O que o Marco Civil obriga o provedor a guardar — e o que o atendimento nunca pode entregar

13 de julho de 2026 · Leitura de 9 min · ConectaAI

O Marco Civil da Internet é a lei que rege o provedor de forma mais direta do que qualquer outra — ela diz o que ele precisa guardar, o que precisa manter em sigilo e sob que condições pode entregar. Só que a lei vira situação concreta num lugar específico: o atendimento. É ali que chega o cliente pedindo 'me manda meu histórico de conexão', o terceiro tentando descobrir o que outra pessoa acessou, a autoridade cobrando um registro, a dúvida 'vocês guardam tudo que eu faço na internet?'. Cada um desses pedidos toca o Marco Civil, e responder errado — entregando um registro sigiloso sem processo — é um risco legal grave. Este artigo é o mapa operacional de como o atendimento reconhece esses pedidos e o que a IA faz com eles sem nunca vazar dado.

A resposta direta

O provedor de internet é regido pelo Marco Civil da Internet (Lei nº 12.965/2014) de forma mais direta do que por qualquer outra lei: é ela que o obriga a guardar registros de conexão, a manter o sigilo do fluxo das comunicações, a só fornecer dados mediante ordem judicial e a respeitar a neutralidade de rede. E é no atendimento que essas obrigações deixam de ser texto e viram decisão prática — quando o cliente pede o próprio histórico, quando um terceiro ou uma autoridade quer dados de um assinante, quando alguém pergunta se o provedor "vê tudo o que ele faz". A regra que protege o provedor é uma só: registro sigiloso não se entrega sem o devido processo. O atendimento acolhe, reconhece que o pedido é sensível, aplica essa regra e escala ao responsável. A IA faz a recepção 24/7 sem nunca vazar dado; a decisão jurídica é sempre humana.

O resto do artigo mostra o que a lei prevê, quais pedidos chegam de verdade e por que entregar um dado errado é o erro mais caro que a linha de frente pode cometer.

Aviso: este texto é informativo e descreve como organizar o atendimento a pedidos que tocam o Marco Civil da Internet. Não é aconselhamento jurídico. Prazos de guarda, o que configura registro protegido, como responder a uma ordem judicial e o que caracteriza quebra de sigilo devem ser validados com o jurídico do provedor ou um advogado especializado.

Não confunda: Marco Civil não é LGPD nem CDC

Três leis diferentes chegam ao mesmo balcão de atendimento, e misturá-las faz o atendente responder pela régua errada:

• A LGPD trata do dado pessoal em geral — apagar, corrigir, exportar, revogar consentimento. É sobre proteção de dados (o pedido de direitos do titular).
• O CDC trata do direito no serviço — cobrança indevida, ressarcimento por indisponibilidade, cancelamento sem barreira abusiva (os direitos do consumidor).
• O Marco Civil trata do que é específico da internet: registros de conexão, sigilo do fluxo de comunicações e neutralidade de rede.

Este artigo é sobre o terceiro. Ele se sobrepõe aos outros — um registro de conexão também é dado pessoal sob a LGPD —, mas tem obrigações próprias que só existem porque o provedor é, antes de tudo, um provedor de conexão à internet.

O que a lei prevê (em termos que o atendimento precisa conhecer)

Não é preciso ser advogado para atender bem, mas a linha de frente precisa reconhecer o terreno. O Marco Civil traz alguns pontos conhecidos:

• Guarda de registros de conexão. O provedor de conexão deve manter os registros de conexão — os dados que indicam quando e por quanto tempo o assinante esteve conectado — sob sigilo, por um prazo definido na lei, que é de um ano. Isso não é o conteúdo do que o cliente acessa; é o metadado da conexão.
• Registros de acesso a aplicações. Para provedores de aplicações de internet, a lei prevê a guarda desses registros por seis meses. A distinção entre um tipo e outro importa e deve ser esclarecida com o jurídico conforme o papel exato do provedor.
• Sigilo e inviolabilidade do fluxo. O conteúdo das comunicações do usuário pela internet é protegido por sigilo — o provedor não inspeciona nem entrega esse conteúdo, salvo ordem judicial.
• Fornecimento de dados só por ordem judicial. Registros e dados protegidos são fornecidos, em regra, mediante ordem judicial. Não é a autoridade que pede por telefone que autoriza a entrega — é o processo.
• Neutralidade de rede. O provedor deve tratar o tráfego de forma isonômica, sem discriminar ou degradar conteúdo, aplicação ou serviço por interesse próprio, dentro das exceções que a própria lei admite.

Cada um desses pontos você pode mencionar ao cliente como o que a lei prevê. O que não se deve fazer é interpretar o caso concreto no meio do atendimento — para isso existe o jurídico.

Os pedidos que chegam de verdade

No dia a dia, o Marco Civil aparece no atendimento em quatro formas recorrentes. Reconhecer qual delas está na frente é o primeiro trabalho.

• "Me manda meu histórico de conexão." O próprio cliente querendo os registros. Parece inofensivo, mas toca dado sigiloso — e muitas vezes o que ele quer é, na verdade, a fatura, o consumo ou o status atual.
• "Preciso saber o que essa pessoa acessou." Um terceiro — parente, patrão, alguém em disputa — tentando obter dados de outro assinante. É o pedido mais perigoso, e a resposta é sempre não.
• "Aqui é a autoridade, preciso desses dados." Uma requisição que se apresenta como oficial, por telefone, e-mail ou mensagem. Sem ordem judicial verificada pelo jurídico, o atendimento não entrega nada.
• "Vocês guardam tudo que eu faço na internet? Vocês veem meus sites?" A dúvida sobre privacidade e neutralidade. Aqui a IA ajuda o cliente, explicando com honestidade o que a lei protege — o sigilo do fluxo — e o que o provedor de fato guarda.

Os dois primeiros e o terceiro exigem firmeza e escalonamento; o quarto é uma oportunidade de tranquilizar com transparência. Confundir os dois modos — vazar no que deveria negar, ou assustar no que deveria esclarecer — é o erro a evitar.

Por que o atendente não pode entregar registro sigiloso

Esta é a parte que não admite exceção improvisada. Registros de conexão e o conteúdo do fluxo são protegidos por sigilo, e o Marco Civil condiciona o fornecimento, em regra, à ordem judicial. As consequências de furar essa regra são graves em três direções:

• Entregar a um terceiro o que uma pessoa acessou ou quando ela se conectou é quebra de sigilo — expõe a intimidade de um assinante e a responsabilidade do provedor.
• Atender a uma "autoridade" sem ordem judicial verificada é entregar dado protegido fora do devido processo — quem garantia que era mesmo uma autoridade, e que o pedido era legítimo?
• Entregar ao próprio cliente sem confirmar a identidade abre a porta para que um impostor obtenha os registros de outra pessoa.

Por isso a régua da linha de frente é conservadora por desenho: na dúvida, não se entrega — registra e escala. Custa alguns minutos encaminhar ao jurídico; custa muito mais reparar um vazamento. A confirmação de identidade, quando o pedido é do próprio titular, segue a mesma disciplina de qualquer ação sensível descrita na verificação de identidade do assinante — vínculo do canal ao cadastro e confirmação de um dado que só o titular tem, nunca por senha. E, mesmo confirmada a identidade, quem decide entregar um registro sigiloso é o responsável, não o atendente.

Onde a IA ajuda — e onde ela não decide

Um agente de IA bem desenhado é uma excelente porta de entrada para pedidos que tocam o Marco Civil, e um péssimo lugar para a decisão sobre eles. A divisão é limpa.

A IA faz bem:

• Acolher 24/7, no momento em que o cliente ou o solicitante procura — inclusive de madrugada, quando o jurídico não está.
• Reconhecer o pedido sensível — histórico de conexão, dado de terceiro, requisição de autoridade — e distingui-lo do que é rotina (fatura, consumo, status).
• Aplicar a regra sem exceção: não confirmar nem entregar registro sigiloso, e explicar ao solicitante, com educação, que a demanda será encaminhada ao responsável.
• Tranquilizar com transparência na dúvida sobre privacidade e neutralidade, reforçando o que a lei protege.
• Registrar e escalar com contexto ao jurídico, num handoff que não faz ninguém repetir nada — o mesmo padrão de escalonamento com contexto que rege qualquer transferência bem-feita.

A IA não faz, por design:

• Não entrega registros de conexão nem conteúdo de comunicação.
• Não confirma dados de um assinante a um terceiro.
• Não responde a uma requisição de autoridade por conta própria.
• Não interpreta a lei nem decide o que a ordem judicial autoriza.

Essa fronteira é o que transforma a automação em aliada da conformidade, e não em risco. Vale lembrar que a IA acessa apenas o mínimo necessário do cadastro para resolver cada atendimento, dentro do princípio da minimização — o mesmo cuidado tratado na visão da LGPD no atendimento com IA. A IA remove o gargalo da recepção; a decisão sensível fica com quem tem de tomá-la.

O resumo prático

O Marco Civil não é um detalhe distante do balcão — é a lei que mais define o que o provedor guarda e o que ele nunca pode entregar sem processo, e o atendimento é onde ela vira decisão real. O caminho é sempre o mesmo: reconhecer o pedido sensível, não entregar registro sigiloso, confirmar identidade quando for o próprio titular, registrar e escalar ao jurídico — e, na dúvida sobre privacidade, esclarecer com honestidade o que a lei protege. Um provedor com esse fluxo montado responde ao cliente com segurança, à autoridade com o devido processo e ao regulador com diligência. Um que improvisa descobre o problema quando o dado já saiu pela porta errada.

Se você quer ver como um agente de IA acolhe esse tipo de pedido, reconhece o que é sensível e escala para o seu jurídico decidir — sem nunca entregar um registro sigiloso —, agende uma demonstração de 20 minutos.

Fontes e mais leitura

• Marco Civil da Internet (Lei nº 12.965/2014) — texto oficial, incluindo a guarda de registros de conexão, o sigilo do fluxo, o fornecimento de dados mediante ordem judicial e a neutralidade de rede.
• Lei Geral de Proteção de Dados (Lei nº 13.709/2018) — a lei de proteção de dados que se soma ao Marco Civil quando os registros são também dado pessoal.
• "Quero que apaguem meus dados": direitos do titular LGPD no atendimento — o tema vizinho, sobre o direito do cliente sobre os próprios dados.
• O que o cliente do provedor pode exigir (CDC) — os direitos do consumidor no serviço, distintos das obrigações do Marco Civil.
• LGPD e IA no atendimento do provedor: o que você precisa garantir — a conformidade de dados no atendimento com IA, incluindo minimização e onde os dados ficam.
• Verificar a identidade do assinante: como a IA faz com segurança — a etapa que abre qualquer pedido sobre dados do titular.
• Call center com IA para provedor de internet: o guia completo — o quadro geral de como o atendimento com IA funciona no ISP.

Perguntas frequentes

O provedor é obrigado a guardar os registros de conexão do cliente?

Sim. O Marco Civil da Internet (Lei nº 12.965/2014) impõe ao provedor de conexão o dever de guardar os registros de conexão — os dados que indicam quando e por quanto tempo o assinante esteve conectado — por um prazo definido em lei, que é de um ano. É uma obrigação legal do provedor, não uma escolha, e ela existe justamente para que esses registros possam ser fornecidos, quando houver ordem judicial, no contexto de uma investigação. Isso é diferente de guardar o conteúdo do que o cliente acessa: registro de conexão não é histórico de navegação. Os detalhes de prazo, forma de guarda e segurança desses registros devem ser validados com o jurídico do provedor.

O cliente pode pedir ao atendimento o próprio histórico de conexão?

Ele pode pedir, e o atendimento deve acolher o pedido — mas a resposta não é entregar um relatório na hora. Registros de conexão são dados sensíveis que o Marco Civil cerca de sigilo, e mesmo um pedido do próprio titular precisa passar pela verificação de identidade e por uma decisão de quem responde pelo tema no provedor, não pela linha de frente. Além disso, o que o cliente costuma chamar de 'histórico' às vezes é outra coisa — a fatura, o consumo de dados, o status atual da conexão —, e boa parte disso o atendimento resolve normalmente. O papel da IA e do atendente é entender exatamente o que a pessoa quer, confirmar a identidade e, quando o pedido toca o registro sigiloso, registrar e encaminhar ao responsável em vez de improvisar.

O que o atendimento faz quando um terceiro ou uma autoridade pede dados de um assinante?

Trata como o pedido mais sensível que existe e não entrega nada por conta própria. O Marco Civil estabelece que o fornecimento de registros de conexão e dados protegidos depende, em regra, de ordem judicial — não basta alguém se apresentar como autoridade, como parente ou como advogado por telefone ou WhatsApp. A régua do atendimento é firme e educada: não confirmar dados, não entregar registros e encaminhar o pedido imediatamente ao jurídico ou ao responsável designado, que verifica se há uma ordem válida e como respondê-la dentro da lei. Entregar dado de assinante a quem se diz autoridade sem o devido processo pode caracterizar quebra de sigilo — o erro custa caro, e a prudência é sempre escalar.

O que é o sigilo do fluxo de comunicações e como isso afeta o atendimento?

O Marco Civil garante a inviolabilidade e o sigilo do fluxo das comunicações do usuário pela internet, salvo por ordem judicial. Na prática, isso significa que o provedor não pode monitorar, inspecionar ou entregar o conteúdo daquilo que o assinante comunica pela rede. Para o atendimento, a consequência é direta: quando um cliente pergunta se o provedor 'vê tudo que ele faz' ou quando alguém pede para descobrir o que outra pessoa andou acessando, a resposta correta reforça o sigilo — o provedor não acessa nem entrega esse conteúdo. Tranquilizar o cliente sobre isso, com honestidade, é bom atendimento e é conforme a lei. Interpretações de casos concretos devem passar pelo jurídico.

A IA de atendimento pode entregar dados de conexão ou responder a um pedido de autoridade sozinha?

Não deve, e um bom sistema não permite. Dados de conexão sob a guarda do Marco Civil, pedidos de terceiros e requisições de autoridade envolvem decisões jurídicas que exigem verificar identidade, base legal e a existência de ordem judicial — nada disso é papel de uma IA nem de um atendente de linha de frente. O que a IA faz bem é ser a porta de entrada: acolher o pedido a qualquer hora, reconhecer que ele é sensível, aplicar a regra de não entregar registro sigiloso, explicar ao solicitante que a demanda será encaminhada e registrar tudo com contexto para o jurídico decidir. Automatizar a recepção e a triagem é útil; automatizar a decisão de entregar dado seria imprudente e arriscado.

Este conteúdo substitui a orientação do jurídico do provedor sobre o Marco Civil?

Não. Este texto é informativo e descreve, de forma operacional, como o atendimento reconhece e encaminha pedidos que tocam o Marco Civil da Internet — não como interpretar a lei em cada caso. Prazos exatos de guarda, o que exatamente configura um registro protegido, como responder a uma ordem judicial e o que caracteriza quebra de sigilo são decisões que dependem da situação concreta e de interpretação jurídica, e devem ser validadas com o jurídico do provedor ou um advogado especializado. O objetivo aqui é dar um processo claro para o atendimento não vazar dado nem travar, não substituir a assessoria de que cada operação precisa.