Ouça este conteúdo
O Supremo Tribunal Federal (STF) voltou a debater o Marco Civil da Internet, desta vez para analisar se dados de IP de usuários podem ser acessados sem necessidade de ordem judicial. A discussão, iniciada nesta quinta-feira (27), envolve a possibilidade de autoridades terem acesso a informações de dezenas de pessoas não investigadas que compartilham o mesmo IP.
Com a expansão da internet, tornou-se inviável atribuir um endereço IP exclusivo a cada usuário. Diante desse cenário, consolidou-se o uso de IPs públicos compartilhados, modelo em que diversos usuários utilizam o mesmo endereço IP para acessar a rede.
Por analogia, é como se, anteriormente, cada usuário tivesse uma casa com endereço próprio, identificado pelo nome da rua e pelo número do imóvel. Com o crescimento da população, porém, não seria possível construir uma casa para cada pessoa. Assim, passaram a ser erguidos prédios, nos quais vários moradores compartilhavam o mesmo endereço principal, diferenciando-se apenas pelo número do apartamento.
Nesse contexto, caso um morador do prédio cometa um crime, seria necessário identificar o número do apartamento para localizá-lo. Do contrário, a polícia teria acesso a informações de todos os moradores do edifício, mesmo daqueles que não possuem qualquer relação com o crime, para descobrir quem foi o responsável.
Órgãos como a Procuradoria-Geral da República (PGR) e o Conselho Nacional de Procuradores-Gerais (CNPG) defendem que as autoridades policiais possam requisitar diretamente, sem necessidade de autorização judicial, os dados cadastrais do IP para chegar ao investigado.
Os pedidos, porém, colocam as empresas em uma situação delicada. Se entregarem informações sem ordem judicial violam as garantias de privacidade previstas, podendo sofrer pesadas multas e processos de indenizações morais com base no Marco Civil da Internet e na Lei Geral de Proteção de Dados. Se realizarem uma busca interna para identificar o usuário específico, enfrentam custos operacionais elevados, já que o procedimento exige tempo, pessoal e estrutura técnica.
O episódio ocorrido com Douglas da Silva Benedito, administrador do provedor Servtel, ilustra a situação. Em 2023, um delegado da Polícia Federal enviou um ofício exigindo a identificação de um usuário que utilizava determinado IP em data e horário específicos, sem apresentar ordem judicial. Douglas se recusou a fornecer as informações, alegando que a medida comprometeria o sigilo de dezenas de clientes inocentes que compartilhavam aquele mesmo IP.
Em razão da recusa, o Ministério Público Federal (MPF) denunciou Douglas pelo crime de desobediência. Em março de 2026, porém, a Justiça Federal de Santa Catarina absolveu o administrador.
O episódio está entre os casos citados na Ação Declaratória de Constitucionalidade (ADC) 91, em julgamento no STF. A ação foi proposta pela Associação Brasileira de Provedores de Internet e Telecomunicações (Abrint), que busca uniformizar o entendimento sobre o acesso a dados de usuários e dar fim à insegurança jurídica enfrentada pelos provedores de internet.
Relator defende ordem judicial para acesso a dados, mas admite exceções
O STF analisa a ADC 91 em paralelo com as Ações Diretas de Inconstitucionalidade (ADIs) 5.059 e 5.073, processos que também discutem os limites do acesso a dados no âmbito das investigações criminais.
As ADIs questionam dispositivos da Lei 12.830/2013 que tratam das prerrogativas dos delegados de polícia para requisitar informações e conduzir investigações. Em decisões anteriores, a Corte já reconheceu a possibilidade de requisição direta de dados cadastrais básicos, como nome, filiação, estado civil, profissão e endereço.
O debate atual, contudo, envolve uma questão mais complexa: a identificação de usuários a partir de endereços IP compartilhados. Nesse cenário, o STF deverá definir se as informações necessárias para vincular um IP a um usuário específico podem ser fornecidas sem ordem judicial, ao mesmo tempo em que reavalia os limites constitucionais das requisições feitas por autoridades policiais.
No voto apresentado na ADC 91, o ministro Cristiano Zanin, relator do caso, argumenta que não se pode confundir dados meramente cadastrais com registros de conexão e outros dados de tráfego. Para o magistrado, a identificação de um usuário a partir de um endereço IP público compartilhado não se enquadra no conceito de "mero dado cadastral", como sustentam a PGR e o CNPG. Segundo Zanin, esse procedimento exige o cruzamento de diferentes informações e pode resultar na exposição indevida de dados de pessoas sem qualquer relação com a investigação.
De forma geral, o relator defende que a identificação de usuários por meio de registros de conexão deve depender de autorização judicial prévia. O ministro, porém, propôs uma exceção para situações de extrema urgência. Nos casos urgentes, porém, a medida deve ser fundamentada, documentada e, posteriormente, submetida ao Poder Judiciário.
Para Zanin, as hipóteses excepcionais estariam associadas a situações de estado de necessidade ou legítima defesa de terceiros, como a localização de uma vítima de sequestro ou a prevenção de um ataque terrorista iminente. Nessas circunstâncias, o ministro entende que a polícia e o Ministério Público podem requisitar diretamente os registros necessários à identificação do usuário, mesmo sem autorização judicial prévia.
Julgamento envolve discussão de princípios constitucionais
A preocupação manifestada pelo relator reflete uma discussão mais ampla sobre os limites constitucionais do acesso estatal a dados digitais. O fornecimento de dados, sem autorização judicial, relacionados a um IP compartilhado afeta direitos fundamentais previstos na Constituição Federal, como a privacidade, a intimidade e o sigilo das comunicações. Permitir o acesso a informações de dezenas de pessoas que não são alvo da investigação criaria o risco de uma espécie de "varredura digital" indiscriminada, ampliando o alcance estatal sobre dados de cidadãos sem indícios de envolvimento em qualquer ilícito.
"Registros de conexão e IPs não são meros cadastros: eles funcionam como metadados de tráfego capazes de expor rotinas, hábitos, relações pessoais e localização", avalia Francielli Campos, advogada especialista em Direito Digital.
Ela explica que, na prática, o acesso indiscriminado a dados de usuários vinculados a um mesmo IP pode colocar em risco a privacidade de cidadãos inocentes. “A necessidade de autorização judicial prévia, fundamentada e restrita a alvos específicos impede a prática de ‘fishing expeditions’ (pescarias probatórias) indiscriminadas, assegurando que o poder investigatório do Estado atue com foco, necessidade e respeito à presunção de inocência”, pontua.
Para Thiago Ayub, diretor de tecnologia na Sage Networks, autoridades policiais terem acesso a esses tipos de dados sem pedido judicial teriam grande impacto no dia a dia dos brasileiros. “Essa medida representaria uma mudança significativa para o usuário, colocando a privacidade da internet num patamar bem inferior ao da telefonia e das transações bancárias”, afirma.
Segundo Ayub, o legislador conferiu aos registros de conexão proteção semelhante à de dados telefônicos e bancários por causa do potencial de revelar aspectos da vida privada dos usuários.
O especialista também chama atenção para um problema técnico recorrente. "A ausência dessa porta lógica impede que os provedores de internet individualizem a pergunta que a autoridade faz e os obriga a entregar os dados de até 128 assinantes diferentes que compartilham o mesmo endereço IPv4", conclui Ayub.
