Com o avanço das interações virtuais e o aumento de conflitos decorrentes de publicações ofensivas ou ilícitas na internet, tem sido constante a discussão sobre a responsabilidade dos provedores de aplicações — como redes sociais, plataformas de compartilhamento e fóruns — quanto à guarda e fornecimento de dados de usuários.
O Superior Tribunal de Justiça (STJ), no julgamento do Recurso Especial nº 1.829.821/SP, de relatoria da Ministra Nancy Andrighi, consolidou o entendimento de que os provedores de aplicações de internet não estão obrigados a armazenar e fornecer dados pessoais completos dos usuários, sendo suficiente a apresentação dos registros do número IP (Internet Protocol).
O caso foi julgado em 25 de agosto de 2020, e divulgado no Informativo nº 680 do STJ.
1. A identificação do usuário e o dever dos provedores
De acordo com o Marco Civil da Internet (Lei nº 12.965/2014), os provedores de aplicações devem manter registros de acesso a suas aplicações por determinado período, conforme dispõe o art. 15 da referida lei.
Esses registros permitem vincular uma ação virtual a um determinado endereço IP, que funciona como uma espécie de “assinatura técnica” da conexão utilizada no momento da publicação.
O objetivo dessa obrigação é possibilitar a identificação da autoria de manifestações na internet, de modo a coibir o anonimato e assegurar a responsabilização civil e penal por eventuais abusos cometidos no ambiente digital.
Portanto, o dever do provedor é viabilizar a identificação técnica do autor — e não armazenar dados pessoais, como nome, CPF, e-mail ou endereço residencial.
2. A suficiência do número IP para fins de identificação
No julgamento do REsp 1.829.821/SP, o STJ deixou claro que a indicação do número IP é suficiente para atender à obrigação legal imposta ao provedor.
Com base nesse dado, é possível que as autoridades competentes, por meio de requisição judicial, identifiquem o titular da conexão junto ao provedor de acesso à internet (ISP).
Assim, o provedor de aplicação (como o Facebook, Instagram, X/Twitter, entre outros) não é obrigado a fornecer dados pessoais diretos do usuário, pois o rastreamento completo da identidade pode ser feito de forma encadeada — primeiramente pelo IP, e depois pela operadora de internet correspondente.
3. O equilíbrio entre identificação e privacidade
A decisão do STJ também reforça o equilíbrio entre a proteção à privacidade dos usuários e o dever de cooperação com a Justiça.
A exigência de armazenamento irrestrito de dados pessoais seria desproporcional e contrária à Lei Geral de Proteção de Dados (Lei nº 13.709/2018), que impõe a observância dos princípios da necessidade e da finalidade no tratamento de informações pessoais.
Ao limitar a obrigação à guarda do registro de IP, o tribunal assegura um modelo proporcional de rastreabilidade, capaz de identificar condutas ilícitas sem violar o direito à intimidade e à proteção de dados.
4. Jurisprudência e fundamentos legais
O entendimento firmado está em harmonia com o art. 15 do Marco Civil da Internet, que dispõe:
“O provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos, deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de seis meses, nos termos do regulamento.”
O STJ, ao interpretar esse dispositivo, concluiu que não se pode exigir dos provedores a guarda de dados pessoais não previstos em lei, pois tal medida configuraria ônus desproporcional e violação à privacidade dos usuários.
5. Conclusão
A decisão do Superior Tribunal de Justiça reafirma o papel dos provedores de internet como intermediários técnicos — responsáveis por garantir a rastreabilidade das ações digitais, mas não obrigados a armazenar dados pessoais de seus usuários.
O fornecimento do número IP é considerado suficiente para permitir que as autoridades identifiquem o responsável por publicações ilícitas, sem comprometer a privacidade e a proteção de dados de milhões de internautas.
Trata-se de um entendimento que equilibra o direito à informação, à liberdade de expressão e à responsabilização pelos abusos, em consonância com os princípios constitucionais e a legislação infraconstitucional vigente.
Referências:
- BRASIL. Lei nº 12.965/2014 (Marco Civil da Internet).
- BRASIL. Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD).
- STJ. Recurso Especial nº 1.829.821/SP, Rel. Min. Nancy Andrighi, julgado em 25/08/2020 (Informativo 680).