STF decide: ordem judicial é regra para acesso a dados de IP

Decisão em síntese: O Supremo Tribunal Federal, em julgamento conjunto de ações sobre acesso a registros de conexão e ao poder de requisição de delegados, inclinou-se a reconhecer que a identificação de usuários por meio de registros de tráfego (incluindo endereço IP) exige, como regra, autorização judicial, com exceções muito restritas para situações de perigo iminente. A declaração tem impacto imediato sobre práticas investigatórias que vinham obtendo informações diretamente junto a provedores e operadoras.

Contexto

A controvérsia envolve a interpretação do marco normativo que regula a responsabilidade e colaboração dos provedores — o Marco Civil da Internet (Lei 12.965/2014) — e a compatibilização dessa disciplina com a Lei 12.830/2013, que disciplina a atuação do delegado de polícia na investigação criminal. No centro está o alcance do art. 10, §1º, do Marco Civil, que condiciona ao provimento de ordem judicial o fornecimento de registros de conexão e de acesso a aplicações "inclusive quando associados a informações que permitam identificar o usuário". Por outro lado, a Lei 12.830/2013 atribui ao delegado poder de requisição de informações e documentos no curso da investigação.

A questão ganha relevo prático e constitucional porque juxtapõe dois vetores: a necessidade de eficácia das investigações penais e a proteção da privacidade e dos dados pessoais, assegurada pela Constituição Federal (notadamente pelo art. 5º) e pelo regime jurídico da proteção de dados pessoais, reforçado pela Lei Geral de Proteção de Dados (Lei 13.709/2018). A decisão do STF atua, assim, no limite entre a atividade estatal de persecução penal e as garantias individuais à autodeterminação informacional e ao sigilo de dados.

O que foi decidido

No exame conjunto das ações, o relator da ADC reafirmou que registros de conexão e de acesso a aplicações — categoria em que o próprio Marco Civil inclui o endereço IP — não se confundem com dados cadastrais básicos e, portanto, a identificação do usuário a partir desses registros depende, em regra, de autorização judicial específica. A fundamentação assenta-se na concepção de que metadados de tráfego exigem proteção constitucional própria, vinculada aos direitos à intimidade, à privacidade e à proteção de dados pessoais.

Em paralelo, o relator nas ADIs que questionam a Lei 12.830/2013 rejeitou interpretação que conferisse aos delegados poder ilimitado de requisição. A interpretação conforme a Constituição proposta explicita que o poder genérico de requisição não afasta a reserva de jurisdição quando a informação é constitucionalmente ou legalmente tutelada. Assim, delegados e membros do Ministério Público poderiam requerer diretamente apenas dados cadastrais elementares (por exemplo: nome, filiação e endereço), salvo hipóteses excepcionais previstas em lei ou situações de risco iminente que justifiquem acesso imediato mediante posterior controle judicial.

O voto também admitiu mecanismo de preservação de provas já obtidas por requisição direta quando a defesa não tenha impugnado a regularidade antes do julgamento, medida com efeitos prospectivos para resguardar a estabilidade de investigações em curso.

Base normativa e precedentes

• Art. 5º, CF/88 — proteção constitucional à intimidade, vida privada, honra e imagem; fundamento para tutela de dados pessoais.
• Art. 10, §1º, Marco Civil da Internet (Lei 12.965/2014) — condicionamento do fornecimento de registros de conexão e de acesso a aplicações à ordem judicial.
• Lei 12.830/2013 — disciplina o exercício da atividade de investigação criminal por delegados, incluindo poder de requisição de informações.
• Lei 13.709/2018 (LGPD) — regula tratamento de dados pessoais e impõe princípios de necessidade e segurança aplicáveis a dados trafegados por serviços de internet e telecomunicações.
• Jurisprudência consolidada do tribunal — compreensão prévia sobre a necessidade de reserva de jurisdição para interceptações e medidas invasivas, aplicada analogicamente a metadados.

Impacto prático

• Para autoridades policiais e Ministério Público: limita o acesso automático a registros de conexão e metadados; exige procedimentos mais frequentes de requisição judicial, salvo exceções documentadas (estado de necessidade) e para dados cadastrais básicos expressamente admitidos.
• Para provedores e operadoras: reforça o princípio de não divulgação sem ordem judicial, reduzindo risco de reprovações administrativas ou responsabilidades por fornecimento indevido de dados.
• Para defesa criminal: abre caminho para arguições de ilegalidade quando investigações se fundamentaram em cruzamento de registros de tráfego sem autorização judicial; contudo, a possibilidade de preservação de provas obtidas sem impugnação anterior limita anulação automática de atos.
• Para cidadãos e titulares de dados: aumento da proteção para metadados e endereços IP, reconhecidos como informações que podem, mediante cruzamento, revelar a identidade e padrões comportamentais.

O que observar

• Exceções e prova de urgência: a decisão admite acesso imediato em casos de perigo iminente, desde que sejam documentadas e sujeitas a posterior fiscalização judicial; prática requer elaboração de protocolos internos pelas forças de segurança.
• Modulação de efeitos: o tribunal sinalizou preocupação em proteger investigações já em curso; haverá necessidade de acompanhar eventual modulação ou regras de transição que o Plenário venha a estabelecer.
• Recursos e repercussão: a matéria ainda será retomada no Plenário; decisões posteriores podem ajustar limites e excepcionar hipóteses específicas (por exemplo, localização de vítimas ou proteção de vidas).
• Interação com a LGPD: perímetros de tratamento lícito e bases legais permanecem relevantes; advogados e peritos devem avaliar concordância entre requisições penais e princípios de minimização e necessidade previstos pela Lei 13.709/2018.
• Risco processual: atos investigatórios baseados em requisições diretas de metadados poderão ser objeto de nulidade, dependendo da arguição tempestiva pela defesa e da eventual modulação pelo Supremo.

Conclusão: o Supremo reforça a regra da reserva de jurisdição para identificação por meio de registros de conexão, alinhando-se a uma visão de proteção robusta de metadados, mas preserva caminhos de atuação imediata em situações excepcionais. Para operadores do direito, a decisão impõe revisão de rotinas investigatórias, protocolos de requisição e estratégias defensivas em investigações digitais.