STJ reavalia dever de provedores em identificar usuário sem porta lógica

O tribunal federal responsável por uniformizar a interpretação do direito privado administrativo e processual está reavaliando um precedente que atribuía aos provedores de conexão a obrigação de identificar usuários mesmo quando estes não fornecem informação sobre a chamada “porta lógica”. A 3ª Turma do Superior Tribunal de Justiça analisa agora os limites dessa obrigação, com efeitos diretos sobre o acesso a prova técnica, a proteção da privacidade e o alcance de ordens judiciais contra intermediários de internet.

Contexto

A controvérsia técnica-jurídica combina conceitos de tecnologia da informação e princípios de proteção de dados e liberdade de expressão. No centro está a distinção entre identificação de titular de cadastro (quem contratou um serviço) e identificação do autor de uma conduta em rede (quem utilizou um endereço IP em dado momento), que depende frequentemente de registros suplementares — como logs de sessão, NAT (tradução de endereços de rede) e portas lógicas — mantidos pelo provedor ou por terceiros. Em muitos litígios civis e criminais, a atribuição de autoria ou de responsabilidade exige que o juízo obtenha desses registros elementos que permitam associar, com nível aceitável de certeza técnica, um evento digital a uma pessoa física.

No passado, há decisões que exigiam que provedores cooperassem com pedidos de identificação, ainda que não dispusessem de informações claras sobre a porta lógica usada na conexão. Esse entendimento conflitou com preocupações sobre a técnica efetiva de obtenção dos dados, os custos e a proporcionalidade da medida, além de implicações sob a lei de proteção de dados. A discussão importa porque define o grau de assistência que intermediários de internet devem prestar ao processo e os limites do dever de colaboração frente à preservação de dados técnicos que, em muitos casos, não são armazenados ou não permitem inferência segura sobre autoria.

O que foi decidido

A turma reavaliou o precedente que atribuía ao provedor obrigação genérica de identificar usuário sem que haja indicação da porta lógica. O tribunal passou a exigir uma análise mais refinada: o dever de colaboração do provedor não é absoluto quando a medida judicial demanda a produção de dados técnicos que o próprio provedor não detém ou que exigiriam operações técnicas extraordinárias e onerosas. A corte enfatizou que a exigência de identificação deve atender aos princípios da proporcionalidade e da razoabilidade, além de observar os limites trazidos pela legislação de proteção de dados.

Os fundamentos centrais incluem: (i) reconhecimento da dificuldade técnica e operacional de se obter a correspondência entre um IP e um usuário sem registro de porta; (ii) necessidade de decisão judicial motivada e delimitada, indicando qual dado se busca e por que é imprescindível; (iii) preservação de garantias fundamentais e direitos de personalidade quando a solicitação é ampla ou indiscriminada; e (iv) observância de previsão legal quanto à guarda e ao fornecimento de registros pelas plataformas e provedores.

Base normativa e precedentes

• Art. 5º, CF/88 (incisos X e XII) — proteção da intimidade, vida privada, honra e inviolabilidade das comunicações, e responsabilidade por seu abuso.
• Lei 12.965/2014 (Marco Civil da Internet) — regime de direitos e deveres, guarda e fornecimento de registros por provedores, bem como garantias sobre a tutela da privacidade e liberdade de expressão.
• Lei 13.709/2018 (LGPD) — tratamento de dados pessoais, princípios de necessidade e finalidade, além das hipóteses legais para compartilhamento e transferência de dados pessoais.
• Lei 13.105/2015 (CPC) — regras processuais sobre produção de provas e cooperação entre partes e terceiros, que delimitam pedidos compulsórios de exibição e coleta de prova técnica.
• Jurisprudência consolidada do tribunal e precedentes anteriores que impunham dever de identificação, os quais agora são objeto de reavaliação à luz da proporcionalidade e das limitações técnicas.

Impacto prático

• Para advogados de acusação e autores de ações civis: será mais difícil obter, de forma automática, identificação de usuários quando a prova depender de elementos técnicos ausentes (por exemplo, portas lógicas não registradas). Os pedidos precisarão explicitar tecnicamente a necessidade do dado e demonstrar que alternativas foram esgotadas.
• Para provedores de conexão e plataformas: a decisão traz maior segurança jurídica para recusar ordens genéricas de identificação, desde que a recusa seja fundamentada tecnicamente e exista ordem judicial que delimite o que deve ser fornecido. Também fortalece argumentos contra encargos operacionais desproporcionais.
• Para titulares de dados e consumidores: há reforço da proteção de privacidade e do princípio da minimização de tratamento previsto na LGPD, reduzindo risco de exposições indevidas por solicitações amplas.
• Para o processo penal: a obtenção de prova eletrônica poderá exigir diligência técnica prévia, expertise forense e, eventualmente, cooperação internacional se os logs estiverem em jurisdição estrangeira.

O que observar

• A necessidade de motivação judicial detalhada: decisões que imponham obrigação de identificação precisarão demonstrar a imprescindibilidade do dado e conhecer as limitações técnicas envolvidas.
• Possibilidade de modulação de efeitos: o tribunal pode modular o alcance da nova orientação, preservando decisões transitadas em julgado ou situações sensíveis; atenção a eventual limitação temporal ou prospectiva.
• Recursos cabíveis: decisões que neguem pedidos de produção de dados podem ser objeto de agravo interno e recursos próprios ao tribunal; advogados devem preparar quesitos técnicos e laudos para reforçar pedidos.
• Risco de normas infralegais e de regulação: a regulação setorial sobre logs e retenção de dados pode ganhar prioridade legislativa ou regulatória, buscando uniformizar práticas técnicas e garantir equilíbrio entre investigação e privacidade.
• Impacto na estratégia probatória: defesa e acusação deverão investir mais em perícias técnicas, cadeias de custódia digitais e em provar a existência ou inexistência dos registros requisitados.

Em síntese, a reavaliação do entendimento da 3ª Turma marca um deslocamento do enfoque: da imposição automática de cooperação pela mera existência de um pedido à exigência de fundamentação técnico-jurídica e observância dos limites constitucionais e legais. Isso redefine as regras de obtenção de prova digital e realinha o dever de colaboração dos provedores aos princípios da proporcionalidade, necessidade e proteção de dados pessoais.