STF julga acesso a IP no Marco Civil: o que está em jogo para privacidade e investigação criminal

O caso que redefine o acesso a dados de navegação no Brasil

O Supremo Tribunal Federal irá julgar em sessão física a Ação Declaratória de Constitucionalidade 91 (ADC 91), processo que define se o artigo 10, parágrafo 1º, do Marco Civil da Internet (Lei 12.965/2014) é compatível com a Constituição. A norma exige ordem judicial prévia para que provedores de internet compartilhem registros de conexão e de acesso a aplicações. O caso foi retirado de pauta no Plenário Virtual pelo ministro Flávio Dino, o que significa que a análise será reiniciada presencialmente — e sem data definida ainda.

A ação foi proposta pela Abrint, Associação Brasileira de Provedores de Internet e Telecomunicações, diante de divergências judiciais recorrentes sobre a interpretação da regra. Autoridades policiais e o Ministério Público têm requisitado diretamente aos provedores informações vinculadas a endereços de IP para identificar usuários suspeitos, sem buscar ordem judicial prévia. O julgamento da ADC 91 vai definir se essa prática é constitucional ou se viola o direito à proteção de dados pessoais.

O voto do relator e a proteção dos metadados

No relatório virtual, o ministro Cristiano Zanin votou pela constitucionalidade do dispositivo e defendeu interpretação conforme à Constituição Federal. Zanin fez uma distinção entre dados cadastrais básicos — como nome, filiação e endereço — que podem ser acessados diretamente pelas autoridades, e dados de tráfego, que incluem registros de conexão e acesso a aplicações, e que exigem autorização judicial. O ministro argumentou que metadados que permitem reconstruir hábitos, rotinas e redes de relacionamento dos usuários justificam proteção jurídica mais elevada.

Zanin também destacou que a identificação de um usuário a partir de um endereço de IP exige a correlação entre dados de tráfego e dados cadastrais, procedimento que igualmente deve respeitar a reserva de jurisdição. Contudo, o relator propôs admitir exceção em situações de extrema urgência, quando o acesso imediato for indispensável para prevenir danos graves — como sequestros em andamento, ataques terroristas ou crimes cibernéticos em curso. Nessas hipóteses, a requisição poderia ser feita diretamente e depois submetida ao controle judicial.

A divergência e o risco de abertura sem lei

Ao apresentar voto-vista em Plenário Virtual, o ministro Dias Toffoli acompanhou o relator quanto à constitucionalidade da norma, mas divergiu da possibilidade de acesso direto em situações excepcionais. Para Toffoli, permitir essa exceção sem previsão legal específica pode violar o direito fundamental à proteção de dados pessoais e abrir margem a abusos por parte do Estado. O ministro defendeu que hipóteses de acesso sem ordem judicial devem estar expressamente previstas em lei formal e observar critérios de proporcionalidade.

A divergência expõe um ponto central: a tensão entre a eficiência investigatória e a proteção de direitos fundamentais. De um lado, há o argumento de que restrições excessivas atrapalham investigações criminais. De outro, especialistas alertam que a abertura sem filtro pode transformar-se em instrumento de vigilância massiva, especialmente em contextos de abuso de autoridade.

O impacto da EC 115/2022 e a privacidade como direito fundamental

A Emenda Constitucional 115/2022 alterou a Constituição Federal para incluir a proteção de dados pessoais entre os direitos fundamentais. Essa mudança amplifica a densidade normativa do Marco Civil da Internet e fortalece a integração entre os marcos regulatórios. Na prática, significa que qualquer interpretação sobre acesso a dados de navegação precisa ser compatível com esse direito fundamental à autodeterminação informativa.

O Supremo Tribunal Federal, ao julgar o RMS 55.819/2022, demonstrou entender a proteção de dados de forma ampla — aplicável tanto a informações estáticas, como CPF, quanto a fluxos dinâmicos, como registros de navegação ou geolocalização. Esse precedente orienta que a Corte deve analisar a ADC 91 à luz dessa proteção constitucional ampliada.

A Lei Geral de Proteção de Dados Pessoais (LGPD) também reforça essa proteção. O artigo 5º, inciso X, define como dado pessoal qualquer informação relacionada a pessoa natural identificada ou identificável. Um endereço de IP, isoladamente ou em conjunto com outros dados de tráfego, pode permitir a identificação de um usuário — o que o torna dado pessoal protegido pela LGPD.

Riscos práticos para investigações e para provedores

Caso o STF decida que a requisição direta é permitida mesmo sem ordem judicial, o impacto imediato recai sobre os provedores de internet. Empresas como provedores de banda larga e telecomunicações podem ser pressionadas a entregar dados de tráfego sem filtro judicial, o que transfere a elas a responsabilidade de avaliar quando há urgência suficiente para contornar a exigência legal.

Por outro lado, se a Corte reafirmar a necessidade de ordem judicial, investigações que já foram realizadas com base em entendimentos anteriores podem ser questionadas. Ambos os ministros, Zanin e Toffoli, indicaram que a interpretação fixada deve produzir efeitos apenas para o futuro, preservando investigações já conduzidas sob entendimento diverso.

Essa modulação de efeitos é relevante porque indica que a decisão do STF não terá caráter retroativo. Porém, a partir da publicação da tese, o novo padrão será vinculante para todos os casos futuros — o que muda imediatamente a prática de polícias civis, Ministério Público e autoridades federais.

Contrapontos: segurança pública versus direitos individuais

O debate sobre acesso a IP sem ordem judicial não é binário. De um lado, defensores da segurança pública argumentam que a exigência de ordem judicial cria gargalos burocráticos que prejudicam investigações urgentes. De outro, organizações de direitos digitais sustentam que a ausência de filtro judicial transforma o poder de requisição em instrumento potencial de abuso, especialmente contra jornalistas, ativistas e grupos minoritários.

Especialistas em direito digital alertam que a definição de urgência pode ser ampliada de forma subjetiva. Sem critérios objetivos e lei formal, cada autoridade poderia definir o que considera urgente — criando um espaço de discricionariedade que compromete a previsibilidade jurídica.

Também há o argumento de que a separação entre dados cadastrais e dados de tráfego, defendida por Zanin, pode não ser tão clara na prática. Identificar um usuário a partir do IP muitas vezes exige justamente a correlação entre esses dois tipos de dado — o que significa que a fronteira divisória pode ser mais turva do que parece.

Cenários e síntese

O julgamento da ADC 91 deve produzir um marco interpretativo que afetará diretamente o trabalho investigatório de polícias e promotores. Três cenários são possíveis: manutenção integral da exigência de ordem judicial; exceção apenas com lei formal definindo critérios; ou permissão de acesso direto em casos de urgência extrema sem previsão legal.

O cenário mais provável, considerando a jurisprudência do STF em temas de proteção de dados, é uma decisão que reaffirme a necessidade de filtro judicial, mas com possível modulação de efeitos para preservar investigações anteriores. A definição de critérios objetivos para hipóteses de urgência ficaria para o legislador — o que devolve a responsabilidade política ao Congresso Nacional.

O desfecho da ADC 91 também terá efeito sobre a percepção internacional do Brasil em matéria de proteção de dados. Em um cenário de pressão internacional crescente para que plataformas respondam a solicitações de governos, a definição de um padrão claro e baseado em direitos fundamentais diferencia o Brasil de jurisdições com menor densidade normativa em proteção de dados.

Nota editorial: Este conteúdo foi produzido e revisado com apoio de inteligência artificial, a partir de pesquisa em fontes públicas e critérios editoriais do andrebadini.com. Embora o texto busque precisão e contextualização, ele tem finalidade informativa e não substitui análise profissional individualizada.

Este artigo foi elaborado com apoio de inteligência artificial generativa como ferramenta de assistência à redação. O conteúdo foi revisado e validado antes da publicação. As análises e opiniões expressas são de responsabilidade do autor e não constituem aconselhamento jurídico.