Por quanto tempo o provedor precisa guardar logs?

Pelo Marco Civil da Internet, o administrador de sistema autônomo guarda registros de conexão por 1 ano (art. 13), e o provedor de aplicações organizado como pessoa jurídica com fins econômicos guarda registros de acesso por 6 meses (art. 15). Esses prazos podem ser ampliados por requerimento cautelar de autoridade ou por ordem judicial.

A polícia precisa de ordem judicial para pedir a preservação de registros?

A lei permite que a autoridade policial ou administrativa e o Ministério Público requeiram cautelarmente a guarda por prazo maior, com 60 dias para pedir a autorização de acesso. O acesso aos registros sempre depende de autorização judicial. O STF já anulou provas em caso que alcançou conteúdo de contas, por isso o escopo do pedido é decisivo.

A vítima pode pedir direto ao provedor os dados de quem aplicou um golpe?

Em regra, não. O provedor só é obrigado a disponibilizar os registros mediante ordem judicial. A vítima pode comunicar o caso à polícia ou ao Ministério Público e, com advogado, pedir ao juiz o fornecimento dos registros com base no art. 22, demonstrando indícios do ilícito, utilidade dos dados e período.

Marco Civil da Internet: prazos de logs e preservação

Q: Dados cadastrais seguem a mesma regra dos registros?

Não exatamente. O art. 10, § 3º, do Marco Civil diz que a regra não impede o acesso a dados de qualificação pessoal, filiação e endereço pelas autoridades administrativas com competência legal para requisitá-los. Isso não alcança particulares nem autoriza a associação livre com registros de conexão, que continuam dependendo de ordem judicial.

Registro apagado não volta: entenda quem guarda, por quanto tempo, quem pode pedir a guarda e por que preservar não dá acesso aos dados.

O Marco Civil da Internet obriga o provedor de conexão a guardar registros de conexão por 1 ano e o provedor de aplicações a guardar registros de acesso por 6 meses. Polícia, autoridade administrativa e Ministério Público podem pedir guarda por prazo maior sem ordem judicial, mas a entrega dos dados depende de decisão de um juiz.

Para quem investiga em fontes abertas, esses prazos são um relógio. Um golpe descoberto sete meses depois do fato pode ter perdido a ligação entre um acesso e um endereço IP. Saber disso muda o que se documenta no primeiro dia e a quem se leva o caso.

Este texto é educativo e não substitui a orientação de um advogado. Ele não ensina a obter registro de ninguém: esses dados ficam sob sigilo e só circulam pelo caminho judicial.

O que o Marco Civil da Internet chama de registro?

A Lei nº 12.965/2014 separa dois tipos de log, e a diferença decide quem responde por eles.

Registro de conexão (art. 5º, VI): data e hora de início e fim de uma conexão à internet, sua duração e o IP usado. Exemplo: a operadora sabe que um assinante recebeu determinado IP entre 20h e 22h.
Registro de acesso a aplicações (art. 5º, VIII): data e hora de uso de uma aplicação a partir de um IP. Exemplo: uma rede social sabe que uma conta entrou às 20h15 a partir desse IP.

Outras informações têm regra própria. O conteúdo de comunicações privadas (e-mails, mensagens) só pode ser disponibilizado por ordem judicial, nas hipóteses que a lei estabelecer (art. 10, § 2º). Já os dados cadastrais de qualificação pessoal, filiação e endereço podem ser acessados por autoridades administrativas com competência legal para requisitá-los (art. 10, § 3º).

Quais são os prazos de guarda de logs?

Os dois prazos estão em artigos diferentes e valem para sujeitos diferentes.

Registro	Quem guarda	Prazo mínimo	Base legal
Conexão	Administrador do sistema autônomo	1 ano	Art. 13
Acesso a aplicações	Provedor de aplicações organizado como pessoa jurídica, com atividade profissional e fins econômicos	6 meses	Art. 15

Dois detalhes costumam passar despercebidos. O dever do art. 15 não alcança todo mundo: um site mantido por pessoa física, sem fins econômicos, fica fora da regra geral, e só uma ordem judicial pode obrigá-lo a guardar registros de fatos específicos em período determinado (art. 15, § 1º). Além disso, a guarda do registro de conexão não pode ser transferida a terceiros (art. 13, § 1º).

Quem pode pedir a preservação de registros?

A autoridade policial ou administrativa e o Ministério Público podem requerer cautelarmente que os registros sejam guardados por prazo maior (arts. 13, § 2º, e 15, § 2º). Depois disso, têm 60 dias para pedir ao juiz a autorização de acesso (art. 13, § 3º). O provedor mantém o pedido em sigilo, e ele perde eficácia se a autorização for negada ou não for protocolada no prazo (art. 13, § 4º).

O particular não aparece nesses dispositivos. A vítima, a empresa ou o escritório têm dois caminhos principais:

Registrar o caso na polícia ou no Ministério Público, informando que há registros em risco de expirar e pedindo que a autoridade avalie o requerimento cautelar.
Ir ao Judiciário pelo art. 22, em pedido incidental ou autônomo, com advogado. O requerimento precisa trazer fundados indícios do ilícito, justificativa da utilidade dos registros e o período a que se referem, sob pena de inadmissibilidade.

Preservar não é acessar: o que STJ e STF decidiram?

A distinção é simples em tese: guardar mantém o dado onde ele está, e acessar entrega o dado a alguém. Na prática, os tribunais divergiram sobre até onde vai a guarda sem juiz, e o exemplo mais conhecido é o mesmo caso visto em duas instâncias.

Em 8 de fevereiro de 2022, no HC 626.983/PR, a Sexta Turma do STJ considerou válido o pedido do Ministério Público do Paraná a provedores para congelar dados de investigados, sem ordem judicial prévia. Segundo o relator, isso não equivalia a acesso aos dados. O STJ registra esse entendimento na edição 223 da Jurisprudência em Teses.

Em 6 de fevereiro de 2024, ao julgar recurso no HC 222.141, a Segunda Turma do STF anulou, por maioria, as provas obtidas a partir dessa preservação. O pedido havia alcançado dados cadastrais, histórico de localização e de pesquisas, conteúdo de e-mails e mensagens, fotos e contatos. Para a Turma, o Ministério Público pode pedir cautelarmente a guarda de registros de conexão e de acesso, limitados às informações de data, hora e IP, mas não o congelamento de conteúdo sem autorização judicial.

A lição operacional é o escopo. Um pedido sem ordem judicial tende a ser mais defensável quando se limita aos registros previstos na lei, identifica a conta ou o período e não avança sobre conteúdo. Por se tratar de decisão de Turma, vale conferir a jurisprudência atual antes de agir em um caso real.

Por que IP e horário às vezes não bastam?

Com a escassez de endereços IPv4, muitos assinantes compartilham o mesmo IP ao mesmo tempo, técnica conhecida como CGNAT. Nesse cenário, a porta lógica de origem ajuda a separar quem usava o endereço naquele instante.

O STJ tem tratado o tema de forma favorável à identificação. A edição 223 da Jurisprudência em Teses aponta o dever de guarda de IP e porta lógica pelos provedores de acesso e de aplicação. Em 2025, no REsp 2.170.872, a Terceira Turma entendeu que o provedor de conexão deve identificar o usuário a partir do IP e do período aproximado, sem exigir que o autor informe antes a porta lógica, segundo relatos da decisão.

Isso não dispensa precisão. Hora sem fuso, por exemplo, é um erro que pode apontar para outra pessoa. Em um cenário de IP compartilhado, poucos minutos de diferença podem significar outro assinante, o que coloca em risco alguém sem relação com o caso.

O que cabe a quem investiga em fontes abertas?

O trabalho de OSINT não obtém esses registros, mas pode tornar o pedido da autoridade mais rápido e mais preciso. Três entregas costumam ajudar.

Linha do tempo com hora e fuso. Registre o momento de cada fato em UTC e na hora local, indicando de onde a informação veio. Um cabeçalho de e-mail, a data de um registro de domínio e uma captura de tela têm graus de confiança diferentes.

Lista de responsáveis prováveis. Dados públicos de roteamento e registro de domínios mostram qual rede anuncia um IP e qual empresa hospeda um site. Isso indica a quem o pedido poderia ser dirigido, sem identificar nenhum usuário.

Pacote de evidência preservada. Guarde URL completa, identificador numérico da conta ou da publicação, código-fonte, captura integral e hash, como o portal já detalhou no guia sobre prints de WhatsApp como prova. O art. 158-A do Código de Processo Penal trata da cadeia de custódia, e a documentação deve permitir refazer o caminho.

Os limites são claros. Não tente entrar em painéis de provedores, não use credenciais de terceiros e não compre bases vazadas para "adiantar" a identificação. Além do risco penal, prova ilícita pode contaminar o caso. Em apurações com dados pessoais, a LGPD continua valendo.

Exemplo hipotético: site falso de loja

Imagine que uma empresa descobre, em 10 de março, um site que imita sua loja. Os primeiros boletos falsos são de setembro do ano anterior. Os registros de acesso ao painel do site, se existirem e seguirem o prazo mínimo, começam a expirar naquele mesmo mês.

O analista preserva as páginas, anota a data de criação do domínio e o provedor de hospedagem, e entrega à equipe jurídica uma linha do tempo em UTC. A empresa registra a ocorrência no mesmo dia, sinaliza o risco de perda dos dados e o advogado avalia o pedido do art. 22. Ninguém tentou descobrir, por conta própria, quem está por trás do site.

E se o provedor estiver fora do Brasil?

A Convenção sobre o Crime Cibernético, promulgada pelo Decreto nº 11.491/2023, prevê a preservação expedita de dados (art. 16) e a possibilidade de um país pedir a outro a conservação de dados armazenados enquanto prepara o pedido de assistência (art. 29). É um caminho entre autoridades, voltado a investigações criminais, e não um canal para particulares. Mesmo assim, conhecê-lo ajuda a explicar por que comunicar o caso cedo faz diferença.

Na prática

Calcule a data de expiração no primeiro dia: 6 meses para acesso a aplicações e 1 ano para conexão, contados como prazos mínimos legais.
Registre todo horário com fuso e indique a fonte de cada um.
Separe registro, dado cadastral e conteúdo: cada um tem regra própria.
Ao sugerir preservação à autoridade, delimite conta, período e tipo de registro.
Identifique a rede ou o provedor com dados públicos, mas deixe a identificação do usuário para a ordem judicial.
Consulte um advogado antes de ingressar com pedido judicial ou de divulgar qualquer suspeita.

Conclusão

A guarda de logs no Marco Civil da Internet funciona como uma janela: abre por um tempo definido e fecha sem aviso. O investigador metódico não força essa janela. Documenta bem, avisa cedo quem tem legitimidade e entrega um pedido delimitado, respeitando a privacidade de quem não tem relação com o caso.

Marco Civil da Internet: prazos de logs e como pedir a preservação

Em resumo