Serviço, risco e regulação no Marco Civil da Internet
A regulamentação do Marco Civil da Internet (MCI) entrou em nova etapa. Após o Supremo Tribunal Federal (STF) reformular, no julgamento dos Temas 987 e 533, o regime de responsabilidade dos provedores por conteúdos de terceiros, os Decretos 12.975 e 12.976, editados em maio de 2026, complementam o regime com obrigações relacionadas, entre outros temas, ao dever de cuidado, à gestão de riscos sistêmicos, a mecanismos de denúncia, à indisponibilização de conteúdos e à publicidade digital.
Parte relevante da implementação desse novo modelo caberá à Agência Nacional de Proteção de Dados (ANPD). Uma das principais questões regulatórias emergentes é como aplicar um mesmo conjunto de deveres a serviços muito diferentes entre si.
A própria agência colocou o problema na Tomada de Subsídios sobre o Marco Civil da Internet, encerrada em 17 de agosto, ao perguntar como as obrigações devem ser moduladas em razão do porte econômico, do nível de risco do serviço e de situações limítrofes.
A pergunta é particularmente relevante porque “aplicações de internet”, na definição do MCI, abrangem um universo muito amplo: redes sociais, plataformas de vídeo, serviços de streaming, mecanismos de busca, serviços de mensageria e inúmeras outras aplicações com diferentes capacidades de criar, amplificar ou mitigar os riscos regulados.
A regulamentação, portanto, não pode olhar apenas para quem é o provedor, mas também para qual serviço é prestado, como ele funciona e qual relação existe entre suas características e a obrigação que se pretende aplicar.
O próprio Decreto já parte dessa diferenciação
Os arts. 16-O e 16-P do Decreto 12.975 oferecem dois instrumentos para lidar com essa heterogeneidade.
O art. 16-O afasta a aplicação de deveres do Decreto para serviços específicos: e-mail, comunicações interpessoais em mensageria instantânea – resguardado o sigilo das comunicações – e certas formas de comunicação audiovisual em grupos restritos. A lógica é reconhecer que os riscos associados à circulação, intermediação e amplificação de conteúdo em ambientes abertos não se apresentam da mesma forma em comunicações privadas ou grupos restritos.
Já o art. 16-P trata de um problema diferente. Para os serviços não excetuados das obrigações, a autoridade poderá estabelecer critérios diferenciados para seu cumprimento, levando em consideração o porte econômico, o nível de interferência na circulação de conteúdo de terceiros, o estado da técnica e o risco envolvido no serviço, com atenção especial aos pequenos provedores.
Surgem, aqui, duas perguntas diferentes: (i) se determinado dever deve incidir sobre o serviço e (ii) em caso positivo, como esse dever deve ser cumprido diante das características concretas daquele serviço.
Essa segunda dimensão é particularmente importante. Entre aplicar uma obrigação de forma idêntica a todos os provedores e simplesmente afastá-la por completo existe um espaço considerável para modulação regulatória.
O risco depende do serviço – e também da obrigação
A referência do art. 16-P ao “risco envolvido no serviço” pode ser especialmente útil para preencher esse espaço, desde que não seja tratado como uma característica abstrata ou permanente do provedor. A classificação dos serviços como de “maior” ou “menor” risco não produz os efeitos desejados se não for esclarecido qual risco a obrigação pretende endereçar e para qual finalidade regulatória. O mesmo serviço pode apresentar relevância muito diferente dependendo da obrigação que está sendo examinada.
Uma obrigação destinada a prevenir a circulação massiva de determinados conteúdos, por exemplo, responde a uma dinâmica própria. Para avaliá-la, podem ser relevantes características como a possibilidade de difusão pública, a existência de mecanismos de recomendação ou impulsionamento e a capacidade do serviço de ampliar o alcance de publicações.
Para obrigações relacionadas à publicidade digital, os elementos relevantes são outros: se o serviço comercializa anúncios sem curadoria prévia, se há publicidade comportamental, se permite impulsionamento, quais agentes participam dessa cadeia e qual controle o provedor exerce sobre sua exibição.
O mesmo raciocínio vale para deveres de transparência, canais de denúncia ou procedimentos de notificação. Em cada caso, é necessário identificar primeiro qual problema regulatório a obrigação procura enfrentar e, a partir daí, verificar quais características do serviço efetivamente criam, aumentam ou permitem mitigar esse problema.
Essa leitura encontra respaldo no próprio Decreto. O art. 16-B relaciona a avaliação da falha sistêmica à adoção de medidas adequadas de prevenção ou remoção, considerando o estado da técnica e o tipo de serviço oferecido. O art. 16-C, por sua vez, determina a identificação, avaliação e gestão dos riscos sistêmicos criados ou potencializados pelas atividades específicas dos provedores.
Trata-se, portanto, de uma lógica funcional para compreender o que aquela aplicação faz e como o seu funcionamento se relaciona com o risco que determinada regra pretende reduzir.
Casos limítrofes não precisam virar novas categorias
Essa abordagem também pode ajudar a ANPD a lidar com os “casos limítrofes” mencionados na Tomada de Subsídios. Isso é especialmente relevante pois serviços digitais, por sua natureza, raramente correspondem a categorias estanques. Uma mesma aplicação pode reunir comunicação privada, publicação em ambientes abertos, recomendação algorítmica, conteúdo editorial, funcionalidades sociais e ferramentas de publicidade. Além disso, novos modelos de serviço surgem mais rapidamente do que categorias regulatórias podem ser atualizadas.
Para acomodar a complexidade dos serviços digitais, a resposta regulatória não precisa ser a criação de uma exceção ou de uma classificação específica para cada combinação possível de funcionalidades. Antes disso, deve-se questionar se a característica que diferencia o serviço altera materialmente o risco que justifica determinada obrigação.
Por exemplo, se uma funcionalidade permite que conteúdos de terceiros sejam difundidos publicamente para grandes audiências, essa característica pode ser relevante para deveres destinados a enfrentar riscos de disseminação (por exemplo, obrigações de moderação e os relatórios dela decorrentes). Se o serviço apenas disponibiliza conteúdo previamente curado e não oferece mecanismos de publicação ou amplificação por usuários, essa mesma lógica pode ter pouca ou nenhuma relação com seu funcionamento.
Essa análise evita dois extremos: de um lado, presumir que todos os serviços abrangidos pelo conceito de aplicação de internet produzem os mesmos riscos; de outro, criar um regime excessivamente fragmentado, baseado em uma lista crescente de exceções.
Modular também significa admitir formas diferentes de cumprimento
Há ainda uma dimensão importante da proporcionalidade que não se limita à incidência das regras. O art. 16-P autoriza expressamente a adoção de critérios diferenciados para o cumprimento das obrigações. Isso permite que a regulamentação preserve objetivos comuns sem necessariamente impor a todos os serviços a mesma arquitetura operacional, os mesmos procedimentos ou o mesmo grau de complexidade.
Uma obrigação de gestão de riscos, por exemplo, pode exigir estruturas muito diferentes de uma plataforma que distribui conteúdo público para milhões de usuários e de um serviço cuja capacidade de disseminação de conteúdo de terceiros é reduzida. O mesmo pode ocorrer com as demais obrigações.
Essa interpretação tem uma vantagem importante. Uma regulamentação excessivamente uniforme pode exigir estruturas pouco relacionadas aos riscos efetivamente presentes em determinado contexto. No extremo oposto, criar sucessivas exceções para cada modelo de serviço pode fragmentar o regime e torná-lo rapidamente obsoleto.
A modulação oferece um caminho intermediário: manter regras e objetivos comuns, mas permitir que sua implementação seja adequada às características relevantes de cada situação.