Decretos atualizam o Marco Civil da Internet e o regime de responsabilização de provedores

A Presidência da República publicou, em 21 de maio de 2026, os Decretos nº 12.975/2026 e 12.976/2026, que alteram o decreto anterior do Marco Civil da Internet e estabelecem novas diretrizes relacionadas à atuação de provedores de conexão e de aplicações de internet no Brasil.

As normas tratam, entre outros aspectos, de deveres relacionados à guarda de dados, transparência, moderação de conteúdo e procedimentos aplicáveis ao tratamento de conteúdos ilícitos no âmbito das aplicações de internet.

A edição dos Decretos é realizada após decisão do Supremo Tribunal Federal (STF), ainda não transitada em julgado, que declarou a inconstitucionalidade parcial e progressiva do artigo 19 do Marco Civil da Internet, que determinava que provedores de aplicações de internet somente poderiam ser responsabilizados civilmente por danos decorrentes de conteúdo gerado por terceiro após descumprimento de ordem judicial específica.

Na decisão, que sedimentou a tese de repercussão geral nos Temas 987 e 533, o STF tornou obrigatório, para os provedores de aplicações de internet, o dever de cuidado em casos de circulação massiva de conteúdos ilícitos graves, estabelecendo que o provedor deve ser responsabilizado quando não promover a indisponibilização imediata, por falha sistêmica, de conteúdos que configurem crimes graves previstos em rol taxativo. A tese também fixou presunções de responsabilidade em casos de anúncios e impulsionamentos pagos e em situações de rede artificial de distribuição. A decisão ainda está sujeita a mudanças em virtude da pendência do julgamento dos embargos de declaração, pautados para julgamento em breve.

Na ocasião, o STF conclamou o Congresso Nacional a legislar sobre a matéria, reconhecendo a necessidade de regulação por meio de processo legislativo próprio. Nesse contexto, a iniciativa do Poder Executivo de avocar a regulamentação de temas que padecem de omissão legislativa por meio de Decretos pode suscitar questionamento quanto à sua constitucionalidade e legalidade.

Além dos temas sedimentados pelo STF, os Decretos também introduziram novas regras envolvendo a obrigatoriedade de registro da porta lógica, restrições ao uso de inteligência artificial e mecanismos específicos para a proteção das mulheres.

Os Decretos atribuem competências específicas à Agência Nacional de Proteção de Dados (ANPD), ampliando o seu escopo de atuação no ambiente digital.

Decreto nº 12.975/2026: atualização da regulamentação do Marco Civil da Internet

O Decreto nº 12.975 altera o Decreto nº 8.771/2016, que regulamenta o Marco Civil da Internet, com o objetivo de detalhar deveres dos provedores e mecanismos de responsabilização e governança, incluindo:

Manutenção de sede no país

Em linha com o julgamento do STF, o Decreto estabelece deveres gerais aos provedores, dentre os quais se destaca a obrigação de manter sede e representante legal no Brasil com poderes para responder perante as esferas administrativa e judicial; cumprir penalizações, multas e afetações financeiras em que o representado incorrer; prestar informações às autoridades competentes sobre o funcionamento da aplicação, suas regras e seus procedimentos internos.

Procedimentos de moderação, remoção e responsabilização por conteúdo gerado por terceiro

Alinhado ao entendimento do STF, o Decreto introduz um conjunto de disposições que atualizam o regime de responsabilização dos provedores de aplicações por conteúdo gerado por terceiro e disciplinam procedimentos relativos à notificação, análise e tratamento de conteúdos ilícitos ou criminosos.

Os provedores de aplicações de internet que realizem a intermediação de conteúdo gerado por terceiros estão sujeitos ao dever de cuidado e à caracterização de falha sistêmica na indisponibilização imediata de conteúdos que envolvam determinadas hipóteses de conteúdo criminoso, incluindo, entre outros, terrorismo, indução ao suicídio ou automutilação, discriminação, crimes contra a mulher, crimes contra crianças e adolescentes, tráfico de pessoas e atos antidemocráticos.

A falha sistêmica está associada à não comprovação da adoção de medidas adequadas de prevenção ou de remoção desses conteúdos, o que será avaliado pela ANPD a partir de mecanismos de supervisão e análise periódica. A existência de conteúdos ilícitos de forma isolada não caracteriza, por si só, falha sistêmica.

Além de obrigações de avaliação e moderação de conteúdo, os provedores de aplicações de internet deverão disponibilizar canal permanente e de fácil acesso destinado ao recebimento e tratamento de notificações para comunicação de conteúdos ilícitos ou criminosos mediante identificação específica.

Em resposta às notificações, os provedores de aplicações de internet devem indisponibilizar o conteúdo gerado por terceiros que configure crime conforme a legislação nacional. O contexto das publicações, a liberdade religiosa e de crença e a finalidade informativa, educativa ou de crítica, sátira e paródia devem ser considerados pelos provedores. Ficam excetuados dessa hipótese os crimes contra a honra, em relação aos quais a responsabilização dos provedores de aplicações de internet por conteúdo gerado por terceiro só se dará em caso de descumprimento de ordem judicial específica de remoção.

A ANPD poderá regulamentar aspectos operacionais relacionados às notificações, prazos de resposta, procedimentos de contestação e definição das partes legitimadas para denunciar conteúdos ilícitos.

As obrigações de monitoramento e moderação de conteúdo previstas no Decreto não se aplicam aos serviços de e-mails, mensageria instantânea (no que se refere a comunicações interpessoais) e comunicação audiovisual de grupo restrito, destinados a reuniões ou interações em ambientes de acesso controlado. A responsabilização dos responsáveis por esses serviços só se dará em caso de descumprimento de ordem judicial de remoção.

Anúncios, impulsionamento e publicidade enganosa, abusiva ou fraudulenta

Os provedores de aplicações de internet que, mediante pagamento, disponibilizem ferramentas para anúncio ou impulsionamento de conteúdo deverão adotar medidas adequadas para vedar a contratação de conteúdo que configure crime ou ato ilícito e manter, pelo prazo de um ano, as informações relativas a cada anúncio ou impulsionamento e aos respectivos anunciantes.

A responsabilidade do provedor de aplicações de internet poderá ser presumida em casos de conteúdos ilícitos veiculados por meio de anúncios, impulsionamentos pagos ou redes artificiais de distribuição, independentemente de notificação prévia. A comprovação de atuação diligente e em tempo razoável para indisponibilizar o conteúdo pode eximir a responsabilidade do provedor.

O Decreto também estabelece hipóteses em que o provedor de aplicações de internet deverá remover conteúdo gerado por terceiros que constitua publicidade enganosa, abusiva ou fraudulenta após notificação.

Registro da Porta Lógica

O Decreto estabelece que o dever de guarda de registros de endereço IP pelos provedores de conexão e aplicação abrangerá também a porta lógica de origem, sempre que necessária para a identificação do terminal de origem ou do próximo enlace de rede, observadas as disposições aplicáveis do Marco Civil da Internet quanto à disponibilização desses dados.

Decreto nº 12.976/2026: regime específico de proteção contra violência digital de gênero

O Decreto nº 12.976/2026 institui um conjunto de diretrizes e regras voltadas à proteção de mulheres na internet, com foco no enfrentamento da violência digital, incluindo:

Responsabilização por falha sistêmica

O Decreto estabelece que os provedores de aplicações de internet que realizem intermediação de conteúdo gerado por terceiro serão responsabilizados em caso de falha sistêmica na indisponibilização imediata de determinados conteúdos que configurem crimes ou atos ilícitos praticados contra mulheres, em razão da condição do sexo feminino.

Notificação e tratamento de conteúdos

Mediante notificação, os provedores de aplicações de internet que realizem intermediação de conteúdo gerado por terceiro deverão indisponibilizar:

• Os conteúdos que configurem crimes ou atos ilícitos contra as mulheres em ambiente digital em até seis horas em caso de conteúdo manifestamente ilegal que caracterize os crimes ou os atos ilícitos listados no Decreto ou em até 24 horas nos demais casos;
• A exibição não autorizada de conteúdo íntimo em até duas horas.

A ANPD também poderá regulamentar esses procedimentos.

Conteúdos produzidos ou modificados por tecnologias digitais

O Decreto inclui disposições relativas ao tratamento de conteúdos íntimos gerados, alterados ou disseminados por meio de tecnologias digitais, incluindo inteligência artificial.

A despeito da ausência de previsão normativa no Marco Civil da Internet e no antigo decreto regulamentador, o novo Decreto também dispõe que os provedores de aplicações de internet baseados em funcionalidades de inteligência artificial ou recurso tecnológico equivalente deverão implementar salvaguardas técnicas e procedimentais para identificar e bloquear solicitações de geração desses conteúdos.

Ambos os Decretos entram em vigor após 60 dias da data de publicação.

Para mais informações sobre o tema, conheça as práticas de Contencioso e Tecnologia do Mattos Filho.