VII · Dados e Direito Digital CF, art. 5º, LXXIX · Lei 13.709/2018 · Lei 12.965/2014

Tutela coletiva · Processo penal

Dados e internet: LGPD, Marco Civil e big data no processo penal

Q: A LGPD se aplica às investigações criminais e à segurança pública?

Não. O art. 4º, III, exclui o tratamento para fins exclusivos de segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais, e o STJ repete a regra (Jurisprudência em Teses, Ed. 279, tese 10). A exclusão vem com condições: lei específica com medidas proporcionais e estritamente necessárias, devido processo, princípios gerais e direitos do titular (§ 1º); vedação de tratamento por pessoa de direito privado, salvo sob tutela de pessoa jurídica de direito público (§ 2º); e relatórios de impacto solicitados pela autoridade nacional (§ 3º). Afirmar que a exclusão libera o uso de dados na investigação de qualquer limite é falso.

Q: O consentimento é obrigatório para tratar dados pessoais?

Não. É uma das dez bases do art. 7º, sem hierarquia sobre as demais (Enunciado 689 da IX Jornada de Direito Civil). A dispensa de consentimento não afasta os princípios nem os direitos do titular (art. 7º, § 6º). Para dados sensíveis, o art. 11 exige consentimento específico e destacado ou uma das hipóteses do inciso II — e ali não há legítimo interesse nem proteção do crédito.

Q: Qual é hoje a natureza da ANPD e quem aplica as sanções da LGPD?

Desde a Lei 15.352/2026 , a ANPD é a Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, nos termos da Lei 13.848/2019 (art. 55-A). A aplicação das sanções é exclusiva dela (art. 55-K). A multa simples vai até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52, II); órgãos e entidades públicos não se sujeitam às multas (§ 3º); e os arts. 52 a 54 vigoram desde 1º/08/2021 (art. 65, I-A).

Q: Por quanto tempo os provedores guardam registros, e quem pode pedir guarda por mais tempo?

Registros de conexão: 1 ano , pelo administrador de sistema autônomo (Marco Civil, art. 13). Registros de acesso a aplicações: 6 meses , pelo provedor de aplicações constituído como pessoa jurídica, com atividade organizada, profissional e com fins econômicos (art. 15). A autoridade policial ou administrativa ou o Ministério Público podem requerer cautelarmente a guarda por prazo superior, sem ordem judicial (arts. 13, § 2º, e 15, § 2º; STJ, Ed. 279, tese 9), mas têm 60 dias para pedir a autorização judicial de acesso (art. 13, § 3º), e a entrega sempre depende dessa autorização (§ 5º).

Q: O Ministério Público pode requisitar dados de um usuário diretamente ao provedor?

Só os dados cadastrais de qualificação pessoal, filiação e endereço (Marco Civil, art. 10, § 3º). O STF validou o acesso de polícia e MP a esses dados sem autorização judicial e excluiu qualquer outro dado cadastral (ADI 4.906). Registros de conexão e de acesso a aplicações exigem ordem judicial com fundados indícios, utilidade motivada e período (arts. 10, § 1º, e 22); o conteúdo das comunicações privadas, ordem judicial nas hipóteses e na forma da lei (art. 10, § 2º).

Q: Depois dos Temas 533 e 987, quando o provedor responde por conteúdo de terceiros?

Em crimes e atos ilícitos , solidariamente, nos termos do art. 21, salvo dúvida razoável sobre a ilicitude após diligência qualificada — regra que vale também para contas denunciadas como não autênticas. Nos ilícitos contra a honra e nas comunicações interpessoais de e-mail e mensageria, continua o art. 19, sem prejuízo, na honra, da remoção por notificação extrajudicial. Replicações de fato ofensivo já reconhecido em juízo saem por notificação. Anúncios e impulsionamentos pagos e redes artificiais: presunção relativa de culpa. Rol taxativo de crimes graves: responsabilidade por falha sistêmica se não houver indisponibilização imediata. Marketplaces: CDC. Não há responsabilidade objetiva, e os efeitos são ex nunc.

Q: Existe direito ao esquecimento na internet?

Não como poder de impedir, pela passagem do tempo, a divulgação de fatos verídicos licitamente obtidos e publicados (STF, Tema 786); abusos se resolvem caso a caso. Desindexação é outra coisa: não exclui resultados, apenas desvincula conteúdos do buscador (STJ, Ed. 224, tese 5), e cabe excepcionalmente quando o nome é o único critério de busca, sem interesse público atual e mantida a matéria (REsp 2.242.808-ES). No campo penal, o STJ usa a ideia para afastar antecedentes muito antigos (REsp 1.702.028-SP).

Q: A pontuação de risco de um sistema de policiamento preditivo pode justificar abordagem ou prisão?

Por si só, não. O STF veda o perfil racial como único critério de fundada suspeita e declara ilícita a prova daí colhida (HC 208.240/SP). No Judiciário, a Resolução CNJ 615/2025 veda soluções que valorem traços, características ou comportamentos de pessoas para prever crimes ou reiteração delitiva na fundamentação de decisões (art. 10, II). O STJ exclui produto de inteligência artificial sem confiabilidade epistêmica mínima (HC 1.059.475-SP), e a coincidência biométrica precisa de laudo de perito oficial (Lei 12.037/2009, art. 7º-C, § 9º). Resultado de sistema é pista a confirmar por prova independente.

A proteção de dados pessoais como direito fundamental (CF, art. 5º, LXXIX), o sistema da Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e a responsabilidade das plataformas depois dos Temas 533 e 987 do STF, lidos por quem atua no Ministério Público: tutela coletiva de dados, provedores, redes sociais e uso de grandes bases de dados na investigação criminal, tema cobrado na prova escrita do 97º concurso do MPSP (2026). Leis conferidas no texto vigente e jurisprudência conferida no acervo curado da casa e em fontes oficiais em 14/09/2026.

Ideia central

Dado pessoal é a matéria-prima de três regimes que a prova costuma misturar. A LGPD disciplina o tratamento de dados por particulares e pelo Poder Público, mas não se aplica à segurança pública nem à investigação criminal (art. 4º, III), que dependem de lei específica. O Marco Civil da Internet regula a guarda e o fornecimento de registros de conexão e de acesso a aplicações e a responsabilidade dos provedores por conteúdo de terceiros. E a Constituição, desde a EC 115/2022, protege os dados pessoais em inciso próprio (art. 5º, LXXIX). Big data é o ponto em que os três se encontram: bases enormes tratadas por modelos que entregam correlação e probabilidade, não o fato determinado e o indício concreto que a restrição de direitos exige.

Lei seca — o núcleo normativo

CF · LGPD · Marco Civil

CONSTITUIÇÃO FEDERAL Art. 5º, X – são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação; Art. 5º, XII – é inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução processual penal; Art. 5º, LXXIX – é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais. (Incluído pela EC 115/2022) Art. 21. Compete à União: (...) XXVI – organizar e fiscalizar a proteção e o tratamento de dados pessoais, nos termos da lei. (EC 115/2022) Art. 22. Compete privativamente à União legislar sobre: (...) XXX – proteção e tratamento de dados pessoais. (EC 115/2022)

LEI 13.709/2018 (LGPD) Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais: (...) III – realizado para fins exclusivos de: a) segurança pública; b) defesa nacional; c) segurança do Estado; ou d) atividades de investigação e repressão de infrações penais; (...) § 1º O tratamento de dados pessoais previsto no inciso III será regido por legislação específica, que deverá prever medidas proporcionais e estritamente necessárias ao atendimento do interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos nesta Lei. Art. 22. A defesa dos interesses e dos direitos dos titulares de dados poderá ser exercida em juízo, individual ou coletivamente, na forma do disposto na legislação pertinente, acerca dos instrumentos de tutela individual e coletiva. Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. (...) § 3º As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos do caput deste artigo podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.

LEI 12.965/2014 (MARCO CIVIL DA INTERNET) Art. 10, § 1º O provedor responsável pela guarda somente será obrigado a disponibilizar os registros mencionados no caput, de forma autônoma ou associados a dados pessoais ou a outras informações que possam contribuir para a identificação do usuário ou do terminal, mediante ordem judicial, na forma do disposto na Seção IV deste Capítulo, respeitado o disposto no art. 7º. § 3º O disposto no caput não impede o acesso aos dados cadastrais que informem qualificação pessoal, filiação e endereço, na forma da lei, pelas autoridades administrativas que detenham competência legal para a sua requisição. Art. 13. Na provisão de conexão à internet, cabe ao administrador de sistema autônomo respectivo o dever de manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano, nos termos do regulamento. (...) § 2º A autoridade policial ou administrativa ou o Ministério Público poderá requerer cautelarmente que os registros de conexão sejam guardados por prazo superior ao previsto no caput. Art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento. Art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as disposições legais em contrário.

Redação vigente conferida no Planalto em 14/09/2026. O art. 19 do Marco Civil continua impresso na lei, mas o STF o declarou parcialmente inconstitucional (Temas 533 e 987): quem o lê sem a tese responde pela regra antiga — ver a seção 9.

Lei 15.352/2026 — a ANPD passou a ser Agência Nacional de Proteção de Dados

A Lei 15.352, de 25/02/2026 (conversão da MP 1.317/2025), deu nova redação ao art. 55-A da LGPD: a ANPD é a Agência Nacional de Proteção de Dados, "autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, dotada de autonomia funcional, técnica, decisória, administrativa e financeira", nos termos da Lei 13.848/2019 (a lei das agências reguladoras). A sigla não mudou; mudaram o nome, a vinculação e o regime jurídico. Material que ainda descreve a ANPD só pela Lei 14.460/2022 (que a transformara em autarquia de natureza especial) está desatualizado.

A LGPD fica fora da persecução penal — mas a exclusão não é carta branca

O art. 4º, III, exclui o tratamento para fins exclusivos de segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais, e o STJ repete a regra (Jurisprudência em Teses, Ed. 279, tese 10). A mesma norma, porém, exige lei específica com medidas proporcionais e estritamente necessárias, devido processo, princípios gerais e direitos do titular (§ 1º); veda esse tratamento por pessoa de direito privado, salvo em procedimento sob tutela de pessoa jurídica de direito público (§ 2º); manda a autoridade nacional solicitar relatórios de impacto (§ 3º); e proíbe que a totalidade de um banco dessas finalidades seja tratada por pessoa de direito privado, salvo a de capital integralmente público (§ 4º).

Art. 19 do Marco Civil: o texto impresso não é mais a regra geral

Depois dos Temas 533 e 987, a ordem judicial específica ficou reservada, entre outros casos, aos crimes e ilícitos contra a honra (sem prejuízo de remoção por notificação extrajudicial) e às comunicações interpessoais de e-mail e mensageria. Nos demais crimes e atos ilícitos, o provedor responde de forma solidária, nos termos do art. 21, salvo dúvida razoável sobre a ilicitude após diligência qualificada; em rol taxativo de crimes graves, responde por falha sistêmica se não promover a indisponibilização imediata. Responder pela letra do art. 19 é erro.

Três camadas de dados, três regimes de acesso

Dados cadastrais (qualificação pessoal, filiação e endereço): requisição por autoridade com competência legal, sem ordem judicial (Marco Civil, art. 10, § 3º), e só esses (STF, ADI 4.906). Registros de conexão e de acesso a aplicações: guarda obrigatória por 1 ano e 6 meses (arts. 13 e 15) e fornecimento só por ordem judicial (arts. 10, § 1º, e 22). Conteúdo das comunicações privadas: só por ordem judicial, nas hipóteses e na forma da lei (art. 10, § 2º). A preservação cautelar dos registros, porém, pode ser pedida diretamente pela polícia, por autoridade administrativa ou pelo MP (arts. 13, § 2º, e 15, § 2º).

Big data na prova escrita do 97º MPSP (2026)

O uso de grandes bases de dados na persecução penal, a polícia preditiva e as políticas públicas de segurança foram cobrados na prova escrita do 97º concurso do MPSP (2026), em dissertação de Processo Penal sem tópicos. A seção 11 organiza o tema pelo que a lei e a jurisprudência permitem afirmar; a seção 12, pelo que cabe ao Ministério Público fazer.

Índice de seções

1 · Proteção de dados como direito fundamental

CF, art. 5º, X, XII e LXXIX · EC 115/2022

Antes de 2022, a proteção de dados era extraída por interpretação da intimidade e da vida privada (art. 5º, X), do sigilo de dados (art. 5º, XII) e do habeas data (art. 5º, LXXII). A EC 115/2022 deu ao tema inciso próprio — "é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais" (art. 5º, LXXIX) — e duas regras de competência: cabe à União organizar e fiscalizar a proteção e o tratamento de dados pessoais (art. 21, XXVI) e legislar privativamente sobre a matéria (art. 22, XXX).

A cláusula "nos termos da lei" entrega ao legislador a conformação do direito, e a lei que hoje o densifica é a LGPD. Ela elege a autodeterminação informativa como fundamento expresso (art. 2º, II), ao lado do respeito à privacidade; da liberdade de expressão, de informação, de comunicação e de opinião; da inviolabilidade da intimidade, da honra e da imagem; do desenvolvimento econômico e tecnológico e da inovação; da livre iniciativa, da livre concorrência e da defesa do consumidor; e dos direitos humanos, do livre desenvolvimento da personalidade, da dignidade e do exercício da cidadania pelas pessoas naturais (art. 2º).

Dois precedentes que servem de régua

ADI 6.387 (Plenário, referendo da medida cautelar, 2020). O STF suspendeu a MP 954/2020, que obrigava as prestadoras de telefonia fixa e móvel a disponibilizar ao IBGE a relação dos nomes, dos números de telefone e dos endereços de seus consumidores durante a emergência da covid-19. A tese registrada no acervo: a emergência sanitária não é salvo-conduto para suprimir garantias de privacidade e de proteção de dados pessoais por medida provisória sem salvaguardas rigorosas.
ADI 6.649 e ADPF 695 (Plenário, 15/09/2022). Julgando o Decreto 10.046/2019, o STF admitiu o compartilhamento de dados pessoais entre órgãos e entidades da Administração Pública federal desde que observados parâmetros: propósitos legítimos, específicos e explícitos; limitação ao mínimo necessário para a finalidade informada; cumprimento integral das garantias da LGPD compatíveis com o setor público; controle rigoroso de acesso ao Cadastro Base do Cidadão e sistema eletrônico de registro de acesso, para responsabilização em caso de abuso.

Dado acessível ao público não é dado livre

O tratamento de dado cujo acesso é público "deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização" (LGPD, art. 7º, § 3º). O dado tornado manifestamente público pelo próprio titular dispensa consentimento, mas não afasta os direitos do titular nem os princípios (§ 4º), e o tratamento posterior para novas finalidades exige propósitos legítimos e específicos (§ 7º). Fora das exclusões do art. 4º, é o ponto de partida contra a ideia de que cruzar bases públicas ou perfis abertos em redes sociais escaparia da lei.

O tratamento de dados pelo Poder Público (LGPD, arts. 23 a 26) e a convivência com a publicidade administrativa estão desenvolvidos na wiki Transparência Pública e Lei de Acesso à Informação.

2 · LGPD: conceitos, agentes e alcance

Lei 13.709/2018 · arts. 1º, 3º, 4º, 5º e 12

A LGPD dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, para proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural (art. 1º). Suas normas gerais são de interesse nacional e devem ser observadas por União, Estados, Distrito Federal e Municípios (art. 1º, parágrafo único). Tratamento é toda operação realizada com dados: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração (art. 5º, X).

Figura	Definição legal
Dado pessoal	Informação relacionada a pessoa natural identificada ou identificável (art. 5º, I).
Dado pessoal sensível	Rol do art. 5º, II — ver seção 4.
Dado anonimizado	Relativo a titular que não possa ser identificado, considerados os meios técnicos razoáveis e disponíveis na ocasião do tratamento (art. 5º, III). Não é dado pessoal, salvo se a anonimização for revertida com meios próprios ou puder sê-lo com esforços razoáveis (art. 12).
Titular	Pessoa natural a quem se referem os dados pessoais objeto de tratamento (art. 5º, V).
Controlador	Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento (art. 5º, VI).
Operador	Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento em nome do controlador (art. 5º, VII).
Encarregado	Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares e a Agência Nacional de Proteção de Dados (art. 5º, VIII, redação da Lei 15.352/2026).
Agentes de tratamento	O controlador e o operador (art. 5º, IX).
Anonimização	Uso de meios técnicos razoáveis e disponíveis no momento do tratamento, pelos quais o dado perde a possibilidade de associação, direta ou indireta, a um indivíduo (art. 5º, XI).
Pseudonimização	O dado só volta a se associar ao indivíduo pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro (art. 13, § 4º). A reassociação continua possível — é o que a distingue da anonimização.
Relatório de impacto	Documentação do controlador com a descrição dos processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, e das medidas, salvaguardas e mecanismos de mitigação de risco (art. 5º, XVII).

Perfil comportamental também é dado pessoal

"Poderão ser igualmente considerados como dados pessoais, para os fins desta Lei, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada" (art. 12, § 2º). Na análise de grandes bases, é a regra que impede tratar como estatística anônima a inferência que recai sobre alguém identificável.

Alcance territorial (art. 3º) e exclusões (art. 4º) — o rol completo

A lei alcança qualquer operação de tratamento, independentemente do meio, do país da sede ou do país onde estejam os dados, desde que: (I) a operação seja realizada no território nacional; (II) tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou (III) os dados tenham sido coletados no território nacional — assim considerados os dados cujo titular nele se encontre no momento da coleta (§ 1º).

Não se aplica ao tratamento: (I) por pessoa natural para fins exclusivamente particulares e não econômicos; (II) para fins exclusivamente jornalístico e artísticos ou acadêmicos — nestes, a própria lei manda aplicar os arts. 7º e 11; (III) para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais, regido por legislação específica (§ 1º); (IV) de dados provenientes de fora do território nacional que não sejam objeto de comunicação, uso compartilhado com agentes de tratamento brasileiros ou transferência internacional a país diverso do de proveniência, desde que este proporcione grau de proteção adequado.

Pessoa jurídica fica fora — Enunciado 693 da IX Jornada de Direito Civil (CJF)

"A proteção conferida pela LGPD não se estende às pessoas jurídicas, tendo em vista sua finalidade de proteger a pessoa natural." O texto legal sustenta a leitura: dado pessoal, dado sensível e titular são definidos pela referência à pessoa natural (art. 5º, I, II e V).

3 · Princípios e bases legais

Arts. 6º a 10 · Enunciados 688 e 689 (CJF)

As atividades de tratamento observam a boa-fé e dez princípios (art. 6º):

Finalidade — propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior incompatível;
Adequação — compatibilidade do tratamento com as finalidades informadas, de acordo com o contexto;
Necessidade — limitação ao mínimo necessário, com dados pertinentes, proporcionais e não excessivos;
Livre acesso — consulta facilitada e gratuita sobre a forma e a duração do tratamento e a integralidade dos dados;
Qualidade dos dados — exatidão, clareza, relevância e atualização;
Transparência — informações claras, precisas e facilmente acessíveis sobre o tratamento e os agentes, observados os segredos comercial e industrial;
Segurança — medidas técnicas e administrativas contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
Prevenção — medidas para prevenir a ocorrência de danos;
Não discriminação — impossibilidade de tratamento para fins discriminatórios ilícitos ou abusivos;
Responsabilização e prestação de contas — demonstração de medidas eficazes e capazes de comprovar o cumprimento das normas, inclusive de sua eficácia.

As dez bases legais (art. 7º)

O tratamento "somente poderá ser realizado" nas hipóteses do art. 7º: (I) consentimento do titular; (II) cumprimento de obrigação legal ou regulatória pelo controlador; (III) pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres; (IV) estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização; (V) execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido deste; (VI) exercício regular de direitos em processo judicial, administrativo ou arbitral; (VII) proteção da vida ou da incolumidade física do titular ou de terceiro; (VIII) tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; (IX) interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular; (X) proteção do crédito.

Mito a desfazer: consentimento não é a base principal

O consentimento é uma das dez hipóteses — não é obrigatório nem prevalece sobre as demais. Tratar dados sem consentimento é lícito quando amparado por outra base legal, e a dispensa de consentimento "não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular" (art. 7º, § 6º). Na síntese do Enunciado 689 da IX Jornada de Direito Civil (CJF): "Não há hierarquia entre as bases legais estabelecidas nos arts. 7º e 11 da Lei Geral de Proteção de Dados (Lei n. 13.709/2018)."

Consentimento (arts. 5º, XII, e 8º)

Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento para uma finalidade determinada (art. 5º, XII). Por escrito ou por outro meio que demonstre a vontade; se escrito, em cláusula destacada (§ 1º); ônus da prova do controlador (§ 2º); vedado o tratamento mediante vício de consentimento (§ 3º); autorizações genéricas são nulas (§ 4º); revogável a qualquer momento, por procedimento gratuito e facilitado (§ 5º). Para comunicar ou compartilhar dados com outros controladores, exige-se consentimento específico, ressalvadas as dispensas legais (art. 7º, § 5º).

Legítimo interesse (art. 10)

Só fundamenta tratamento para finalidades legítimas, consideradas a partir de situações concretas — como o apoio e a promoção de atividades do controlador e a proteção do exercício regular de direitos do titular ou a prestação de serviços que o beneficiem, respeitadas suas legítimas expectativas e seus direitos e liberdades fundamentais. Só os dados estritamente necessários (§ 1º); dever de transparência (§ 2º); a autoridade nacional pode solicitar relatório de impacto (§ 3º). A ponderação — o chamado teste de balanceamento — vem do próprio art. 7º, IX.

LGPD × LAI — Enunciado 688 (CJF)

"A Lei de Acesso à Informação (LAI) e a Lei Geral de Proteção de Dados Pessoais (LGPD) estabelecem sistemas compatíveis de gestão e proteção de dados. A LGPD não afasta a publicidade e o acesso à informação nos termos da LAI, amparando-se nas bases legais do art. 7º, II ou III, e art. 11, II, a ou b, da Lei Geral de Proteção de Dados." O regime da transparência e da informação pessoal está na wiki Transparência Pública e LAI.

Doutrina · Flávio Tartuce

“Entendo que essa previsão quanto à utilização dos dados pessoais não afasta a possibilidade de aplicação da técnica da ponderação em casos de conflitos entre direitos da personalidade ou fundamentais, de acordo com as circunstâncias do caso concreto […]”
TARTUCE, Flávio. Direito Civil: volume único. 2026, item 2.2.5 (Os direitos da personalidade em uma análise civil-constitucional).

4 · Dados sensíveis, crianças e direitos do titular

Arts. 5º, II, 11, 14 e 17 a 21

Art. 5º, II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

Regime reforçado (art. 11)

O dado sensível só é tratado com consentimento específico e destacado do titular ou de seu responsável legal, para finalidades específicas (I), ou sem consentimento quando indispensável para: cumprimento de obrigação legal ou regulatória; tratamento compartilhado necessário à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos; estudos por órgão de pesquisa; exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral; proteção da vida ou da incolumidade física; tutela da saúde, exclusivamente por profissionais de saúde, serviços de saúde ou autoridade sanitária; e prevenção à fraude e segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos (II, "a" a "g").

O que o art. 11 não tem — e as vedações na saúde

Compare os róis: para dados sensíveis não há legítimo interesse nem proteção do crédito entre as bases (art. 7º, IX e X, × art. 11, II). O regime reforçado alcança qualquer tratamento que revele dados sensíveis e possa causar dano ao titular, ressalvada a legislação específica (§ 1º). É vedada a comunicação ou o uso compartilhado entre controladores de dados sensíveis de saúde com objetivo de obter vantagem econômica, exceto nas hipóteses de prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, em benefício dos titulares, para permitir a portabilidade solicitada pelo titular ou as transações financeiras e administrativas decorrentes desses serviços (§ 4º). E é vedado às operadoras de planos privados de assistência à saúde tratar dados de saúde para seleção de riscos na contratação de qualquer modalidade e na contratação e exclusão de beneficiários (§ 5º).

Crianças e adolescentes (art. 14)

O tratamento de dados de crianças e de adolescentes deve ser realizado em seu melhor interesse (caput). O consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal é exigido para os dados de crianças (§ 1º) — o parágrafo não o estende aos adolescentes. Sem esse consentimento, dados de criança só podem ser coletados para contatar os pais ou o responsável, usados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso repassados a terceiro sem o consentimento (§ 3º). A participação da criança em jogos, aplicações de internet ou outras atividades não pode ser condicionada ao fornecimento de informações além das estritamente necessárias (§ 4º), e o controlador deve empregar esforços razoáveis para verificar que o consentimento foi dado pelo responsável (§ 5º).

Duas balizas: Enunciado 682 (CJF) e o Estatuto Digital

"O consentimento do adolescente para o tratamento de dados pessoais, nos termos do art. 14 da LGPD, não afasta a responsabilidade civil dos pais ou responsáveis pelos atos praticados por aquele, inclusive no meio digital" (Enunciado 682 da IX Jornada de Direito Civil). Nos ambientes digitais, a Lei 15.211/2025 (Estatuto Digital da Criança e do Adolescente, em vigor desde 17/03/2026) veda a criação de perfis comportamentais de usuários crianças e adolescentes, inclusive a partir de dados obtidos nos processos de verificação de idade, para direcionamento de publicidade comercial (art. 26). Os deveres de remoção de conteúdo estão na seção 10.

Direitos do titular (arts. 17 a 21)

Toda pessoa natural tem assegurada a titularidade de seus dados pessoais (art. 17). Perante o controlador, a qualquer momento e mediante requisição, o titular tem direito a (art. 18): (I) confirmação da existência de tratamento; (II) acesso aos dados; (III) correção de dados incompletos, inexatos ou desatualizados; (IV) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; (V) portabilidade; (VI) eliminação dos dados tratados com consentimento, salvo as hipóteses de conservação do art. 16; (VII) informação das entidades com as quais houve uso compartilhado; (VIII) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; (IX) revogação do consentimento.

O titular pode peticionar contra o controlador perante a autoridade nacional (§ 1º) e perante os organismos de defesa do consumidor (§ 8º). A confirmação de existência ou o acesso são providenciados em formato simplificado, imediatamente, ou por declaração clara e completa em até 15 dias do requerimento (art. 19). E os dados referentes ao exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo (art. 21).

Decisão automatizada: direito de pedir revisão, sem exigência legal de revisor humano

O titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluídas as destinadas a definir seu perfil pessoal, profissional, de consumo e de crédito ou aspectos de sua personalidade (art. 20, redação da Lei 13.853/2019). O controlador deve fornecer informações claras e adequadas sobre os critérios e procedimentos da decisão, observados os segredos comercial e industrial (§ 1º); se as negar invocando segredo, a autoridade nacional pode realizar auditoria para verificar aspectos discriminatórios (§ 2º). O texto vigente não diz que a revisão será feita por pessoa natural: afirmar isso na prova é acrescentar requisito que a lei não tem.

5 · ANPD, incidentes e sanções administrativas

Arts. 48, 52 a 55-K, 58-A e 65 · Lei 15.352/2026

A autoridade nacional é a Agência Nacional de Proteção de Dados (ANPD), autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, dotada de autonomia funcional, técnica, decisória, administrativa e financeira, com patrimônio próprio e sede e foro no Distrito Federal, nos termos da Lei 13.848/2019 (art. 55-A, redação da Lei 15.352/2026). Compõe-se de Conselho Diretor, órgão máximo de direção; Conselho Nacional de Proteção de Dados Pessoais e da Privacidade; Corregedoria; Ouvidoria; Procuradoria; Auditoria; e unidades administrativas e especializadas (art. 55-C). O Conselho Nacional reúne 23 representantes, um deles do Conselho Nacional do Ministério Público (art. 58-A, V).

Entre as competências da ANPD (art. 55-J): fiscalizar e aplicar sanções mediante processo administrativo com contraditório, ampla defesa e direito de recurso (IV); apreciar petições de titular contra controlador, depois de reclamação não solucionada no prazo regulamentar (V); editar regulamentos, inclusive sobre relatórios de impacto quando o tratamento representar alto risco (XIII); realizar ou determinar auditorias, incluído o poder público (XVI); celebrar compromisso com agentes de tratamento para eliminar irregularidade, incerteza jurídica ou situação contenciosa (XVII); comunicar às autoridades competentes as infrações penais de que tiver conhecimento (XXI); e articular-se com as autoridades reguladoras setoriais (XXIII). A aplicação das sanções da LGPD compete exclusivamente à ANPD, cujas competências prevalecem, no tema, sobre as de outros órgãos; ela é o órgão central de interpretação da lei (art. 55-K e parágrafo único).

Linha do tempo da natureza jurídica

A Lei 14.460/2022 (conversão da MP 1.124/2022) transformou a então Autoridade Nacional de Proteção de Dados em autarquia de natureza especial. A Lei 15.352/2026 (conversão da MP 1.317/2025) a converteu em Agência Nacional de Proteção de Dados, vinculada ao Ministério da Justiça e Segurança Pública e submetida à Lei 13.848/2019. Questão que pergunte pela natureza atual da ANPD tem de ser respondida pela redação de 2026.

Sanções administrativas (art. 52)

Inciso	Sanção	Limite ou condição
I	Advertência	Com indicação de prazo para medidas corretivas
II	Multa simples	Até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada no total a R$ 50 milhões por infração
III	Multa diária	Observado o limite total do inciso II
IV	Publicização da infração	Depois de devidamente apurada e confirmada
V	Bloqueio dos dados a que se refere a infração	Até a regularização
VI	Eliminação dos dados a que se refere a infração	—
X	Suspensão parcial do funcionamento do banco de dados	Até 6 meses, prorrogável por igual período, até a regularização
XI	Suspensão do exercício da atividade de tratamento	Até 6 meses, prorrogável por igual período
XII	Proibição parcial ou total de atividades relacionadas a tratamento de dados	—

Os incisos VII, VIII e IX foram vetados.

Procedimento (§ 1º): sanções só após processo administrativo com ampla defesa, de forma gradativa, isolada ou cumulativa, considerados a gravidade e a natureza das infrações, a boa-fé, a vantagem auferida ou pretendida, a condição econômica, a reincidência, o grau do dano, a cooperação, os mecanismos internos de minimização de dano, as boas práticas e a governança, a pronta adoção de medidas corretivas e a proporcionalidade.
Gradação das sanções mais graves (§ 6º): as dos incisos X, XI e XII só se aplicam depois de imposta ao menos uma das sanções dos incisos II a VI no mesmo caso concreto.
Destino das multas (§ 5º): Fundo de Defesa de Direitos Difusos, o fundo do art. 13 da Lei 7.347/1985 e da Lei 9.008/1995.
Conciliação (§ 7º): vazamentos individuais ou acessos não autorizados podem ser objeto de conciliação direta entre controlador e titular; sem acordo, o controlador fica sujeito às sanções.
Outras esferas (§ 2º): o art. 52 não substitui as sanções administrativas, civis ou penais do CDC e da legislação específica.
Metodologia (art. 53): o cálculo do valor-base das multas depende de regulamento próprio da autoridade, submetido a consulta pública e publicado previamente.
Vigência (art. 65, I-A): os arts. 52, 53 e 54 só vigoram desde 1º/08/2021 (Lei 14.010/2020).

Órgão público não paga multa da LGPD

Às entidades e aos órgãos públicos aplicam-se apenas as sanções dos incisos I, IV, V, VI, X, XI e XII — ficam fora a multa simples e a diária —, sem prejuízo da Lei 8.112/1990, da Lei 8.429/1992 e da Lei 12.527/2011 (art. 52, § 3º). E o teto de R$ 50 milhões é por infração, não por ano nem por empresa.

Incidente de segurança (arts. 46 a 48)

Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, desde a fase de concepção do produto ou do serviço até a sua execução (art. 46 e § 2º). O controlador deve comunicar à autoridade nacional e ao titular o incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável definido pela autoridade, informando no mínimo a natureza dos dados afetados, os titulares envolvidos, as medidas de segurança utilizadas, os riscos, os motivos de eventual demora e as medidas de reversão ou mitigação (art. 48, § 1º). A autoridade pode determinar a ampla divulgação do fato em meios de comunicação e medidas para reverter ou mitigar os efeitos do incidente (§ 2º).

6 · Responsabilidade civil e tutela coletiva de dados

LGPD, arts. 22 e 42 a 45 · LACP · CDC, art. 81

O controlador ou o operador que, em razão do tratamento, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo (art. 42). Para assegurar a efetiva indenização, a lei define quando há solidariedade: o operador responde solidariamente quando descumprir as obrigações da legislação ou não seguir as instruções lícitas do controlador — hipótese em que se equipara ao controlador (§ 1º, I); os controladores diretamente envolvidos no tratamento danoso respondem solidariamente (§ 1º, II). O juiz pode inverter o ônus da prova em favor do titular quando verossímil a alegação, houver hipossuficiência para produzir prova ou a prova lhe for excessivamente onerosa (§ 2º), e quem reparar tem regresso contra os demais responsáveis (§ 4º).

Os agentes só não respondem se provarem que não realizaram o tratamento, que não houve violação à legislação ou que o dano decorre de culpa exclusiva do titular ou de terceiro (art. 43). O tratamento é irregular quando descumpre a lei ou não fornece a segurança que o titular pode esperar, consideradas as circunstâncias relevantes (art. 44), e responde pelo dano de violação da segurança quem deixou de adotar as medidas do art. 46 (art. 44, parágrafo único). Nas relações de consumo, valem as regras de responsabilidade da legislação pertinente (art. 45).

Solidariedade não é regra geral entre controlador e operador

Dizer que controlador e operador respondem sempre em solidariedade simplifica demais o art. 42: o operador só é solidário quando descumpre a legislação ou as instruções lícitas do controlador (§ 1º, I), e a solidariedade entre controladores exige envolvimento direto no tratamento de que decorreu o dano (§ 1º, II). A lei tampouco qualifica expressamente essa responsabilidade como objetiva; nas relações de consumo, remete ao regime do CDC (art. 45).

A porta coletiva

A defesa dos titulares pode ser exercida em juízo individual ou coletivamente (art. 22), e as ações de reparação por danos coletivos podem ser exercidas coletivamente (art. 42, § 3º). O Marco Civil repete a abertura para os direitos que estabelece (art. 30). O caminho processual é o microssistema de tutela coletiva: a Lei 7.347/1985 alcança a responsabilidade por danos morais e patrimoniais causados "a qualquer outro interesse difuso ou coletivo" (art. 1º, IV), e o CDC define interesses difusos, coletivos e individuais homogêneos (art. 81, parágrafo único, I a III).

Um vazamento em massa pode reunir as três dimensões: a difusa, na segurança da base e na prevenção de novos incidentes; a coletiva, no grupo de clientes ligado ao controlador por relação jurídica base; e a individual homogênea, nos danos de origem comum sofridos por cada titular. Havendo condenação em dinheiro pela lesão difusa ou coletiva, a indenização reverte a fundo gerido por conselho federal ou estaduais de que participa necessariamente o Ministério Público (Lei 7.347/1985, art. 13); as multas da ANPD, por sua vez, vão ao Fundo de Defesa de Direitos Difusos de que tratam esse art. 13 e a Lei 9.008/1995 (LGPD, art. 52, § 5º).

Bancos de dados de consumo — STJ, REsp 2.201.694-SP (3ª Turma, 05/08/2025)

O gestor de banco de dados para formação de histórico de crédito que disponibiliza a terceiros consulentes o acesso a informações cadastrais e de adimplemento, sem a prévia autorização do cadastrado, responde objetivamente pelos danos morais, que são presumidos.

7 · Marco Civil: fundamentos, direitos do usuário e neutralidade

Lei 12.965/2014 · arts. 2º a 12

O Marco Civil estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil (art. 1º). Seu fundamento é o respeito à liberdade de expressão, ao lado do reconhecimento da escala mundial da rede; dos direitos humanos, do desenvolvimento da personalidade e do exercício da cidadania em meios digitais; da pluralidade e da diversidade; da abertura e da colaboração; da livre iniciativa, da livre concorrência e da defesa do consumidor; e da finalidade social da rede (art. 2º).

Os princípios (art. 3º) são a garantia da liberdade de expressão, comunicação e manifestação de pensamento; a proteção da privacidade; a proteção dos dados pessoais, na forma da lei; a preservação e garantia da neutralidade de rede; a preservação da estabilidade, segurança e funcionalidade da rede; a responsabilização dos agentes de acordo com suas atividades; a preservação da natureza participativa da rede; e a liberdade dos modelos de negócios, desde que não conflitem com os demais princípios. O rol não exclui outros princípios do ordenamento ou dos tratados de que o Brasil seja parte (parágrafo único).

Conceito (art. 5º)	Definição legal
Endereço IP (III)	Código atribuído a um terminal de uma rede para permitir sua identificação.
Conexão à internet (V)	Habilitação de um terminal para envio e recebimento de pacotes de dados, mediante a atribuição ou autenticação de um endereço IP.
Registro de conexão (VI)	Data e hora de início e término de uma conexão, sua duração e o endereço IP utilizado pelo terminal.
Aplicações de internet (VII)	Conjunto de funcionalidades que podem ser acessadas por meio de um terminal conectado à internet.
Registros de acesso a aplicações (VIII)	Data e hora de uso de uma determinada aplicação a partir de um determinado endereço IP.

Registro não é conteúdo

Pela definição legal, nenhum dos dois registros contém o conteúdo da comunicação: são metadados de data, hora e IP. Por isso o Marco Civil separa o regime dos registros (art. 10, § 1º) do regime do conteúdo das comunicações privadas (art. 10, § 2º), e o STJ registra que as informações de conexão e de acesso têm regras "mais claras, menos rígidas" do que o conteúdo (Jurisprudência em Teses, Ed. 223, tese 1).

Direitos do usuário (arts. 7º e 8º)

O acesso à internet é essencial ao exercício da cidadania (art. 7º, caput). Entre os direitos assegurados: inviolabilidade da intimidade e da vida privada, com indenização pelo dano material ou moral (I); inviolabilidade e sigilo do fluxo das comunicações, salvo por ordem judicial, na forma da lei (II); inviolabilidade e sigilo das comunicações privadas armazenadas, salvo por ordem judicial (III); não suspensão da conexão, salvo por débito diretamente decorrente de sua utilização (IV); não fornecimento a terceiros de dados pessoais, inclusive registros, salvo consentimento livre, expresso e informado ou hipóteses legais (VII); consentimento expresso e destacado sobre coleta, uso, armazenamento e tratamento de dados (IX); exclusão definitiva dos dados fornecidos a uma aplicação, a requerimento, ao término da relação, ressalvada a guarda obrigatória (X, redação dada pela LGPD); e aplicação das normas de defesa do consumidor às relações de consumo na internet (XIII).

A garantia do direito à privacidade e à liberdade de expressão nas comunicações é condição para o pleno exercício do acesso à internet, e são nulas de pleno direito as cláusulas que ofendam a inviolabilidade e o sigilo das comunicações privadas ou que, em contrato de adesão, não ofereçam ao contratante a alternativa do foro brasileiro para controvérsias sobre serviços prestados no Brasil (art. 8º e parágrafo único).

Neutralidade de rede (art. 9º)

O responsável pela transmissão, comutação ou roteamento deve tratar de forma isonômica quaisquer pacotes de dados, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação. A discriminação ou degradação do tráfego, regulamentada por decreto ouvidos o Comitê Gestor da Internet e a Anatel, só pode decorrer de requisitos técnicos indispensáveis à prestação adequada dos serviços ou da priorização de serviços de emergência (§ 1º). Na provisão de conexão, é vedado bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados (§ 3º).

Lei brasileira para quem opera aqui (arts. 11 e 12)

Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, dados pessoais ou comunicações em que ao menos um desses atos ocorra no território nacional, aplicam-se a legislação brasileira e os direitos à privacidade, à proteção dos dados e ao sigilo (art. 11), inclusive quanto ao conteúdo das comunicações em que um dos terminais esteja no Brasil (§ 1º) e ainda que a pessoa jurídica seja sediada no exterior, se oferta serviço ao público brasileiro ou integrante do grupo tem estabelecimento no país (§ 2º). O STJ reafirma que empresas que prestam serviços de aplicação no território brasileiro se submetem ao ordenamento nacional independentemente de terem filial no Brasil ou de armazenarem dados em nuvem (Jurisprudência em Teses, Ed. 222, tese 4). As infrações aos arts. 10 e 11 sujeitam o infrator a advertência, multa de até 10% do faturamento do grupo econômico no Brasil, suspensão temporária ou proibição das atividades, respondendo solidariamente pela multa a filial ou o estabelecimento da empresa estrangeira no país (art. 12).

Os artigos sobre "justa causa" para moderar redes sociais não vigoram

Os arts. 8º-A a 8º-D e 28-A, que a Medida Provisória 1.068/2021 incluiu no Marco Civil para exigir "justa causa e motivação" na exclusão de contas e de conteúdos pelas redes sociais, aparecem no texto compilado da lei como rejeitados. Quem os cita como vigentes sustenta limites à moderação que o ordenamento não tem — a moderação voluntária foi tratada pelo STJ na seção 9.

8 · Guarda, preservação e requisição de registros

Arts. 10, 13 a 17, 22 e 23 · STJ, Jurisprudência em Teses

Dado	Quem guarda e por quanto tempo	Como se obtém
Registros de conexão	Administrador de sistema autônomo, na provisão de conexão: 1 ano, sob sigilo, em ambiente controlado e de segurança; responsabilidade intransferível (art. 13 e § 1º)	Só com autorização judicial (arts. 10, § 1º, 13, § 5º, e 22)
Registros de acesso a aplicações	Provedor de aplicações constituído como pessoa jurídica, com atividade organizada, profissional e com fins econômicos: 6 meses (art. 15). Outros provedores só guardam por ordem judicial, por tempo certo, sobre fatos específicos em período determinado (§ 1º)	Só com autorização judicial (arts. 15, § 3º, e 22)
Acesso a aplicações pelo provedor de conexão	Vedado guardar (art. 14)	—
Dados cadastrais (qualificação pessoal, filiação e endereço)	—	Requisição por autoridade administrativa com competência legal (art. 10, § 3º), sem ordem judicial e restrita a esses três dados (STF, ADI 4.906)
Conteúdo das comunicações privadas	—	Só por ordem judicial, nas hipóteses e na forma da lei (art. 10, § 2º)

Preservar não é acessar

A autoridade policial ou administrativa ou o Ministério Público podem requerer cautelarmente que os registros sejam guardados por prazo superior ao legal (arts. 13, § 2º, e 15, § 2º). Feito o requerimento, há 60 dias para ingressar com o pedido de autorização judicial de acesso (art. 13, § 3º); o provedor mantém sigilo sobre o requerimento, que perde a eficácia se o pedido judicial for indeferido ou não for protocolado no prazo (§ 4º); e a disponibilização ao requerente é sempre precedida de autorização judicial (§ 5º). O STJ fixou que esse requerimento cautelar de guarda prescinde de prévia autorização judicial (Jurisprudência em Teses, Ed. 279, tese 9).

O pedido judicial (arts. 22 e 23)

A parte interessada pode, para formar prova em processo cível ou penal, em caráter incidental ou autônomo, requerer ao juiz que ordene ao responsável pela guarda o fornecimento de registros. Sob pena de inadmissibilidade, o requerimento deve conter: (I) fundados indícios da ocorrência do ilícito; (II) justificativa motivada da utilidade dos registros para a investigação ou a instrução; e (III) o período ao qual se referem os registros (art. 22, parágrafo único). O juiz toma as providências para garantir o sigilo e a preservação da intimidade do usuário, podendo decretar segredo de justiça, inclusive quanto aos pedidos de guarda (art. 23).

Período delimitado: a leitura do STJ muda conforme o dado

Para registros de conexão, a decisão que quebra o sigilo atende à lei quando apresenta fundados indícios, justificativa da utilidade e delimitação temporal do período (Jurisprudência em Teses, Ed. 281, tese 5). Para dados telemáticos já armazenados, porém, o STJ dispensa limitação temporal específica (Ed. 223, tese 10, e Ed. 279, tese 5). E a quebra de dados estáticos de conexão não é interceptação: rege-se pelo Marco Civil, não pela Lei 9.296/1996 (Ed. 281, tese 7), que alcança a interceptação do fluxo de comunicações em sistemas de informática e telemática (art. 1º, parágrafo único).

Ponto	Tese do STJ (Jurisprudência em Teses)
IP e porta lógica	Provedores de acesso e de aplicação têm o dever de guarda dos dados de IP e porta lógica de origem, para identificar usuários que cometam ilícitos (Ed. 223, tese 3); provedores de conexão e de acesso fornecem, mediante ordem judicial, a porta lógica de origem associada ao IP (Ed. 223, tese 6).
Dados pessoais no provedor de aplicação	Provedores de aplicações não são obrigados a guardar e fornecer dados pessoais dos usuários, porque os registros de IP bastam para a identificação (Ed. 223, tese 2).
Conteúdo ainda disponível	O provedor de acesso deve fornecer, mediante requisição judicial, o teor das comunicações entre usuários, desde que ainda estejam disponíveis (Ed. 223, tese 9); o provedor de e-mail não tem dever legal de armazenar mensagens deletadas (Ed. 223, tese 8).
Links patrocinados	Os registros de patrocínio de links em serviços de busca são guardados por 6 meses contados do fim do patrocínio, não da contratação (Ed. 222, tese 5).

Como esses dados viram prova no processo penal — acesso a celular apreendido (Tema 977 do STF), interceptação telemática, espelhamento de aplicativos e integridade da prova digital — está nas wikis Direito Digital e Provas e Cadeia de Custódia, do PROPENAL.LAB.

9 · Responsabilidade dos provedores e remoção de conteúdo

Arts. 18 a 21 e 31 · Temas 533 e 987 (STF)

O provedor de conexão não responde civilmente por danos decorrentes de conteúdo gerado por terceiros (art. 18). Para o provedor de aplicações, o texto do art. 19 condiciona a responsabilidade ao descumprimento de ordem judicial específica, que deve identificar de forma clara e específica o conteúdo, permitindo sua localização inequívoca, sob pena de nulidade (§ 1º). Infrações a direitos de autor dependem de lei específica (§ 2º) — até lá, segue a legislação autoral (art. 31). Causas sobre honra, reputação ou direitos da personalidade e sobre a indisponibilização desses conteúdos podem ir aos juizados especiais (§ 3º), e o juiz pode antecipar a tutela, considerado o interesse da coletividade na disponibilização do conteúdo (§ 4º). Tendo o contato do usuário, o provedor comunica-lhe os motivos da indisponibilização, com informações que permitam o contraditório e a ampla defesa em juízo (art. 20).

A exceção legal é o art. 21: na divulgação, sem autorização dos participantes, de imagens, vídeos ou outros materiais com cenas de nudez ou de atos sexuais de caráter privado, o provedor responde subsidiariamente se, após notificação do participante ou de seu representante legal, deixar de promover a indisponibilização de forma diligente. A notificação deve identificar especificamente o material e permitir verificar a legitimidade de quem pede, sob pena de nulidade (parágrafo único).

Temas 533 e 987: o regime depois do STF

Julgando em conjunto os Temas 533 (RE 1.057.258/MG) e 987 (RE 1.037.396/SP), em junho de 2025, o STF declarou o art. 19 parcial e progressivamente inconstitucional: a regra geral não confere proteção suficiente a bens jurídicos constitucionais de alta relevância — a proteção de direitos fundamentais e da democracia. Enquanto não sobrevier nova legislação, o art. 19 deve ser interpretado conforme a tese, cuja redação final veio dos embargos de declaração julgados em 17/06/2026, ressalvadas as disposições específicas da legislação eleitoral e os atos normativos do TSE.

Situação	Regime fixado	Item da tese
Conteúdo de terceiro que configure crime ou ato ilícito (regra)	Responsabilidade civil solidária, nos termos do art. 21, sem prejuízo do dever de remoção, salvo se demonstrada dúvida razoável sobre a ilicitude após análise de diligência qualificada	3
Contas denunciadas como não autênticas	A mesma responsabilidade solidária	3.1
Crime ou ilícito civil contra a honra	Aplica-se o art. 19, sem prejuízo da possibilidade de remoção por notificação extrajudicial	3.2
Replicações sucessivas de fato ofensivo já reconhecido por decisão judicial	Todos os provedores de redes sociais removem publicações de conteúdo idêntico a partir de notificação judicial ou extrajudicial, sem novas decisões	3.3
E-mail e mensageria instantânea (comunicações interpessoais), reuniões fechadas por vídeo ou voz e provedores sem interferência no fluxo comunicativo	Aplica-se o art. 19	3.4
Anúncios e impulsionamentos pagos; mecanismos artificiais de disseminação inorgânica	Presunção relativa de culpa; responsabilização independentemente de notificação; exclusão se o provedor provar que atuou diligentemente e em tempo razoável	4
Circulação de conteúdos de crimes graves do rol taxativo	Responde quando não promover a indisponibilização imediata: responsabilidade por falha sistêmica; conteúdo isolado ou atomizado não basta e atrai o regime do art. 21	5 a 5.4
Marketplaces	Respondem segundo o Código de Defesa do Consumidor	6

Rol taxativo do item 5: condutas e atos antidemocráticos tipificados no Código Penal; terrorismo ou atos preparatórios (Lei 13.260/2016); induzimento, instigação ou auxílio a suicídio ou a automutilação; incitação à discriminação em razão de raça, cor, etnia, religião, procedência nacional, sexualidade ou identidade de gênero (Lei 7.716/1989); crimes praticados contra a mulher em razão da condição do sexo feminino, inclusive conteúdos que propagam ódio às mulheres; crimes sexuais contra pessoas vulneráveis, pornografia infantil e crimes graves contra crianças e adolescentes; e tráfico de pessoas. Falha sistêmica é deixar de adotar medidas adequadas de prevenção ou remoção desses conteúdos, violando o dever de atuar de forma responsável, transparente e cautelosa; adequadas são as medidas que, conforme o estado da técnica, oferecem os níveis mais elevados de segurança para a atividade (5.2 e 5.3). Quem publicou pode pedir judicialmente o restabelecimento, sem que o provedor seja condenado a indenizar se o conteúdo voltar (5.5), e cabe tutela provisória para impedir a retirada (5.6).

Deveres estruturais: autorregulação com sistema de notificações, devido processo e relatórios anuais de transparência sobre notificações extrajudiciais, anúncios e impulsionamentos (7); canais de atendimento acessíveis a usuários e não usuários (8); regras publicadas e revisadas periodicamente (9); e sede e representante no país, pessoa jurídica com plenos poderes para responder nas esferas administrativa e judicial, prestar informações às autoridades, cumprir determinações judiciais e responder por penalidades (10). Não há responsabilidade objetiva (11), e o Tribunal apelou ao Congresso por nova legislação (12). A decisão tem efeitos ex nunc a partir da publicação da ata de julgamento (05/08/2025), ressalvados os atos continuados ou permanentes e respeitada a coisa julgada (13); as obrigações do item 5 contam com 60 dias da publicação da ata dos embargos de declaração para implementação (14).

Onde a versão resumida da tese costuma errar

(i) No rol de crimes graves, a responsabilidade é por falha sistêmica, não por qualquer postagem isolada; (ii) no impulsionamento pago, há presunção relativa de culpa, afastável pela prova de diligência — não presunção absoluta de responsabilidade; (iii) a tese afasta expressamente a responsabilidade objetiva; (iv) nos ilícitos contra a honra, a responsabilização continua a depender do art. 19, ainda que a remoção por notificação seja possível; (v) a tese não criou dever de "autodenúncia" das plataformas — os deveres adicionais são os dos itens 7 a 10.

O que o STJ fixou sobre provedores

Leitura clássica do art. 19: a responsabilidade do provedor de aplicação por conteúdo de terceiro é subjetiva e se torna solidária quando, após notificação judicial, a retirada é negada ou retardada (Jurisprudência em Teses, Ed. 222, tese 9) — hoje lida com os Temas 533 e 987. A motivação do conteúdo divulgado é indiferente para a incidência do art. 19 (tese 10).
Tipos de provedor: o provedor de pesquisa é espécie do gênero provedor de conteúdo (tese 1); sites de intermediação são provedores de aplicações sujeitos às normas dos provedores de conteúdo (tese 2); sites de e-commerce são provedores de conteúdo (tese 3); e a responsabilidade limitada do art. 19 não se aplica à atuação do provedor de pesquisa no mercado de links patrocinados (tese 8).
Direitos autorais: aplica-se a Lei de Direitos Autorais às infrações cometidas por provedores de aplicação (art. 19, § 2º), diante da ausência de legislação específica (Ed. 266, tese 5).
URL: pedidos de remoção, por notificação ou ordem judicial, dependem da localização inequívoca da publicação (Ed. 138, tese 12). Em cenários de violência e vulnerabilidade digital de crianças e adolescentes, com replicação massiva, a indicação das URLs vinculadas às hashtags é instrumento tecnicamente idôneo — a exigência URL a URL tornaria a tutela ineficaz (REsp 2.239.457-RJ, 3ª Turma, 14/04/2026; Ed. 281, tese 2).
Imagens íntimas (art. 21): a remoção por simples notificação exige caráter não consensual da imagem, natureza privada das cenas e violação à intimidade (Ed. 224, tese 6); a exposição pornográfica não consentida não se limita a nudez total nem a atos de conjunção carnal (tese 7); o rosto não evidenciado é irrelevante para o dano moral (tese 8); e a imagem íntima produzida e cedida com fim comercial não tem natureza privada — a responsabilidade começa com a ordem judicial (tese 9).
Crianças e adolescentes: responde civilmente o provedor que, notificado, não retira conteúdo ofensivo que envolva menor de idade, independentemente de ordem judicial, porque a proteção integral prevalece (Ed. 224, tese 3).
Moderação por iniciativa própria: o provedor pode remover, sem ordem judicial, conteúdos que violem seus termos de serviço ou direitos autorais — compliance interno legítimo, desde que sem abuso de direito, que o art. 19 não impede (AREsp 2.294.622-SP, 4ª Turma, 17/03/2026). É exercício regular de direito remover vídeos que difundam desinformação médica sobre a covid-19 contrária a diretrizes públicas de saúde e às políticas de uso aceitas (REsp 2.084.220-SP, 3ª Turma, 13/04/2026).

10 · Esquecimento, buscadores e redes sociais

Temas 786 e 837 (STF) · STJ · Lei 15.211/2025

Não há direito ao esquecimento (Tema 786)

"É incompatível com a Constituição a ideia de um direito ao esquecimento, assim entendido como o poder de obstar, em razão da passagem do tempo, a divulgação de fatos ou dados verídicos e licitamente obtidos e publicados em meios de comunicação social analógicos ou digitais." Excessos ou abusos no exercício da liberdade de expressão e de informação são analisados caso a caso, pelos parâmetros constitucionais de proteção da honra, da imagem, da privacidade e da personalidade e pelas previsões legais penais e cíveis (STF, Tema 786, RE 1.010.606/RJ, 11/02/2021).

A Jurisprudência em Teses do STJ chegou a afirmar que a tutela da dignidade na sociedade da informação incluía o direito ao esquecimento (Ed. 137, tese 10); em edição posterior, em linha com o STF, registra que ele não é aplicável ao ordenamento brasileiro (Ed. 224, tese 4). No campo penal, a ideia sobrevive com outro objeto: o STJ admite afastar a valoração negativa de antecedentes muito antigos, considerado o prazo de 10 anos entre a extinção da pena e o novo delito (REsp 1.702.028-SP, 5ª Turma, 26/03/2025).

Desindexar não é esquecer

A desindexação não se confunde com o direito ao esquecimento: não exclui resultados, apenas desvincula conteúdos obtidos pelos provedores de busca (Ed. 224, tese 5). Em situações excepcionais, cabe desindexar matérias desabonadoras quando o único elemento de pesquisa for o nome da pessoa, desde que ausente o interesse público atual e mantida a matéria, acessível por outras palavras-chave — solução compatível com o Tema 786, que evita o ciclo de retroalimentação algorítmica que mantém notícias antigas em evidência (REsp 2.242.808-ES, 3ª Turma, 14/04/2026). Fora disso, o provedor de pesquisa não pode ser obrigado a eliminar os resultados da busca de determinado termo ou expressão, independentemente da indicação da URL (Ed. 224, tese 1), salvo, excepcionalmente, resultados incorretos ou inadequados, sem pertinência com o critério pesquisado (tese 2).

Liberdade de expressão e campanhas nas redes (Tema 837)

Campanhas de mobilização social de entidades da sociedade civil, com base em pautas de direitos fundamentais, para desestimular o financiamento ou o apoio institucional a eventos ou organizações, estão protegidas pela liberdade de expressão. A responsabilidade civil — inclusive a cessação da campanha e a retirada de conteúdo das redes — só é possível com má-fé comprovada: dolo, pelo conhecimento prévio da falsidade, ou culpa grave, pela evidente negligência na apuração da veracidade do fato (STF, Tema 837, RE 662.055/SP, 11/02/2026).

Crianças e adolescentes: o Estatuto Digital (Lei 15.211/2025)

Em vigor desde 17/03/2026 (art. 41-A, incluído pela Lei 15.352/2026), o Estatuto Digital aplica-se a todo produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes no país ou de acesso provável por eles, independentemente de sua localização, desenvolvimento, fabricação, oferta, comercialização e operação (art. 1º). Os fornecedores devem remover e comunicar às autoridades nacionais e internacionais competentes os conteúdos de aparente exploração, abuso sexual, sequestro e aliciamento detectados em seus serviços (art. 27) e retirar o conteúdo que viola direitos de crianças e adolescentes assim que comunicados pela vítima, por seus representantes, pelo Ministério Público ou por entidades de defesa desses direitos, independentemente de ordem judicial (art. 29). A notificação identifica tecnicamente o conteúdo e o notificante, vedada a denúncia anônima (§ 2º); conteúdos jornalísticos e submetidos a controle editorial ficam fora do procedimento (§ 4º); e o usuário que publicou tem direito de contestação, com notificação, motivo, indicação de análise humana ou automatizada e recurso (art. 30).

Sanções do Estatuto Digital: não confundir com as da LGPD

No Estatuto Digital, a multa simples vai até 10% do faturamento do grupo econômico no Brasil ou, sem faturamento, de R$ 10 a R$ 1.000 por usuário cadastrado, limitada a R$ 50 milhões por infração; há ainda advertência com prazo de até 30 dias, suspensão temporária e proibição das atividades (art. 35). Advertência e multa são aplicadas pela autoridade administrativa autônoma de proteção dos direitos de crianças e adolescentes no ambiente digital; suspensão e proibição, pelo Poder Judiciário (§ 5º). Na LGPD, o teto da multa simples é de 2% do faturamento (art. 52, II). Os fornecedores devem manter representante legal no país com poderes para responder, inclusive, perante o Ministério Público (art. 40).

A competência para os crimes praticados pela internet (Justiça Federal ou Estadual, foro nos crimes contra a honra) está consolidada na Jurisprudência em Teses do STJ, Ed. 280, e desenvolvida na wiki Direito Digital e Provas.

11 · Big data no processo penal

Requisições amplas · polícia preditiva · segurança pública

Tema cobrado na prova escrita do 97º concurso do MPSP (2026). Cadeia de custódia e meios de obtenção de prova digital estão nas wikis do PROPENAL.LAB indicadas ao fim da seção; aqui fica o que é próprio do big data.

Do fato ao dado

Big data designa conjuntos de dados de grande volume, gerados em alta velocidade e em formatos variados, tratados por técnicas estatísticas e de aprendizado de máquina que extraem padrões e correlações. Para o processo penal, o ponto decisivo é epistemológico: o modelo entrega correlação e probabilidade, não causalidade nem certeza, enquanto a restrição de direitos exige fato determinado, indício concreto e prova submetida ao contraditório. A investigação clássica parte do fato para chegar ao autor; a orientada por dados parte das bases para chegar a suspeitos — e aspira a antecipar o crime.

Três usos precisam ser separados, porque o direito os trata de modo diferente: (i) planejamento e avaliação de políticas de segurança com dados agregados ou anonimizados; (ii) investigação de fato determinado com dados pessoais, sob reserva de lei e, conforme o dado, de jurisdição; (iii) predição sobre pessoas, que atribui risco a indivíduos ou grupos. Quanto mais o uso se aproxima do terceiro, mais pesado o ônus de justificação. E a anonimização não encerra a conversa: o dado volta a ser pessoal quando a reversão é possível com esforços razoáveis, medidos por custo, tempo e tecnologia disponível (LGPD, art. 12, § 1º), e o dado usado para formar perfil comportamental de pessoa identificada pode ser tratado como pessoal (§ 2º).

O marco normativo e a lei que falta

A Constituição protege a intimidade e a vida privada (art. 5º, X), o sigilo de dados e das comunicações (XII) e os dados pessoais (LXXIX); declara inadmissíveis, no processo, as provas obtidas por meios ilícitos (LVI); e assegura que ninguém será considerado culpado até o trânsito em julgado de sentença penal condenatória (LVII). A LGPD sai de cena na persecução penal (art. 4º, III), mas deixa o comando do § 1º: a legislação específica terá de prever medidas proporcionais e estritamente necessárias, devido processo, princípios gerais de proteção e direitos do titular. Essa lei não consta do texto compilado da LGPD conferido em 14/09/2026, e o PL 1.515/2022, apresentado para disciplinar o tratamento de dados nessas finalidades, aguardava parecer na Comissão de Ciência, Tecnologia e Inovação da Câmara dos Deputados nessa data. Enquanto isso, o sistema funciona por normas setoriais:

Lei 9.296/1996: a interceptação depende de ordem do juiz competente da ação principal, sob segredo de justiça, e a disciplina alcança a interceptação do fluxo de comunicações em sistemas de informática e telemática (art. 1º e parágrafo único).
Marco Civil: guarda de registros por prazo legal, preservação cautelar a pedido da polícia ou do MP e fornecimento só por ordem judicial com fundados indícios, utilidade motivada e período delimitado (arts. 13, 15 e 22 — seção 8).
CPP, arts. 13-A e 13-B: MP e delegado requisitam, sem ordem judicial, dados cadastrais da vítima ou de suspeitos nas investigações de cárcere privado, redução a condição análoga à de escravo, tráfico de pessoas, sequestro relâmpago, extorsão mediante sequestro e envio ilegal de criança ao exterior; e, mediante autorização judicial, os sinais e informações que permitam localizar a vítima ou os suspeitos de tráfico de pessoas em curso, sem acesso ao conteúdo da comunicação (art. 13-B, § 2º, I). As duas regras foram declaradas constitucionais (STF, ADI 5.642, 18/04/2024).
Lei 12.037/2009, art. 7º-C: o Banco Nacional Multibiométrico e de Impressões Digitais armazena registros biométricos, impressões digitais e, quando possível, íris, face e voz, para subsidiar investigações criminais (§ 2º). Pode integrar ou interoperar com bancos de outros Poderes e da Justiça Eleitoral (§ 5º), mas, nos bancos de identificação civil, administrativa ou eleitoral, o compartilhamento se limita às impressões digitais e às informações necessárias à identificação (§ 6º). Os dados são sigilosos, e responde quem permitir seu uso para fins diversos (§ 8º); a coincidência de registros biométricos relacionados a crimes deve constar de laudo pericial firmado por perito oficial (§ 9º); é vedada a comercialização da base (§ 10); e polícia e MP podem requerer ao juiz o acesso, com inquérito ou ação penal instaurados (§ 11).
Lei 13.675/2018 (SUSP): o Sinesp armazena, trata e integra dados para a formulação, implementação, execução, acompanhamento e avaliação das políticas de segurança pública e defesa social, entre outras (art. 35).

Requisições amplas: área, período e pessoas indeterminadas

A quebra de sigilo "reversa" parte da base para chegar a pessoas: pede ao provedor quem esteve em determinado perímetro e período, ou quem fez certas buscas. O STJ mantém duas teses que só funcionam lidas juntas: é proporcional, com fundamentação suficiente, a quebra de sigilo de dados estáticos (registros) para identificar usuários que operaram em determinada área geográfica e período de tempo (Jurisprudência em Teses, Ed. 281, tese 9); e não é possível a quebra de registros de geolocalização quando houver possibilidade de violação da intimidade e da vida privada de pessoas não diretamente relacionadas à investigação (Ed. 281, tese 10). O controle concreto passa pelos requisitos do art. 22 do Marco Civil — fundados indícios, utilidade motivada e período — e pela delimitação da área e pela proteção dos dados de terceiros.

No STF, o Tema 1.148 da repercussão geral (RE 1.301.250) discute a constitucionalidade de decreto judicial genérico de quebra de sigilo de dados telemáticos para divulgar informações pessoais de usuários indeterminados, com repercussão geral reconhecida em 28/05/2021. Sem tese curada no acervo até 14/09/2026: confira a situação no portal do STF antes da prova e não trate o tema como julgado.

Polícia preditiva

Polícia preditiva é o uso de dados históricos e modelos estatísticos para antecipar onde, quando ou por quem crimes tenderiam a ocorrer. Há o modelo por local, que aponta áreas e horários de maior incidência, e o modelo por pessoa, que atribui pontuação de risco a indivíduos. Os riscos são estruturais: (i) viés dos dados — bases policiais registram onde a polícia atuou, não necessariamente onde o crime ocorreu; (ii) retroalimentação — mais patrulha gera mais registros, que justificam mais patrulha; (iii) opacidade de sistemas proprietários; (iv) discriminação indireta — variáveis aparentemente neutras, como endereço ou antecedentes de abordagem, podem funcionar como substitutas de raça ou classe; (v) deslocamento do fato para o perfil, em tensão com a culpabilidade e com a presunção de inocência.

Perfil não substitui fato: o que já está vedado

STF, HC 208.240/SP (Plenário, 11/04/2024): a abordagem policial fundada exclusivamente na cor da pele ou em características raciais configura discriminação racial proibida; a prova colhida é ilícita e deve ser desentranhada; os órgãos de segurança devem adotar protocolos antidiscriminatórios, vedado o "perfil racial" como único critério de fundada suspeita para busca pessoal. Resolução CNJ 615/2025, que revogou a Resolução CNJ 332/2020 (art. 46): no Poder Judiciário, são vedadas soluções de inteligência artificial que não possibilitem a revisão humana dos resultados ao longo de seu ciclo de desenvolvimento e uso (art. 10, I); que "valorem traços da personalidade, características ou comportamentos de pessoas naturais ou de grupos de pessoas naturais, para fins de avaliar ou prever o cometimento de crimes ou a probabilidade de reiteração delitiva na fundamentação de decisões judiciais" (II); e a identificação e a autenticação de padrões biométricos para o reconhecimento de emoções (IV). Na LGPD, a não discriminação é princípio (art. 6º, IX) — parâmetro que a lei específica do art. 4º, § 1º, terá de observar.

Prova algorítmica: confiabilidade e contraditório

Resultado de sistema não é prova por ser técnico. O STJ excluiu relatórios produzidos com inteligência artificial generativa, usada para analisar áudio, por falta de confiabilidade epistêmica mínima: a admissibilidade exige licitude formal e aptidão racional para sustentar inferências sobre os fatos, e afastar a perícia oficial por relatório de IA viola o dever de fundamentação técnico-científica do art. 182 do CPP (HC 1.059.475-SP, 5ª Turma, 07/04/2026). No reconhecimento de pessoas, o STJ fixou que o reconhecimento inválido não sustenta condenação nem decisões de menor exigência probatória, como prisão preventiva, recebimento de denúncia ou pronúncia (Tema Repetitivo 1.258) — raciocínio que se estende, como argumento, ao alerta de reconhecimento facial isolado; e a própria Lei 12.037/2009 exige laudo de perito oficial para a coincidência biométrica (art. 7º-C, § 9º).

O contraditório alcança o método. A defesa tem acesso amplo aos elementos de prova já documentados no procedimento investigatório (Súmula Vinculante 14) e, segundo o STJ, não apenas à prova selecionada pela acusação, mas ao material mantido sob custódia estatal que possa contextualizar, contradizer ou enfraquecer a hipótese acusatória (AREsp 3.028.845-PR, 16/06/2026). Quando a acusação se apoia em produto de sistema, isso significa discutir dados brutos, parâmetros e margem de erro. Integridade e auditabilidade dependem de cadeia de custódia e de possibilidade de exame técnico independente, inclusive com hash (Ed. 281, tese 3), e a dúvida razoável sobre integridade impõe perícia (Ed. 281, tese 4; AgRg no HC 1.014.212-ES, 6ª Turma, 10/02/2026).

Políticas públicas de segurança orientadas por dados

A segurança pública é dever do Estado, direito e responsabilidade de todos (CF, art. 144, caput), e a lei deve organizar seus órgãos de modo a garantir a eficiência de suas atividades (§ 7º). A Lei 13.675/2018 fez do dado instrumento de política pública: entre os princípios da política nacional estão a participação e o controle social, a publicidade das informações não sigilosas, a promoção da produção de conhecimento sobre segurança pública e a transparência, responsabilização e prestação de contas (art. 4º, VII, XI, XII e XVI); entre as diretrizes, a sistematização e o compartilhamento das informações de segurança pública e a atuação com base em pesquisas, estudos e diagnósticos (art. 5º, VIII e IX). O Sinesp deve coletar, analisar e integrar dados e disponibilizar estudos, estatísticas e indicadores para formulação, monitoramento e avaliação das políticas (art. 36, I e II).

Nessa chave, os dados servem também para medir o próprio Estado. Na ADPF 635 (03/04/2025), o STF homologou parcialmente o plano de redução da letalidade policial do Rio de Janeiro, com medidas complementares, e fixou que as operações devem observar a proporcionalidade no uso da força, ser planejadas sempre que possível e registradas em relatórios, cabendo ao Ministério Público verificar a legalidade da operação após sua realização. E, diante de deficiência grave de política pública, o Judiciário aponta finalidades e exige plano da Administração, em vez de medidas pontuais (Tema 698). A transparência dos contratos dessas ferramentas e o sigilo classificável estão na wiki Transparência Pública e LAI.

O fio que liga as fontes

Lei, precedentes e normas do CNJ convergem num ponto verificável: traço, comportamento ou perfil não substitui fato e indício concreto na fundamentação de medida contra pessoa determinada. O uso de dados agregados para planejar e avaliar políticas é o campo menos problemático; a restrição de direitos baseada em predição individual é o mais exposto às vedações acima. Aprofundamento de prova digital: Direito Digital e Provas, Cadeia de Custódia e Provas no CPP.

12 · Atuação do Ministério Público

CF, art. 129, II, III, VI, VII e VIII

O Ministério Público entra no tema por várias portas constitucionais: zelar pelo efetivo respeito dos Poderes Públicos e dos serviços de relevância pública aos direitos assegurados na Constituição (art. 129, II); promover o inquérito civil e a ação civil pública para a proteção de interesses difusos e coletivos (III); expedir notificações e requisitar informações e documentos em seus procedimentos (VI); exercer o controle externo da atividade policial (VII); e requisitar diligências investigatórias e a instauração de inquérito policial (VIII).

1. Tutela coletiva de dados

Incidentes e vazamentos: inquérito civil para apurar as medidas de segurança adotadas (LGPD, art. 46), a comunicação do incidente à autoridade nacional e aos titulares (art. 48) e a extensão do dano; compromisso de ajustamento de conduta, com eficácia de título executivo extrajudicial (Lei 7.347/1985, art. 5º, § 6º); e ação civil pública pelos danos difusos, coletivos e individuais homogêneos (LGPD, arts. 22 e 42, § 3º; Lei 7.347/1985, art. 1º, IV).
Relação com a ANPD: a sanção administrativa é exclusiva da agência (art. 55-K), mas não substitui as sanções civis e administrativas do CDC e da legislação específica (art. 52, § 2º) nem a reparação do dano; a ANPD comunica às autoridades competentes as infrações penais de que tiver conhecimento (art. 55-J, XXI), e o CNMP tem assento no Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (art. 58-A, V).
Consumo: bancos de dados de crédito que abrem informações a consulentes sem autorização do cadastrado geram dano moral presumido e responsabilidade objetiva (STJ, REsp 2.201.694-SP); o titular pode peticionar também aos organismos de defesa do consumidor (art. 18, § 8º).
Poder Público como controlador: o compartilhamento de dados dentro da Administração exige finalidade, necessidade, controle e registro de acesso (ADI 6.649 e ADPF 695); a disciplina dos arts. 23 a 26 da LGPD está na wiki Transparência Pública e LAI.

2. Redes sociais e proteção de crianças e adolescentes

O MP pode notificar diretamente o fornecedor para retirar conteúdo que viole direitos de crianças e adolescentes, com dever de retirada independentemente de ordem judicial (Lei 15.211/2025, art. 29), identificando tecnicamente o conteúdo (§ 2º); o representante legal do fornecedor no país responde perante o Ministério Público (art. 40).
Na ação para remoção de conteúdo replicado em massa, a indicação das URLs vinculadas às hashtags é idônea (REsp 2.239.457-RJ); o provedor notificado que não retira conteúdo ofensivo envolvendo menor responde independentemente de ordem judicial (Ed. 224, tese 3); e, no rol de crimes graves dos Temas 533 e 987, o fundamento é a falha sistêmica.
Quando o pedido depender do art. 19, a ordem judicial precisa identificar clara e especificamente o conteúdo, sob pena de nulidade (art. 19, § 1º).

3. Investigação

Dados cadastrais: requisição direta limitada à qualificação pessoal, filiação e endereço (Marco Civil, art. 10, § 3º; ADI 4.906) e, nos crimes do art. 13-A do CPP, requisição de dados cadastrais de vítima ou suspeitos a órgãos públicos e empresas privadas.
Preservação antes do acesso: requerimento cautelar de guarda dos registros, sem ordem judicial (arts. 13, § 2º, e 15, § 2º; Ed. 279, tese 9), seguido do pedido judicial de acesso em até 60 dias (art. 13, § 3º), sob pena de o requerimento perder a eficácia (§ 4º).
Acesso a registros: pedido com fundados indícios, utilidade motivada e período (art. 22); na quebra por área, fundamentação suficiente, delimitação e proteção de terceiros (Ed. 281, teses 9 e 10).
Banco Nacional Multibiométrico: acesso requerido ao juiz, com inquérito ou ação penal instaurados (Lei 12.037/2009, art. 7º-C, § 11); coincidência só vale consignada em laudo de perito oficial (§ 9º).
Prova produzida por sistemas: exigir confiabilidade e perícia (HC 1.059.475-SP; Ed. 281, tese 4) e não sustentar abordagem ou medida em perfil racial (HC 208.240/SP).

4. Controle externo e governança de dados na segurança pública

Como controlador externo da atividade policial (art. 129, VII), o MP fiscaliza a licitude de cada prova e dos sistemas que a produzem, e a ADPF 635 lhe atribuiu verificar a legalidade das operações policiais após sua realização. Como defensor de interesses difusos, pode instaurar inquérito civil, recomendar, ajustar conduta ou propor ação civil pública estrutural para exigir finalidades e plano da Administração (Tema 698). A âncora para pedir relatório de impacto em sistemas de segurança pública está na própria LGPD: nas exceções do art. 4º, III, a autoridade nacional deve solicitar aos responsáveis relatórios de impacto à proteção de dados (art. 4º, § 3º); e a Lei 13.675/2018 elege transparência, responsabilização, prestação de contas e controle social como princípios da política de segurança (art. 4º, VII e XVI).

Seis perguntas para qualquer sistema de dados usado na segurança pública

(1) Qual é a base legal e a finalidade determinada? (2) Que dados entram, de quais bases, e por quanto tempo ficam guardados? (3) Existe relatório de impacto e avaliação periódica de erros, inclusive por grupo populacional? (4) Quem acessa, e o acesso fica registrado? (5) O resultado é tratado como pista a confirmar ou como prova? (6) A defesa terá acesso aos dados e ao método? As respostas orientam recomendação, ajustamento de conduta ou ação civil pública — e a impugnação da prova no caso concreto.

Como o tema cai

Provas de MP e Magistratura no acervo

Provas registradas no acervo da casa que cobraram LGPD, Marco Civil ou dados na persecução penal, com o assunto de cada cobrança.

Prova	Formato	Assunto cobrado
ENAM (FGV) 2024, 2025 e 2026	Objetiva	LGPD em direito digital; princípios da LGPD; LGPD na governança pública e no Estado regulador
MPRJ 2022	Discursiva	Responsabilidade do provedor por conteúdo discriminatório notificado e moderação de perfil em rede social
MPRJ 2024 (VUNESP)	Objetiva	Marco Civil da Internet
MPRJ 2025 (FGV)	Objetiva	Inaplicabilidade da LGPD à defesa nacional e à investigação criminal
MPMS 2024	Discursiva	Quebra de sigilo de dados de usuários por área geográfica e período
MPMS 2026 (FAPEC)	Objetiva	Transparência, acesso à informação e LGPD
MPSP 2026	Objetiva	Responsabilidade civil dos provedores após os Temas 987 e 533
MPSP 2026 (97º concurso)	Dissertação de Processo Penal	Big data no processo penal

Pontos que as bancas exploram

(i) Consentimento como apenas uma das dez bases do art. 7º e o regime reforçado do art. 11; (ii) natureza da ANPD e teto das multas — hoje com a redação da Lei 15.352/2026 e o limite de R$ 50 milhões por infração; (iii) a nova leitura do art. 19 do Marco Civil depois dos Temas 533 e 987, com as faixas de responsabilidade; (iv) a exclusão da LGPD na investigação criminal; (v) a quebra de sigilo por área e a proteção de terceiros.

Jurisprudência qualificada — STF/STJ

Teses do acervo · conferidas em 14/09/2026

STF · Plenário Temas 533 e 987

Art. 19 do Marco Civil: inconstitucionalidade parcial e progressiva

O art. 19, que exige ordem judicial específica para responsabilizar o provedor de aplicações por conteúdo de terceiros, é parcialmente inconstitucional. Em crimes e atos ilícitos, responsabilidade solidária nos termos do art. 21, salvo dúvida razoável sobre a ilicitude após diligência qualificada; art. 19 para ilícitos contra a honra (sem prejuízo de remoção por notificação extrajudicial) e para comunicações interpessoais; presunção relativa de culpa em anúncios e impulsionamentos pagos e em redes artificiais; responsabilidade por falha sistêmica no rol taxativo de crimes graves; marketplaces pelo CDC; sem responsabilidade objetiva; efeitos ex nunc.

RE 1.037.396/SP e RE 1.057.258/MG · Repercussão Geral · tese com a redação dos embargos de declaração julgados em 17/06/2026

STF · Plenário ADI 4.906

Dados cadastrais sem autorização judicial — só qualificação, filiação e endereço

É constitucional norma que permite o acesso, por autoridades policiais e pelo Ministério Público, a dados cadastrais de pessoas investigadas independentemente de autorização judicial, excluída a possibilidade de requisição de qualquer outro dado cadastral além dos referentes à qualificação pessoal, filiação e endereço (art. 5º, X e LXXIX, da CF).

ADI 4.906/DF · Rel. Min. Nunes Marques · j. 11/09/2024

STF · Plenário Tema 786

Direito ao esquecimento é incompatível com a Constituição

É incompatível com a Constituição a ideia de um direito ao esquecimento, entendido como o poder de obstar, em razão da passagem do tempo, a divulgação de fatos ou dados verídicos e licitamente obtidos e publicados em meios de comunicação social analógicos ou digitais. Excessos ou abusos são analisados caso a caso, pelos parâmetros constitucionais de proteção da honra, da imagem, da privacidade e da personalidade e pelas previsões legais penais e cíveis.

RE 1.010.606/RJ · Repercussão Geral · j. 11/02/2021

STF · Plenário Tema 977

Celular apreendido: apreensão livre, acesso condicionado

A mera apreensão do aparelho, nos termos do art. 6º do CPP ou em flagrante, não se sujeita à reserva de jurisdição. O acesso aos dados depende de consentimento expresso e livre do titular ou de decisão judicial que justifique a proporcionalidade e delimite a abrangência — salvo o encontro fortuito, para esclarecer autoria ou propriedade, com justificação posterior. A polícia pode preservar dados e metadados antes da autorização. Efeitos prospectivos.

ARE 1.042.075/RJ · Repercussão Geral · j. 25/06/2025

STF · Plenário ADI 6.387

Emergência não suspende a proteção de dados — MP 954/2020

A declaração de emergência ou calamidade pública não confere ao Poder Executivo salvo-conduto para suprimir garantias fundamentais de privacidade e proteção de dados pessoais mediante edição de medida provisória sem salvaguardas rigorosas. O caso era o compartilhamento compulsório, com o IBGE, de nomes, telefones e endereços de consumidores das prestadoras de telefonia.

ADI 6.387/DF · referendo da medida cautelar · DJe 12/11/2020

STF · Plenário ADI 5.642

CPP, arts. 13-A e 13-B: dados de vítimas e suspeitos e localização

É constitucional a requisição, sem autorização judicial, por delegados e membros do MP, de dados e informações cadastrais da vítima ou de suspeitos a órgãos públicos e empresas privadas nas investigações de cárcere privado, redução a condição análoga à de escravo, tráfico de pessoas, sequestro relâmpago, extorsão mediante sequestro e envio ilegal de criança ao exterior (art. 13-A). Também é constitucional a requisição, mediante autorização judicial, de sinais e informações que permitam localizar a vítima ou os suspeitos (art. 13-B).

ADI 5.642/DF · Rel. Min. Edson Fachin · j. 18/04/2024

STF · Plenário HC 208.240

Perfil racial não é fundada suspeita

A abordagem policial fundada exclusivamente na cor da pele ou em características raciais configura discriminação racial proibida pela CF (art. 5º, XLI e XLII) e viola a igualdade; a prova colhida é ilícita e deve ser desentranhada (art. 5º, LVI). Os órgãos de segurança pública devem adotar protocolos antidiscriminatórios, vedado o "perfil racial" como único critério de fundada suspeita para busca pessoal.

HC 208.240/SP · Rel. Min. Edson Fachin · j. 11/04/2024

STF · Plenário Tema 837

Campanhas de mobilização social nas redes e liberdade de expressão

Campanhas de mobilização social da sociedade civil, com base em pautas de direitos fundamentais, para desestimular financiamento ou apoio institucional a eventos ou organizações, estão protegidas pela liberdade de expressão. A responsabilidade civil, inclusive a cessação da campanha e a retirada de conteúdo das redes sociais, exige má-fé comprovada: dolo, pelo conhecimento prévio da falsidade, ou culpa grave, pela evidente negligência na apuração.

RE 662.055/SP · Repercussão Geral · j. 11/02/2026

STF · Plenário ADPF 635

Letalidade policial: plano, relatórios e controle pelo Ministério Público

A violação generalizada de direitos humanos causada pela falha da política de segurança pública nas favelas do Rio de Janeiro exige solução complexa, com participação de todos os Poderes. O plano de redução da letalidade policial foi homologado parcialmente, com medidas complementares; as operações devem observar a proporcionalidade no uso da força, ser planejadas sempre que possível e registradas em relatórios, cabendo ao Ministério Público verificar a legalidade da operação após sua realização.

ADPF 635/RJ · Rel. Min. Edson Fachin · j. 03/04/2025

STJ · Jurisprudência em Teses Ed. 279 · tese 10

LGPD fora da investigação criminal

A LGPD não se aplica ao tratamento de dados pessoais telemáticos realizado para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais (art. 4º, III, da Lei 13.709/2018).

STJ · Jurisprudência em Teses, Edição 279, tese 10

STJ · Jurisprudência em Teses Ed. 281 · teses 9 e 10

Quebra de registros por área e período × terceiros não investigados

A quebra de sigilo de dados informáticos estáticos (registros) para identificar usuários que operaram em determinada área geográfica e período, com fundamentação suficiente, não é desproporcional nem ofende a privacidade e a intimidade (tese 9). Não é possível a quebra de registros de geolocalização quando houver possibilidade de violação da intimidade e da vida privada de pessoas não diretamente relacionadas à investigação criminal (tese 10).

STJ · Jurisprudência em Teses, Edição 281, teses 9 e 10

STJ · Jurisprudência em Teses Ed. 279 · tese 9 · Ed. 223 · tese 5

Guarda cautelar sem ordem; fornecimento com requisitos

O requerimento cautelar de guarda dos registros por prazo superior ao legal, feito por autoridade policial, administrativa ou pelo Ministério Público, prescinde de prévia autorização judicial. Para o fornecimento judicial dos registros, além dos requisitos processuais, exigem-se fundados indícios do ilícito, justificativa motivada da utilidade e o período a que se referem (art. 22 da Lei 12.965/2014).

STJ · Jurisprudência em Teses, Edição 279, tese 9, e Edição 223, tese 5

STJ · 3ª Turma e Jurisprudência em Teses REsp 2.239.457 · Ed. 224 · tese 3

Conteúdo contra crianças e adolescentes: notificação e URLs de hashtags

Responde civilmente o provedor que, notificado, não retira conteúdo ofensivo envolvendo menor de idade, independentemente de ordem judicial, porque a proteção integral prevalece. Em cenários de violência e vulnerabilidade digital, com replicação massiva, a indicação das URLs vinculadas às hashtags é instrumento tecnicamente idôneo para a remoção — a exigência URL a URL tornaria a tutela ineficaz.

REsp 2.239.457-RJ · j. 14/04/2026 · Jurisprudência em Teses, Edição 224, tese 3

STJ · 4ª Turma AREsp 2.294.622

Moderação voluntária é compliance legítimo

Os provedores de aplicação podem, por iniciativa própria e independentemente de ordem judicial, remover conteúdos que violem seus termos de serviço ou direitos autorais. O art. 19 do Marco Civil não impede essa moderação voluntária, desde que não configure abuso de direito.

AREsp 2.294.622-SP · j. 17/03/2026

STJ · 3ª Turma REsp 2.242.808

Desindexação excepcional pelo nome

Excepcionalmente, cabe desindexar matérias desabonadoras exibidas por provedores de busca quando o único elemento de pesquisa for o nome da pessoa, desde que ausente o interesse público atual e mantida a matéria, acessível por outras palavras-chave — solução compatível com o Tema 786, que evita a retroalimentação algorítmica de notícias antigas.

REsp 2.242.808-ES · j. 14/04/2026

STJ · 5ª Turma HC 1.059.475

Relatório de IA generativa sem confiabilidade não é prova

Relatórios produzidos por inteligência artificial generativa, sobretudo na análise de áudio, não têm confiabilidade epistêmica mínima para admissão como prova penal. A admissibilidade exige licitude formal e aptidão racional para sustentar inferências sobre os fatos; ausente essa aptidão, o elemento é excluído, e afastar perícia oficial por relatório de IA viola o dever de fundamentação técnico-científica do art. 182 do CPP.

HC 1.059.475-SP · j. 07/04/2026

STJ · 3ª Turma REsp 2.201.694

Banco de dados de crédito sem autorização: dano moral presumido

O gestor de banco de dados para formação de histórico de crédito que disponibiliza a terceiros consulentes o acesso a informações cadastrais e de adimplemento, sem a prévia autorização do cadastrado, responde objetivamente pelos danos morais, que são presumidos.

REsp 2.201.694-SP · j. 05/08/2025

Perguntas & Respostas

FAQ · multiabertura

A LGPD se aplica às investigações criminais e à segurança pública?

Não. O art. 4º, III, exclui o tratamento para fins exclusivos de segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais, e o STJ repete a regra (Jurisprudência em Teses, Ed. 279, tese 10).

A exclusão vem com condições: lei específica com medidas proporcionais e estritamente necessárias, devido processo, princípios gerais e direitos do titular (§ 1º); vedação de tratamento por pessoa de direito privado, salvo sob tutela de pessoa jurídica de direito público (§ 2º); e relatórios de impacto solicitados pela autoridade nacional (§ 3º). Afirmar que a exclusão libera o uso de dados na investigação de qualquer limite é falso.

O consentimento é obrigatório para tratar dados pessoais?

Não. É uma das dez bases do art. 7º, sem hierarquia sobre as demais (Enunciado 689 da IX Jornada de Direito Civil). A dispensa de consentimento não afasta os princípios nem os direitos do titular (art. 7º, § 6º).

Para dados sensíveis, o art. 11 exige consentimento específico e destacado ou uma das hipóteses do inciso II — e ali não há legítimo interesse nem proteção do crédito.

Qual é hoje a natureza da ANPD e quem aplica as sanções da LGPD?

Desde a Lei 15.352/2026, a ANPD é a Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, nos termos da Lei 13.848/2019 (art. 55-A). A aplicação das sanções é exclusiva dela (art. 55-K).

A multa simples vai até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52, II); órgãos e entidades públicos não se sujeitam às multas (§ 3º); e os arts. 52 a 54 vigoram desde 1º/08/2021 (art. 65, I-A).

Por quanto tempo os provedores guardam registros, e quem pode pedir guarda por mais tempo?

Registros de conexão: 1 ano, pelo administrador de sistema autônomo (Marco Civil, art. 13). Registros de acesso a aplicações: 6 meses, pelo provedor de aplicações constituído como pessoa jurídica, com atividade organizada, profissional e com fins econômicos (art. 15).

A autoridade policial ou administrativa ou o Ministério Público podem requerer cautelarmente a guarda por prazo superior, sem ordem judicial (arts. 13, § 2º, e 15, § 2º; STJ, Ed. 279, tese 9), mas têm 60 dias para pedir a autorização judicial de acesso (art. 13, § 3º), e a entrega sempre depende dessa autorização (§ 5º).

O Ministério Público pode requisitar dados de um usuário diretamente ao provedor?

Só os dados cadastrais de qualificação pessoal, filiação e endereço (Marco Civil, art. 10, § 3º). O STF validou o acesso de polícia e MP a esses dados sem autorização judicial e excluiu qualquer outro dado cadastral (ADI 4.906).

Registros de conexão e de acesso a aplicações exigem ordem judicial com fundados indícios, utilidade motivada e período (arts. 10, § 1º, e 22); o conteúdo das comunicações privadas, ordem judicial nas hipóteses e na forma da lei (art. 10, § 2º).

Depois dos Temas 533 e 987, quando o provedor responde por conteúdo de terceiros?

Em crimes e atos ilícitos, solidariamente, nos termos do art. 21, salvo dúvida razoável sobre a ilicitude após diligência qualificada — regra que vale também para contas denunciadas como não autênticas. Nos ilícitos contra a honra e nas comunicações interpessoais de e-mail e mensageria, continua o art. 19, sem prejuízo, na honra, da remoção por notificação extrajudicial. Replicações de fato ofensivo já reconhecido em juízo saem por notificação.

Anúncios e impulsionamentos pagos e redes artificiais: presunção relativa de culpa. Rol taxativo de crimes graves: responsabilidade por falha sistêmica se não houver indisponibilização imediata. Marketplaces: CDC. Não há responsabilidade objetiva, e os efeitos são ex nunc.

Existe direito ao esquecimento na internet?

Não como poder de impedir, pela passagem do tempo, a divulgação de fatos verídicos licitamente obtidos e publicados (STF, Tema 786); abusos se resolvem caso a caso.

Desindexação é outra coisa: não exclui resultados, apenas desvincula conteúdos do buscador (STJ, Ed. 224, tese 5), e cabe excepcionalmente quando o nome é o único critério de busca, sem interesse público atual e mantida a matéria (REsp 2.242.808-ES). No campo penal, o STJ usa a ideia para afastar antecedentes muito antigos (REsp 1.702.028-SP).

A investigação pode obter os dados de todos os usuários que estiveram em uma área na hora do crime?

O STJ admite a quebra de registros de usuários que operaram em determinada área e período, com fundamentação suficiente (Ed. 281, tese 9), e veda a quebra de registros de geolocalização quando houver possibilidade de violar a intimidade de pessoas não relacionadas à investigação (tese 10). Lidas juntas, as teses exigem delimitação de área e período, utilidade demonstrada e proteção dos dados de terceiros (Marco Civil, art. 22).

No STF, o Tema 1.148 (RE 1.301.250) discute o decreto judicial genérico de quebra de sigilo de usuários indeterminados — sem tese curada no acervo até 14/09/2026.

A pontuação de risco de um sistema de policiamento preditivo pode justificar abordagem ou prisão?

Por si só, não. O STF veda o perfil racial como único critério de fundada suspeita e declara ilícita a prova daí colhida (HC 208.240/SP). No Judiciário, a Resolução CNJ 615/2025 veda soluções que valorem traços, características ou comportamentos de pessoas para prever crimes ou reiteração delitiva na fundamentação de decisões (art. 10, II).

O STJ exclui produto de inteligência artificial sem confiabilidade epistêmica mínima (HC 1.059.475-SP), e a coincidência biométrica precisa de laudo de perito oficial (Lei 12.037/2009, art. 7º-C, § 9º). Resultado de sistema é pista a confirmar por prova independente.

Dados de adolescentes exigem consentimento dos pais? E o MP pode mandar retirar conteúdo das redes?

O consentimento específico e em destaque de pelo menos um dos pais ou do responsável é exigido para dados de crianças (LGPD, art. 14, § 1º); para crianças e adolescentes vale o melhor interesse (caput), e o consentimento do adolescente não afasta a responsabilidade civil dos pais (Enunciado 682 da IX Jornada de Direito Civil).

Pelo Estatuto Digital (Lei 15.211/2025, em vigor desde 17/03/2026), o fornecedor deve retirar conteúdo que viole direitos de crianças e adolescentes assim que comunicado pelo Ministério Público, pela vítima, por seus representantes ou por entidades de defesa desses direitos, independentemente de ordem judicial (art. 29).

Testar o tema em questões

LGPD, Marco Civil e responsabilidade dos provedores em questões de MP e Magistratura no simulado de Tutela Coletiva.

Abrir simulado

Continue estudando

Transparência Pública e LAI Direito Digital e Provas Cadeia de Custódia Provas no CPP Direito e Tecnologia Governança Pública e IA Direitos da Personalidade