Marco Civil da Internet (Lei nº 12.965/2014), neutralidade de rede, proteção de dados e guarda de registros

Prioridade Alta 18 min de leitura Não visto Lido Praticado Dominado

Do zero

O Marco Civil da Internet (Lei nº 12.965/2014) é a “constituição” do uso da internet no Brasil: diz quais são os direitos de quem navega e os deveres de quem oferece o acesso e os serviços.

Pense na internet como uma rede de estradas com lojas à beira delas:

O provedor de conexão é a concessionária da estrada: a operadora de banda larga ou de celular, que dá ao seu aparelho um endereço IP e leva os seus dados de um lado para o outro.
O provedor de aplicações é a loja: o site, a rede social, o aplicativo de banco. É o que você usa depois de entrar na estrada.

Três regras saem dessa imagem:

Neutralidade de rede: a concessionária trata todos os carros do mesmo jeito. Não pode deixar mais rápido quem pagou por fora nem fazer o carro do concorrente andar devagar, e não pode abrir o porta-malas para ver o que vai dentro.
Guarda de registros: a concessionária anota quando o seu carro entrou e saiu da estrada (o registro de conexão) e guarda essa anotação por 1 ano. A loja anota quando você passou por ela (o registro de acesso a aplicações) e, se for uma empresa com fins econômicos, guarda por 6 meses. A concessionária não pode anotar em que lojas você entrou.
Proteção: essas anotações ficam em sigilo e só são entregues a alguém com ordem judicial.

Frase para guardar: conexão, 1 ano; aplicação, 6 meses; entregar registros só com ordem do juiz; quem dá o acesso não anota os sites que você visita.

Em 1 minuto

As regras abaixo vêm do texto vigente da Lei nº 12.965/2014 (fontes/leis/lei-12965-2014-marco-civil.txt) e do Decreto nº 8.771/2016, que a regulamenta (fontes/leis/decreto-8771-2016-marco-civil.txt).

Fundamento (art. 2º): o respeito à liberdade de expressão, além da escala mundial da rede, dos direitos humanos, da pluralidade, da abertura, da livre iniciativa e da finalidade social da rede.
Princípios (art. 3º): liberdade de expressão (I), proteção da privacidade (II), proteção dos dados pessoais, na forma da lei (III), neutralidade de rede (IV), estabilidade, segurança e funcionalidade da rede (V), responsabilização dos agentes conforme suas atividades (VI), natureza participativa da rede (VII) e liberdade dos modelos de negócio (VIII).
Objetivos (art. 4º): promover o acesso à internet a todos (I), o acesso à informação, ao conhecimento e à participação na vida cultural e nos assuntos públicos (II), a inovação (III) e a adesão a padrões tecnológicos abertos (IV).
Definições (art. 5º): terminal (II: qualquer dispositivo que se conecte à internet), endereço IP (III), administrador de sistema autônomo (IV: pessoa física ou jurídica que administra blocos de IP e o respectivo sistema autônomo de roteamento), registro de conexão (VI: data e hora de início e de término, duração e IP usado), aplicações de internet (VII: funcionalidades acessadas por um terminal conectado) e registros de acesso a aplicações (VIII: data e hora de uso de uma aplicação a partir de um IP).
Direitos do usuário (art. 7º): sigilo do fluxo das comunicações (II) e das comunicações armazenadas (III), salvo ordem judicial; não suspensão da conexão, salvo débito (IV); não fornecimento a terceiros dos dados pessoais e registros, salvo consentimento livre, expresso e informado ou hipótese legal (VII); uso dos dados pessoais só para finalidades que justifiquem a coleta, não sejam vedadas em lei e estejam no contrato ou nos termos de uso (VIII); consentimento expresso e destacado das demais cláusulas (IX); exclusão definitiva dos dados, a seu requerimento, ao fim da relação, ressalvada a guarda obrigatória (X).
Neutralidade (art. 9º): quem transmite, comuta ou roteia trata de forma isonômica qualquer pacote, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação. A discriminação ou degradação do tráfego só pode decorrer de requisitos técnicos indispensáveis ou da priorização de serviços de emergência, regulamentada por decreto, ouvidos o Comitê Gestor da Internet e a Anatel (§ 1º). Mesmo nessas hipóteses, o responsável deve abster-se de causar dano aos usuários, agir com proporcionalidade, transparência e isonomia, informar previamente as práticas de gerenciamento e oferecer condições comerciais não discriminatórias (§ 2º). É vedado bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes (§ 3º).
Regulamento (Decreto nº 8.771/2016): requisitos técnicos são, por exemplo, conter spam e ataques de negação de serviço e contornar congestionamentos excepcionais (art. 5º, § 1º); a transmissão nas emergências é gratuita (art. 8º, parágrafo único); ficam vedadas condutas unilaterais ou acordos que comprometam o caráter público e irrestrito do acesso, priorizem pacotes por arranjos comerciais ou privilegiem aplicações do próprio responsável ou do seu grupo econômico (art. 9º, I a III).
Proteção dos registros (art. 10): registros, dados pessoais e comunicações privadas são guardados e disponibilizados preservando a intimidade, a vida privada, a honra e a imagem das partes. Os registros só são disponibilizados por ordem judicial (§ 1º); o conteúdo das comunicações privadas, também (§ 2º). Os dados cadastrais (qualificação pessoal, filiação e endereço) podem ser requisitados pelas autoridades administrativas com competência legal (§ 3º).
Lei brasileira (art. 11): vale sempre que ao menos um ato de coleta, armazenamento, guarda ou tratamento ocorrer no Brasil, mesmo por empresa sediada no exterior que oferte serviço ao público brasileiro ou tenha integrante do mesmo grupo econômico estabelecido no Brasil (§ 2º).
Sanções (art. 12): para infrações aos arts. 10 e 11, de forma isolada ou cumulativa: advertência com prazo para medidas corretivas, multa de até 10% do faturamento do grupo econômico no Brasil no último exercício, excluídos os tributos, suspensão temporária e proibição das atividades. Na empresa estrangeira, a filial ou o estabelecimento no País responde solidariamente pela multa (parágrafo único).
Guarda (arts. 13 a 17): registros de conexão por 1 ano, pelo administrador de sistema autônomo, sem transferir a responsabilidade a terceiros (art. 13 e § 1º); na conexão, é vedado guardar registros de acesso a aplicações (art. 14); registros de acesso a aplicações por 6 meses, pelo provedor de aplicações pessoa jurídica que atua de forma organizada, profissional e com fins econômicos (art. 15). Entregar os registros exige sempre autorização judicial (arts. 13, § 5º, e 15, § 3º).
Outras regras de guarda (arts. 15, § 1º, 16 e 17): ordem judicial pode obrigar, por tempo certo, o provedor de aplicações que não se encaixa no caput do art. 15 a guardar registros de fatos específicos em período determinado (art. 15, § 1º); o provedor de aplicações não pode guardar registros de acesso a outras aplicações sem consentimento prévio do titular nem dados pessoais excessivos para a finalidade consentida (art. 16); quem opta por não guardar registros de acesso a aplicações não responde, só por isso, pelos danos causados por terceiros, ressalvadas as hipóteses da lei (art. 17).
Responsabilidade por conteúdo de terceiros (arts. 18 a 21): o provedor de conexão não responde (art. 18); o provedor de aplicações responde se, após ordem judicial específica, não tornar o conteúdo indisponível (art. 19). Nas imagens íntimas divulgadas sem autorização, basta a notificação do participante ou do seu representante legal: se não indisponibilizar o conteúdo de forma diligente, o provedor responde subsidiariamente (art. 21).
Segurança dos registros (Decreto nº 8.771/2016, art. 13): controle estrito de acesso, autenticação dupla, inventário de cada acesso aos registros e encriptação; reter a menor quantidade possível de dados e excluí-los quando a finalidade acabar ou o prazo legal vencer (§ 2º).

Exemplo concreto: o perfil falso que ataca a auditoria

Um perfil anônimo numa rede social publica, em 10 de março, ofensas e documentos forjados contra uma equipe de auditoria do Tribunal. A equipe quer tirar o conteúdo do ar e descobrir quem está por trás.

Rede social (provedor de aplicações)        Operadora (provedor de conexão)
guarda por 6 meses (art. 15):               guarda por 1 ano (art. 13):
  perfil X, 10/03 21:14, IP 200.1.2.3   →     IP 200.1.2.3, 10/03 20:50 a 23:10
                                               = cliente Fulano (com ordem judicial)

Tirar do ar: pede-se ao juiz uma ordem específica, com o endereço exato de cada publicação. Sem identificação clara e específica, a ordem é nula (art. 19, § 1º). Se a rede social a descumprir, passa a responder pelo dano (art. 19).
Primeiro pedido de registros: a parte interessada pede ao juiz que ordene à rede social entregar data, hora e IP dos acessos do perfil. O pedido traz fundados indícios do ilícito, a justificativa da utilidade e o período (art. 22, parágrafo único).
Segundo pedido: com o IP e o horário, outra ordem judicial manda a operadora dizer qual cliente usava aquele IP naquele momento. A operadora tem o registro de conexão, mas não sabe que sites o cliente visitou (art. 14).
A corrida contra o prazo: se passar de 6 meses, a rede social pode já ter descartado os registros. Por isso, a autoridade policial ou administrativa ou o Ministério Público pode pedir cautelarmente que eles sejam guardados por mais tempo e tem 60 dias para pedir ao juiz a autorização de acesso (arts. 13, §§ 2º e 3º, e 15, § 2º).
O que dispensa juiz: a qualificação pessoal, a filiação e o endereço do cliente (dados cadastrais) podem ser requisitados por autoridade administrativa com competência legal (art. 10, § 3º); o regulamento exige que ela indique o fundamento legal e a motivação e especifique as pessoas e as informações pedidas, vedados pedidos coletivos genéricos (Decreto nº 8.771/2016, art. 11, caput e § 3º). Qualificação pessoal, ali, é nome, prenome, estado civil e profissão (art. 11, § 2º, III).

E a neutralidade? Se a operadora, para economizar banda, deixasse lenta a rede social concorrente do aplicativo do próprio grupo, violaria o art. 9º da lei e o art. 9º, III, do decreto. Bloquear um ataque de negação de serviço contra o portal do Tribunal, ao contrário, é requisito técnico admitido (Decreto nº 8.771/2016, art. 5º, § 1º, I).

Comparação: os dois registros, o acesso e a responsabilidade

	Registro de conexão	Registro de acesso a aplicações
Definição	Data e hora de início e término, duração e IP (art. 5º, VI)	Data e hora de uso de uma aplicação a partir de um IP (art. 5º, VIII)
Quem guarda	Administrador de sistema autônomo, na provisão de conexão (art. 13)	Provedor de aplicações pessoa jurídica, organizado, profissional e com fins econômicos (art. 15)
Prazo	1 ano	6 meses
Proibição ligada	O provedor de conexão não guarda acesso a aplicações (art. 14)	O provedor de aplicações não guarda acesso a outras aplicações sem consentimento (art. 16, I)
Prazo maior	Pedido cautelar da autoridade policial ou administrativa ou do MP (art. 13, § 2º)	O mesmo pedido cautelar (art. 15, § 2º)

O que se quer	Como se obtém
Registros de conexão ou de acesso	Ordem judicial (arts. 10, § 1º, e 22)
Conteúdo das comunicações privadas	Ordem judicial, nas hipóteses da lei (art. 10, § 2º)
Dados cadastrais: qualificação pessoal, filiação e endereço	Requisição de autoridade administrativa com competência legal (art. 10, § 3º)
Guarda por mais tempo	Pedido cautelar; 60 dias para pedir a autorização judicial (art. 13, §§ 2º e 3º)

Neutralidade: admitido	Neutralidade: vedado
Conter spam e ataque de negação de serviço (Decreto, art. 5º, § 1º, I)	Priorizar pacotes por arranjo comercial (Decreto, art. 9º, II)
Rota alternativa em congestionamento excepcional (Decreto, art. 5º, § 1º, II)	Privilegiar aplicação do próprio grupo (Decreto, art. 9º, III)
Priorizar serviços de emergência, sem cobrança (art. 9º, § 1º, II; Decreto, art. 8º)	Bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes (art. 9º, § 3º)

Conteúdo gerado por terceiros	Quando o provedor responde
Provedor de conexão	Não responde civilmente (art. 18)
Provedor de aplicações, regra	Se descumprir ordem judicial específica de indisponibilizar o conteúdo (art. 19)
Imagens íntimas divulgadas sem autorização	Subsidiariamente, se, após notificação do participante, não agir de forma diligente (art. 21)

Atenção ao art. 19: em 2025, o STF declarou o artigo parcialmente inconstitucional e ampliou os casos em que o provedor de aplicações responde já depois de notificação, sem ordem judicial (Temas 987 e 533 da repercussão geral) [CONFERIR]. A prova costuma cobrar o texto da lei.

Como a FCC cobra

Os prazos e os responsáveis pela guarda (1 ano para registros de conexão, 6 meses para registros de acesso a aplicações), a vedação do art. 14, a neutralidade de rede com suas duas exceções (art. 9º, § 1º) e a regra de que registros e comunicações só saem com ordem judicial (art. 10).

Princípios do art. 3º e definições do art. 5º.
Direitos do usuário do art. 7º, sobretudo consentimento e exclusão dos dados.
Dados cadastrais requisitados por autoridade administrativa (art. 10, § 3º).
Pedido cautelar de guarda e o prazo de 60 dias (art. 13, §§ 2º e 3º).
Responsabilidade por conteúdo de terceiros (arts. 18, 19 e 21).
Sanções do art. 12.

Pegadinhas

“O provedor de conexão deve guardar por 6 meses os registros de acesso a aplicações.” Falso: na provisão de conexão é vedado guardá-los (art. 14); quem guarda por 6 meses é o provedor de aplicações (art. 15).
“Os registros de conexão devem ser guardados por 6 meses.” Falso: 1 ano (art. 13). Os 6 meses são dos registros de acesso a aplicações.
“A autoridade policial pode obter os registros de conexão diretamente, sem ordem judicial.” Falso: ela pode pedir que sejam guardados por mais tempo; para acessá-los, precisa de autorização judicial (art. 13, §§ 2º, 3º e 5º).
“Por ser neutra, a rede não pode sofrer nenhum tipo de gerenciamento de tráfego.” Falso: admitem-se discriminação ou degradação por requisitos técnicos indispensáveis e priorização de emergências (art. 9º, § 1º).
“A operadora pode priorizar o tráfego de quem pagar mais, desde que informe os usuários.” Falso: priorizar pacotes por arranjo comercial é vedado (Decreto nº 8.771/2016, art. 9º, II).
“O provedor de conexão responde pelos danos causados por conteúdo publicado por terceiros.” Falso: não responde (art. 18).
“A neutralidade de rede é o fundamento da disciplina do uso da internet no Brasil.” Falso: neutralidade é princípio (art. 3º, IV); o fundamento é o respeito à liberdade de expressão (art. 2º).
“O provedor de aplicações pode guardar registros de acesso a outras aplicações, desde que informe o usuário.” Falso: precisa do consentimento prévio do titular (art. 16, I).
“A empresa estrangeira sem sede no Brasil não se submete ao Marco Civil.” Falso: submete-se se oferta serviço ao público brasileiro ou tem integrante do grupo estabelecido no Brasil (art. 11, § 2º).

Explique com suas palavras

Explique a um colega o que é neutralidade de rede e quem guarda quais registros, por quanto tempo, e como alguém consegue acesso a eles.

Escreva sem olhar a lição, com frases curtas e um exemplo seu.
Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

Neutralidade de rede quer dizer que a operadora que leva os meus dados trata todos eles do mesmo jeito. Ela não pode deixar um site mais rápido porque recebeu dinheiro, nem atrasar o concorrente do aplicativo dela, nem espiar o conteúdo do que passa. Só pode mexer no tráfego por motivo técnico indispensável, como segurar um ataque ou spam, ou para dar prioridade a serviços de emergência.

Sobre os registros: a operadora anota quando me conectei, quando saí e com qual IP, e guarda isso por um ano. O site ou aplicativo anota quando o usei e de qual IP, e guarda por seis meses, se for uma empresa com fins econômicos. A operadora não pode anotar quais sites eu visito. Para ver esses registros, é preciso ordem do juiz. A polícia, uma autoridade administrativa ou o Ministério Público podem pedir que guardem por mais tempo, mas ainda precisam do juiz para olhar. Já o meu nome, a minha filiação e o meu endereço uma autoridade administrativa com competência legal pode pedir diretamente.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Frente	Verso
Registro de conexão (Marco Civil, art. 5º, VI)	Data e hora de início e de término de uma conexão, sua duração e o endereço IP usado pelo terminal.
Registros de acesso a aplicações (art. 5º, VIII)	Data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP.
Neutralidade de rede (art. 9º)	Quem transmite, comuta ou roteia trata todo pacote de forma isonômica, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação, e não pode bloquear, monitorar, filtrar ou analisar o conteúdo. Exemplo: Priorizar pacotes de quem pagou por fora é vedado (Decreto nº 8.771/2016, art. 9º, II).
Quem obtém registros e comunicações privadas? (art. 10)	Só quem tiver ordem judicial. Sem ela, a autoridade administrativa competente obtém apenas os dados cadastrais (qualificação pessoal, filiação e endereço).
Responsabilidade por conteúdo de terceiros (arts. 18 e 19)	O provedor de conexão não responde. O provedor de aplicações responde se, após ordem judicial específica, não tornar o conteúdo indisponível. Exemplo: Nas imagens íntimas sem autorização, basta a notificação do participante, e o provedor responde subsidiariamente (art. 21).

Ligação com o estudo de caso

Num caso sobre um portal ou um sistema do Tribunal na internet, use o Marco Civil junto com a LGPD: logs de acesso guardados em sigilo, em ambiente controlado e de segurança, com controle estrito de quem os consulta, autenticação dupla, inventário dos acessos e encriptação (Decreto nº 8.771/2016, art. 13); retenção mínima e exclusão quando a finalidade acabar (art. 13, § 2º, do decreto); entrega de registros só com ordem judicial (art. 10, § 1º). O dever de guardar por 6 meses do art. 15 é do provedor pessoa jurídica com fins econômicos; um órgão público não se encaixa nele, mas uma ordem judicial pode obrigá-lo a guardar registros de fatos específicos (art. 15, § 1º). Para os serviços públicos, lembre os arts. 24 e 25: padrões abertos, interoperabilidade, dados abertos e aplicações acessíveis, legíveis por pessoas e por máquinas.

Fontes da lição

Edital nº 01/2026, Anexo II, Legislação Aplicada à Tecnologia da Informação (fontes/edital-01-2026.txt).
Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet), texto vigente, arts. 2º a 25 (fontes/leis/lei-12965-2014-marco-civil.txt, obtido no normas.leg.br em 04/11/2026).
Decreto nº 8.771, de 11 de maio de 2016, arts. 4º a 13 (fontes/leis/decreto-8771-2016-marco-civil.txt, obtido no normas.leg.br em 04/11/2026).

Claude explica

Tire dúvidas sobre este tema no Claude: o site copia o pedido com a lição e abre uma conversa nova, na sua conta. Confira na fonte qualquer fato de lei ou de norma.

Pratique fora do site

Faça questões da FCC sobre este tópico no QConcursos ou no Gran e registre aqui quantas fez: elas contam na meta da semana e no status do tópico.

Questões no QConcursos

Curso no Gran

Errei uma questão lá: criar flashcard