Dever de cuidado no Marco Civil: 60 dias para as plataformas se estruturarem
A Corte fechou a tese do art. 19, criou o dever de cuidado e um prazo curto; a Agência Nacional de Proteção de Dados assume a fiscalização das plataformas.
O Supremo fechou a tese sobre o artigo 19 do Marco Civil e deu 60 dias para as plataformas montarem sistema de denúncia, análise e retirada de conteúdo, governança de risco e canais de atendimento a usuários e a não usuários. O prazo corre da publicação da ata do julgamento e é curto para quem parte do zero. Quem não estiver pronto passa a responder à Agência Nacional de Proteção de Dados, que ganhou poder de fiscalizar e sancionar. O relógio de conformidade já começou a correr, e a decisão de manter ou remover um post vira, na prática, uma decisão de risco jurídico.
01 O fato e por que importa
Em 17 de junho de 2026, o Supremo Tribunal Federal concluiu o julgamento dos embargos de declaração nos Recursos Extraordinários 1.037.396 e 1.057.258 (Temas 987 e 533) e proclamou a inconstitucionalidade parcial e progressiva do art. 19 da Lei nº 12.965/2014 (Marco Civil da Internet) — a regra que só permitia responsabilizar civilmente o provedor por conteúdo de terceiro se ele descumprisse ordem judicial de remoção. A Corte entendeu que essa exigência não protege de forma suficiente direitos fundamentais e a democracia.
O novo desenho tem três camadas. Em crimes e atos ilícitos em geral, o provedor passa a responder nos termos do art. 21 do Marco Civil após notificação extrajudicial não atendida. Em um rol taxativo de crimes graves — atos antidemocráticos, terrorismo, induzimento a suicídio ou automutilação, discriminação, violência contra a mulher, exploração sexual de crianças e adolescentes e tráfico de pessoas —, incide o dever de cuidado: agir de forma proativa contra a circulação massiva, com responsabilização apenas quando houver falha sistêmica. Nos crimes contra a honra, permanece a exigência de ordem judicial. Não há responsabilidade objetiva: a culpa é analisada caso a caso.
O ponto que muda a rotina é o prazo. As plataformas de grande porte têm 60 dias, contados da publicação da ata do julgamento, para implementar as obrigações estruturais ligadas ao dever de cuidado — sistemas de denúncia, análise e retirada de conteúdo, governança de prevenção de riscos, canais de atendimento a usuários e a não usuários e relatórios anuais de transparência. Para quem ainda não tem esses fluxos montados e auditáveis, o intervalo é apertado, e a conformidade deixa de ser tese jurídica para virar entrega operacional de jurídico e compliance.
02 O que considerar a partir daqui
- Inventário do prazo. Há mapeamento do que já existe (sistema de notificação, devido processo, canais para usuários e não usuários, relatório anual de transparência) e do que falta montar dentro dos 60 dias?
- Representante legal. A estrutura no país tem poderes plenos para responder nas esferas administrativa e judicial, prestar informações sobre moderação e riscos e arcar com multas (Decreto nº 12.975/2026, art. 16-A)?
- Fluxos de moderação. Os processos distinguem crime grave sob dever de cuidado, ilícito comum por notificação e crime contra a honra por ordem judicial, com registro de cada decisão?
- Anúncios e robôs. Há controle para a presunção relativa de culpa em impulsionamento pago e em rede artificial de distribuição, com prova de atuação diligente e tempestiva?
- Regime de marketplace. Se parte da operação funciona como marketplace, a responsabilidade migra para o Código de Defesa do Consumidor — o time entende a troca de regime?
Vale lembrar que a análise pode variar conforme o caso concreto, permitindo a consideração de outros pontos pertinentes.
03 O que já está acontecendo no Brasil
Antes mesmo do fim do julgamento, o Executivo editou o Decreto nº 12.975/2026 (ao lado do 12.976/2026), que alterou o regulamento do Marco Civil e detalhou os deveres dos provedores: sede e representante legal no país (art. 16-A), dever de cuidado quanto a conteúdo criminoso (art. 16-B), gestão de riscos sistêmicos (art. 16-C), canal de notificação e devido processo (arts. 16-D a 16-G) e relatórios de transparência (art. 20-A). O decreto entrou em vigor em 20 de julho de 2026, sessenta dias após a publicação.
A novidade de peso para quem acompanha proteção de dados está no art. 19-A: a fiscalização e a apuração de infrações ficaram com a Agência Nacional de Proteção de Dados, que passa a regular, fiscalizar e sancionar o cumprimento desses deveres, com o leque de sanções indo de advertência a suspensão temporária e proibição de atividade, além de multas. A Agência já se movimentou e abriu tomada de subsídios sobre as novas regras aplicáveis às plataformas — sinal de que a estrutura de fiscalização está sendo desenhada, não apenas anunciada.
Há ainda um deslocamento de regime relevante: os provedores que funcionam como marketplaces respondem pelo Código de Defesa do Consumidor (Lei nº 8.078/1990), e não pelo art. 19. Para operações de comércio eletrônico, isso significa medir a exposição pela ótica consumerista — dever de informação, responsabilidade solidária na cadeia e vedação a publicidade enganosa —, e não mais pela lógica de ordem judicial prévia.
04 O que está acontecendo em outros países
O desenho brasileiro aproxima-se, como contraste, do modelo europeu do Digital Services Act — Regulamento (UE) 2022/2065. Lá, as plataformas de grande porte devem identificar e mitigar riscos sistêmicos ligados à disseminação de conteúdo ilícito e a ameaças a direitos fundamentais (arts. 34 e 35), publicar relatórios de transparência sobre moderação (arts. 15, 24 e 42), operar um sistema de notificação e ação e manter representante legal na União para provedores de fora do bloco. São exatamente as peças que o dever de cuidado e o Decreto nº 12.975/2026 passam a exigir aqui.
| Tema | Brasil (tese do art. 19 + Decreto 12.975/2026) | União Europeia (DSA — Reg. 2022/2065) |
|---|---|---|
| Gestão de riscos sistêmicos | Art. 16-C do regulamento | Arts. 34 e 35 |
| Relatórios de transparência | Art. 20-A, III | Arts. 15, 24 e 42 |
| Notificação e ação | Arts. 16-D a 16-G | Arts. 16 e 22 |
| Representante legal | Art. 16-A, I | Art. 13 |
05 Riscos envolvidos
O caso projeta risco em dois sentidos opostos, e é essa tensão que precisa ser gerida: o excesso de remoção pode silenciar expressão legítima, e a omissão diante de conteúdo criminoso grave gera responsabilização. Cada decisão de moderar ou manter um post passa a carregar exposição jurídica dos dois lados.
- Liberdade de manifestação do pensamento (art. 5º, IV e IX, da CRFB/88): a moderação excessiva ou automatizada pode remover expressão legítima do usuário.
- Integridade física e psíquica e dignidade (art. 5º, caput e III, da CRFB/88): a omissão diante de crimes graves — induzimento ao suicídio, violência contra a mulher, exploração sexual de crianças — expõe usuários a dano.
- Devido processo e acesso ao serviço (art. 5º, LIV, XXXV e XXXII, da CRFB/88): remoção de conteúdo ou bloqueio de conta sem canal de contestação e sem fundamentação.
- Descumprimento dos deveres estruturais dentro do prazo (Decreto nº 12.975/2026, arts. 16-A a 16-P): ausência de sistema de notificação, canais ou relatórios de transparência.
- Sujeição à fiscalização e à sanção da Agência Nacional de Proteção de Dados (art. 19-A do regulamento do Marco Civil).
- Falta de representante legal no país com poderes plenos para responder e arcar com penalidades (art. 16-A, I).
- Exposição a sanções pecuniárias, suspensão temporária e proibição de atividade.
- Dano reputacional: excesso de remoção e omissão puxam a marca para lados opostos, ambos custosos.
- Insegurança jurídica e mudança regulatória adversa — conceitos abertos e a disputa dos decretos no Congresso mantêm o regime sob caráter transitório.
Vale notar que estes riscos são exemplificativos; a análise do caso concreto pode revelar vulnerabilidades adicionais.
Alto risco
- Critério geral. Tratamento em larga escala — as plataformas de grande porte alcançadas pelo dever de cuidado têm mais de um milhão de usuários registrados no Brasil — e atividade que pode afetar significativamente direitos fundamentais, como a liberdade de expressão e a honra.
- Critério específico. Decisões unicamente automatizadas, inclusive perfis — a moderação em escala e a detecção de redes artificiais de distribuição que o dever de cuidado obriga a operar dependem de sistemas automatizados e de perfilamento de usuários.
06 Guardrails de proteção
- Contra a falha sistêmica na moderação. Estruturar sistema de notificação, devido processo e trilhas de auditoria de cada decisão de remoção, com os controles de resposta e registro do NIST CSF 2.0 e da ISO/IEC 27001 — é o que comprova a atuação diligente exigida.
- Contra o risco sistêmico. Implantar governança e avaliação periódica de riscos sistêmicos (art. 16-C do regulamento), apoiada na ABNT NBR ISO 31000 de gestão de riscos, para monitorar, identificar e gerir os riscos criados pelas atividades da plataforma.
- Contra o excesso e a omissão de remoção. Inserir supervisão humana e explicabilidade na moderação automatizada, na linha do NIST AI RMF e da IEEE 7001, calibrando o ponto entre silenciar expressão legítima e deixar circular conteúdo criminoso.
- Contra a falta de prova de diligência. Produzir relatórios anuais de transparência e manter gestão documentada de mudanças e configurações (ISO/IEC 27001), já que a autorregulação vale como elemento de boa-fé na apuração de infrações (art. 20-A, § 2º).
O rol de salvaguardas técnicas e administrativas sugeridas é exemplificativo, permitindo a aplicação de outras medidas de mitigação conforme a análise do caso concreto.
Mesmo com a implementação de salvaguardas técnicas e administrativas, permanecem riscos residuais inerentes, os quais podem ser intensificados por alterações nas operações. O perigo mais significativo, todavia, é a falta de iniciativa.
Na data de publicação deste comentário, todos os links estavam disponíveis. Não nos responsabilizamos, nem controlamos a alteração e/ou retirada das URLs nem do conteúdo das fontes consultadas.