Marcos Legais Brasileiros: Marco Civil, LGPD e Lei do Terrorismo Marco Civil da Internet — Lei nº 12.965, de 23 de abril de 2014 1.1 Contexto histórico e natureza jurídica O Marco Civil da Internet foi aprovado em um contexto de forte mobilização social após as revelações de Edward Snowden (2013) sobre a vigilância massiva conduzida pela Agência de Segurança Nacional dos Estados Unidos, que incluíram a interceptação de comunicações da então Presidenta da República, Dilma Rousseff, e de órgãos como a Petrobras. A lei foi construída a partir de ampla consulta pública conduzida pelo Poder Executivo — com mais de 2.500 contribuições recebidas ao longo do processo — e tramitou no Congresso Nacional com intensa participação da sociedade civil, academia e setor empresarial. A Lei nº 12.965/2014 é considerada a "Constituição da Internet brasileira". Trata-se de um diploma normativo de caráter principiológico, que estabelece os direitos e as garantias dos usuários, os deveres dos provedores de conexão e de aplicações, e as diretrizes para a atuação do poder público no ambiente digital. Sua natureza jurídica é de norma geral sobre o uso da internet no Brasil, conformando-se ao art. 22, IV, da Constituição Federal, que atribui à União competência privativa para legislar sobre telecomunicações. Vale notar, para fins de prova, que o Marco Civil não trata de direitos autorais — essa lacuna foi proposital, já que o legislador entendeu que a matéria demandava tratamento próprio, à luz da defasagem da Lei nº 9.610/1998 frente às novas tecnologias. 1.2 Princípios (art. 3º) O art. 3º do Marco Civil elenca os princípios que regem o uso da internet no Brasil: "Art. 3º A disciplina do uso da internet no Brasil tem os seguintes princípios: I – garantia da liberdade de expressão, comunicação e manifestação do pensamento, nos termos da Constituição Federal; II – proteção da privacidade; III – proteção dos dados pessoais, na forma da lei; IV – preservação e garantia da neutralidade de rede; V – preservação da estabilidade, segurança e funcionalidade da rede, por meio de medidas técnicas compatíveis com os padrões internacionais e pelo estímulo ao uso de boas práticas; VI – responsabilização dos agentes de acordo com suas atividades, nos termos da lei; VII – preservação da natureza participativa da rede; VIII – liberdade dos modelos de negócios promovidos na internet, desde que não conflitem com os demais princípios estabelecidos nesta Lei." É importante perceber a tensão interna entre esses princípios: a liberdade de expressão (inciso I) convive com a proteção da privacidade (inciso II) e com a neutralidade de rede (inciso IV). O legislador não estabeleceu uma hierarquia rígida entre eles, delegando ao intérprete — e, em última instância, ao Poder Judiciário — a tarefa de ponderá-los nos casos concretos, como ficará evidente na jurisprudência do STF examinada adiante. 1.3 Neutralidade de rede (art. 9º) A neutralidade de rede é um dos pilares mais inovadores e debatidos do Marco Civil. O art. 9º estabelece: "Art. 9º O responsável pela transmissão, comutação ou roteamento tem o dever de tratar de forma isonômica quaisquer pacotes de dados, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação." O §1º do mesmo artigo remete à regulamentação as exceções, que foram originalmente fixadas pelo Decreto nº 8.771, de 11 de maio de 2016. Esse decreto — assinado por Dilma Rousseff em seu último dia antes do afastamento da Presidência — regulamenta especialmente os arts. 9º, 10, 11, 13 e 15 da Lei nº 12.965/2014, tratando das exceções à neutralidade de rede, da guarda e proteção de registros e dados pessoais e dos parâmetros de fiscalização (a cargo da Anatel, em conjunto com o Comitê Gestor da Internet no Brasil). As exceções à neutralidade compreendem: Requisitos técnicos indispensáveis à prestação adequada dos serviços (ex.: bloqueio de spam, gestão de tráfego para preservar a qualidade de serviço); Priorização de serviços de emergência — comunicações destinadas às prestadoras de serviços de emergência (ou entre elas) e comunicações necessárias para informar a população em situações de risco, desastre ou calamidade pública, sendo essas últimas gratuitas. É vedado, em qualquer hipótese, que a discriminação de tráfego tenha finalidade comercial ou configure prática anticoncorrencial, ou que haja cobrança diferenciada por conteúdo acessado. Atualização regulatória de 2026: o Decreto nº 8.771/2016 permanece em vigor e não foi revogado. Ele foi, contudo, alterado pelo Decreto nº 12.975, de 20 de maio de 2026, que lhe inseriu um novo capítulo sobre a responsabilidade dos provedores de aplicações de internet — atribuindo à ANPD competência regulatória, fiscalizatória e sancionatória sobre as plataformas nessa matéria —, com o objetivo de transpor para o âmbito infralegal a interpretação fixada pelo STF nos Temas 987 e 533 (examinados no item 1.6). Nesse mesmo pacote normativo, o Decreto nº 12.976/2026 instituiu deveres específicos para o enfrentamento da violência contra mulheres no ambiente digital. Ambos os decretos foram publicados em 21 de maio de 2026, com vacatio legis de 60 dias. 1.4 Responsabilidade civil dos provedores (arts. 18 a 21) O regime de responsabilidade civil dos provedores de internet é uma das matérias mais cobradas em concursos. O Marco Civil distingue claramente duas categorias: Provedor de conexão (empresas que fornecem acesso à internet — operadoras de banda larga, provedores de acesso): nos termos do art. 18, não será responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros. Sua responsabilidade restringe-se ao descumprimento de obrigações próprias da prestação do serviço (ex.: falha na conexão contratada). Provedor de aplicações (plataformas que organizam e disponibilizam conteúdo de terceiros — redes sociais, sites de hospedagem de vídeos, serviços de busca): o art. 19, em sua redação original, estabelece que o provedor de aplicações somente poderia ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiro se, após ordem judicial específica, não tomasse as providências para, no âmbito e nos limites técnicos do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente. A única exceção legal expressa a essa exigência de prévia ordem judicial está no art. 21, que trata da divulgação não autorizada de imagens, vídeos ou outros materiais contendo cenas de nudez ou de atos sexuais de caráter privado ("revenge porn"). Nesse caso, basta a notificação do participante ou de seu representante legal para que o provedor seja obrigado a indisponibilizar o conteúdo, sob pena de responsabilização subsidiária. 1.5 Guarda de registros (arts. 13 e 15) O Marco Civil impõe aos provedores a obrigação de armazenar registros de acesso por prazos determinados, sempre sob a proteção de sigilo e somente acessíveis mediante ordem judicial: Registros de conexão (IP, data e hora de início e término): devem ser guardados pelo prazo de 1 ano, pelo provedor de conexão (art. 13). Registros de acesso a aplicações (logs de navegação): devem ser guardados pelo prazo de 6 meses, pelo provedor de aplicação (art. 15). Esses prazos podem ser estendidos por ordem judicial ou por requerimento cautelar de autoridade policial, do Ministério Público ou de autoridade administrativa, nos termos da legislação, ainda que a guarda ordinária siga limitada aos prazos legais. 1.6 Jurisprudência sobre a constitucionalidade do art. 19 — STF, Temas 987 e 533 de Repercussão Geral O Supremo Tribunal Federal, em julgamento conjunto concluído em 26 de junho de 2025, examinou a constitucionalidade do art. 19 do Marco Civil da Internet em dois recursos com repercussão geral: RE 1.037.396/SP (Tema 987), de relatoria do Min. Dias Toffoli, tendo como caso concreto um perfil falso criado no Facebook; RE 1.057.258/MG (Tema 533), de relatoria do Min. Luiz Fux, envolvendo a responsabilidade do Google por conteúdo publicado em aplicativo de terceiro. Por maioria — vencidos os Ministros André Mendonça, Edson Fachin e Kassio Nunes Marques, que entendiam pela integral constitucionalidade do dispositivo —, o Plenário declarou a inconstitucionalidade parcial e progressiva do art. 19, reconhecendo que a exigência de prévia ordem judicial como regra geral absoluta não confere proteção suficiente a bens jurídicos constitucionais de alta relevância, como os direitos fundamentais dos usuários e a própria democracia, diante da revolução no modelo de uso da internet e da massificação das redes sociais. Quanto aos casos concretos, o STF negou provimento ao RE do Tema 987 (mantendo a condenação do Facebook por danos morais e a ordem de exclusão do perfil falso) e deu provimento ao RE do Tema 533 (afastando a condenação do Google). O acórdão foi publicado em 06 de novembro de 2025. Enquanto não sobrevier legislação específica do Congresso Nacional, a tese fixada passa a reger a matéria, ressalvada a aplicação da legislação eleitoral e dos atos normativos do TSE, e com modulação de efeitos prospectiva — os fatos anteriores ao julgamento, sem coisa julgada formada, continuam regidos pelo regime original do art. 19. Os quatro regimes de responsabilização decorrentes da tese: Crimes contra a honra (calúnia, injúria, difamação): mantém-se a regra do art. 19 — responsabilização apenas após descumprimento de ordem judicial específica. Notice and takedown para ilícitos em geral: passa a ser a regra geral. A plataforma deve remover o conteúdo notificado extrajudicialmente em prazo razoável, sob pena de responsabilização — modelo que, na prática, estende a lógica do art. 21 (antes restrita a conteúdo de nudez não consentida) para ilícitos em geral e contas inautênticas. Presunção de responsabilidade para conteúdo ilícito veiculado por anúncios e impulsionamentos pagos, ou por redes artificiais de distribuição (robôs e chatbots) — independentemente de notificação prévia, cabendo à plataforma provar que agiu com diligência. Dever de cuidado por falha sistêmica, para a circulação massiva de um rol taxativo de crimes graves (atos antidemocráticos, terrorismo e atos preparatórios, indução a suicídio e automutilação, pornografia infantil, tráfico de pessoas, discurso de ódio e crimes contra a mulher em razão do gênero) — hipótese em que a ausência de medidas adequadas de prevenção e remoção configura, por si, a responsabilidade civil da plataforma. A tese excepcionou dessa nova sistemática os provedores de e-mail, os aplicativos cuja finalidade primordial seja a realização de reuniões fechadas por vídeo ou voz e os serviços de mensageria privada (quanto às comunicações interpessoais protegidas pelo sigilo do art. 5º, XII, CF), que seguem sob o regime do art. 19. Já os marketplaces passam a responder segundo o Código de Defesa do Consumidor, e não pelo Marco Civil. Este julgado é essencial para a prova porque demonstra que o Marco Civil não é uma "lei de pedra": suas disposições podem ser reinterpretadas e moduladas pelo STF diante de novas ameaças ao Estado democrático de direito no ambiente digital, e a atualização regulatória de 2026 (Decretos 12.975 e 12.976) mostra como o Executivo passou a incorporar essa interpretação ao plano infralegal. Lei Geral de Proteção de Dados (LGPD) — Lei nº 13.709, de 14 de agosto de 2018 2.1 Inspiração e fundamento constitucional A Lei Geral de Proteção de Dados Pessoais (LGPD) foi inspirada no Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR), Regulamento (UE) 2016/679, e em leis nacionais de países como Alemanha e França. Sua aprovação foi acelerada pela combinação de dois fatores: a centralidade que o tema adquiriu após a entrada em vigor do GDPR, em maio de 2018, e a necessidade de estabelecer um marco legal robusto que oferecesse segurança jurídica às relações econômicas e garantisse a proteção dos dados pessoais dos cidadãos brasileiros. A Emenda Constitucional nº 115, de 10 de fevereiro de 2022, elevou a proteção de dados pessoais ao status de direito fundamental, inserindo o inciso LXXIX no art. 5º da Constituição Federal: "LXXIX – é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais." A mesma emenda também alterou dois outros dispositivos, e aqui é preciso muita atenção, pois são frequentemente confundidos entre si: acrescentou o inciso XXVI ao art. 21 da CF, que trata das competências materiais/administrativas da União, atribuindo-lhe a competência para "organizar e fiscalizar a proteção e o tratamento de dados pessoais, nos termos da lei"; acrescentou o inciso XXX ao art. 22 da CF, que trata das competências legislativas privativas da União, fixando a competência para legislar sobre proteção e tratamento de dados pessoais. Ou seja: a competência material (organizar e fiscalizar) está no art. 21, XXVI, e a competência legislativa (legislar privativamente) está no art. 22, XXX. Por decorrer de cláusula pétrea de direitos e garantias individuais (art. 60, §4º, IV, CF), a proteção de dados pessoais, uma vez constitucionalizada, não pode ser suprimida ou esvaziada por emenda constitucional posterior. 2.2 Vigência e período de adaptação A LGPD foi publicada em 15 de agosto de 2018, mas sua entrada em vigor foi escalonada: Os artigos relativos à criação da ANPD entraram em vigor em dezembro de 2018; A maior parte da lei entrou em vigor em setembro de 2020; As sanções administrativas entraram em vigor em 1º de agosto de 2021, por força da Lei nº 14.010, de 10 de junho de 2020 (Regime Jurídico Emergencial e Transitório das relações jurídicas de Direito Privado — RJET), que adiou sua aplicação em razão da pandemia de Covid-19. 2.3 Conceitos fundamentais (art. 5º) O art. 5º da LGPD traz um extenso glossário, cujos principais conceitos são: Dado pessoal: informação relacionada a pessoa natural identificada ou identificável (ex.: nome, CPF, endereço IP, dados de localização). Este é o conceito mais central e o mais cobrado em prova. Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. A diferença de regime entre dados comuns e sensíveis é enorme. Dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento. Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento. Somente pessoas naturais (indivíduos) são titulares; pessoas jurídicas não gozam da proteção da LGPD. Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. É o "dono" da decisão sobre o que fazer com os dados. Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. Atua sob as instruções do controlador e não toma decisões sobre a finalidade do tratamento. Encarregado (DPO — Data Protection Officer): pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. É uma figura obrigatória para todos os controladores. Tratamento: toda operação realizada com dados pessoais, desde a coleta até a eliminação, incluindo: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. É um conceito amplíssimo. 2.4 Os dez princípios (art. 6º) O art. 6º estabelece que as atividades de tratamento de dados pessoais devem observar a boa-fé e os seguintes princípios: Finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. É a pedra angular da LGPD: coleta-se para uma finalidade, não se pode desviar para outra. Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento. Necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos (princípio da minimização de dados). Livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais. Qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados. Transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento. Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais. Não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos. Responsabilização e prestação de contas (accountability): demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas. 2.5 Bases legais para tratamento (arts. 7º e 11) A LGPD adota o modelo de condicionamento legal: todo tratamento de dados pessoais depende de uma base legal que o autorize. As dez bases legais para tratamento de dados pessoais comuns estão no art. 7º: Consentimento do titular; Cumprimento de obrigação legal ou regulatória pelo controlador; Pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas; Realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização; Execução de contrato ou de procedimentos preliminares a contrato do qual seja parte o titular; Exercício regular de direitos em processo judicial, administrativo ou arbitral; Proteção da vida ou da incolumidade física do titular ou de terceiro; Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; Legítimo interesse do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; Proteção do crédito. Para dados sensíveis (art. 11), o rol é mais restritivo e não admite a base do "legítimo interesse". As hipóteses principais são: consentimento específico e destacado, para finalidades específicas; cumprimento de obrigação legal; tratamento compartilhado de dados necessários à execução de políticas públicas; estudos por órgão de pesquisa; exercício regular de direitos; proteção da vida; tutela da saúde; e prevenção à fraude e à segurança do titular. 2.6 Direitos do titular (art. 18) O art. 18 elenca um extenso catálogo de direitos do titular dos dados, que inclui: Confirmação da existência de tratamento (inciso I); Acesso aos dados (inciso II); Correção de dados incompletos, inexatos ou desatualizados (inciso III); Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (inciso IV); Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa (inciso V); Eliminação dos dados pessoais tratados com o consentimento do titular (inciso VI); Informação sobre entidades públicas e privadas com as quais o controlador realizou uso compartilhado (inciso VII); Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa (inciso VIII); Revogação do consentimento (inciso IX); Oposição a tratamento (inciso X); Revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses (inciso XI). 2.7 Tratamento pelo poder público (arts. 23 a 32) O tratamento de dados pessoais por órgãos e entidades públicas deve ser realizado para o atendimento de finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público. O art. 25 estabelece que os dados devem ser mantidos em formato interoperável e estruturado, para facilitar o compartilhamento e o acesso pelo cidadão, em consonância com o princípio do Governo Digital. O art. 26 permite o compartilhamento de dados entre órgãos públicos para a execução de políticas públicas. No entanto, o §1º veda a transferência desses dados a entidades privadas, salvo em casos de execução descentralizada de atividade pública (ex.: contrato de gestão com organização social) ou quando houver previsão legal específica. É esse dispositivo, aliás, que fundamentou o controle do STF sobre normas administrativas de compartilhamento amplo de dados entre órgãos públicos, como no caso do Decreto nº 10.046/2019, declarado inconstitucional pelo Supremo na ADI 6.649 (Rel. Min. Gilmar Mendes), por violar o direito à privacidade e à proteção de dados. O art. 31 exige que, quando o tratamento puder gerar riscos às liberdades civis e aos direitos fundamentais, seja elaborado um Relatório de Impacto à Proteção de Dados Pessoais (RIPD), contendo a descrição dos processos de tratamento e as medidas de mitigação de riscos. 2.8 ANPD — Autoridade/Agência Nacional de Proteção de Dados A ANPD foi criada pela Lei nº 13.853, de 8 de julho de 2019 (conversão da MP nº 869/2018), inicialmente como órgão integrante da Presidência da República. Em 25 de outubro de 2022, a Lei nº 14.460 (conversão da MP nº 1.124/2022) a transformou em autarquia de natureza especial, dotada de personalidade jurídica de direito público, autonomia administrativa, financeira e técnica. Em janeiro de 2023, decreto presidencial vinculou a ANPD, então autarquia especial, ao Ministério da Justiça e Segurança Pública — e não mais à Presidência da República. A transformação mais recente veio com a Lei nº 15.352, de 25 de fevereiro de 2026 (conversão da Medida Provisória nº 1.317/2025), que transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, elevando-a ao status de agência reguladora propriamente dita — nos moldes de autarquias como a Anatel e a Aneel —, com autonomia funcional, técnica, decisória, administrativa e financeira, patrimônio próprio, e permanecendo vinculada ao Ministério da Justiça e Segurança Pública. A mesma lei criou a Carreira de Regulação e Fiscalização de Proteção de Dados (com cargo efetivo de especialista, provido por concurso público) e amplia as atribuições da ANPD para regulamentar o Estatuto Digital da Criança e do Adolescente — ECA Digital (Lei nº 15.211/2025), em vigor desde 17 de março de 2026. A ANPD possui competência para regulamentar, fiscalizar e sancionar. Nos termos do art. 52 da LGPD, as sanções administrativas incluem: Advertência; Multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração; Multa diária; Publicização da infração; Bloqueio dos dados pessoais a que se refere a infração; Eliminação dos dados pessoais; Suspensão parcial ou total do funcionamento do banco de dados por até 6 meses, prorrogável; Proibição parcial ou total do exercício de atividades de tratamento de dados. 2.9 Jurisprudência — Proteção de dados como direito fundamental autônomo (ADI 6.387) A ADI 6.387/DF, ajuizada pelo Conselho Federal da Ordem dos Advogados do Brasil (Rel. Min. Rosa Weber), questionou a constitucionalidade da Medida Provisória nº 954/2020, que determinava o compartilhamento, com o IBGE, dos dados de todos os clientes de empresas de telefonia fixa e móvel, sob o pretexto de subsidiar estatísticas para o enfrentamento da pandemia de Covid-19. O STF suspendeu a eficácia da MP e, no mérito, reconheceu a proteção de dados pessoais e a autodeterminação informativa como direitos fundamentais autônomos, decorrentes da dignidade da pessoa humana (art. 1º, III, CF), da inviolabilidade da intimidade, da vida privada, da honra e da imagem (art. 5º, X, CF) e da inviolabilidade de dados (art. 5º, XII, CF) — em reforço doutrinário e jurisprudencial ao que, poucos anos depois, seria expressamente constitucionalizado pela EC 115/2022. A ministra Rosa Weber destacou que a tutela da intimidade, da privacidade e da proteção de dados pessoais está estruturada pela inviolabilidade constitucional dessas esferas, não podendo ser afastada por mero decreto ou medida provisória de compartilhamento genérico de dados. A decisão é relevante por evidenciar que, mesmo antes da constitucionalização expressa pela EC 115/2022, o STF já extraía da Constituição de 1988 um direito fundamental implícito à proteção de dados pessoais — precedente decisivo para o pano de fundo doutrinário da própria emenda. Lei do Terrorismo — Lei nº 13.260, de 16 de março de 2016 3.1 Contexto e fundamento constitucional A Lei nº 13.260/2016 foi aprovada às vésperas dos Jogos Olímpicos do Rio de Janeiro (2016), em resposta a pressões internacionais e a uma lacuna legislativa que perdurava desde a promulgação da Constituição de 1988. O art. 5º, XLIII, da CF/88, desde a redação original, determina que: "a lei considerará crimes inafiançáveis e insuscetíveis de graça ou anistia a prática da tortura, o tráfico ilícito de entorpecentes e drogas afins, o terrorismo e os definidos como crimes hediondos, por eles respondendo os mandantes, os executores e os que, podendo evitá-los, se omitirem;" Apesar do mandamento constitucional expresso, o Brasil permaneceu por 28 anos sem uma lei que tipificasse o crime de terrorismo. A Lei nº 13.260/2016 veio preencher esse vazio, regulamentando exatamente o inciso XLIII do art. 5º da CF. 3.2 Tipificação (art. 2º) O art. 2º da Lei Antiterrorismo tipifica o crime nos seguintes termos: "Art. 2º O terrorismo consiste na prática por um ou mais indivíduos dos atos previstos neste artigo, por razões de xenofobia, discriminação ou preconceito de raça, cor, etnia e religião, quando cometidos com a finalidade de provocar terror social ou generalizado, expondo a perigo pessoa, patrimônio, a paz pública ou a incolumidade pública." Note-se que a lei não exige pluralidade de agentes — um único indivíduo já pode praticar o crime. Os atos típicos estão listados no §1º do art. 2º e incluem: I – usar ou ameaçar usar, transportar, guardar, portar ou trazer consigo explosivos, gases tóxicos, venenos, conteúdos biológicos, químicos, nucleares ou outros meios capazes de causar danos ou promover destruição em massa; II – sabotar o funcionamento ou apoderar-se, com violência, grave ameaça a pessoa ou servindo-se de mecanismos cibernéticos, do controle total ou parcial, ainda que de modo temporário, de meio de comunicação ou de transporte, de portos, aeroportos, estações ferroviárias ou rodoviárias, hospitais, casas de saúde, escolas, estádios esportivos, instalações públicas ou locais onde funcionem serviços públicos essenciais, instalações de geração ou transmissão de energia, instalações militares, instalações de exploração, refino e processamento de petróleo e gás e instituições bancárias e sua rede de atendimento; III – atentar contra a vida ou a integridade física de pessoa; IV – sequestrar ou manter alguém em cárcere privado. A pena é de reclusão, de 12 a 30 anos, além das sanções correspondentes à ameaça ou à violência (art. 2º, caput, parte final). 3.3 Exclusão de movimentos sociais e manifestações políticas (art. 2º, §2º) Um dos pontos mais polêmicos da lei — e um dos mais cobrados em prova — é a cláusula de exclusão do art. 2º, §2º: "§ 2º O disposto neste artigo não se aplica à conduta individual ou coletiva de pessoas em manifestações políticas, movimentos sociais, sindicais, religiosos, de classe ou de categoria profissional, direcionados por propósitos sociais ou reivindicatórios, visando a contestar, criticar, protestar ou apoiar, com o objetivo de defender direitos, garantias e liberdades constitucionais, sem prejuízo da tipificação penal contida em lei." Este dispositivo foi inserido para afastar o temor — manifestado por organizações de direitos humanos, movimentos sociais e centrais sindicais — de que a lei pudesse ser instrumentalizada para criminalizar protestos e movimentos populares. É importante notar que a exclusão não afasta a responsabilização penal por eventuais crimes comuns cometidos durante a manifestação (ex.: dano, lesão corporal) — apenas impede que a conduta seja qualificada como terrorismo. 3.4 Organização terrorista, atos preparatórios e financiamento (arts. 3º, 5º e 6º) A lei prevê, ainda, três figuras autônomas que merecem estudo separado: Organização terrorista (art. 3º): pune quem "promove, constitui, integra ou presta auxílio, pessoalmente ou por interposta pessoa", a organização terrorista, com pena de reclusão de 5 a 8 anos, e multa. Trata-se de crime de perigo abstrato, que independe de qualquer dano concreto a bem jurídico. Atos preparatórios de terrorismo (art. 5º): a lei inova ao punir os atos preparatórios — em regra, não puníveis no Direito Penal brasileiro (art. 14, II, do Código Penal) —, desde que praticados com o propósito inequívoco de consumar o delito. A pena, aqui, não é fixa: corresponde à pena do delito consumado, diminuída de um quarto até a metade (art. 5º, caput). O §1º equipara a atos preparatórios o recrutamento, a organização, o transporte ou o municiamento de indivíduos que viajem para país distinto de sua residência ou nacionalidade com o propósito de praticar terrorismo, bem como o fornecimento ou recebimento de treinamento no exterior para o mesmo fim — casos em que, se a conduta não envolver viagem ou treinamento internacional, a pena será a do delito consumado diminuída de metade a dois terços (art. 5º, §2º). Financiamento ao terrorismo (art. 6º): pune quem recebe, provê, oferece, obtém, guarda, mantém em depósito, solicita ou investe recursos, ativos, bens, direitos, valores ou serviços destinados ao planejamento, preparação ou execução dos crimes da lei, com pena de reclusão de 15 a 30 anos — a mais severa entre as previstas na Lei Antiterrorismo, incidindo inclusive sobre quem contribui indiretamente para a obtenção de recursos com essa finalidade (parágrafo único). 3.5 Competência para julgamento A competência para processar e julgar crimes de terrorismo é da Justiça Federal, com fundamento no art. 109, IV, da Constituição Federal (que atribui à Justiça Federal o julgamento de infrações penais praticadas em detrimento de bens, serviços ou interesses da União) — competência reforçada, no caso do terrorismo, pela dimensão transnacional ou pela potencial afetação de interesses federais que a matéria costuma envolver (segurança nacional, relações internacionais, instalações federais). A investigação cabe, em regra, à Polícia Federal, com o apoio da Agência Brasileira de Inteligência (ABIN) nas atividades de inteligência. O art. 11 da Lei nº 13.260/2016 dispõe que o crime de terrorismo é insuscetível de fiança, graça ou anistia, em cumprimento direto ao mandamento do art. 5º, XLIII, da Constituição Federal. Para a prova Marco Civil (Lei 12.965/2014): princípios do art. 3º (liberdade de expressão, privacidade, neutralidade de rede, responsabilização). Neutralidade de rede (art. 9º): isonomia no tratamento de dados; exceções regulamentadas pelo Decreto 8.771/2016 (não revogado, mas alterado pelo Decreto 12.975/2026). Responsabilidade civil: art. 18 (provedor de conexão não responde por conteúdo de terceiro); art. 19 original (provedor de aplicações só responde após descumprimento de ordem judicial específica); exceção do art. 21 (revenge porn, com mera notificação). Guarda de logs: conexão = 1 ano; aplicação = 6 meses. STF, Temas 987 (RE 1.037.396/SP, Rel. Min. Dias Toffoli) e 533 (RE 1.057.258/MG, Rel. Min. Luiz Fux), j. 26/06/2025: declararam a inconstitucionalidade parcial e progressiva do art. 19; fixaram quatro regimes de responsabilização (crimes contra a honra sob o art. 19; notice and takedown geral; presunção de responsabilidade para anúncios pagos e redes artificiais; dever de cuidado por falha sistêmica para crimes graves taxativos). Decretos 12.975 e 12.976/2026 regulamentaram essa tese no plano infralegal. LGPD (Lei 13.709/2018): proteção de dados pessoais como direito fundamental — EC 115/2022 (art. 5º, LXXIX; competência material no art. 21, XXVI; competência legislativa no art. 22, XXX). Dez princípios (art. 6º). Dez bases legais para dados comuns (art. 7º), incluindo consentimento, obrigação legal, políticas públicas, legítimo interesse; bases restritas para dados sensíveis (art. 11), sem legítimo interesse. Direitos do titular (art. 18): acesso, correção, portabilidade, eliminação, revisão de decisões automatizadas. ANPD: criada pela Lei 13.853/2019; autarquia de natureza especial pela Lei 14.460/2022; vinculada ao Ministério da Justiça e Segurança Pública desde 2023; transformada em Agência Nacional de Proteção de Dados (agência reguladora) pela Lei 15.352/2026. Sanções: multa de até 2% do faturamento, limitada a R$ 50 milhões. ADI 6.387/DF (Rel. Min. Rosa Weber): suspendeu a MP 954/2020 (compartilhamento de dados de telefonia com o IBGE) e reconheceu a proteção de dados e a autodeterminação informativa como direitos fundamentais autônomos, antes mesmo da EC 115/2022. Lei do Terrorismo (Lei 13.260/2016): tipificação no art. 2º (atos com finalidade de provocar terror social, por razões de xenofobia, discriminação ou preconceito), pena de 12 a 30 anos; exclusão de movimentos sociais e manifestações (art. 2º, §2º). Organização terrorista (art. 3º): 5 a 8 anos e multa. Atos preparatórios (art. 5º): pena do delito consumado, reduzida de 1/4 a 1/2 (ou de 1/2 a 2/3, nos casos do §2º) — não é pena fixa. Financiamento (art. 6º): 15 a 30 anos, a mais grave da lei. Competência da Justiça Federal (art. 109, IV, CF). Crime insuscetível de fiança, graça ou anistia (art. 11 da lei c/c art. 5º, XLIII, CF). Exercícios: Qual dos seguintes princípios NÃO é explicitamente mencionado no artigo 3º do Marco Civil da Internet (Lei nº 12.965/2014)? O Marco Civil da Internet, conforme a Lei nº 12.965/2014, é conhecido como a 'Constituição da Internet brasileira'. Qual dos seguintes princípios NÃO é mencionado no art. 3º dessa lei? De acordo com a Lei Geral de Proteção de Dados (LGPD), quais das seguintes bases legais NÃO é considerada para o tratamento de dados pessoais? A Lei Geral de Proteção de Dados (LGPD) estabelece uma série de princípios para o tratamento de dados pessoais. Qual dos seguintes princípios está incluído no art. 6º da LGPD? Segundo a Lei do Terrorismo (Lei nº 13.260/2016), a prática de atos motivados por discriminação e xenofobia é tipificada como crime de terrorismo. Qual é a pena prevista para tal crime? A Lei do Terrorismo, Lei nº 13.260/2016, tipifica diversos atos como crime de terrorismo. Qual das seguintes condutas é expressamente tipificada na referida lei? Sobre a responsabilidade civil dos provedores de aplicações na internet, conforme o Marco Civil da Internet, qual é a condição para que eles respondam por danos decorrentes de conteúdo gerado por terceiros? Conforme a LGPD, a Autoridade Nacional de Proteção de Dados (ANPD) possui a competência para aplicar sanções. Qual das seguintes sanções pode ser imposta pela ANPD? Qual é a duração do prazo de guarda de logs para provedores de conexão, conforme estabelecido no Marco Civil da Internet? A guarda de logs pela Lei nº 12.965/2014, conhecida como Marco Civil da Internet, estabelece prazos específicos para provedores de conexão e provedores de aplicações. Qual é o prazo estabelecido para a guarda de registros de conexão? A Autoridade Nacional de Proteção de Dados (ANPD), criada pela LGPD, possui a função de regular e fiscalizar o tratamento de dados pessoais. Qual é uma das sanções que a ANPD pode aplicar em caso de infração? A Lei do Terrorismo proíbe a tipificação de certas condutas. Qual das seguintes condutas NÃO é tipificada como crime de terrorismo segundo a Lei nº 13.260/2016? O Marco Civil da Internet foi aprovado em 2014 em um contexto de forte mobilização social, após as revelações de Edward Snowden sobre vigilância massiva, que incluíram a interceptação de comunicações da então Presidenta Dilma Rousseff. O Marco Civil da Internet é considerado a 'Constituição da Internet brasileira' e possui natureza jurídica de lei complementar, conforme o art. 22, IV, da Constituição Federal. O art. 3º do Marco Civil da Internet estabelece como princípio a garantia da liberdade de expressão, comunicação e manifestação do pensamento, nos termos da Constituição Federal. O Marco Civil da Internet não trata de direitos autorais, pois o legislador entendeu que a matéria demandava tratamento próprio, ante a defasagem da Lei nº 9.610/1998. O Marco Civil da Internet estabelece uma hierarquia rígida entre os princípios do art. 3º, dando prioridade à liberdade de expressão sobre a proteção da privacidade. A construção do Marco Civil da Internet contou com ampla consulta pública conduzida pelo Poder Executivo, que recebeu mais de 2.500 contribuições. O Marco Civil da Internet trata de direitos autorais, atualizando a Lei nº 9.610/1998 para adequá-la às novas tecnologias. O Marco Civil da Internet é uma lei de caráter regulamentar, que estabelece normas específicas e detalhadas sobre cada serviço prestado na internet. O art. 3º do Marco Civil da Internet prevê a proteção da privacidade como um dos princípios que regem o uso da internet no Brasil. O contexto de aprovação do Marco Civil da Internet contou exclusivamente com a participação do Poder Executivo, sem contribuições do Congresso Nacional ou da sociedade civil. Complete a frase: O Marco Civil da Internet é considerado a _____ da internet brasileira. Complete a frase: A lei que institui o Marco Civil da Internet (Lei nº 12.965/2014) foi sancionada no mês de _____ de 2014. Complete a frase: O Marco Civil foi aprovado após revelações de Edward Snowden sobre a vigilância conduzida pela _____ dos Estados Unidos. Complete a frase: O Marco Civil da Internet possui natureza jurídica de _____ sobre o uso da internet no Brasil. Complete a frase: O Marco Civil da Internet _____ trata de direitos autorais, lacuna deixada propositalmente pelo legislador. Complete a frase: Um dos princípios do Marco Civil da Internet é a preservação e garantia da _____ de rede (art. 3º, IV). Complete a frase: O princípio da _____ dos modelos de negócios promovidos na internet está previsto no art. 3º, VIII, do Marco Civil. Complete a frase: O Marco Civil da Internet estabelece o princípio da _____ dos agentes de acordo com suas atividades (art. 3º, VI). Complete a frase: Entre os princípios do Marco Civil está a preservação da natureza _____ da rede (art. 3º, VII). Complete a frase: O Marco Civil foi construído a partir de ampla consulta pública conduzida pelo Poder _____.