O regime de responsabilidade de quem hospeda conteúdo de terceiros

O ponto de partida legal e o que mudou em 2025

A redação do art. 19 do Marco Civil da Internet condiciona a responsabilidade civil do provedor de aplicações, por danos decorrentes de conteúdo gerado por terceiros, ao descumprimento de ordem judicial específica que determine a indisponibilização — e exige que a ordem contenha identificação clara e específica do conteúdo, sob pena de nulidade.

Esse desenho foi construído para evitar que empresas privadas se tornassem árbitros da licitude de discursos, removendo conteúdo por precaução diante de qualquer reclamação.

Ao julgar o Tema 987 da repercussão geral, no Recurso Extraordinário 1.037.396, em 26 de junho de 2025, o Supremo Tribunal Federal declarou o dispositivo parcialmente inconstitucional, ampliando as situações em que o provedor responde a partir de notificação extrajudicial, sem prévia decisão judicial.

Para quem opera, a consequência é operacional antes de ser jurídica: a notificação recebida deixou de ser correspondência informativa e passou a ser evento que inicia um prazo e cria um dever de atuação diligente.

As hipóteses em que a notificação já bastava antes disso

Mesmo sob a leitura anterior, o próprio Marco Civil já previa exceções que muitos operadores desconhecem.

A divulgação, sem autorização dos participantes, de imagens, vídeos ou outros materiais com cenas de nudez ou de atos sexuais de caráter privado sujeita o provedor a responsabilidade subsidiária quando, recebida notificação do participante ou de seu representante legal, ele deixa de promover a indisponibilização de forma diligente, no âmbito e nos limites técnicos do serviço. Aqui a notificação sempre bastou, e o prazo é imediato.

Infrações a direitos de autor e conexos seguem regime próprio: o Marco Civil ressalva que a aplicação do art. 19 a esses casos depende de previsão legal específica, permanecendo aplicável a legislação autoral enquanto ela não vier.

Há ainda conteúdos que envolvem crianças e adolescentes, sujeitos a legislação protetiva específica e a deveres de comunicação às autoridades.

Revisar se o fluxo interno já trata essas categorias com prioridade é o primeiro item de qualquer adequação.

O canal de notificação como peça de defesa

Se a notificação passou a ser o gatilho, o canal que a recebe deixou de ser custo e virou instrumento de proteção.

Ele precisa ser acessível — indicado nos termos de uso e em local visível —, funcional e capaz de registrar. O formulário deve exigir do notificante os elementos que permitem agir: identificação do notificante, endereço eletrônico exato do conteúdo, descrição objetiva do ilícito alegado e fundamento.

Notificação genérica, que não localiza o conteúdo com precisão, não coloca a plataforma em condição de atuar — e o registro de que ela chegou incompleta, com o pedido de complementação enviado e a resposta obtida, é exatamente a documentação que sustenta a posição da empresa depois.

Guarde carimbo de data e hora de cada etapa: recebimento, triagem, decisão, execução, comunicação ao notificante e ao usuário autor do conteúdo. Um registro completo transforma uma alegação de inércia em uma discussão sobre mérito, que é terreno muito mais confortável.

Prazo, critério e a decisão que precisa ficar documentada

Não existe prazo único para todas as situações, e é justamente por isso que o critério interno precisa estar escrito.

Defina uma política com faixas: conteúdos de risco grave e evidente — material sexual não consentido, ameaça concreta, exposição de criança — com atuação em horas; alegações que exigem análise jurídica, com prazo curto e resposta fundamentada; e casos de disputa entre particulares, em que a plataforma comunica o usuário e concede oportunidade de manifestação antes de decidir.

Esse contraditório interno é importante nos dois sentidos. Protege o usuário que publicou de remoção arbitrária e protege a empresa da acusação de censura contratual.

Cada decisão deve registrar o fundamento aplicado, quem decidiu e quando. Decisões automatizadas devem indicar o critério e prever revisão humana quando solicitada.

Política escrita, aplicada de forma consistente e documentada é o que distingue uma empresa diligente de uma empresa omissa — e essa distinção é o objeto de qualquer discussão futura.

Guarda de registros: obrigação que também protege

O provedor de aplicações constituído como pessoa jurídica com fins econômicos deve manter os registros de acesso a aplicações sob sigilo, em ambiente controlado e de segurança, pelo prazo de seis meses.

É obrigação legal, mas funciona também como ativo defensivo. Quando a plataforma é acionada por conduta de um usuário, o registro é o que permite identificá-lo, atender a requisições judiciais e demonstrar que a empresa não é a autora do ilícito.

O cuidado técnico importa: guardar endereço de rede sem a porta lógica de origem e sem horário com fuso torna o registro praticamente inútil para identificação, e a plataforma que responde a uma ordem judicial com dado incompleto entrega uma resposta que não resolve — e cria desgaste com o juízo.

O tratamento desses registros também está sujeito às regras de proteção de dados pessoais, o que exige base legal declarada, política de retenção e controle de acesso interno.

Termos de uso que sustentam a remoção

A plataforma remove conteúdo com base em duas fontes: a lei e o contrato que ela própria estabeleceu com os usuários.

Termos de uso bem redigidos descrevem, de forma clara e específica, quais condutas e conteúdos são vedados, quais medidas podem ser aplicadas — remoção, restrição de alcance, suspensão, encerramento —, com base em que critério e com qual possibilidade de revisão.

Regra vaga do tipo "conteúdo inadequado" não sustenta remoção contestada. Regra específica, publicada e aplicada de modo uniforme, sustenta.

Inclua também o dever de o usuário fornecer dados verdadeiros, a autorização de tratamento de registros, o foro e o procedimento de contestação.

Revisar termos de uso e política de moderação à luz do novo regime é trabalho jurídico específico, contratável por meio digital, e vale muito mais do que reagir a cada notificação isoladamente.

O risco simétrico: remover o que não devia

Adequar-se ao novo cenário não significa remover tudo o que chega.

Remoção indevida gera responsabilidade perante quem publicou — o usuário que perde conteúdo, alcance ou receita por decisão infundada tem pretensão própria contra a plataforma, e o argumento de que se agiu por precaução não é excludente.

A operação sob pressão de notificações também é explorada de forma abusiva: notificações em massa para derrubar concorrentes, reclamações falsas de autoria e disputas pessoais convertidas em pedidos de remoção são rotina em plataformas de qualquer porte.

O equilíbrio está no processo, não na resposta padrão. Triagem por categoria de risco, exigência de elementos mínimos na notificação, contraditório quando cabível, decisão fundamentada e possibilidade de revisão. É o desenho que permite responder rápido ao que é grave sem transformar cada disputa entre usuários em remoção automática.