

Notificação extrajudicial sobre difamação não desloca, por si só, a responsabilização: honra permanece no art. 19, embora possa haver remoção voluntária. Canal aberto de difusão também não vira comunicação privada só por usar mensageria.

7.3 Réplicas, anúncios e distribuição artificial

Reconhecida judicialmente a ofensa ou ilicitude, réplicas idênticas podem ser removidas após notificação judicial ou extrajudicial, sem nova decisão para cada cópia.

Quando conteúdo ilícito é veiculado por anúncio ou impulsionamento pago, em que há pagamento para ampliar a distribuição, ou por rede artificial de distribuição, formada por mecanismos coordenados para ampliar artificialmente a circulação, a tese prevê presunção relativa de responsabilidade nas condições fixadas pelo STF. A presunção pode ser afastada com demonstração de atuação diligente e tempestiva.

A regulamentação atual ainda exige, para anúncios e impulsionamentos alcançados por ela, guarda das informações do anúncio ou impulsionamento e do anunciante por 1 ano após o encerramento da veiculação.

7.4 Falha sistêmica

Falha sistêmica é deficiência estrutural de prevenção ou remoção diante da circulação massiva de categorias graves; não se prova por uma postagem isolada.

Entre as categorias tratadas pelo regime atual estão conteúdos ligados a terrorismo, induzimento a suicídio ou automutilação, discriminação, crimes contra mulheres, crimes sexuais e graves contra crianças e adolescentes, tráfico de pessoas e atos antidemocráticos previstos na legislação.

O caso individual segue o regime que lhe corresponda.

7.5 Deveres estruturais e competência da ANPD

A regulamentação vigente exige, conforme incidência e risco:

• autorregulação, com regras e procedimentos próprios compatíveis com a legislação;
• sede e representação legal no Brasil nas hipóteses regulamentares;
• canal permanente e acessível para denúncias;
• medidas contra redes artificiais de distribuição de conteúdo ilícito;
• transparência sobre moderação — manter, remover ou limitar conteúdo —, publicidade e riscos;
• monitoramento e gestão de riscos sistêmicos;
• contestação e reconsideração das decisões.

A ANPD fiscaliza processos, governança, riscos, canais e transparência em dimensão sistêmica; não julga administrativamente postagem por postagem.

Outros recortes permanecem relevantes: relações em plataformas de comércio eletrônico continuam sujeitas, quando cabível, ao CDC; e os efeitos da tese foram modulados, em regra, a partir de 5 de agosto de 2025, preservadas as decisões transitadas em julgado, isto é, já definitivas no processo, nos termos definidos pelo STF.

As competências se repartem por matéria: Anatel, telecomunicações e aspectos técnicos; Senacon/SNDC, consumo; Cade/SBDC, concorrência; ANPD, deveres sistêmicos; e Judiciário, ordens de acesso, indisponibilização e reparação.

8. Proteção das mulheres no ambiente digital: regime especial vigente

O Decreto nº 12.976/2026 criou regras específicas para violência contra mulheres no ambiente digital, sem apagar o art. 21 do MCI.

Conteúdo íntimo abrange material que exponha nudez, seminudez, ato sexual ou contexto sexualizante, inclusive quando produzido ou manipulado com IA ou outro recurso tecnológico.

8.1 Conteúdo íntimo não autorizado

Após notificação legitimada, a exibição não autorizada de conteúdo íntimo deve ser indisponibilizada em até 2 horas.

A notificação deve identificar vítima ou representante e especificar o conteúdo. Há também marcação digital para bloqueio de reenvio, conforme regulamentação.

8.2 Prazos transitórios atualmente aplicáveis

Enquanto não houver a regulamentação específica da autoridade competente, aplicam-se os seguintes prazos, contados da notificação:

A implementação regulatória pela ANPD constava em andamento em 2 de setembro de 2026; por isso, os prazos transitórios seguem relevantes neste corte.

O decreto também prevê medidas contra ataques coordenados e salvaguardas para aplicações baseadas em IA que possam gerar ou modificar conteúdo íntimo vedado.

9. Poder público: internet também é desenho de serviço

Os arts. 24 a 28 orientam União, Estados, Distrito Federal e Municípios:

• governança multiparticipativa, transparente, colaborativa e democrática;

• racionalização da gestão da internet com participação do CGI.br;

• interoperabilidade entre Poderes, entes federativos, sistemas e terminais;

• adoção preferencial de tecnologias, padrões e formatos abertos e livres;

• publicidade e disseminação de dados e informações públicos de forma aberta e estruturada;

• otimização da infraestrutura de redes e sestímulo a centros de armazenamento, gerenciamento e disseminação de dados no país, preservadas abertura, neutralidade e participaçã;

• capacitação, cultura e cidadania;

• prestação de serviços públicos ao cidadão de forma integrada, eficiente, simplificada e por múltiplos canais.

Aplicações de internet de entes públicos devem buscar compatibilidade com diferentes terminais e sistemas; acessibilidade a todos, independentemente de capacidades físico-motoras, perceptivas, sensoriais, intelectuais, mentais, culturais e sociais, preservados sigilo e restrições administrativas e legais; leitura humana e tratamento automatizado das informações; facilidade de uso; e fortalecimento da participação social.

O Estado também deve integrar à educação o uso seguro, consciente e responsável; promover inclusão digital; reduzir desigualdades regionais; fomentar conteúdo nacional; e formular estudos, metas, estratégias, planos e cronogramas sobre a internet.

Adoção preferencial de padrões abertos não significa proibição absoluta de tecnologia proprietéria.

10. O corte do edital: lei cobrável, jurisprudência e direito vigente

O Edital nº 1, de 6 de julho de 2026, na versão atualizada conforme o Edital nº 2, preserva três regras:

• alterações legislativas com entrada em vigor até a data de publicação do edital podem ser avaliadas, ainda que não estejam expressamente listadas;
• legislação ainda não vigente pode ser cobrada se estiver devidamente explicitada nos objetos de avaliação;
• jurisprudência de tribunais superiores pode ser considerada se publicada até 30 dias antes da prova.

O objeto de avaliação menciona expressamente o MCI, Lei nº 12.965/2014, com “princípios, direitos e deveres para o uso da Internet no Brasil”.

Os Decretos nº 12.975/2026 e nº 12.976/2026 foram publicados no Diario Oficial da União de 21 de maio de 2026, mas entraram em vigor 60 dias depois, em 20 de julho de 2026. Portanto:

A tese do STF sobre o art. 19 é jurisprudência, não alteração do texto da Lei nº 12.965/2014. Já os Decretos nº 12.975/2026 e nº 12.976/2026 são regulamentação posterior à data-base legislativa do edital, embora estejam vigentes hoje.

No corte desta revisão, em 6 de setembro de 2026, novos embargos no Tema 533 estavam novamente em julgamento virtual, iniciado em 4 de setembro e ainda sem desfecho. Por isso, propostas formuladas nesse julgamento em curso não são tratadas aqui como tese definitiva; o núcleo jurisprudencial estudado é o já consolidado no Tema 987.

Logo, uma regra pode estar vigente hoje sem ter entrado automaticamente no núcleo legislativo da regra geral do edital de 6 de julho.

11. Três casos para aplicar o modelo

Caso 1 — identificação sem acesso indevido

Em rede com CGNAT, a porta lógica necessária à identificação inequívoca integra o dever atual de guarda. Isso não autoriza fornecimento administrativo: o registro continua sujeito à ordem judicial do MCI.

Chave: guardar ≠ disponibilizar.

Caso 2 — preservação antes da ordem

O Ministério Público pede preservação delimitada. O provedor impede o descarte enquanto se busca autorização judicial; preservar, sozinho, não entrega registros.

Chave: preservar ≠ acessar.

Caso 3 — postagem ofensiva

Recebida notificação extrajudicial sobre conteúdo supostamente ilícito, classifique antes de decidir:

• se for ilícito contra a honra, a responsabilização continua ligada ao art. 19;
• se for material íntimo do art. 21, há dever legal de atuação diligente após notificação específica;
• se estiver no regime geral posterior ao STF, avalie a tese e a regulamentação vigente, inclusive notificação, diligência e eventual dúvida razoável;
• se houver anúncio pago ou distribuição artificial, verifique a presunção relativa;
• se houver circulação massiva de categorias graves, verifique possível falha sistêmica.

Chave: primeiro classifique o provedor e o conteúdo; depois escolha o regime.

12. Sequência de decisão para prova

Ao encontrar uma questão sobre o MCI, percorra esta ordem:

1. qual é o corte temporal? — texto legal no edital, jurisprudência ou regulamentação atualmente vigente;
2. quem é o ator? — usuário, provedor de conexão, provedor de aplicação, poder público ou autoridade;
3. qual é o objeto? — dado cadastral, registro, comunicação privada ou conteúdo;
4. qual é o verbo? — guardar, preservar, disponibilizar, remover ou responsabilizar;
5. se houver conteúdo de terceiro, qual regime? — art. 18, literalidade do art. 19, art. 21, tese do STF ou regulamentação especial;
6. há uma exceção específica? — honra, comunicação privada, conteúdo íntimo, anúncio pago, distribuição artificial ou falha sistêmica.

As relações que mais geram erro são justamente as que parecem semelhantes: conexão e aplicação; registro e conteúdo; guarda e acesso; preservação e entrega; texto legal e interpretação do STF; regra do edital e atualização posterior.