Novos decretos ampliam responsabilização de plataformas digitais e exigem revisão de governança, moderação e proteção de usuários

O Governo Federal publicou dois decretos que alteram o regime de obrigações aplicável a plataformas digitais no Brasil, com impacto direto sobre provedores de aplicações de internet, redes sociais, marketplaces, ferramentas de impulsionamento, serviços baseados em conteúdo gerado por terceiros e empresas que utilizam ambientes digitais para publicidade, comunicação ou relacionamento com usuários.

O principal ato é o Decreto nº 12.975/2026, que altera o Decreto nº 8.771/2016, regulamentador do Marco Civil da Internet, e introduz regras sobre dever de cuidado, notificações, moderação de conteúdo, preservação de informações, transparência, anúncios, impulsionamentos pagos e atuação fiscalizatória da ANPD. O decreto entra em vigor 60 dias após a data de sua publicação, mas se conecta a entendimentos do STF sobre responsabilização de plataformas que já produzem efeitos desde 2025.

Também foi publicado o Decreto nº 12.976/2026, que estabelece diretrizes para a proteção de mulheres na internet e para o enfrentamento da violência contra mulheres em ambiente digital, com regras sobre denúncias de conteúdo íntimo não consentido, remoção em prazo reduzido, preservação de provas, combate à recirculação de conteúdo e restrições ao uso de ferramentas de inteligência artificial para geração de imagens íntimas falsas ou sexualizadas.

Atualização do Marco Civil da Internet e novo eixo de responsabilização

A nova regulamentação deve ser compreendida no contexto da decisão do STF que revisitou o alcance do artigo 19 do Marco Civil da Internet. A lógica anterior, centrada predominantemente na responsabilização após descumprimento de ordem judicial, passa a conviver com hipóteses em que a atuação das plataformas será avaliada também a partir de deveres de cuidado, prevenção, resposta a notificações e capacidade de reduzir riscos sistêmicos.

Na prática, o decreto não elimina a importância da ordem judicial em todos os casos. Crimes contra a honra, por exemplo, continuam sujeitos a regime específico. No entanto, a norma cria parâmetros operacionais que incluem avaliação de notificações, adoção de providências, justificativa de decisões e estruturação de mecanismos internos de contestação.

Esse ponto é relevante porque desloca parte do debate do conteúdo isolado para a governança do serviço. O foco regulatório passa a incluir como a plataforma organiza seus canais, documenta decisões, preserva informações, monitora riscos e demonstra atuação diligente.

Quem deve observar as novas regras

O Decreto nº 12.975/2026 utiliza a categoria de provedores de aplicações de internet, com atenção especial àqueles que realizam intermediação de conteúdo gerado por terceiros.

A depender do modelo de operação, podem ser impactados: redes sociais e plataformas abertas de publicação; plataformas de vídeo, streaming social e compartilhamento de conteúdo; marketplaces e ambientes digitais com anúncios de terceiros; serviços com impulsionamento pago ou publicidade segmentada; plataformas que viabilizam comunidades, perfis públicos, comentários, avaliações ou conteúdo gerado por usuários; e empresas estrangeiras que operem no Brasil e disponibilizem aplicações a usuários brasileiros.

O decreto também estabelece exclusões e critérios diferenciados. Serviços de e-mail, mensageria interpessoal e videoconferência em grupos restritos não recebem o mesmo tratamento de plataformas abertas de intermediação de conteúdo, em razão da proteção ao sigilo das comunicações. Também há previsão de tratamento diferenciado conforme porte econômico, risco do serviço, capacidade técnica, estado da técnica e nível de interferência na circulação de conteúdo de terceiros.

Representante legal, sede no Brasil e resposta a autoridades

Um dos pontos centrais da nova regulamentação é a exigência de que provedores de aplicações de internet constituam e mantenham sede e representante legal no País, com poderes para responder perante autoridades administrativas e judiciais, prestar informações, cumprir determinações, atender decisões e responder por penalidades.

A exigência reforça uma tendência regulatória já observada em temas como proteção de dados, segurança digital e proteção de crianças e adolescentes online, aproximando a operação de plataformas estrangeiras de um modelo de presença institucional efetiva no Brasil.

Para empresas que operam globalmente, esse ponto demanda avaliação específica sobre estrutura societária, poderes de representação, fluxos de resposta a autoridades, governança documental e integração entre times locais e matriz.

Dever de cuidado e falha sistêmica

O decreto introduz uma seção específica sobre o dever de cuidado quanto ao conteúdo criminoso. Os provedores que intermediam conteúdo gerado por terceiros poderão ser responsabilizados em caso de falha sistêmica na indisponibilização imediata de conteúdos relacionados a determinadas categorias de crimes graves, entre elas: terrorismo; induzimento ou auxílio a suicídio ou automutilação; discriminação por raça, cor, etnia, religião, procedência nacional, sexualidade ou identidade de gênero; crimes contra mulheres; crimes sexuais contra crianças e adolescentes; tráfico de pessoas; e condutas contra o Estado Democrático de Direito.

A caracterização de falha sistêmica não decorre da existência de um conteúdo isolado. O decreto prevê que ela será avaliada pela autoridade competente a partir de mecanismos de supervisão e análise periódica, considerando se o provedor adotou medidas adequadas, conforme o estado da técnica, para prevenir ou remover conteúdos ilícitos e inibir sua circulação massiva.

A discussão, portanto, deixa de ser apenas sobre a remoção do conteúdo e passa a incluir perguntas sobre quais mecanismos preventivos existiam, quais sinais de risco foram identificados, como a plataforma atuou diante de padrões de repetição, quais medidas foram adotadas para reduzir circulação massiva e como a empresa comprova diligência e proporcionalidade.

Notificação, análise e contestação

O decreto também disciplina a notificação de conteúdo criminoso ou ilícito. Em linhas gerais, a notificação deverá conter elementos que permitam identificar a possível conduta, o conteúdo específico e o notificante, inclusive com indicação de legitimidade quando aplicável.

Após o recebimento, o provedor deverá confirmar o recebimento avaliar o conteúdo e adotar as providências pertinentes. Em caso de remoção, deverá comunicar a decisão ao notificante e ao usuário responsável pela publicação, informando o fundamento específico e os meios de contestação. Em caso de manutenção, deverá comunicar o notificante e justificar sua decisão.

A norma também prevê a possibilidade de reconsideração após contestação, com comunicação a ambas as partes.

Na prática, as plataformas precisarão revisar não apenas seus canais de denúncia, mas também seus fluxos de devido processo interno, incluindo triagem, classificação, prazos, critérios de decisão, comunicação, contestação e registro das providências adotadas.

Liberdade de expressão, contexto e risco de notificações abusivas

A regulamentação não pode ser lida como autorização para remoção automática de conteúdo. O decreto prevê que, ao aplicar medidas de indisponibilização, a plataforma deverá considerar o contexto das publicações, a liberdade religiosa e de crença, e a finalidade informativa, educativa, crítica, satírica ou de paródia.

Também há previsão para que provedores adotem medidas destinadas a coibir o uso ilícito ou abusivo dos mecanismos de notificação, especialmente quando eles atentarem contra a liberdade de expressão.

Esse equilíbrio será um dos pontos mais sensíveis de implementação. A plataforma deverá atuar contra conteúdos ilícitos, mas sem converter a moderação em mecanismo desproporcional de remoção preventiva. A definição de critérios internos, o treinamento das equipes e a documentação das decisões serão elementos relevantes para reduzir risco regulatório e contencioso.

Anúncios, impulsionamentos pagos e publicidade ilícita

O decreto também cria regras específicas para anúncios, impulsionamentos pagos e publicidade enganosa, abusiva ou fraudulenta.

Provedores que disponibilizem ferramentas de anúncio ou impulsionamento de conteúdo deverão adotar medidas para impedir a contratação de conteúdo que configure crime ou ato ilícito. Além disso, presume-se a responsabilidade do provedor quando o conteúdo ilícito for veiculado em anúncios, impulsionamentos pagos ou redes artificiais de distribuição de conteúdo, salvo se demonstrada atuação diligente e em tempo razoável para indisponibilização.

Também há obrigação de guarda, por um ano, das informações relativas a cada anúncio ou impulsionamento e aos respectivos anunciantes. Conteúdo pago que não seja claramente identificável pelo usuário como publicidade poderá ser considerado publicidade enganosa.

Operações que envolvem publicidade digital, marketplaces ou campanhas impulsionadas por terceiros, demandam revisão de políticas de aprovação de anúncios, verificação de anunciantes, critérios de identificação de publicidade, regras contra golpes, fraudes e produtos ilícitos, retenção de informações sobre campanhas e contratos com anunciantes, agências, influenciadores e parceiros comerciais.

Guarda de registros e preservação de informações

Outro ponto relevante está na guarda de registros de conexão e de aplicações. O decreto altera a regulamentação para prever a guarda da porta lógica de origem associada ao endereço IP, quando necessária à identificação inequívoca do terminal de origem ou do próximo enlace de rede.

Também há previsão de encaminhamento de conteúdos e informações necessários à identificação da autoria e materialidade de crimes ao Poder Público, em situações específicas.

Sob a ótica de proteção de dados, a ampliação de deveres de preservação precisa ser compatibilizada com princípios como necessidade, finalidade, segurança, retenção proporcional e controle de acesso. A empresa deverá avaliar, caso a caso, como cumprir obrigações legais sem ampliar indevidamente riscos de tratamento excessivo ou exposição de dados pessoais.

ANPD como autoridade fiscalizatória

O decreto atribui à ANPD papel relevante na regulação, fiscalização e apuração de infrações relacionadas aos direitos dos usuários e ao cumprimento dos deveres dos provedores de aplicações de internet.

A atuação da Agência deverá ter caráter sistêmico, voltado à avaliação da governança das plataformas, e não à determinação de remoção de conteúdos específicos.

Esse novo papel reforça a convergência entre Direito Digital, proteção de dados, moderação de conteúdo, segurança da informação e governança regulatória. Há, contudo, uma tensão interpretativa relevante que os próximos atos normativos da ANPD precisarão endereçar: os deveres de preservação de registros e de rastreabilidade impostos pelos decretos coexistem com os princípios de minimização de dados, finalidade e necessidade da LGPD. Em determinadas situações, cumprir uma obrigação pode pressionar a outra, especialmente para plataformas que processam grandes volumes de dados de usuários. A Agência poderá ainda regulamentar pontos operacionais como forma de notificação, prazos de remoção e resposta, legitimados a notificar e procedimentos de contestação, o que tornará sua atuação determinante para definir o grau concreto de exigência e os padrões de conformidade esperados.

Termos de uso, autorregulação e relatórios de transparência

O decreto prevê que provedores de aplicações de internet deverão editar termos e condições de uso, além de outras formas de autorregulação, que contemplem necessariamente o sistema de notificações, o devido processo e os relatórios anuais de transparência sobre notificações extrajudiciais, anúncios e impulsionamentos.

Essas regras deverão ser publicadas, revisadas periodicamente e disponibilizadas de forma transparente e acessível ao público. A autorregulação também poderá ser considerada elemento de comprovação de boa-fé na apuração de infrações, quando voltada à criação de padrões técnicos e de governança para proteção dos direitos dos usuários.

Termos de uso genéricos, políticas de moderação pouco claras ou fluxos de contestação não documentados poderão aumentar a exposição regulatória e contenciosa da empresa.

Decreto nº 12.976/2026 e a proteção de mulheres no ambiente digital

O Decreto nº 12.976/2026 estabelece diretrizes específicas para a proteção de mulheres na internet e para o enfrentamento da violência contra mulheres em ambiente digital. O decreto merece atenção específica porque opera em duas frentes que se reforçam: a resposta a incidentes já ocorridos e a prevenção de novas formas de violação.

No campo da resposta, o decreto exige a criação de canal específico para denúncias de nudez ou conteúdo sexual não consentido, inclusive quando gerado por inteligência artificial, com remoção em até duas horas após notificação da vítima ou de seu representante legal. As plataformas também deverão preservar provas e informações úteis à investigação e adotar mecanismos para impedir a recirculação do conteúdo removido. O prazo de duas horas é significativamente mais comprimido do que os prazos gerais de moderação e exige fluxos dedicados, triagem prioritária e capacidade operacional de resposta em tempo real.

No campo da prevenção, o decreto estabelece medidas para redução de alcance de ataques coordenados contra mulheres e restrições à disponibilização de ferramentas de inteligência artificial capazes de gerar imagens íntimas falsas ou sexualizadas. Para empresas que desenvolvem, integram ou disponibilizam ferramentas de IA generativa, esse ponto exige atenção específica à arquitetura do produto, filtros de segurança, prevenção de uso abusivo, resposta a denúncias e documentação de medidas técnicas adotadas. Há ainda obrigação de divulgar informações sobre o Ligue 180 nos canais de denúncia, o que impõe um dever afirmativo de articulação com a rede de proteção à mulher.

Principais frentes de adequação

A adequação aos decretos deverá ser avaliada caso a caso, conforme o modelo de negócio, o tipo de aplicação, o volume de usuários, a exposição a conteúdo de terceiros, a existência de publicidade paga, a presença de ferramentas de IA e o grau de risco sistêmico da operação. Entre os pontos que merecem atenção imediata estão: revisão de termos de uso, políticas de comunidade e regras de moderação; implementação ou ajuste de canais permanentes de denúncia; definição de fluxos de análise, remoção, manutenção e contestação; documentação de critérios de decisão e fundamentos de moderação; revisão de políticas de anúncios, impulsionamentos e verificação de anunciantes; avaliação de deveres de preservação de dados e registros; adequação de relatórios de transparência; revisão de medidas de segurança contra redes artificiais de distribuição; análise de riscos relacionados à IA generativa e conteúdo sintético; e estruturação de governança para interação com a ANPD, autoridades judiciais e administrativas.

Conclusão

Os decretos representam uma mudança estrutural na regulação de plataformas digitais no Brasil. O foco deixa de estar apenas na remoção pontual de conteúdos e passa a envolver deveres de governança, prevenção, transparência, rastreabilidade e resposta estruturada a riscos digitais. Nesse novo cenário, a conformidade não se mede pela ausência de conteúdo ilícito, mas pela capacidade demonstrável de identificar riscos, agir de forma proporcional e documentar decisões. Empresas que já investiram em governança digital partem em vantagem; as que ainda operam com políticas genéricas enfrentam janela curta para adequação.

O MLB Advogados acompanha os desdobramentos regulatórios do tema e está à disposição para auxiliar empresas e instituições na avaliação dos impactos dos decretos, revisão de políticas internas, estruturação de fluxos de governança digital e definição de estratégias de conformidade e contencioso no ambiente digital.