Durante onze anos, o art. 19 do Marco Civil da Internet (Lei nº 12.965/2014) funcionou como uma regra de segurança para quem hospeda ou distribui conteúdo de terceiros: o provedor só responderia civilmente pelo que o usuário publica se, depois de ordem judicial específica, deixasse de remover o material. Sem decisão judicial, não havia responsabilidade — por mais grave que fosse a publicação.
Esse desenho acabou. E, mais importante para quem precisa tomar decisões hoje: a tese que o Supremo Tribunal Federal fixou em junho de 2025 não é a versão vigente. Ao julgar os embargos de declaração em junho de 2026, o tribunal ajustou pontos centrais do regime — alguns deles decisivos na prática, como a natureza solidária da responsabilidade e a criação de uma excludente nova. Quem montou fluxo interno com base apenas na tese original está operando com o texto errado.
Este artigo organiza o regime atual, separando cada hipótese de responsabilidade, porque elas não se confundem: o que vale para um comentário ofensivo não vale para um anúncio pago, e o que vale para uma rede social não vale para um serviço de hospedagem.
O que o STF decidiu, em duas etapas
Junho de 2025. Por 8 votos a 3, o STF declarou a inconstitucionalidade parcial do art. 19, por insuficiência na proteção de direitos fundamentais. A consequência prática: a exigência de ordem judicial deixou de ser a regra geral. A partir do julgamento, a notificação extrajudicial passou a ser suficiente para fazer nascer o dever de remoção — e, se descumprida, a responsabilidade. O modelo do art. 21, antes restrito à divulgação não consentida de cenas de nudez e atos sexuais, foi generalizado.
Junho de 2026. No julgamento dos embargos, concluído em 17 de junho, a tese foi reescrita em sete pontos: a responsabilidade passou a ser expressamente solidária; criou-se a excludente da dúvida razoável; a presunção aplicável a anúncios e disseminação artificial foi reclassificada como presunção relativa de culpa; a exigência de ordem judicial nos casos de honra foi estendida ao ilícito civil, e não só ao crime; reconheceu-se a categoria dos provedores sem interferência no fluxo comunicativo; fixou-se prazo de 60 dias para a implementação das obrigações estruturais; e a eficácia foi modulada ex nunc, a partir de 5 de agosto de 2025.
Há um detalhe na modulação que merece atenção especial, porque neutraliza boa parte do conforto que ela aparentava dar: conteúdo ilícito ainda em circulação configura ato continuado, e atrai o regime novo independentemente da data em que foi publicado. Acervo antigo não está protegido pelo marco temporal.
Os cinco regimes — e por que distinguir é tudo
O erro mais comum na leitura dessa decisão é tratá-la como um regime único de “responsabilidade das plataformas”. São cinco, e cada um tem gatilho e defesa próprios.
1. Regra geral: a notificação extrajudicial basta
Para a generalidade dos conteúdos ilícitos gerados por terceiros, o provedor responde de forma solidária se, notificado extrajudicialmente, não remove o material. Não há mais necessidade de ação judicial prévia.
A defesa está na excludente criada em 2026: o provedor não responde se demonstrar dúvida razoável quanto à ilicitude do conteúdo, após análise diligente e qualificada. Leia-se com atenção — essa excludente não protege quem ignorou a notificação. Protege quem a examinou, documentou o exame e concluiu, de forma fundamentada, que a ilicitude não era evidente. É uma defesa que só existe se houver registro. Sem processo interno documentado, ela simplesmente não está disponível.
2. Crimes e ilícitos civis contra a honra: ordem judicial continua necessária
Calúnia, difamação, injúria e os ilícitos civis correspondentes permaneceram sob o regime original do art. 19: a remoção exige ordem judicial. A razão é a zona cinzenta entre ofensa e crítica — terreno em que o provedor não tem condições de arbitrar, e em que a remoção por notificação viraria instrumento de censura privada.
Duas ressalvas importam. A notificação extrajudicial é permitida e pode gerar a remoção voluntária, embora não obrigue. E, uma vez que o conteúdo tenha sido judicialmente declarado ilícito, as reproduções idênticas devem ser removidas mediante simples notificação, sem nova decisão judicial para cada réplica. Acabou a necessidade de litigar caso a caso contra o mesmo texto republicado.
3. Anúncios pagos e disseminação artificial: presunção relativa de culpa
Quando o conteúdo ilícito foi objeto de impulsionamento pago ou circulou por mecanismos artificiais de disseminação inorgânica — redes de contas inautênticas, bots, automação —, há presunção relativa de culpa do provedor. Aqui a remoção pode e deve ocorrer de ofício, sem notificação.
A lógica é coerente: quem recebeu dinheiro para amplificar, ou emprestou sua engrenagem de distribuição, deixou de ser intermediário neutro daquela mensagem. A presunção é relativa, e se afasta pela demonstração de atuação diligente e tempestiva — o que, de novo, significa prova documentada.
4. Dever de cuidado: falha sistêmica, não conteúdo isolado
Para um conjunto de ilícitos graves — condutas antidemocráticas, terrorismo, indução ao suicídio e à automutilação, discurso de ódio racial, religioso, de gênero e contra a mulher, abuso sexual infantil, tráfico de pessoas — o provedor tem dever de cuidado: deve atuar para impedir a circulação, sem depender de notificação.
A responsabilidade aqui não é objetiva, e esse é o ponto mais mal compreendido da tese. Ela exige falha sistêmica: ausência de medidas adequadas de prevenção e remoção, segundo o estado da técnica. A presença de um conteúdo isolado não caracteriza a falha — nesse caso, aplica-se o regime de notificação do art. 21. O que se julga é a arquitetura de moderação, não o item que escapou.
5. Fora do regime novo
O art. 19 continua aplicável, na forma original, a serviços de e-mail, mensageria interpessoal, aplicativos de reunião fechada por voz ou vídeo e — categoria acrescentada nos embargos — a outros provedores que não possuam interferência no fluxo comunicativo-informacional.
Marketplaces ficam fora do art. 19 por outro caminho: respondem pelo Código de Defesa do Consumidor, que já tem regime próprio de responsabilidade na cadeia de fornecimento.
E há uma questão que o STF decidiu expressamente não resolver por critério numérico: a corte rejeitou estabelecer um piso de usuários abaixo do qual a empresa estaria dispensada. A graduação das obrigações se faz por critérios qualitativos — escala econômica, grau de interferência no conteúdo, estado da técnica e risco da atividade —, avaliados caso a caso. Plataforma pequena não está isenta; tem obrigações proporcionais.
Onde ficam hospedagem, datacenter e infraestrutura
Esta é a aplicação mais relevante da categoria criada em 2026, e a menos discutida.
O regime do art. 19 e da decisão do STF foi construído para o provedor de aplicação — quem organiza, recomenda, modera e monetiza conteúdo. Quem presta serviço de hospedagem, VPS, CDN, registro de domínio ou conectividade está em posição estruturalmente diferente: não conhece, não ordena e não amplifica o conteúdo que trafega. Não há curadoria, não há impulsionamento, não há algoritmo de distribuição.
O critério que o STF adotou é funcional, não nominal: a pergunta é se o provedor interfere no fluxo comunicativo-informacional. Quem não interfere permanece sob o art. 19, com a exigência de ordem judicial — o que, no ambiente de hospedagem, faz toda a diferença entre operar com previsibilidade e operar sob risco de responsabilização por qualquer notificação recebida.
Isso não equivale a imunidade, e aqui convém ser preciso. O provedor de infraestrutura continua sujeito a ordens judiciais de indisponibilização, preservação e fornecimento de dados, inclusive em matéria eleitoral e criminal, com prazos curtos e consequências sérias pelo descumprimento. A tese do STF ressalvou expressamente a aplicação da legislação específica, e a eleitoral é o exemplo mais frequente. A diferença é de natureza: responder a ordem não é o mesmo que responder pelo dano.
As camadas que se somam
A decisão do STF não esgota o tema. Sobre ela incidem, simultaneamente:
- o Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025), em vigor desde março de 2026, com deveres próprios de prevenção, verificação de idade e remoção;
- a legislação eleitoral, com regime e prazos específicos, expressamente ressalvada pelo STF;
- o Código de Defesa do Consumidor, nas relações de consumo e nos marketplaces;
- a LGPD, sempre que a moderação envolver tratamento de dados pessoais — e ela envolve.
Para uma mesma notificação, portanto, podem incidir regimes distintos conforme o conteúdo, o serviço e a pessoa envolvida. Fluxo interno que trate toda notificação do mesmo modo vai errar nos dois sentidos.
O risco de remover demais
Há um efeito colateral previsível no regime da notificação extrajudicial: o incentivo a remover tudo o que for reclamado, porque remover é mais barato que discutir. O STF antecipou o problema e reconheceu a possibilidade de tutela provisória para reverter a remoção de conteúdo lícito.
Ou seja: o provedor passou a ter exposição nos dois lados. Remover de menos gera responsabilidade solidária pelo dano; remover de mais gera responsabilidade perante o usuário atingido e ordem de restabelecimento. A excludente da dúvida razoável é exatamente a ponte entre os dois riscos — e ela só funciona com análise fundamentada e registrada.
O que precisa estar pronto
Os deveres estruturais fixados pelo tribunal, com prazo de 60 dias contado da conclusão do julgamento:
- autorregulação com sistema de notificação acessível, devido processo interno e relatórios periódicos de transparência;
- canal de atendimento efetivo e localizável, inclusive para usuários não cadastrados;
- regras de moderação públicas, claras e revisadas periodicamente;
- sede e representante legal no Brasil, com poderes plenos para responder perante autoridades e para prestar informações sobre moderação.
Um roteiro mínimo de adequação:
- Mapear em qual dos cinco regimes cada serviço da empresa se enquadra — e registrar o fundamento dessa classificação.
- Construir o fluxo de notificação com prazo definido, responsável identificado e registro do exame de ilicitude, que é o que materializa a dúvida razoável.
- Separar o tratamento dos conteúdos sob dever de cuidado, que não esperam notificação.
- Auditar impulsionamento pago e detecção de automação, onde a presunção de culpa já pesa contra a empresa.
- Criar procedimento de contranotificação e revisão, para o risco da remoção excessiva.
- Revisar termos de uso, política de moderação e contratos com clientes e anunciantes.
- Publicar o primeiro relatório de transparência.
Um regime que cobra estrutura, não boa-fé
A mudança de fundo é esta: a decisão do STF substituiu uma regra de imunidade condicionada à ordem judicial por um regime de responsabilidade por falha — e falha, no desenho adotado, se prova ou se afasta com documentos. Quem tem processo interno descrito, prazos cumpridos e decisões registradas tem defesa. Quem tem apenas boa intenção responde solidariamente pelo dano.