O Marco Civil da Internet (Lei nº 12.965/2014) divide o dever de guardar registros entre dois tipos de provedor: quem oferece a conexão mantém os registros de conexão por um ano, e quem explora aplicações de forma profissional mantém os registros de acesso por seis meses. Nos dois casos a guarda é sigilosa e a entrega dos dados a terceiros depende de ordem judicial, com exceção dos dados cadastrais básicos, que autoridades com competência legal podem requisitar. Desde julho de 2026, o regulamento da lei também exige a guarda da porta lógica de origem quando ela for necessária para identificar o terminal.
O que são registros de conexão e de acesso a aplicações
A lei define dois conjuntos de informações, ambos ligados ao endereço de protocolo de internet (endereço IP):
- Registro de conexão (art. 5º, VI): data e hora em que a conexão começou e terminou, quanto tempo durou e qual IP o terminal usou para trocar pacotes de dados.
- Registro de acesso a aplicações de internet (art. 5º, VIII): data e hora em que determinada aplicação foi usada a partir de determinado IP.
Nenhum dos dois inclui o conteúdo das comunicações, que só pode ser disponibilizado por ordem judicial, nas hipóteses e na forma previstas em lei (art. 10, § 2º).
Quem guarda os registros e por quanto tempo
Provedores de conexão: um ano
O art. 13 atribui o dever ao administrador de sistema autônomo, definido no art. 5º, IV, como a pessoa física ou jurídica que administra blocos de endereços IP e o respectivo sistema autônomo de roteamento, cadastrada no ente nacional de registro de IPs. Ele deve manter os registros de conexão por 1 (um) ano, sob sigilo e em ambiente controlado e de segurança, e não pode transferir essa responsabilidade a terceiros (art. 13, § 1º).
O art. 14 completa a regra: na provisão de conexão, paga ou gratuita, é proibido guardar registros de acesso a aplicações. A empresa que dá acesso à rede registra a conexão, mas não o histórico dos serviços usados.
Provedores de aplicações: seis meses
O art. 15 alcança o provedor de aplicações constituído como pessoa jurídica que atue de forma organizada, profissional e com fins econômicos. Ele deve guardar os registros de acesso por 6 (seis) meses, também sob sigilo e em ambiente seguro. Quem não se enquadra nesse perfil não tem o dever automático, mas uma ordem judicial pode obrigá-lo, por tempo certo, a guardar registros sobre fatos específicos de um período determinado (art. 15, § 1º).
Há também limites: o art. 16 proíbe guardar registros de acesso a outras aplicações sem consentimento prévio do titular, bem como dados pessoais excessivos para a finalidade consentida, salvo nas hipóteses previstas na Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). E, ressalvadas as hipóteses da própria lei, não guardar registros de acesso não gera, por si só, responsabilidade por danos causados por terceiros (art. 17).
A porta lógica de origem
O Decreto nº 12.975, de 20 de maio de 2026, incluiu o art. 15-A no Decreto nº 8.771/2016, que regulamenta o Marco Civil. A guarda de registros de IP pelos provedores de conexão e de aplicações passa a abranger a porta lógica de origem associada, sempre que necessária para identificar sem ambiguidade o terminal de origem ou o próximo enlace de rede. O dever independe de requisição prévia, recai sobre cada provedor, e o fornecimento segue os arts. 10 e 22 do Marco Civil. O decreto foi publicado no Diário Oficial da União em 21 de maio de 2026 e entrou em vigor sessenta dias depois.
Como os registros devem ser protegidos
O art. 10 determina que a guarda e a disponibilização dos registros preservem a intimidade, a vida privada, a honra e a imagem dos envolvidos, e o § 4º exige que o provedor informe com clareza suas medidas de segurança e sigilo; o contrato deve detalhar o regime de proteção dos registros (art. 7º, VI).
O Decreto nº 8.771/2016 fixa, no art. 13, as diretrizes de segurança:
- controle estrito de acesso, com definição de responsabilidades e privilégios;
- mecanismos de autenticação que individualizem quem trata os registros, como a autenticação dupla;
- inventário detalhado dos acessos, com momento, duração, identidade de quem acessou e arquivo consultado;
- técnicas que garantam a inviolabilidade dos dados, como a encriptação.
O mesmo artigo manda reter a menor quantidade possível de dados e excluí-los quando a finalidade for atingida ou quando terminar o prazo fixado por obrigação legal (art. 13, § 2º).
Quem pode ter acesso: ordem judicial e requisição cautelar
A regra: só com ordem judicial
O provedor só é obrigado a entregar os registros, isolados ou associados a dados que permitam identificar o usuário ou o terminal, mediante ordem judicial (art. 10, § 1º). Os arts. 13, § 5º, e 15, § 3º, repetem a exigência: em qualquer hipótese, a disponibilização ao requerente depende de autorização judicial.
O art. 22 permite que a parte interessada, em processo cível ou penal, peça ao juiz, de forma incidental ou autônoma, que ordene o fornecimento dos registros. O pedido será inadmissível se não trouxer:
- fundados indícios da ocorrência do ilícito;
- justificativa motivada da utilidade dos registros para a investigação ou a instrução;
- o período a que os registros se referem.
O juiz deve proteger o sigilo do que receber e pode decretar segredo de justiça, inclusive sobre pedidos de guarda (art. 23). Registros obtidos assim costumam servir como prova, o que envolve os cuidados discutidos em prova digital e cadeia de custódia.
A requisição cautelar de guarda
A autoridade policial ou administrativa e o Ministério Público podem requerer, sem ordem judicial, que os registros de conexão sejam guardados por prazo superior a um ano (art. 13, § 2º). Depois do requerimento, a autoridade tem 60 (sessenta) dias para pedir ao juiz autorização de acesso; o provedor deve manter o pedido em sigilo, e o requerimento perde a eficácia se o pedido judicial for indeferido ou não for protocolado nesse prazo (art. 13, §§ 3º e 4º). A mesma lógica vale para os registros de acesso a aplicações, e o requerimento pode ser dirigido a qualquer provedor de aplicações, inclusive para prazo superior a seis meses (art. 15, § 2º).
A exceção dos dados cadastrais
O art. 10, § 3º, admite que autoridades administrativas com competência legal requisitem, na forma da lei, dados cadastrais que informem qualificação pessoal, filiação e endereço. O Decreto nº 8.771/2016 define esses dados (filiação, endereço e qualificação pessoal, entendida como nome, prenome, estado civil e profissão) e exige que a autoridade indique o fundamento legal de sua competência e a motivação do pedido, especifique as pessoas visadas e não faça pedidos coletivos genéricos ou inespecíficos (art. 11).
Um exemplo está na Lei nº 12.850/2013 (organizações criminosas): o art. 15 dá ao delegado de polícia e ao Ministério Público acesso, sem autorização judicial, só à qualificação pessoal, à filiação e ao endereço do investigado mantidos, entre outros, por provedores de internet.
Quais são as sanções do art. 12
As infrações aos arts. 10 e 11 do Marco Civil sujeitam o provedor, sem prejuízo de sanções cíveis, criminais ou administrativas, às seguintes penalidades, isoladas ou cumulativas:
- advertência, com prazo para medidas corretivas;
- multa de até 10% do faturamento do grupo econômico no Brasil no último exercício, excluídos os tributos, consideradas a condição econômica do infrator e a proporcionalidade;
- suspensão temporária das atividades que envolvam os atos do art. 11;
- proibição de exercício dessas atividades.
O art. 11 aplica a lei brasileira sempre que ao menos um ato de coleta, guarda ou tratamento ocorra no país, mesmo para empresa sediada no exterior que ofereça serviço ao público brasileiro ou tenha integrante do grupo estabelecido aqui. Nesse caso, a filial, sucursal, escritório ou estabelecimento no país responde solidariamente pela multa (art. 12, parágrafo único). Para o descumprimento dos deveres de guarda, os arts. 13, § 6º, e 15, § 4º, mandam considerar, entre outros fatores, a gravidade, os danos, a vantagem obtida, os antecedentes e a reincidência.
Na fiscalização, o Decreto nº 8.771/2016 já previa a atuação da Agência Nacional de Telecomunicações (Anatel), da Secretaria Nacional do Consumidor e do Sistema Brasileiro de Defesa da Concorrência. O Decreto nº 12.975/2026 incluiu a Agência Nacional de Proteção de Dados (ANPD) na fiscalização dos deveres dos provedores de aplicações, com referência expressa aos arts. 10 a 12 do Marco Civil, e regulamentou deveres sobre conteúdo de terceiros, tema da decisão do Supremo Tribunal Federal (STF) sobre o art. 19.
Pontos de atenção
- Os prazos legais são de um ano (conexão) e de seis meses (aplicações); a lei prevê guarda por prazo maior mediante requerimento cautelar de autoridade.
- O provedor de conexão não pode guardar registros de acesso a aplicações.
- A requisição cautelar só amplia a guarda e perde a eficácia se o pedido judicial não for feito em 60 dias.
- No regime do Marco Civil, sem ordem judicial, autoridades com competência legal obtêm dados cadastrais, por pedido individualizado e motivado.
- Desde julho de 2026, a guarda dos registros de IP inclui a porta lógica de origem quando necessária.