Advogado de Direito Digital em Tupã SP

A regra que vigorou até 2025

O artigo 19 do Marco Civil da Internet (Lei 12.965/2014) diz que o provedor de aplicações só pode ser responsabilizado civilmente por conteúdo gerado por terceiros se, depois de ordem judicial específica, não tornar o conteúdo indisponível. A mesma lei exige que essa ordem identifique o conteúdo de forma clara e específica, que permita a localização inequívoca do material (artigo 19, § 1º). A única exceção expressa era a do artigo 21: imagens e vídeos com nudez ou atos sexuais de caráter privado divulgados sem autorização, em que a plataforma responde se, notificada pela vítima, não remove o conteúdo de forma diligente.

O que o STF decidiu em junho de 2025

Em 26 de junho de 2025, ao julgar o RE 1.037.396 (Tema 987) e o RE 1.057.258 (Tema 533), o Supremo Tribunal Federal declarou o artigo 19 parcialmente inconstitucional. Para o Tribunal, a exigência de ordem judicial em todos os casos não protege suficientemente os direitos fundamentais. A tese vale enquanto o Congresso não editar nova lei, e os efeitos foram modulados: a decisão se aplica daqui para frente, ressalvadas as decisões já transitadas em julgado. A tese também afirma que não há responsabilidade objetiva da plataforma.

É importante entender o alcance da modulação. A nova interpretação não alcança fatos anteriores ao julgamento, salvo o que já estava decidido de forma definitiva. Para publicações, perfis e contas que causaram dano antes de junho de 2025, a análise da responsabilidade da plataforma continua seguindo, em regra, a leitura anterior do artigo 19. Já para conteúdos publicados ou mantidos no ar depois do julgamento, a notificação passa a ter o peso que a tese lhe deu.

Como ficou a responsabilidade, caso a caso

• Crimes e atos ilícitos em geral: a plataforma responde, nos termos do artigo 21, se deixar de remover o conteúdo depois de notificada. A mesma regra vale para contas denunciadas como inautênticas.
• Crimes contra a honra (calúnia, difamação e injúria): continua valendo a regra do artigo 19, com ordem judicial, sem impedir que a plataforma remova por notificação extrajudicial.
• Fato ofensivo já reconhecido por decisão judicial e replicado: as redes devem remover as publicações idênticas a partir de notificação, sem nova decisão.
• Anúncios e impulsionamentos pagos e redes artificiais de distribuição: há presunção de responsabilidade, que a plataforma pode afastar mostrando que agiu com diligência e em tempo razoável.
• E-mail, reuniões fechadas e mensageria privada, como as conversas interpessoais no WhatsApp: continua valendo o artigo 19.
• Marketplaces: respondem pelas regras do Código de Defesa do Consumidor.

A tese também esclarece que não há responsabilidade objetiva na sua aplicação. Ou seja, mesmo nos casos em que a notificação basta, a plataforma não responde automaticamente por tudo o que é publicado: responde pela omissão depois de avisada, ou pela falha sistêmica nos casos graves. Para quem sofre o dano, isso reforça a importância de documentar a notificação, o seu conteúdo e a data, e de acompanhar o que a plataforma fez a partir dela.

Os crimes graves e o dever de cuidado

A tese também criou um dever de cuidado para uma lista fechada de conteúdos graves, como atos antidemocráticos, terrorismo, incitação ao suicídio ou à automutilação, discriminação, crimes contra a mulher em razão do gênero, crimes sexuais contra vulneráveis e tráfico de pessoas. Nesses casos, a plataforma responde por falha sistêmica, quando deixa de adotar medidas adequadas de prevenção ou de remoção. Um conteúdo isolado não basta para essa responsabilidade, e então se aplica o regime do artigo 21. As plataformas passaram ainda a ter de manter canais permanentes de atendimento, um sistema de notificações com devido processo e relatórios anuais de transparência.

O que isso muda na prática para quem foi atingido

Para a maior parte dos casos que chegam a um advogado de Direito Digital em Tupã, como perfil falso, golpe aplicado por uma conta e publicação com dados pessoais, a notificação bem feita à plataforma ganhou peso: ela marca o momento a partir do qual a omissão pode gerar responsabilidade. Por isso a notificação precisa identificar o endereço exato de cada publicação, explicar por que o conteúdo é ilícito e ser guardada com data. Nos ataques à honra, o pedido judicial continua sendo o caminho para responsabilizar a plataforma, embora ela possa remover antes. Os detalhes do pedido de remoção estão em remoção de conteúdo ofensivo.

Vale lembrar que a responsabilidade da plataforma é sempre paralela à de quem publicou. O autor do conteúdo continua sendo o principal responsável pelo dano, e o Marco Civil permite pedir os registros de acesso para identificá-lo (artigo 22). Em muitos casos, o pedido mais útil não é contra a plataforma, mas a ordem para que ela preserve e entregue os dados que levam ao autor.

O que guardar antes de notificar

• O endereço completo (URL) de cada publicação ou perfil, e não só o nome da conta.
• Prints com data e hora visíveis e, quando o conteúdo pode sumir, a ata notarial (Código de Processo Civil, artigo 384).
• A cópia da notificação enviada à plataforma e o protocolo ou a resposta recebida.
• Os indícios de que a conta é falsa ou de que o conteúdo é ilícito, como o uso da sua foto ou do nome da sua empresa.

Conteúdo informativo, que não substitui a análise individual do caso. Cada situação depende dos documentos e dos fatos.

Quem responde quando os seus dados vazam

A Lei Geral de Proteção de Dados (Lei 13.709/2018) diz que o controlador ou o operador que, em razão do tratamento de dados pessoais, causar dano patrimonial ou moral em violação à legislação de proteção de dados é obrigado a repará-lo (artigo 42). O operador responde solidariamente quando descumpre a lei ou não segue as instruções lícitas do controlador (artigo 42, § 1º). Responde também pela violação da segurança quem deixa de adotar as medidas de segurança exigidas e com isso dá causa ao dano (artigo 44, parágrafo único). Os agentes de tratamento devem adotar medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados (artigo 46).

Vazamento não é, sozinho, dano moral automático

O ponto que mais confunde quem procura indenização é este: o STJ já decidiu que o vazamento de dados pessoais comuns, como nome, endereço e telefone, não gera por si só dano moral presumido. É preciso mostrar o prejuízo concreto que a exposição causou. O cenário muda quando os dados vazados são sensíveis ou quando o vazamento foi usado em golpe, abertura de conta, compra em seu nome ou invasão de conta. Por isso, mais do que a notícia do vazamento, importa a ligação entre o incidente e o que aconteceu com você depois dele.

Na prática, isso significa que dois vazamentos com a mesma notícia podem ter desfechos muito diferentes. Quem teve o nome e o telefone expostos e não sofreu nenhuma consequência dificilmente terá reparação por dano moral. Quem, logo depois, passou a receber tentativas de golpe com os dados vazados, teve conta aberta em seu nome ou perdeu dinheiro, tem um caso a ser analisado, porque existe um prejuízo concreto e uma ligação provável com o incidente.

O que a empresa deve informar

• A comunicação do incidente à Autoridade Nacional de Proteção de Dados e aos titulares, quando houver risco ou dano relevante (LGPD, artigo 48).
• A descrição dos dados afetados e dos titulares envolvidos (artigo 48, § 1º).
• As medidas de segurança que existiam e as adotadas para reduzir o prejuízo.
• A confirmação de que trata os seus dados e o acesso a eles, mediante requisição sua (artigo 18, incisos I e II).
• A correção de dados incompletos ou inexatos e a eliminação dos desnecessários ou excessivos (artigo 18).

Conta invadida: dados, plataforma e banco

Quando o vazamento termina em conta invadida, entram outras regras. A plataforma deve guardar os registros de acesso por seis meses (Marco Civil da Internet, artigo 15), e o juiz pode ordenar que ela os entregue para identificar o responsável (artigo 22). Se a invasão foi usada para pedir dinheiro aos seus contatos, há também a relação com o banco que recebeu as transferências. E invadir dispositivo informático para obter dados sem autorização é crime (Código Penal, artigo 154-A). O aspecto civil, de reparação, e o criminal correm em paralelo, e a prova serve aos dois.

Quando a conta invadida é de uma pequena empresa, o prejuízo costuma ir além: clientes enganados, vendas perdidas no período sem acesso, reputação afetada. As perdas e danos abrangem o que se perdeu e o que razoavelmente se deixou de lucrar (Código Civil, artigo 402), e a prova disso vem do histórico de vendas, dos pedidos interrompidos e das mensagens de clientes. Organizar esses dados logo no início facilita qualquer pedido posterior.

Como montar o pedido de reparação

• A notificação da empresa ou o e-mail em que ela comunica o incidente.
• A requisição formal de informações com base no artigo 18 da LGPD e a resposta recebida.
• A linha do tempo do que aconteceu depois: contatos de golpistas, tentativas de compra, contas abertas, cobranças.
• O Registrato do Banco Central e as consultas aos cadastros de inadimplentes, para mostrar o que foi feito em seu nome.
• O boletim de ocorrência, quando houve uso criminoso dos dados.

Também é útil pedir à empresa, por escrito, que confirme se os seus dados estavam entre os afetados e quais eram. A LGPD dá ao titular o direito de obter do controlador a confirmação da existência de tratamento e o acesso aos dados, mediante requisição (artigo 18, incisos I e II). A resposta, ou a falta dela, é parte importante da prova de qualquer pedido de reparação.

Pessoa física e pequena empresa

A pequena empresa aparece dos dois lados. Como vítima, quando os dados dos clientes ou do próprio negócio vazam por falha de um fornecedor. Como agente de tratamento, quando guarda dados de clientes e precisa protegê-los. Os detalhes do pedido de indenização estão em vazamento de dados pela LGPD.

Conteúdo informativo, que não substitui a análise individual do caso. Cada situação depende dos documentos e dos fatos.

Por que a prova digital se perde tão rápido

Publicações são apagadas, perfis falsos mudam de nome, mensagens temporárias desaparecem e contas invadidas têm o histórico limpo pelo invasor. Em Direito Digital, o que não foi preservado nas primeiras horas muitas vezes não pode ser reconstituído depois. Além disso, a plataforma só é obrigada a guardar os registros de acesso por seis meses (Lei 12.965/2014, artigo 15), o que impõe pressa também ao pedido de identificação do autor. Por isso, antes de discutir indenização ou remoção, o primeiro trabalho é organizar a prova.

Como tirar prints que servem como prova

• Capture a tela inteira, com a data e a hora visíveis, e não só um recorte da mensagem.
• Copie e guarde o endereço completo (URL) de cada publicação, comentário ou perfil, porque a ordem judicial precisa identificar o conteúdo de forma clara e específica (Marco Civil da Internet, artigo 19, § 1º).
• Em conversas, mostre o número ou o nome do perfil de quem enviou e a sequência anterior e posterior à mensagem principal.
• Exporte a conversa pelo próprio aplicativo quando ele oferecer a opção, e guarde o arquivo original.
• Não edite, não recorte e não marque os prints: guarde a versão original e faça cópias para anotações.

Para quem vende pelas redes sociais, o histórico do perfil também é prova. Antes de qualquer tentativa de recuperação, vale salvar os prints das métricas da conta, dos últimos pedidos recebidos, das mensagens de clientes e das publicações mais relevantes. Se a conta for desativada, esse material mostra o que existia e o que se perdeu, e ajuda a medir o prejuízo.

Ata notarial: quando o print não basta

Quando o conteúdo é decisivo e pode sumir, a ata notarial lavrada por tabelião registra o que está na tela com fé pública. O Código de Processo Civil prevê que a existência e o modo de existir de um fato podem ser atestados ou documentados em ata lavrada por tabelião, inclusive dados representados por imagem ou som em arquivos eletrônicos (artigo 384 e parágrafo único). É o instrumento mais usado quando se espera que a outra parte conteste a autenticidade dos prints.

Boletim de ocorrência e registros de acesso

Quando há crime, como golpe, invasão de conta ou divulgação de imagem íntima, o boletim de ocorrência documenta o fato perante a polícia. Em São Paulo, a Delegacia Eletrônica da Polícia Civil aceita o registro de fraude e estelionato pela internet quando o fato ocorreu no estado; crimes que exigem coleta imediata de prova pedem o comparecimento a uma delegacia. Na esfera cível, a parte pode pedir ao juiz que ordene a entrega dos registros de conexão ou de acesso, desde que haja fundados indícios do ilícito, justificativa da utilidade e o período a que os registros se referem (Marco Civil da Internet, artigo 22).

A preservação também vale para o lado do autor. Se a publicação ofensiva ou o perfil falso foi criado a partir de um número de telefone ou de um e-mail, esses dados devem ser anotados. Se houve transferência de dinheiro, o comprovante traz dados da conta de destino. Cada elemento desses pode ser usado no pedido judicial de identificação do responsável, junto com os registros que a plataforma é obrigada a guardar.

Como enviar a prova para o escritório

Os prints, os links e os arquivos exportados podem ser enviados pelo WhatsApp do escritório, de Tupã ou de qualquer cidade do estado de São Paulo. Quem prefere entregar pessoalmente, inclusive em pen drive ou celular, é recebido na Rua Iporans, 1023, no Centro de Tupã, de segunda a sexta, das 8h às 18h, com horário combinado. No primeiro contato, organizamos uma linha do tempo do que aconteceu e apontamos o que ainda precisa ser preservado, porque um advogado de Direito Digital em Tupã trabalha primeiro para que a prova exista.

Quem mora fora de Tupã não precisa se deslocar para essa etapa: os arquivos chegam pelo WhatsApp, e a conversa sobre o caso pode ser feita por chamada. O atendimento online alcança todo o estado de São Paulo. Para quem prefere entregar pessoalmente um celular com as conversas ou um pen drive com os arquivos, o escritório recebe com horário combinado, e a cópia é feita na hora.

O que não fazer enquanto o caso é avaliado

• Não apague a conversa, o perfil ou a publicação, mesmo que sejam constrangedores.
• Não confronte o autor publicamente nem republique o conteúdo ofensivo.
• Não pague a quem promete "recuperar" a conta por fora dos canais oficiais da plataforma.
• Não compartilhe senhas ou códigos de verificação com ninguém, inclusive com quem diz ser da plataforma.

Conteúdo informativo, que não substitui a análise individual do caso. Cada situação depende dos documentos e dos fatos.