Marco Civil da Internet x Digital Services Act: dois caminhos regulatórios
Por Renato Opice Blum — JOTA
Em maio de 2026, o Decreto 12.975/2026 alterou o Decreto 8.771/2016 para regulamentar a Lei 12.965/2014 – o Marco Civil da Internet – à luz da decisão do Supremo Tribunal Federal nos Temas 987 e 533, que reconheceu a inconstitucionalidade parcial e progressiva do artigo 19 do MCI.
A nova regulamentação oferece à doutrina e ao mercado brasileiros a oportunidade de revisitar, de forma comparada, o caminho já percorrido pela União Europeia desde a adoção do Digital Services Act (DSA), em 2022, instrumento que disciplina a moderação de conteúdo, os deveres dos intermediários digitais e a governança dos riscos associados às plataformas.
O MCI nasceu em 2014 sob a lógica da responsabilidade subjetiva condicionada a uma ordem judicial específica. Esse modelo conferiu previsibilidade ao setor, mas se mostrou insuficiente diante da escala, da velocidade e do alcance da circulação de conteúdos ilícitos. O Decreto 12.975/2026 rompe parcialmente com essa tradição ao instituir um dever de cuidado sistêmico, pelo qual a plataforma pode responder quando houver falha estrutural na prevenção de ilícitos graves, como terrorismo, exploração sexual infantil, tráfico de pessoas, violência contra a mulher e fraudes em massa, independentemente de notificação judicial prévia.
Mantém-se, contudo, a exigência de ordem judicial para hipóteses particularmente sensíveis à liberdade de expressão, como os crimes contra a honra, em uma solução de compromisso que procura conciliar efetividade protetiva e salvaguardas constitucionais.
O DSA europeu segue uma lógica semelhante, embora inserida em uma arquitetura regulatória mais amadurecida. Suas obrigações são graduadas de acordo com a natureza, o porte e os riscos do serviço, culminando no regime mais rigoroso aplicável às Very Large Online Platforms (VLOPs), assim consideradas as plataformas com mais de 45 milhões de usuários mensais na União Europeia.
Essas plataformas não estão sujeitas apenas a deveres de remoção ou de reação a conteúdos ilícitos. Devem avaliar periodicamente os riscos sistêmicos associados aos seus serviços, adotar medidas concretas de mitigação e submeter-se a auditorias independentes. O objetivo é prevenir efeitos negativos sobre direitos fundamentais, processos eleitorais, segurança pública, saúde, proteção de menores e disseminação de conteúdos ilegais.
O paralelo entre os dois diplomas é, nesse ponto, direto: ambos se afastam de um paradigma exclusivamente reativo e avançam em direção a deveres preventivos proporcionais ao porte, à capacidade econômica e ao poder de interferência dos provedores sobre a circulação de conteúdo de terceiros. No modelo europeu, porém, essa transição é mais ampla, pois a responsabilidade passa a integrar um sistema permanente de gestão e governança dos riscos digitais.
No plano procedimental, o decreto brasileiro cria um mecanismo extrajudicial de notificação por meio do qual usuários e autoridades podem acionar diretamente as plataformas para a remoção de conteúdo ilícito. O sistema observa um rol específico de hipóteses, estabelece prazos determinados — como o de até duas horas para a indisponibilização de conteúdo íntimo divulgado sem consentimento — e assegura ao autor da publicação a possibilidade de contestação.
O DSA caminha em direção semelhante ao exigir mecanismos acessíveis de notice and action, decisões fundamentadas e direito de recurso, tanto internamente quanto perante órgãos certificados de resolução extrajudicial de litígios. O regime europeu reconhece ainda a figura dos trusted flaggers, entidades especializadas cujas notificações devem ser tratadas pelas plataformas com prioridade, sem que isso dispense a análise individual e fundamentada do conteúdo denunciado.
Há também exigências mais detalhadas de transparência sobre as decisões de moderação, inclusive quando tomadas ou auxiliadas por sistemas automatizados. As plataformas devem informar as razões da remoção, da restrição de alcance ou da suspensão de contas, permitindo maior controle sobre o papel dos algoritmos na gestão do conteúdo.
A diferença mais relevante entre os dois sistemas reside, contudo, na própria arquitetura normativa. O DSA distribui as obrigações por camadas, diferenciando serviços de mera transmissão, serviços de hospedagem, plataformas online e plataformas de muito grande dimensão. O decreto brasileiro, por sua vez, aplica deveres de forma mais homogênea aos provedores de aplicação, modulados por critérios gerais como porte econômico, nível de interferência na circulação de conteúdo e risco do serviço, sem a mesma granularidade normativa observada no modelo europeu.
Ambos os regimes revelam preocupação crescente com a publicidade digital e os conteúdos impulsionados. O Decreto 12.975/2026 exige que as plataformas adotem medidas destinadas a impedir a contratação de anúncios ilícitos e preservem os registros dos anunciantes por um ano após o encerramento da veiculação, reforçando sua identificação e rastreabilidade.
O DSA vai além ao proibir a publicidade direcionada baseada em dados sensíveis e o direcionamento publicitário a menores baseado na criação de perfis. Também exige que as maiores plataformas mantenham repositórios públicos de anúncios e assegurem maior transparência sobre quem financiou determinada publicidade, por que ela foi apresentada a um usuário e quais critérios foram empregados para definir o público-alvo.
A legislação europeia estabelece ainda restrições aos chamados dark patterns, interfaces desenhadas para manipular ou induzir o usuário a escolhas que talvez não adotasse de forma livre e informada. Soma-se a isso uma atenção específica à proteção dos menores, que deve ser incorporada ao desenho e ao funcionamento dos serviços digitais, e não apenas acionada depois da ocorrência do dano.
Quanto à governança institucional, o decreto atribui à Agência Nacional de Proteção de Dados (ANPD) – já transformada em agência reguladora pela Lei 15.352/2026 – a competência para regular, fiscalizar e sancionar os provedores de aplicação quanto aos novos deveres. A agência acumula essa frente com as atribuições já exercidas em matéria de proteção de dados pessoais e de fiscalização do Estatuto Digital da Criança e do Adolescente.
No modelo europeu, a fiscalização do DSA é compartilhada entre os Coordenadores de Serviços Digitais de cada Estado-membro e a Comissão Europeia, que concentra a supervisão das plataformas de muito grande dimensão. As multas podem alcançar 6% do faturamento anual global do infrator. O Brasil, até o momento, não definiu em nível infralegal parâmetros sancionatórios com a mesma precisão quantitativa, matéria que deverá ser objeto de regulamentação complementar pela ANPD.
O Decreto 12.975/2026 aproxima, portanto, o Brasil da filosofia regulatória do DSA, fundada no dever de cuidado, na transparência procedimental e na atuação de uma autoridade administrativa especializada. Essa aproximação ocorre, contudo, em um estágio normativo ainda menos granular e sem o mesmo detalhamento dos mecanismos de avaliação de riscos, auditoria, transparência algorítmica e aplicação de sanções.
Mais do que dois modelos distintos de responsabilidade, o MCI reformado e o DSA representam etapas diferentes de uma mesma transformação regulatória. O sistema brasileiro permanece mais concentrado na responsabilização por conteúdos e ilícitos específicos, enquanto o modelo europeu já estrutura uma verdadeira governança preventiva dos riscos digitais, baseada em deveres de organização, compliance, transparência e prestação de contas.
Para as plataformas e para o mercado, a mensagem é clara: a responsabilidade condicionada exclusivamente a uma ordem judicial específica deixa de ser suficiente. A prevenção, a gestão de riscos e a proteção dos direitos dos usuários passam a integrar a própria estrutura operacional de qualquer plataforma digital relevante.
Fonte: JOTA
