O Decreto 12.975, de 20 de maio de 2026, alterou o Decreto 8.771/2016 — o regulamento da Lei 12.965/2014 (Marco Civil da Internet) — foi lido como a norma da responsabilidade das plataformas digitais: dever de cuidado, falha sistêmica, incorporação regulamentar, responsabilidade civil por conteúdo, etc. [1] Foi disso que trataram a maioria dos seminários, publicações e das notas técnicas das empresas.
Para quem preside inquérito policial ou atua na investigação criminal, porém, a alteração mais relevante está em outro lugar: no artigo 15-A, inserido no regulamento com dois parágrafos e em vigor desde 20 de julho de 2026 [2]. A norma determina que o dever de guarda de registros de endereço IP, previsto nos artigos 13 e 15 da Lei 12.965/2014, abranja também a porta lógica de origem sempre que necessário à identificação inequívoca do terminal de origem ou do próximo enlace de rede.
Traduzindo para o expediente da delegacia: o dado técnico cuja ausência tem dificultado a individualização de autoria em crimes cibernéticos passou a ser de guarda obrigatória, automática e independente de requisição, por todos os provedores da cadeia.
O prédio sem o número do apartamento na investigação digital
O IPv4, protocolo que sustentou a expansão comercial da internet, trabalha com endereços de 32 bits — cerca de 4,3 bilhões de combinações, número que parecia infinito nos anos 1980 e esgotou-se há mais de uma década. A solução das operadoras foi o CGNAT (Carrier-Grade NAT), técnica que compartilha um único IP público entre dezenas ou centenas de clientes simultâneos. [3]
O que distingue cada cliente dentro desse IP compartilhado é a porta lógica de origem, um número entre 0 e 65.535 atribuído a cada conexão. A analogia que muito se usa didaticamente: o IP é o número do prédio; a porta lógica é o apartamento. O oficial de justiça que chega ao endereço apenas com o número do prédio encontra dificuldade para intimar a pessoa correta.
O IPv6, em tese, resolveria o problema, com endereços individuais praticamente inesgotáveis. Mas a transição brasileira é lenta, desigual e convive com provedores regionais inteiramente dependentes do IPv4. A coexistência durará anos — e a investigação criminal não pode esperar a infraestrutura.
Onde a investigação encontra obstáculo
Quem já investigou, por exemplo, o crime de armazenamento de material de abuso sexual infantil, tipificado no artigo 241-B da Lei 8.069/1990, conhece o roteiro. A notícia do crime chega à delegacia. A requisição ao provedor de aplicação volta com IP e timestamp — sem porta lógica. Muitas vezes, o ofício ao provedor de conexão retorna com a resposta padrão: endereço compartilhado por CGNAT, individualização difícil sem a porta. O provedor de aplicação não fornece porta lógica (Exemplo de resposta real: “O [aplicativo de mensageria] não retém portas lógicas de endereços de IP”). O ciclo atrasa a investigação, ou até mesmo a paralisa, por falta de individualização da autoria — o material está identificado, o autor permanece fora do alcance.
É exatamente esse ciclo que o parágrafo primeiro do artigo 15-A ataca. A guarda da porta lógica independe de prévia requisição e recai autonomamente sobre cada provedor. Cai o argumento, repetido durante anos, de que a empresa só guardaria mediante ordem específica. A guarda agora é dever de ofício, de cada elo da cadeia, “sempre que necessário para a identificação inequívoca do terminal de origem ou do próximo enlace de rede”, conforme a redação do dispositivo.
Independentemente da pretensa inovação legal, em casos de IP compartilhado e recusa do provedor de conexão em fornecer dados de diversos usuários, a Justiça catarinense já vinha recusando o CGNAT como escudo: o Tribunal de Justiça de Santa Catarina manteve a legalidade de requisição de dados cadastrais dirigida a provedor de conexão com IP compartilhado [4].
Duas insuficiências, contudo, permanecem. A primeira é que o decreto não fixou prazo de guarda próprio para a porta lógica. Como a norma a trata como componente dos registros já previstos (e não como categoria autônoma) a leitura consistente é a de que segue os prazos da própria Lei 12.965/2014: um ano para os registros de conexão (artigo 13) e seis meses para os registros de acesso a aplicações (artigo 15). Na prática, há uma assimetria relevante: o dado do provedor de aplicação expira primeiro, de modo que a demora na requisição inicial pode inutilizar a cadeia inteira de identificação. A lição para a rotina investigativa é requisitar cedo — e, havendo risco de perda, requerer desde logo a preservação dos registros.
A segunda reside na cláusula “sempre que necessário para a identificação inequívoca”; conceito jurídico indeterminado que deposita no próprio provedor, num primeiro momento, o juízo sobre a necessidade da guarda. A leitura tecnicamente correta é objetiva: se a rede compartilha endereços IP — como ocorre no CGNAT —, a porta lógica é sempre necessária à identificação e o dever incide por inteiro; se o provedor atribui endereço exclusivo a cada usuário, como no IPv6, a guarda da porta perde objeto, em regra.
Inovação ou explicitação?
Os artigos 13 e 15 da Lei 12.965/2014 não mencionam porta lógica. Falam em registros de conexão e registros de acesso a aplicações. Daí a pergunta inevitável: o decreto criou obrigação nova por via regulamentar?
Sustento que não. Desde 2019 a Terceira Turma do Superior Tribunal de Justiça afirma que a guarda e o fornecimento da porta lógica constituem desdobramento lógico da identificação do usuário por IP, obrigação que recai tanto sobre o provedor de aplicação quanto sobre o de conexão [5][6]. “A revelação das portas lógicas de origem consubstancia simples desdobramento lógico do pedido de identificação do usuário por IP”. [7]
Em 2024, o entendimento foi reafirmado: “A jurisprudência desta Corte Superior firmou-se no sentido de que tanto provedores de aplicação quanto provedores de conexão têm a obrigação de guardar e fornecer as informações relacionadas à porta lógica de origem” [8]. O decreto explicitou o que a finalidade da norma já continha: registro que não identifica é insuficiente.
Guardar custa caro?
O argumento das empresas merece resposta honesta: reter os registros de IP, porta lógica e data-hora de cada conexão, em escala nacional, tem custo real de armazenamento e processamento. Mas a própria engenharia da internet já respondeu a essa objeção — e há mais de uma década.
A objeção não resiste a constatações. Inicialmente, registrar a porta lógica não exige tecnologia nova — a prática é recomendada desde 2011 pela entidade internacional que define os padrões técnicos da internet, justamente porque o IP compartilhado deixou de apontar para uma única pessoa [9]. Além disso, o dado é pequeno; fração irrisória do que as mesmas empresas armazenam por interesse comercial próprio, do histórico de navegação às preferências de consumo dos usuários. Não bastando, a obrigação é transitória por natureza — incide enquanto houver compartilhamento de endereços e perde objeto à medida que o IPv6 avança. O ônus é, portanto, proporcional ao fim. Desproporcional é permitir que a ausência de um dado tecnicamente trivial continue criando óbices ao avanço da investigação criminal.
Por fim, o balanço é objetivo. O artigo 15-A não resolve tudo, mas contribui com o essencial: retira dos provedores o argumento de que a porta lógica não precisava ser guardada e dá ao delegado de polícia, desde 20 de julho de 2026, fundamento normativo expresso para exigir, quando juridicamente cabível, o registro completo: IP, porta lógica e data-hora. Restam ao intérprete o ajuste do prazo e o alcance da cláusula de necessidade; resta à prática incorporar o dado a cada requisição e a cada representação. O artigo 15-A é avanço normativo, em sentido estrito, importante na sofisticação do arcabouço jurídico da investigação criminal tecnológica.
[1] STF, RE 1.037.396 (Tema 987) e RE 1.057.258 (Tema 533), Plenário, julgamento concluído em junho de 2025.
[2] Decreto 12.975, de 20 de maio de 2026, publicado no DOU de 21/05/2026, com vigência a partir de 20/07/2026.
[3] NIC.br — Núcleo de Informação e Coordenação do Ponto BR. “O que é CGNAT e como isso pode afetar sua conexão de internet”, 2018. Disponível em nic.br. Acesso em: 24 de julho de 2026.
[4] TJSC, RESE n. 5000529-96.2022.8.24.0040, Rel. Des.ª Salete Silva Sommariva, Segunda Câmara Criminal, j. 14/6/2022
[5] STJ, REsp 1.784.156/SP, Terceira Turma, DJe 21/11/2019.
[6] STJ, REsp 2.005.051/SP, Terceira Turma, DJe 25/8/2022.
[7] STJ, REsp 1.777.769/SP, Rel. Min. Nancy Andrighi, Terceira Turma, DJe 8/11/2019.
[8] STJ, REsp 2.170.872/SP, Terceira Turma (2024/0352503-1).
[9] IETF — Internet Engineering Task Force. DURAND, A. et al. Logging Recommendations for Internet-Facing Servers. RFC 6302/BCP 162, jun. 2011, seção 2. Disponível em: https://www.rfc-editor.org/info/rfc6302. Acesso em: 24 jul. 2026.
Sobre o autor
Daniel Godoy Danesi é Delegado de Polícia Civil de Santa Catarina e professor da Academia da Polícia Civil de Santa Catarina (ACADEPOL/SC). Bacharel em Direito pela Universidade Estadual de Ponta Grossa, com mobilidade acadêmica na Universidade de Coimbra, é especialista em Segurança Pública, em Direito Constitucional e em Ciências Policiais e Investigação Criminal.
DELEGADOS
Portal Nacional dos Delegados
