Marco Civil da Internet: o que é e principais pilares da lei

O Marco Civil da Internet é a legislação brasileira que regula o uso da internet no país. Trata-se da Lei nº 12.965, de 23 de abril de 2014, que entrou em vigor sessenta dias depois de publicada e ficou conhecida popularmente como “Constituição da Internet” por ter sido uma das primeiras leis do mundo a organizar, em um único texto, os princípios gerais da vida digital em vez de se limitar a criminalizar condutas.

O objetivo da lei, enunciado logo em seu artigo 1º, é estabelecer princípios, garantias, direitos e deveres para o uso da internet no Brasil, além de fixar diretrizes para a atuação da União, dos estados, do Distrito Federal e dos municípios. Ela alcança três grupos de destinatários que precisam ser distinguidos desde o início: os usuários, os provedores de conexão e os provedores de aplicação, cada um com um regime jurídico próprio.

Vale registrar de saída que o Marco Civil da Internet de 2014 não é hoje lido isoladamente. Desde 2025 e 2026 o texto convive com uma decisão vinculante do Supremo Tribunal Federal e com decretos regulamentares novos, de modo que qualquer consulta séria deve ser feita à redação vigente e ao quadro interpretativo atual, como se detalha adiante.

• Os principais pilares da lei

O Marco Civil se organiza em torno de alguns eixos que aparecem tanto entre os fundamentos do artigo 2º quanto entre os princípios do artigo 3º.

O primeiro pilar é a liberdade de expressão. A lei condiciona a própria disciplina do uso da internet ao respeito à liberdade de expressão, e o artigo 8º declara que a garantia do direito à privacidade e à liberdade de expressão nas comunicações é condição para o pleno exercício do direito de acesso à internet. Não se trata de retórica: é dessa premissa que decorre a arquitetura original de responsabilidade das plataformas.

O segundo pilar é a privacidade e a proteção de dados pessoais. O artigo 7º reúne um catálogo de direitos do usuário que inclui a inviolabilidade da intimidade e da vida privada, a inviolabilidade e o sigilo do fluxo de suas comunicações e de suas comunicações privadas armazenadas, salvo por ordem judicial, o direito a informações claras sobre coleta e tratamento de dados, a exigência de consentimento expresso e destacado para o uso de dados pessoais, a vedação ao fornecimento desses dados a terceiros sem consentimento e o direito à exclusão definitiva dos dados ao final da relação contratual. Esse conjunto foi posteriormente aprofundado pela Lei Geral de Proteção de Dados, a Lei nº 13.709/2018, que hoje funciona como norma complementar ao Marco Civil.

O terceiro pilar é a neutralidade da rede, prevista no artigo 9º. A regra determina que o responsável pela transmissão, comutação ou roteamento trate de forma isonômica quaisquer pacotes de dados, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação. Na prática, a operadora não pode degradar ou privilegiar o tráfego de um serviço específico por conveniência comercial. As exceções são estreitas e dependem de requisitos técnicos indispensáveis à prestação adequada dos serviços ou de priorização de serviços de emergência, tema regulamentado pelo Decreto nº 8.771/2016, editado após consulta ao Comitê Gestor da Internet no Brasil e à Anatel.

O quarto pilar é a guarda de registros. O Marco Civil desenhou um sistema de retenção mínima e finalidade limitada. O provedor de conexão deve guardar os registros de conexão pelo prazo de um ano, nos termos do artigo 13, e está proibido de guardar registros de acesso a aplicações, conforme o artigo 14. Já o provedor de aplicações constituído como pessoa jurídica com fins econômicos deve guardar os respectivos registros de acesso pelo prazo de seis meses, na forma do artigo 15. Em nenhuma dessas hipóteses a lei autoriza a guarda do conteúdo das comunicações, cujo acesso depende sempre de ordem judicial.

O quinto pilar, transversal aos demais, é a responsabilização dos agentes de acordo com suas atividades. É esse princípio que sustenta a diferenciação entre quem oferece acesso à rede e quem oferece serviços sobre a rede.

• Usuários, provedores de conexão e provedores de aplicação

A distinção é decisiva para entender qualquer discussão sobre responsabilidade civil no ambiente digital.

O usuário responde pelo que publica, pelos termos gerais da responsabilidade civil e penal. O Marco Civil não criou imunidade alguma para autores de conteúdo ilícito, e é comum que a confusão sobre o artigo 19 nasça justamente da suposição contrária.

O provedor de conexão, que é a empresa de telecomunicações responsável por habilitar o acesso à internet, não responde civilmente por danos decorrentes de conteúdo gerado por terceiros, por força expressa do artigo 18. A racionalidade é simples: quem apenas transporta pacotes de dados não tem, nem deve ter, ingerência sobre o que trafega.

O provedor de aplicações é quem oferece o serviço acessado pela rede, categoria que abrange redes sociais, buscadores, marketplaces, aplicativos de mensagem, plataformas de vídeo e sites em geral. É a esse agente que se dirige o artigo 19.

O artigo 19 do Marco Civil da Internet

Na redação original, o artigo 19 estabeleceu que o provedor de aplicações somente poderia ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros se, após ordem judicial específica, não tomasse as providências para tornar indisponível o conteúdo apontado como infringente, dentro do prazo assinalado e nos limites técnicos do serviço. O parágrafo 1º ainda exigia que a ordem contivesse identificação clara e específica do conteúdo, sob pena de nulidade.

A lógica declarada pelo próprio dispositivo era assegurar a liberdade de expressão e impedir a censura privada. O legislador temia que, se a plataforma passasse a responder por qualquer conteúdo desde a simples reclamação de um particular, ela removeria preventivamente tudo o que gerasse risco de processo, e o custo dessa remoção em massa recairia sobre o debate público legítimo.

Um exemplo prático ajuda. Sob a regra original, se um usuário publicasse em uma rede social uma acusação falsa contra um comerciante, o ofendido poderia notificar a plataforma, mas ela não estava obrigada a remover o conteúdo nem respondia pelo dano enquanto não houvesse decisão judicial determinando a retirada. A responsabilidade da plataforma surgia apenas do descumprimento da ordem. A única exceção expressa no texto de 2014 era a do artigo 21, relativa à divulgação não consentida de imagens de nudez ou de atos sexuais de caráter privado, hipótese em que a simples notificação extrajudicial da vítima já fazia nascer o dever de remoção.

O que mudou: a decisão do STF e os decretos de 2026

Em 26 de junho de 2025, ao julgar os Recursos Extraordinários 1.037.396 e 1.057.258, correspondentes aos Temas 987 e 533 da repercussão geral, o Supremo Tribunal Federal declarou, por maioria, a inconstitucionalidade parcial e progressiva do artigo 19. A Corte entendeu que a exigência de ordem judicial específica como regra geral não confere proteção suficiente a direitos fundamentais e à democracia, e determinou que, enquanto o Congresso Nacional não editar nova legislação, o regime do artigo 21, antes excepcional, passe a operar como regra geral para crimes e atos ilícitos em sentido amplo, com responsabilização possível após notificação extrajudicial não atendida.

A tese preservou o regime do artigo 19 para os crimes contra a honra, isto é, calúnia, injúria e difamação, nos quais a remoção sem ordem judicial continua sendo faculdade da plataforma e a responsabilização segue dependendo de decisão judicial. Também ficaram fora do novo regime os serviços de e-mail, a mensageria instantânea nas comunicações interpessoais e as reuniões fechadas por vídeo ou voz, em razão da proteção constitucional do sigilo das comunicações. A decisão previu ainda hipóteses de responsabilidade reforçada em casos de contas inautênticas, de replicação de conteúdo já declarado ilícito por decisão judicial e de conteúdos veiculados por anúncio ou impulsionamento pago. Os efeitos foram modulados para o futuro, e o Tribunal fez apelo expresso ao Legislativo. Em junho de 2026, ao julgar os embargos de declaração, o Plenário proclamou tese ajustada, esclarecendo que não se criou responsabilidade objetiva e que a análise de culpa permanece necessária no caso concreto.

Em 20 de maio de 2026, o Poder Executivo editou os Decretos nº 12.975 e nº 12.976, que alteram a regulamentação do Marco Civil e tratam da proteção das mulheres no ambiente digital. As normas entraram em vigor em 20 de julho de 2026 e trouxeram deveres como a manutenção de representante legal no Brasil, canal permanente de denúncias, gestão de riscos sistêmicos, governança de anúncios e impulsionamentos, além de atribuir competências de fiscalização à Autoridade Nacional de Proteção de Dados. Os decretos são objeto de projetos de decreto legislativo que pretendem sustá-los, ainda pendentes de deliberação no Congresso Nacional, o que reforça o caráter provisório do quadro atual.

Some-se a isso a Lei nº 15.211/2025, conhecida como ECA Digital, em vigor desde 17 de março de 2026, que impôs deveres específicos de proteção de crianças e adolescentes às plataformas. O ambiente normativo, portanto, é hoje bem mais denso do que a leitura isolada da Lei nº 12.965/2014 sugere.

Impactos práticos

Para as redes sociais e demais plataformas, o efeito imediato é que a notificação extrajudicial deixou de ser um pedido sem consequência jurídica e passou a ser o gatilho do dever de agir na maior parte dos ilícitos. Isso exige canais de denúncia funcionais, políticas de moderação escritas, registro das decisões tomadas e capacidade de resposta em prazos curtos.

Para sites e aplicativos de menor porte, permanece a obrigação de guarda de registros e de transparência contratual, ainda que o desenho regulatório admita tratamento diferenciado conforme o porte econômico e o risco da atividade.

Para os usuários, o Marco Civil continua sendo a base dos direitos de privacidade, sigilo e qualidade do serviço contratado, e a via judicial permanece indispensável nos casos de ofensa à honra. Para quem sofre outros tipos de ilícito, a notificação extrajudicial ganhou relevância prática e deve ser feita de forma documentada, com identificação precisa do conteúdo e da URL.

Termos relacionados

A mesma norma aparece na prática forense e no debate público sob designações variadas: lei do Marco Civil da Internet, Lei 12.965/14, Lei nº 12.965/2014, art. 19 do Marco Civil e Constituição da Internet. Todas se referem ao mesmo diploma legal.

Perguntas frequentes

O que é o Marco Civil da Internet e para que serve?

É a Lei nº 12.965/2014, que regula o uso da internet no Brasil. Serve para fixar princípios, garantias, direitos e deveres de usuários, provedores de conexão e provedores de aplicação.

O que diz a Lei nº 12.965/2014?

Ela estabelece a liberdade de expressão, a privacidade, a proteção de dados, a neutralidade da rede e as regras de guarda de registros como eixos do uso da internet. Também define quando cada agente responde civilmente.

Quais são os principais direitos garantidos pelo Marco Civil da Internet?

Inviolabilidade da intimidade e do sigilo das comunicações, informação clara sobre coleta de dados, consentimento expresso para seu uso, não fornecimento a terceiros sem autorização, exclusão dos dados ao fim do contrato e manutenção da qualidade contratada.

O que diz o artigo 19 do Marco Civil da Internet?

Na redação original, a plataforma só respondia por conteúdo de terceiro se descumprisse ordem judicial específica de remoção. Desde a decisão do STF de junho de 2025, essa regra ficou restrita aos crimes contra a honra e a algumas exceções, prevalecendo nos demais casos a responsabilização após notificação extrajudicial.

O Marco Civil da Internet protege a privacidade dos usuários?

Sim. O artigo 7º garante a inviolabilidade da vida privada e do sigilo das comunicações, e o acesso ao conteúdo depende de ordem judicial. A Lei Geral de Proteção de Dados complementa essa proteção.

Como o Marco Civil da Internet afeta redes sociais e provedores?

Provedores de conexão não respondem por conteúdo de terceiros e guardam registros por um ano. Redes sociais e demais provedores de aplicação guardam registros por seis meses e hoje precisam agir diante de notificação extrajudicial na maioria dos ilícitos.