A possibilidade de responsabilizar usuários por atos ilícitos na internet depende, fundamentalmente, da capacidade técnica de identificá-los. Durante décadas, o endereço IP (internet protocol) foi tratado como o identificador suficiente do usuário. Bastava ao provedor de aplicação ou de conexão registrar o IP associado a determinada ação para que, via ordem judicial, fosse possível rastrear a autoria de uma conduta ilícita. Esse modelo, porém, entrou em colapso com o esgotamento do espaço de endereçamento do protocolo IPv4, que limitou o número de endereços disponíveis a aproximadamente 4,3 bilhões, quantidade insuficiente diante da explosão de dispositivos conectados.
Para fazer frente à escassez de recursos de numeração no ecossistema IPv4, os provedores massificaram o CGNAT, sistema no qual uma coletividade de dispositivos partilha, concorrentemente, o mesmo endereço IP. Malgrado esse paliativo tenha salvado o ecossistema digital, ele aniquilou a possibilidade de se alcançar a autoria de um ato com base apenas no IP de acesso, tornando imprescindível o concurso de outras variáveis.
A resolução desse conflito migrou para a retenção obrigatória da porta lógica de origem. O cenário foi marcado pelo dissenso sobre se a obrigação vinculava as operadoras de telecomunicações, as empresas de internet ou sobre nenhum deles. Dedicaremos atenção a essa crise de identificação, partindo do advento do recente Decreto nº 12.975, de 20 de maio de 2026 (o qual introduziu a guarda da porta lógica como dever autônomo), para em seguida sopesar os desdobramentos dessa exigência em face da LGPD e as tendências jurisprudenciais nos tribunais superiores.
Protocolo IPv4 e esgotamento de endereços
O Internet Protocol versão 4 (IPv4, também chamado apenas de IP) é o protocolo de endereçamento que fundamentou a expansão comercial da internet desde os anos 1980. Cada dispositivo conectado à rede recebe um endereço numérico de 32 bits, representado em notação decimal pontuada (ex.: 192.168.0.1), o que resulta em um universo teórico de aproximadamente 4,29 bilhões de endereços únicos. Embora essa quantidade parecesse inesgotável no início, a explosão de smartphones, computadores e dispositivos conectados pulverizou esses recursos, levando ao esgotamento oficial dos blocos centrais de IPs em 2011.
A par e passo, as premissas clássicas da regulação da internet operavam sob a lógica do “paralelismo”, ou seja, a certeza de que haveria uma relação de exclusividade de um para um entre um endereço IP e um usuário em determinado corte temporal. Foi sob esse pressuposto que o Marco Civil da Internet (Lei nº 12.965/2014) foi redigido, estabelecendo em seus artigos 13 e 15 a obrigação de guarda simples do endereço IP como elemento suficiente para desvelar a autoria de ilícitos cibernéticos. É certo que o esgotamento do ecossistema IPv4 desfez essa relação de exclusividade, e a mesma lei tornou-se incapaz, sozinha, de garantir o resultado que pretendia: a possibilidade de identificar o usuário responsável por determinada conduta.
Porta lógica de origem como dado identificador complementar
Para contornar a falta de endereços IPv4 sem paralisar a rede, os provedores de acesso adotaram uma solução de engenharia emergencial: o CGNAT (Carrier Grade Network Address Translation). Esse mecanismo funciona como um funil, permitindo que centenas de clientes de um mesmo provedor naveguem na internet compartilhando, exatamente ao mesmo tempo, um único endereço IP público. Essa solução até resolveu a escassez de conectividade, mas dificultou (e muito) a individualização do usuário.
Esse imenso “nó” técnico dos acessos síncronos desata-se apenas com a identificação da porta lógica de origem. Estruturadas na arquitetura TCP/IP como canais numéricos variáveis entre zero e 65.535, as portas funcionam como o elemento de distinção de cada conexão estabelecida. Em outros termos, quando o CGNAT compartilha um IP, ele atribui uma porta de origem exclusiva para o fluxo de cada usuário. Assim, a identificação inequívoca de um terminal só ocorre quando se cruza o IP público + a porta lógica de origem + o timestamp preciso (com frações de segundos), permitindo isolar o infrator em meio à multidão que compartilha o mesmo IP.
Mas quem possui o dever de guardar essa porta lógica: os provedores de aplicações ou provedores de conexão? Por questões técnicas, certamente seriam os provedores de conexão. No entanto, a ausência de uma regulamentação clara sobre quem deveria registrar essa porta lógica paralisou o Judiciário por anos. Ao redigir os artigos 13 e 15 do MCI em 2014, o legislador aparentemente assumiu que o endereço IP seria suficiente para a identificação do terminal – hipótese que já era questionável naquela data, dado o avanço do CGNAT, e tornou-se progressivamente mais problemática nos anos seguintes. O Decreto nº 8.771/2016, que regulamentou o MCI, detalhou procedimentos para guarda e proteção de dados, mas tampouco abordou especificamente a porta lógica. Na ausência de norma expressa, coube à jurisprudência construir soluções casuísticas.
Um bom exemplo desse impasse ocorreu no julgamento do REsp nº 2.170.872/SP pelo STJ. Diante do envio de e-mails difamatórios enviados sob a tecnologia CGNAT, o juízo de origem ordenou que a provedora de conexão identificasse o usuário com base apenas no endereço IP e em uma janela de dez minutos. A empresa ré recorreu, alegando a impossibilidade técnica de individualização sem o fornecimento prévio da porta lógica pelo provedor de aplicação. Ao analisar o caso, a 3ª Turma, sob a relatoria da ministra Nancy Andrighi, manteve a condenação e fixou o entendimento de que o provedor de conexão deve possuir condições tecnológicas de identificar o usuário sem exigir dados prévios de porta lógica da aplicação, uma vez que a guarda deste dado integra seus próprios registros de conexão.
IPv6: solução definitiva e a transitoriedade da regra
O Internet Protocol versão 6 (IPv6) foi desenvolvido pelo IETF ao longo dos anos 1990 como solução definitiva para o esgotamento do espaço de endereçamento do IPv4. Com 128 bits de endereço, o IPv6 oferece um universo de aproximadamente 3,4 × 10³⁸ endereços únicos, quantidade suficiente para atribuir um endereço globalmente único a cada dispositivo conectável no planeta por séculos.
Em tese, a adoção plena do IPv6 eliminaria a necessidade do CGNAT, pois cada dispositivo poderia receber um endereço público próprio. Logo, o IP voltaria a ser, por si só, um identificador suficiente do terminal, e a porta lógica retomaria seu papel técnico original sem relevância jurídico-identificadora adicional.
No entanto, a migração para o IPv6 no ecossistema brasileiro é lenta, desigual e convive com sistemas legados e provedores regionais que ainda dependem fortemente do IPv4 estruturado em CGNAT. Ciente de que essa coexistência perdurará por anos, o ordenamento jurídico não pôde esperar a transição total, o que justifica a edição de normas específicas para regular a porta lógica de forma temporária e condicional, aplicando-se estritamente enquanto a tecnologia de compartilhamento for necessária. É por isso que o Decreto 12.975/2026 adotou formulação condicional ao determinar que a guarda da porta lógica se aplica “sempre que necessário para a identificação inequívoca do terminal de origem ou do próximo enlace de rede”. A norma é, portanto, tecnologicamente neutra: incide enquanto o CGNAT for utilizado e perde aplicabilidade progressivamente à medida que o IPv6 com endereçamento público individual se consolida.
Percurso normativo e cenários para o futuro
Publicado em 21 de maio de 2026, o Decreto nº 12.975 alterou o Decreto nº 8.771/2016 para inserir, entre outros dispositivos, o artigo 15-A, que dispõe:
“O dever de guarda de registros de endereço IP pelos provedores de conexão e pelos provedores de aplicações de internet, previsto nos art. 13 e art. 15 da Lei nº 12.965, de 23 de abril de 2014, abrangerá a porta lógica de origem associada sempre que necessário para a identificação inequívoca do terminal de origem ou do próximo enlace de rede.
§1º O dever de guarda da porta lógica de origem independerá de prévia requisição e recairá autonomamente sobre cada provedor.
§2º O fornecimento da porta lógica de origem e dos dados a ela vinculados observará o disposto nos art. 10 e art. 22 da Lei nº 12.965, de 23 de abril de 2014.”
Três inovações se destacam nesse dispositivo. Primeira: a extensão expressa do dever de guarda aos provedores de aplicação, encerrando a controvérsia sobre a divisão de responsabilidades. A segunda é a autonomia do dever. A guarda independe de prévia requisição administrativa ou judicial, o que significa que o provedor deve registrar preventivamente a porta lógica em todos os acessos. Terceira: a condição de necessidade técnica (“sempre que necessário”), que torna a norma adaptável às evoluções tecnológicas e evita obrigações desnecessárias em ambientes já migrados para IPv6.
Vale dizer que a obrigação autônoma de guarda da porta lógica desafia algumas balizas da Lei Geral de Proteção de Dados (Lei nº 13.709/2018). O princípio da necessidade (artigo 6º, III) determina que a coleta e o tratamento de dados pessoais devem se limitar ao mínimo necessário para a finalidade declarada. A porta lógica, quando associada ao IP e ao timestamp, constitui dado pessoal, pois permite a identificação do usuário – exatamente seu propósito no contexto do decreto. O texto do Executivo resolve parcialmente essa tensão ao vincular o dever de guarda à hipótese legal de cumprimento de obrigação regulatória (artigo 7º, II, da LGPD), que afasta a necessidade de consentimento do titular. Entretanto, a duração mínima da retenção dos logs de porta lógica (que deve ser compatível com os prazos do MCI para registros de conexão e acesso) e as medidas de segurança exigidas para esses dados permanecem questões a serem detalhadas em regulamentação específica da ANPD.
Paralelamente à consolidação do decreto, o STF pauta o limite do acesso a esses registros na ADC nº 91. Ajuizada pela Associação Brasileira de Provedores de Internet e Telecomunicações (Abrint), a ação discute se autoridades policiais e administrativas podem requisitar diretamente dados de tráfego de IPs aos provedores sem autorização judicial prévia, mitigando o artigo10, §1º do Marco Civil da Internet sob o argumento de urgência investigativa. É certo que o CGNAT é o ponto nevrálgico dessa disputa constitucional. A Abrint argumenta que, como um único IP abriga centenas de usuários, permitir que a polícia faça uma requisição administrativa direta e “genérica” (sem o filtro da porta lógica e sem o crivo do Judiciário) resulta na devassa ilegal do “diário de navegação” e da intimidade de inúmeros cidadãos inocentes alheios à investigação.
Vale abrir um parêntese para comentar que essa indefinição enclausura os provedores de internet em uma verdadeira armadilha de responsabilidade civil. Se fornecerem os dados sem o crivo de uma ordem judicial, arriscam-se a responder por danos morais perante os usuários por violação de privacidade; se negarem o acesso à polícia, enfrentam sanções por desobediência. Diante disso, e enquanto o julgamento da ADC 91 aguarda a sua retomada e conclusão definitiva pelo Plenário do STF, torna-se compreensível que os provedores adotem uma postura defensiva.
Em última análise, tais discussões servem apenas de testemunho ao caráter efêmero de toda a engenharia montada ao redor do CGNAT, cuja obsolescência jurídica caminha lado a lado com a modernização da própria infraestrutura da rede. O cenário ideal a longo prazo é a adoção plena do IPv6 com endereçamento público individual, que restituiria ao endereço IP sua função originária de identificador suficiente do terminal. Até lá, a porta lógica permanece elemento central do Direito Digital brasileiro, e o Decreto 12.975/2026 constitui passo indispensável, ainda que não definitivo, na construção de uma internet mais responsável, rastreável e compatível com o Estado de Direito.
Seja o primeiro a comentar.
Você precisa estar logado para enviar um comentário.
Fazer login