STF: Acessos a dados IP exigem autorização judicial

Os ministros Cristiano Zanin e Dias Toffoli, do Supremo Tribunal Federal, defenderam nesta quinta-feira (27/8) limites ao acesso, sem autorização judicial, a dados de usuários de internet e de serviços de telefonia em investigações criminais. As manifestações ocorreram no julgamento conjunto da ADC 91 e das ADIs 5.059 e 5.073. Embora as ações tenham objetos distintos, as três discutem os limites constitucionais à obtenção direta, por órgãos de investigação, de informações pessoais mantidas por provedores de internet e empresas de telecomunicações.

Na ADC 91 está em discussão o alcance do artigo 10, parágrafo 1º, do Marco Civil da Internet. A norma condiciona à ordem judicial o fornecimento de registros de conexão e de acesso a aplicações, inclusive quando associados a informações que permitam identificar um usuário. Zanin considera constitucional essa exigência.

Para o ministro, dados de tráfego não se confundem com informações cadastrais básicas. O Marco Civil considera como dados cadastrais informações como qualificação pessoal, filiação e endereço, que podem ser requisitadas diretamente pelas autoridades nas hipóteses previstas em lei. Os registros de conexão, por outro lado, incluem informações como data e horário do acesso e o endereço de IP utilizado. O próprio Marco Civil classifica o IP como elemento integrante dos registros de conexão ou de acesso a aplicações.

Para Zanin, portanto, não é possível tratar como simples dado cadastral a informação necessária para descobrir quem utilizou determinado IP em certo dia e horário. Isso porque, para chegar à identidade da pessoa, o provedor precisa cruzar o cadastro do cliente com os registros de tráfego.

Segundo o magistrado, embora um endereço de IP isoladamente não revele o histórico de navegação, a lei o enquadra entre os registros de conexão. Por isso, a possibilidade de requisição direta de dados cadastrais não autoriza o acesso a metadados de conexão nem o cruzamento dessas informações para identificar quem estava por trás de determinado IP.

A discussão já havia passado pelo Plenário virtual. Em dezembro de 2025, Zanin apresentou seu voto e Toffoli pediu vista. A análise foi retomada em março deste ano, quando Toffoli acompanhou o relator em grande parte, mas apresentou divergências sobre as exceções à necessidade de ordem judicial. Depois, um pedido de destaque do ministro Flávio Dino levou o caso ao Plenário físico.
Proteção de dados

A fundamentação de Zanin parte da evolução da proteção constitucional da privacidade. Para o ministro, a discussão não deve ser limitada ao tradicional sigilo das comunicações, porque a Constituição passou a reconhecer expressamente a proteção de dados pessoais como direito fundamental.

Em seu voto, ele relaciona a proteção dos registros digitais aos direitos à privacidade, à autodeterminação informacional e à proteção de dados pessoais. Na avaliação do relator, dados armazenados também recebem proteção constitucional e intervenções estatais para fins de investigação precisam ter fundamento legal e respeitar a proporcionalidade.

Ao final, Zanin votou pela constitucionalidade do dispositivo do Marco Civil e propôs explicitar que a identificação do usuário pelo provedor, mediante o cruzamento de dados cadastrais com registros de conexão ou de acesso a aplicações, depende de autorização judicial específica.

O ministro, porém, admite uma exceção. Em situações de perigo iminente a bens jurídicos de alto valor que configurem estado de necessidade, polícia ou Ministério Público poderiam requisitar diretamente os dados necessários à identificação imediata do usuário. A providência teria de ser documentada e submetida posteriormente ao Judiciário.

Zanin também acolheu sugestão apresentada anteriormente por Toffoli sobre os efeitos da futura decisão. A proposta busca preservar provas obtidas por requisição direta em investigações e processos nos quais a defesa não tenha questionado a legalidade do procedimento até a conclusão do julgamento.

Poder de requisição

As ADIs 5.059 e 5.073 tratam da Lei 12.830/2013, que disciplina a investigação criminal conduzida por delegados de polícia. O ponto central é o dispositivo segundo o qual, durante a investigação, cabe ao delegado requisitar perícias, informações, documentos e dados relevantes para a apuração.

Relator das duas ações, Toffoli rejeitou a interpretação segundo a qual a lei teria concedido aos delegados acesso irrestrito a qualquer informação. Para ele, o poder genérico de requisição deve conviver com o sigilo constitucional, a proteção da intimidade e as normas específicas sobre dados pessoais.

O ministro observou que serviços telefônicos, informáticos e telemáticos produzem uma grande quantidade de informações pessoais e que a autorização genérica prevista legislação não pode ser entendida como permissão para acesso indiscriminado a todas elas.

Toffoli propôs, assim, interpretação conforme a Constituição para deixar claro que o poder de requisição do delegado não afasta a necessidade de autorização judicial sempre que a Constituição ou a legislação submeterem determinada informação à reserva de jurisdição.
O que pode ser requisitado

Pela proposta de Toffoli, delegados e integrantes do Ministério Público podem requisitar diretamente às empresas de telefonia os dados cadastrais básicos do titular de uma linha ou terminal, limitados a nome completo, filiação e endereço.

Há exceções expressamente previstas em lei. Entre elas estão determinadas informações destinadas à localização de vítimas ou suspeitos em crimes específicos contra a liberdade pessoal e no combate ao tráfico de pessoas. Nessas situações, a legislação permite o fornecimento sem controle judicial prévio, mas a medida permanece sujeita à fiscalização posterior do Judiciário.

Fora das hipóteses autorizadas especificamente pela legislação, porém, o poder genérico de requisição não basta para afastar a reserva judicial.

O entendimento alcança, por exemplo, interceptações telefônicas e telemáticas e outras informações protegidas. No caso dos extratos de chamadas, Toffoli destacou que a jurisprudência recente do Supremo condiciona o afastamento do sigilo a decisão judicial e exige demonstração da imprescindibilidade da medida.

A discussão não envolve apenas comunicações em tempo real. As ações também tratam do acesso a informações já registradas ou armazenadas pelas empresas, como extratos telefônicos, registros de mensagens, dados de localização e informações relacionadas à internet.
Validade da lei dos delegados

Toffoli também rejeitou a maior parte das alegações da Cobrapol contra a Lei 12.830/2013 como um todo. Para ele, a norma não disciplina propriamente a carreira dos delegados, mas estabelece condições para o exercício da investigação criminal.

O relator entendeu que a matéria tem natureza processual penal e, portanto, pode ser disciplinada pela União. Também afastou a alegação de que seria necessária iniciativa privativa do chefe do Executivo para a edição da lei.

Em relação à alegação de que a norma teria conferido aos delegados exclusividade na condução das investigações, Toffoli considerou a discussão já resolvida pelo STF. Em 2025, na ADI 5.043, o Plenário afastou qualquer interpretação que atribua aos delegados competência privativa ou exclusiva para investigar, reconhecendo também os poderes investigatórios do Ministério Público, de comissões parlamentares de inquérito e de outras autoridades.

Por isso, Toffoli propôs extinguir essa parte da ADI 5.073, sem análise do mérito, em razão da existência de decisão anterior sobre o mesmo ponto. Nos demais aspectos, votou pela procedência parcial das duas ações para estabelecer limites ao poder de requisição e preservar, no restante, a Lei 12.830/2013.

O ministro ainda propôs que eventuais atos de avocação ou redistribuição de investigações e remoção de delegados possam ser submetidos ao juiz das garantias quando houver suspeita fundamentada de que tenham sido praticados para atrasar, dificultar ou impedir uma apuração. Quanto aos demais questionamentos contra a integralidade da lei, Toffoli votou pela improcedência.