Inquestionável é a discussão sobre a responsabilidade civil dos provedores de aplicações de internet no Brasil. O que parecia um consenso legislativo consolidado, consubstanciado na exigência de ordem judicial prévia como condição inegociável para gerar a responsabilização civil dos provedores por conteúdo gerado por terceiros, foi, progressivamente, colocado à prova em face de novos desafios do mundo hiperconectado, de episódios de desinformação em larga escala e de pressões crescentes pela proteção de direitos fundamentais no ambiente digital.
Como consequência desse processo, o Supremo Tribunal Federal, em julgamento concluído em 26 de junho de 2025, declarou a inconstitucionalidade parcial do artigo 19 da Lei nº 12.965/2014 (Marco Civil da Internet), recalibrando os parâmetros para responsabilização de plataformas por conteúdos de terceiros, que vigoraram no Brasil por mais de uma década. Poucos meses depois, ainda em fase de consolidação judicial, a Presidência da República editou os Decretos nº 12.975 e nº 12.976, publicados em 20 de maio de 2026. Trata-se de nova camada regulatória aplicável ao tema no âmbito digital.
Objetiva-se, com o presente artigo, analisar a evolução normativa em seus três eixos fundamentais: (1) o regime de responsabilidade, originalmente, previsto no Marco Civil, (2) a decisão do STF e seus quatro regimes de responsabilização, e (3) o conteúdo desafiador dos decretos publicados em maio do exercício corrente.
Art. 19 do Marco Civil da Internet: lógica, fundamentos e limitações
Promulgado em 2014, o Marco Civil da Internet representou um avanço significativo para a governança do ambiente digital brasileiro e, por sua consequência, buscou equilibrar a proteção da liberdade de expressão com a tutela de direitos da personalidade.
O artigo 19, dispositivo central desse equilíbrio, estabelecia que os provedores de aplicações de internet somente poderiam ser responsabilizados civilmente por danos decorrentes de conteúdo gerado por terceiros se, após receberem ordem judicial específica determinando a remoção do conteúdo, deixassem de cumpri-la no prazo assinalado. Em outras palavras: a omissão do provedor de aplicação somente era juridicamente relevante e, consequentemente, apta a gerar obrigação de indenizar a partir do momento em que precedida de determinação judicial descumprida.
Ao evitar a responsabilização automática, o legislador buscou prevenir que os provedores adotassem uma postura de remoção indiscriminada de conteúdos por temor de litígios, momento em que a judicialização prévia passou a funcionar como condição primordial. Contudo, o tempo expôs, paulatinamente, as fragilidades desse modelo, uma vez que as plataformas digitais, reiteradamente, descumpriram ordens de remoção, amparadas, muitas vezes, no cálculo de que as astreintes fixadas pelo juízo representava um custo operacional desprezível.
O crescimento exponencial das big techs, a disseminação algorítmica de desinformação, os episódios de fake news e os ataques à democracia protagonizados por conteúdos viralizados demonstraram que o regime do artigo 19, pensado para um ecossistema digital da época de 2014, havia se tornado insuficiente para proteger bens jurídicos constitucionais.
A única exceção expressa, no Marco Civil da Internet, era o artigo 21, que já admitia a responsabilização dos provedores, após notificação extrajudicial, nas hipóteses de divulgação não consentida de material íntimo, popularmente conhecido como o regime de notice and takedown, aplicado ao “revenge porn”.
Decretos 12.975 e 12.976/2026: regulamentação executiva do novo regime
1. Contexto e legitimidade da iniciativa regulatória
Em 20 de maio de 2026, a Presidência da República publicou dois decretos que alteram e complementam o Marco Civil da Internet. A iniciativa do Poder Executivo insere-se em um limbo normativo produzido a partir da decisão do STF, isto é, em face da omissão do Congresso, que ainda não editou a legislação cobrada pelo tribunal, o Executivo optou por regular por decreto os temas operacionais decorrentes do novo regime de responsabilização.
Essa escolha, porém, não é isenta de questionamento no âmbito digital. Ao extrapolar os contornos do julgamento e introduzir novas obrigações, como o tratamento de conteúdos gerados por inteligência artificial e o registro de porta lógica, os decretos podem suscitar arguições de inconstitucionalidade.
2. Decreto nº 12.975/2026: atualização do regime geral de provedores
Manutenção de sede no Brasil
De acordo com o julgamento do STF, o decreto exige que provedores de aplicações de internet mantenham sede e representante legal no território nacional, com poderes suficientes para responder perante as esferas administrativa e judicial; cumprir penalizações e multas aplicadas pelas autoridades competentes; prestar informações sobre o funcionamento da plataforma, suas regras e procedimentos internos.
Moderação de conteúdo e falha sistêmica
Em alinhamento direto com a tese fixada pelo STF, o decreto disciplina o dever de cuidado dos provedores e estabelece os contornos da falha sistêmica. A referida falha é caracterizada pela não comprovação da adoção de medidas adequadas de prevenção ou remoção de conteúdos que envolvam, entre outros, terrorismo, indução ao suicídio ou automutilação, discriminação, crimes contra a mulher, crimes contra crianças e adolescentes, tráfico de pessoas e atos antidemocráticos.
A avaliação da falha à não comprovação da adoção de medidas adequadas de prevenção ou de remoção caberá à Agência Nacional de Proteção de Dados (ANPD). Importante ressalva: a existência de conteúdo ilícito de forma isolada não caracteriza, por si só, falha sistêmica. O decreto reproduz aqui a lógica do julgamento do STF, afastando a responsabilidade objetiva automática e exigindo a constatação de omissão estrutural.
Canais de notificação e prazos de resposta
Além das obrigações de avaliação e moderação, os provedores ficam obrigados a disponibilizar canal permanente e de fácil acesso para o recebimento de notificações sobre conteúdos ilícitos ou criminosos, mediante identificação específica.
Em resposta às notificações, os provedores de aplicações devem indisponibilizar o conteúdo gerado por terceiro que configure crime, nos termos da legislação nacional. O decreto determina que o contexto da publicação, a liberdade religiosa e de crença e a finalidade informativa, educativa ou de crítica, sátira e paródia devem ser considerados.
Exclusões expressas: mensageria privada e e-mails
O decreto exclui do regime de moderação de conteúdo os serviços de e-mail, mensageria instantânea no âmbito de comunicações interpessoais e comunicação audiovisual em grupo restrito. Para esses serviços, a responsabilização dos provedores continua condicionada ao descumprimento de ordem judicial específica de remoção.
Anúncios, impulsionamento e publicidade ilícita
O decreto prevê que a responsabilidade do provedor de aplicação de internet poderá ser presumida nos casos de conteúdos ilícitos veiculados por meio de anúncios, impulsionamentos pagos ou redes artificiais de distribuição, independentemente de notificação prévia. Para afastar essa presunção, o provedor deverá demonstrar que atuou de forma diligente e em tempo razoável.Os provedores que ofereçam ferramentas de anúncio ou impulsionamento ficam ainda obrigados a vedar a contratação de conteúdos criminosos e a manter, pelo prazo de 1 ano, os registros de cada anúncio e dos respectivos anunciantes.
Registro de porta lógica
Em resposta às discussões judiciais, o decreto, diferentemente do que foi analisado pelo STF, trouxe uma novação de impacto técnico considerável: o estende o dever de guarda de registros de endereço IP para abranger, também e finalmente, a porta lógica de origem, sempre que necessária para identificação do terminal de origem. A medida busca ampliar a rastreabilidade de usuários em investigações criminais e cíveis.
3 Decreto nº 12.976/2026: proteção contra violência digital de gênero
O referido decreto institui um regime específico para a proteção de mulheres no ambiente digital, com foco no enfrentamento da violência de gênero online.
Falha sistêmica em conteúdos contra mulheres
Os provedores serão responsabilizados por falha sistêmica quando deixarem de indisponibilizar imediatamente conteúdos que configurem crimes ou atos ilícitos praticados contra mulheres em razão da condição do sexo feminino. O decreto estabelece prazos específicos para a remoção: 6 horas para conteúdos manifestamente ilegais que configurem os crimes ou atos ilícitos expressamente listados no decreto ou em até 24 horas para os demais casos.
Prazos especiais para conteúdo íntimo não consentido
Para a remoção de material íntimo exibido sem autorização, o prazo é significativamente mais restrito: 2 horas, contado notificação.
Obrigações relativas à inteligência artificial
O decreto dispõe que os provedores de aplicações baseados em funcionalidades de inteligência artificial deverão implementar salvaguardas técnicas e procedimentais para identificar e bloquear solicitações de geração de conteúdos íntimos não consentidos. Trata-se de obrigação de resultado tecnológico imposta a sistemas de IA generativa, inovação normativa que avança além do que o MCI, originalmente, previu e que está sujeita aos questionamentos de legitimidade já mencionados.
Implicações práticas: o que muda para empresas e plataformas
A conjunção da decisão colegiada do STF com os novos decretos reconfigura, substancialmente, o ambiente de conformidade para provedores de aplicações no Brasil, notadamente no que diz respeito à (1) revisão de políticas de moderação de conteúdo, (2) governança de anúncios e impulsionamentos, (3) adequação de procedimentos para conteúdos de gênero em face de prazos exíguos, (4) representação legal no Brasil, e (5) reforço da atuação da ANPD quanto à regulação, fiscalização e apuração de infrações.
Perspectivas e incertezas do regime transitório
O quadro normativo é, por definição, provisório. A inconstitucionalidade declarada pelo STF reconhece que o artigo 19, em sua redação vigente, não atende às exigências constitucionais e a democracia, mas confere ao Congresso Nacional o espaço e a responsabilidade de editar nova lei sobre o tema.
Enquanto isso, verifica-se a existência de uma completa insegurança jurídica baseada em três camadas: (1) o artigo 19 do MCI; (2) a tese de repercussão geral fixada pelo STF, cujos embargos de declaração permanecem pendentes (STF julgará os recursos, em plenário virtual, a partir do dia 29 de maio); e (3) os Decretos nº 12.975 e 12.976/2026, cuja constitucionalidade pode ser questionada em alguns de seus dispositivos. Essa sobreposição de fontes cria, naturalmente, zonas de incerteza e insegurança jurídica.
Conclusão
Em face de todo o exposto, inconteste que o Brasil atravessa um momento de reconstrução das bases que regem a responsabilidade civil dos provedores de internet, pelos motivos fáticos e jurídicos já apresentados. A decisão do STF, por sua vez, encerrou um ciclo e abriu outro: o da responsabilização escalonada, calibrada, conforme a natureza do conteúdo e o grau de envolvimento do provedor. Os decretos assinados pelo presidente, buscam operacionalizar esse novo regime, mas introduzem questões adicionais sobre os limites do poder regulamentar em matéria reservada à lei.
O que se pode afirmar, com segurança, é que o modelo de responsabilidade condicionada, exclusivamente, à ordem judicial, que vigorou entre 2014 e 2026, pertence ao passado. O novo paradigma impõe às plataformas deveres de cuidado ativos, prazos definidos e estruturas internas de governança de conteúdo, aproximando o Brasil de tendências regulatórias já consolidadas em outros países.
Por outro lado, o aspecto, que, talvez, mereça maior reflexão não é o conteúdo dos decretos em si, mas, sim, a inversão do percurso normativo. Afinal, o fluxo institucional esperado do Congresso Nacional editar a lei e o Executivo a regulamentar foi substituído. Temas espinhosos de responsabilidade de provedores, moderação de conteúdo e deveres de transparência foram disciplinados por ato do Executivo antes do debate parlamentar. Esse desvio de rota enfraquece, certamente, o ambiente digital.
Associações vinculadas ao ambiente digital têm apontado que a iniciativa regulatória do Executivo é “pouco usual” diante de um cenário em que as próprias balizas do STF ainda estão em fase de consolidação, isto é, com embargos de declaração pendentes, enquanto que o Congresso tampouco concluiu seus trabalhos.
A posição da Autoridade Nacional de Proteção de Dados (ANPD) merece destaque: cuidou de delimitar, publicamente, o escopo de sua nova atribuição, ou seja, não lhe caberá avaliar o conteúdo de postagens individuais, nem exercer qualquer forma de curadoria editorial sobre o que circula nas plataformas. Cuidará da função de fiscalizar o cumprimento das obrigações de atuação proativa das plataformas.
