Tribunal: STF
Processo: MS 38189
Classe: MS
Órgão julgador: GILMAR MENDES
Órgão colegiado: Decisão Monocrática
Data de julgamento: 2021-09-10
Data de publicação: 2021-09-10

Ementa:

Inteiro teor:
Decisão: Trata-se de Mandado de Segurança, com pedido liminar, impetrado por OPT Incorporadora Imobiliária e Administração de Bens Próprios Ltda. contra a aprovação do Requerimento 1328/2021, em 19 de agosto de 2021, pela Comissão Parlamentar de Inquérito do Senado Federal concernente ao enfrentamento da pandemia da Covid-19 no Brasil (CPI da Pandemia).
    O requerimento veicula o afastamento dos sigilos telemático e telefônico, a partir de 2020, bem como bancário e fiscal, fixando como termo inicial 2018.
    A impetrante alega na petição inicial que o ato coator carece de fundamentação, uma vez que o requerimento aprovado na Comissão Parlamentar de Inquérito teria colacionado informações genéricas, sem relação concreta e específica com a atuação da sociedade empresária. Além disso, aduz que não houve a indicação das informações que se pretende obter com a quebra do sigilo.
    Salienta que “não é investigada e jamais foi citada pelos Senadores ou depoentes durante todas as oitivas da CPI (vide doc. 06) - o que é de se esperar vez que não há quaisquer fundamentos para que os atos de investigação os atinjam, como já destacado”.
    Por fim, alega que há incoerência temporal na quebra do sigilo, já que alcança o ano de 2018, enquanto a pandemia de Covid-19 iniciou-se em 2020.
    Requer, liminarmente, a suspensão dos efeitos da aprovação do Requerimento 1328/2021 pela CPI da Pandemia, até o julgamento definitivo deste Mandado de Segurança. 
    Subsidiariamente, pleiteou que seja determinada a limitação temporal da quebra a 20 de março de 2020 e a manutenção do sigilo sobre os dados de seus clientes eventualmente obtidos.
    No mérito, pede a concessão da ordem, para confirmar a medida acauteladora e “declarar a nulidade do ato coator praticado pelo Exmo. Sr. Senador Federal Presidente da CPI da Pandemia do Senado Federal, de quebra e transferência de sigilos telefônico, fiscal, bancário e telemático da Impetrante ”.
    A autoridade dita coatora prestou informações (eDOC 14). Defendeu a higidez do afastamento dos sigilos telefônico, telemático, bancário e fiscal. Discorreu sobre o papel constitucional das comissões parlamentares de inquérito e aduziu a adequação da fundamentação adotada para a aprovação da quebra dos sigilos. Quanto ao marco temporal, afirmou que os dados anteriores ao período de pandemia são necessários para comparação “entre os eventos diretamente afetados ao inquérito parlamentar e fatos anteriores”.
    É o relatório.
    Passo a apreciar o pedido de tutela de urgência.
    A questão controvertida nesta ação mandamental versa a legitimidade de ato da CPI da Pandemia que implicou o afastamento dos sigilos bancário, fiscal, telefônico e telemático da impetrante.
    Os argumentos veiculados na petição inicial cingem-se, em síntese, aos seguintes pontos: (i) ausência de fundamentação; e (ii) incoerência temporal, tendo em vista o período de pandemia.
    1 – Sindicabilidade do ato de investigação parlamentar 
    De início, e antes de analisar as alegações da impetrante, anoto que o Supremo Tribunal Federal há muito consolidou o entendimento de que os atos praticados pelas Comissões Parlamentares de Inquérito, malgrado sua estatura constitucional, estão sujeitos ao controle jurisdicional.
    Embora a Constituição Federal tenha assegurado às Comissões poderes de investigação próprios das autoridades judiciais, é certo que não as eximiu da observância dos preceitos conformadores do próprio Estado Democrático de Direito, tendo em vista o controle permanente da autoridade estatal e a eficácia dos direitos fundamentais.
    Nesse sentido, cabe ao Poder Judiciário garantir que o implemento dos atos de investigação das Comissões Parlamentares de Inquérito dê-se em conformidade com os quadrantes constitucionais.
    Confira-se, a propósito, precedente do Tribunal Pleno, relatado pelo eminente Min. Celso de Mello:
    COMISSÃO PARLAMENTAR DE INQUÉRITO - QUEBRA DE SIGILO - AUSÊNCIA DE INDICAÇÃO CONCRETA DE CAUSA PROVÁVEL - NULIDADE DA DELIBERAÇÃO PARLAMENTAR - MANDADO DE SEGURANÇA CONCEDIDO. A QUEBRA DE SIGILO NÃO PODE SER UTILIZADA COMO INSTRUMENTO DE DEVASSA INDISCRIMINADA, SOB PENA DE OFENSA À GARANTIA CONSTITUCIONAL DA INTIMIDADE. - A quebra de sigilo, para legitimar-se em face do sistema jurídico-constitucional brasileiro, necessita apoiar-se em decisão revestida de fundamentação adequada, que encontre apoio concreto em suporte fático idôneo, sob pena de invalidade do ato estatal que a decreta. A ruptura da esfera de intimidade de qualquer pessoa - quando ausente a hipótese configuradora de causa provável - revela-se incompatível com o modelo consagrado na Constituição da República, pois a quebra de sigilo não pode ser manipulada, de modo arbitrário, pelo Poder Público ou por seus agentes. Não fosse assim, a quebra de sigilo converter-se-ia, ilegitimamente, em instrumento de busca generalizada, que daria, ao Estado - não obstante a ausência de quaisquer indícios concretos - o poder de vasculhar registros sigilosos alheios, em ordem a viabilizar, mediante a ilícita utilização do procedimento de devassa indiscriminada (que nem mesmo o Judiciário pode ordenar), o acesso a dado supostamente impregnado de relevo jurídico-probatório, em função dos elementos informativos que viessem a ser eventualmente descobertos. A FUNDAMENTAÇÃO DA QUEBRA DE SIGILO HÁ DE SER CONTEMPORÂNEA À PRÓPRIA DELIBERAÇÃO LEGISLATIVA QUE A DECRETA. - A exigência de motivação - que há de ser contemporânea ao ato da Comissão Parlamentar de Inquérito que ordena a quebra de sigilo - qualifica-se como pressuposto de validade jurídica da própria deliberação emanada desse órgão de investigação legislativa, não podendo ser por este suprida, em momento ulterior, quando da prestação de informações em sede mandamental. Precedentes.
    (MS 23851, Relator(a): CELSO DE MELLO, Tribunal Pleno, julgado em 26/09/2001, DJ 21-06-2002 PP-00098 EMENT VOL-02074-02 PP-00308)
    Como se vê, a quebra de sigilo operacionalizada pela Comissão Parlamentar de Inquérito deve fundamentar-se em (a) causa provável, (b) adequada ao suporte fático até então coligido, cuja ocorrência deve ser contemporânea à (c) deliberação parlamentar.
    A configuração desses pressupostos constitui standard importante para que se perquira no âmbito jurisdicional, com coerência e respeitada a atuação do ente parlamentar, a relevância e a atualidade da quebra do sigilo que justifiquem a sua prevalência, na situação concreta, sobre os direitos à intimidade e à privacidade.
    Evidentemente, a autoridade judiciária, ao exercer o controle constitucional da atuação do Poder Legislativo e de suas Comissões, deve considerar as peculiaridades do sistema de deliberação parlamentar, cujos contornos não se identificam com o processo de tomada de decisão judicial.
    Isso significa que, embora os parlamentares estejam vinculados ao dever de fundamentação constitucional, é natural que as razões expostas para o afastamento não sejam apresentadas de forma exaustiva, até porque a dinâmica de deliberação parlamentar dificulta, em Colegiado amplo, a apresentação linear e inteiriça de argumentos e motivos.
    Nessa linha, ao apreciar a medida cautelar no Mandado de Segurança 23575, o eminente Ministro Nelson Jobim descortinou com precisão o ambiente decisório de Comissão Parlamentar:
    Por outro lado, sem razão as Informações quando refere a questão da fundamentação da decisão que tenha determinado medida acautelatória (fls. 69). Uma coisa é o fundamento político ou jurídico de uma decisão. Outra, é não ter fundamento algum. O que se exige é a fundamentação de uma decisão. O que não se permite, é a decisão arbitrária, porque sem fundamentação. No mesmo MS 23446-6 fiz distinção entre o processo decisório judicial e o processo decisório das Casas Políticas. Disse não se poder "... fazer uma paridade entre o processo decisório judicial e o processo decisório político no que diz respeito à fundamentação de suas decisões. ... Não se pode pretender ... que a fundamentação da decisão do parlamento tenha a mesma contextura, a mesma forma ou a mesma densidade das decisões do Poder Judiciário. ... o procedimento pelo qual agem os parlamentares é absolutamente distinto do procedimento judicial. ...". A fundamentação da decisão política se encontra em qualquer peça ou momento do procedimento. Pode se encontrar no próprio projeto, no requerimento, na indicação, no parecer e na emenda - que são os tipos de proposições parlamentares -. Pode decorrer do debate quando da votação da matéria. O certo é que as decisões parlamentares não estão sujeitas às regras que disciplinam as decisões judiciais que impõem relatório, fundamentos e dispositivo (CPC, art. 458). O procedimento parlamentar é outro. O procedimento de tomada de decisões é outro. Logo, não se lhe aplica as regras de processo judicial, que é diverso. No entanto, não se conclua que a decisão parlamentar possa ser arbitrária e sem nenhum fundamento. Não se confunda inexistência de fundamentação com topologia da fundamentação. Para as decisões judiciais, a lei impõe uma topologia própria e específica para os seus fundamentos. Não é o caso da decisões parlamentares. A localização dos fundamentos pode e é difuso. Os fundamentos podem se encontrar em diversos locus do processo decisório. (Decisão publicada no DJ de 01/02/2000).
    Essas peculiaridades, inclusive, já foram consideradas pelo Plenário deste Tribunal no exame do Mandado de Segurança 24749, de relatoria do eminente Ministro Marco Aurélio (julgado em 29/09/2004, DJ 05-11-2004 PP-00019 EMENT VOL-02171-01 PP-00142 RTJ VOL-00196-01 PP-00186 LEXSTF v. 26, n. 312, 2005, p. 166-170), bem como no Mandado de Segurança 25668, de relatoria do eminente Ministro Celso de Mello (julgado em 23/03/2006, DJ 04-08-2006 PP-00027 EMENT VOL-02240-03 PP-00410 RTJ VOL-00200-02 PP-00778 RCJ v. 20, n. 129, 2006, p. 55-66).
    Nesse contexto delineado pelos precedentes desta Corte, a fundamentação apresentada pela Comissão Parlamentar de Inquérito para aprovação dos Requerimentos nº 1362/2021 e 1364/2021, mostra-se suficiente, considerados os elementos coligidos neste momento preambular.
    Colho do ato alegadamente coator os seguintes trechos:
    (...)
    Os depoimentos colhidos até o presente momento, somados às informações e aos documentos disponibilizados a esta Comissão Parlamentar de Inquérito, A PESSOA JURÍDICA DE QUEM SE PEDE A QUEBRA TEM, SEGUNDO APURADO POR MEMBROS DESSA CPI, GRANDE CORRELAÇÃO – COMERCIAL, BANCÁRIA E FISCAL – COM A EMPRESA PRECISA – COMERCIALIZAÇÃO DE MEDICAMENTOS LTDA. (bem como suas filiais e coligadas), seus sócios, em especial FRANCISCO EMERSON MAXIMIANO. 
    Além disso, pelas quebras de sigilos já realizadas por esta Comissão, há registro de passagens de recursos percebidos pela empresa objeto deste requerimento, com origem na empresa PRECISA – COMERCIALIZAÇÃO DE MEDICAMENTOS LTDA., que passa em entradas e/ou saídas por ML8 SERVIÇO DE APOIO ADMINISTRATIVO, MAIA & ANOS SOCIEDADE DE ADVOGADOS, GLOBAL GESTÃO DE SAÚDE S.A., MARCIO LUIS ALMEIDA DOS ANJOS, entre outras (como se observa, por contas de pessoas jurídicas e naturais). 
    Portanto, trata-se da quebra e transferência de sigilos de figura atuante junto aos principais investigados por esta Comissão Parlamentar de Inquérito. 
    Como se vê, a Comissão Parlamentar de Inquérito identificou transações financeiras entre empresa investigada – Precisa Comercialização de Medicamentos Ltda. - e a impetrante.
    E, nesse âmbito de atuação, relacionado ao fato determinado objeto da Comissão Parlamentar de Inquérito, surge pertinente o afastamento do sigilo de pessoas ou entidades potencialmente envolvidas na atuação financeira de empresas com vínculos com o Ministério da Saúde no que tange à pandemia.
    Com efeito, mostra-se consentâneo com a linha investigativa adotada pela CPI da Pandemia que os elos e relações comerciais da Precisa Comercialização de Medicamentos Ltda. seja documentalmente desvelada e desdobrada.
    Contudo, o alcance material e temporal da quebra de sigilo deve ser objeto de ponderação cautelosa, consideradas as garantias constitucionais em jogo. Por essa razão, entendo oportuno examinar com maior verticalidade as determinações de afastamento dos sigilos telefônico e telemático.
    2 – Afastamento do sigilo telemático
    Colhe-se do Requerimento (eDOC 4) que a CPI determinou a transferência dos seguintes dados protegidos por sigilo, da empresa OPT Incorporadora Imobiliária e Administração de Bens Próprios Ltda.:
    d.1) telemático, de 2020 até o presente, oficiando-se empresa Google Brasil Internet Ltda. (Endereço: Avenida Brigadeiro Faria Lima, 3477, 18º andar, CEP 04538- 133, São Paulo/SP), para que forneça: • Dados cadastrais; • Registros de conexão (IPs) • Informações de Android (IMEI) • Cópia integral de todo conteúdo armazenado no Google Drive, incluindo o backup do WhatsApp; • Cópia integral de todo conteúdo armazenado no Google Fotos, com os respectivos metadados (EXIF); • Lista de contatos vinculados as contas mencionadas, com números de telefones e nomes; • Cópia integral de todas as mensagens (Gmail) enviadas/recebidas/armazenadas (rascunhos e lixeira), com seus anexos, em formato originalmente salvo pelo usuário, preservando a estrutura de diretórios criada pelo mesmo; • Cópia integral de todas as mensagens enviadas, recebidas e armazenadas, conteúdos multimídias (fotos, vídeos, áudios) e qualquer outro anexo compartilhado através do sistema de troca de mensagens instantâneas Hangout; • Localizações pretéritas e atuais do uso da(s) conta(s) (Location History) incluindo localizações geográficas específicas, por meio de GPS, Bluetooth ou sinal Wi-Fi; • Relação dos locaissalvos no GOOGLE MAPS e demais dados armazenados no aplicativo; • Os históricos de pesquisas realizadas pelo usuário do dispositivo, incluindo pesquisas no Google Maps; • Informações de pagamento, incluindo dados dos cartões de crédito (operadoras); • Listagem das redes WI-FI acessadas pelas contas indicadas; • Informações dos aplicativos baixados e instalados no Google Play;
    d.2) telemático, de 2018 até o presente, oficiando-se a empresa WhatsApp Inc., para que forneça as seguintes informações: • "User Info, IP Addresses, Sym Address Book, Account Notes, Full Group Memberships e Profile Picture" (dados cadastrais da conta, informações do aparelho, versão da APP, data e horário do registro, status de conexão, última conexão com data, hora e porta lógica, endereço de e-mail, informações de cliente Web; registros de acessos IPs desde 2019 e IP da última conexão; histórico de mudança de números; perfil do usuário com foto; about - antigo “status”; • Nomes dos grupos, seus administradores, integrantes dos grupos com seus respectivos números de telefones e fotos - lista de grupos; e agenda de contatos simétricos e assimétricos)
    d.3) telemático, de 2018 até o presente, oficiando-se empresa Facebook para que forneça, a respeito das plataformas Facebook, Instagram e Facebook Messenger, todo o conteúdo relativo às contas de sua titularidade em especial mensagens privadas, participação em grupos fechados, comentários e postagens, lista de amigos e toda atividade nelas realizada.
    d.4) telemático, de 2018 até o presente, oficiando-se a empresa Apple Computer Brasil Ltda, por meio da Privacy & Law Enforcement Compliance (e- mail lawenforcement@apple.com) para que forneça todo o conteúdo relativo às contas e aparelhos de sua titularidade, especialmente dados de localização, GPS, Bluetooth, endereço IP, localização de pontos de acesso Wi-Fi e torres de celular e outras tecnologias para determinar a localização aproximada de seu dispositivo, bem como o conteúdo armazenado no iCloud. 
    No caso em tela, a partir da leitura do Requerimento, depreende-se que o afastamento do sigilo telemático determinado determinado é bastante amplo e abrange não apenas simples registros de comunicações telefônicas, mas também registros de conexão à internet, conteúdos de conversas, registros de atividades, dados de localizações atuais e pretéritas, dados multimídias (fotos, vídeos, áudios) e outros. 
    De início, considero que os referidos registros de conexão, dados de acesso e conteúdos de comunicações privadas são claramente albergados por proteção constitucional, seja essa proteção entendida a partir da cláusula de inviolabilidade do sigilo das comunicações (art. 5º, inciso XII, da Constituição Federal), seja tal proteção entendida, de forma mais ampla e consentânea com a evolução jurisprudencial, a partir da cláusula geral de proteção à intimidade ( art. 5º, inciso X). 
    Se em uma perspectiva mais tradicional da compreensão do direito à privacidade, a doutrina e a jurisprudência entendiam que a proteção constitucional expressa no art. 5º, inciso XII não abrangia o conteúdo dos dados pessoais e dizia respeito tão somente ao fluxo de informações em meios comunicacionais (RE 418.416, Relator Min. SEPÚLVEDA PERTENCE, Tribunal Pleno, julgado em 10.5.2006, DJ 19.12.2006 PP-00037 EMENT VOL-02261-06 PP-01233), não há dúvidas de que esse entendimento foi superado a partir de decisões do Supremo Tribunal Federal que alargaram o âmbito de proteção do art. 5º, incisos X e XII, para afirmar a autonomia do um direito fundamental à proteção de dados (RE 673.707, Rel. Min. Luiz Fux, Tribunal Pleno, julgado em 17.6.2015, DJe 30.9.2015).
    Mais recentemente, no julgamento da paradigmática ADI 6389 MC, o STF conferiu autonomia a esse direito fundamental, sagrando que a proteção constitucional envolve, em uma perspectiva subjetiva, a proteção do indivíduo contra os riscos que ameaçam a sua personalidade em face da coleta, processamento, utilização e circulação dos dados pessoais e, em uma perspectiva objetiva, a atribuição ao indivíduo da garantia de controlar o fluxo de seus dados. O acórdão restou assim ementado:  
     
    MEDIDA CAUTELAR EM AÇÃO DIRETA DE INCONSTITUCIONALIDADE. REFERENDO. MEDIDA PROVISÓRIA Nº 954/2020. EMERGÊNCIA DE SAÚDE PÚBLICA DE IMPORTÂNCIA INTERNACIONAL DECORRENTE DO NOVO CORONAVÍRUS (COVID-19). COMPARTILHAMENTO DE DADOS DOS USUÁRIOS DO SERVIÇO TELEFÔNICO FIXO COMUTADO E DO SERVIÇO MÓVEL PESSOAL, PELAS EMPRESAS PRESTADORAS, COM O INSTITUTO BRASILEIRO DE GEOGRAFIA E ESTATÍSTICA. FUMUS BONI JURIS. PERICULUM IN MORA. DEFERIMENTO. 1. Decorrências dos direitos da personalidade, o respeito à privacidade e à autodeterminação informativa foram positivados, no art. 2º, I e II, da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), como fundamentos específicos da disciplina da proteção de dados pessoais. 2. Na medida em que relacionados à identificação – efetiva ou potencial – de pessoa natural, o tratamento e a manipulação de dados pessoais hão de observar os limites delineados pelo âmbito de proteção das cláusulas constitucionais assecuratórias da liberdade individual (art. 5º, caput), da privacidade e do livre desenvolvimento da personalidade (art. 5º, X e XII), sob pena de lesão a esses direitos. O compartilhamento, com ente público, de dados pessoais custodiados por concessionária de serviço público há de assegurar mecanismos de proteção e segurança desses dados. (ADI 6387 MC-Ref, Relator(a): ROSA WEBER, Tribunal Pleno, julgado em 07/05/2020, PROCESSO ELETRÔNICO DJe-270  DIVULG 11-11-2020  PUBLIC 12-11-2020)
    No caso em tela, portanto, tenho clareza de que os dados pessoais que são objeto do Requerimento formulado pela CPI são inequivocamente protegidos pelo direito fundamental à privacidade (art. 5º, inciso X, da CF). 
    A partir dessa premissa, há dois questionamentos relevantes para a compreensão da controvérsia. Em primeiro lugar, existe fundamento legal que obrigue empresas como Google, WhatsApp, Facebook e Apple a fornecerem acesso aos registros de conexão à internet e ao conteúdo das comunicações? Em segundo lugar, nessa hipótese específica, a Comissão Parlamentar de Inquérito deteria poderes investigativos suficientes para afastar o sigilo constitucional que recai sobre esses dados? 
    Conforme será discutido a seguir, esses dois questionamentos suscitam divergências importantes no âmbito doutrinário e estão sob a luz de uma jurisprudência ainda em desenvolvimento acerca do alcance das garantias constitucionais individuais no contexto de investigações criminais baseadas em dados.
    2.1 – Fundamentação legal do dever de disponibilização de dados pessoais armazenados por aplicações de internet
    Como mencionado acima, uma vez que os dados de registros e de comunicações pessoais indubitavelmente são albergados pelo direito fundamental à privacidade (art. 5º, incisos X e XII, da Constituição Federal), é importante perquirir se existe previsão legal que define sob quais circunstâncias esse sigilo constitucional pode ser afastado.
    A rigor, a Lei de Interceptações Telefônicas (Lei nº 9.926/1996), aplica-se tão somente às empresas prestadoras de serviços de telecomunicações. Embora no dia a dia possamos ter a impressão de que algumas aplicações de internet como Facebook, WhatsApp e Telegram, assemelham-se a um prestador de serviço de telecomunicações, do ponto jurídico, essas empresas estão sujeitas a um um enquadramento legal e regulatório totalmente distinto. 
    A Lei Geral de Telecomunicações brasileira reflete uma dicotomia entre os serviços de telecomunicações, definidos no art. 60 da LGT, e os chamados serviços de valor adicionado legalmente definidos como “a atividade que acrescenta a um serviço de telecomunicações que lhe dá suporte e com o qual não se confunde novas utilidades relacionadas ao acesso, armazenamento, apresentação, movimentação ou recuperação de informações”. 
    Como destacado na doutrina, aplicações de internet como Skype, WhatsApp, Youtube, Netflix, etc., conhecidas na literatura como Serviços Over-The-Top (OTT) são enquadrados no direito brasileiro dentro da categoria de Serviços de Valor Adicionado. Nessa lógica, “os serviços OTT, redutíveis ao conceito de SVA constituem uma categoria que abrange todo e qualquer conteúdo, aplicativo e serviço que seja acessado por usuários finais por meio da internet e que sejam prestados por um agente de mercado que não detém o controle da respectiva rede de telecomunicações”. (FERNANDES, Victor Oliveira. Regulação de Serviços de Internet: desafios da regulação de aplicações Over-The-Top (OTT), Rio de Janeiro: Lumen Juris, 2018, p. 154 e 161).
    A consequência dessa diferenciação é que as aplicações de internet constituem meros usuários dos serviços de telecomunicações, estando, portanto, fora do âmbito de incidência da LGT e da própria Lei de Interceptações Telefônicas (Lei nº 9.926/1996), cujo art. 7º, caput, estabelece que, para que a interceptação seja realizada, a autoridade policial poderá “requisitar serviços e técnicos especializados às concessionárias de serviço público”.
    Não existindo dever de fornecimento dos dados acima mencionados no regime da Lei de Interceptação telefônica, seria possível cogitar ainda da aplicação da Lei 12.965/2014, o Marco Civil da Internet. Para os fins dessa lei, serviços OTT como o WhatsApp, Facebook e Google são considerados aplicações de internet (art. 5º, inciso VII). 
    Nesse diploma, o regime de proteção aos registros, aos dados pessoais e às comunicações privadas é disciplinado nos arts. 10 a 12, cujo teor transcrevo abaixo:  
     
    Art. 10. A guarda e a disponibilização dos registros de conexão e de acesso a aplicações de internet de que trata esta Lei, bem como de dados pessoais e do conteúdo de comunicações privadas, devem atender à preservação da intimidade, da vida privada, da honra e da imagem das partes direta ou indiretamente envolvidas.
    § 1º O provedor responsável pela guarda somente será obrigado a disponibilizar os registros mencionados no  caput,   de forma autônoma ou associados a dados pessoais ou a outras informações que possam contribuir para a identificação do usuário ou do terminal, mediante ordem judicial, na forma do disposto na Seção IV deste Capítulo, respeitado o disposto no art. 7º .
    § 2º O conteúdo das comunicações privadas somente poderá ser disponibilizado mediante ordem judicial, nas hipóteses e na forma que a lei estabelecer, respeitado o disposto nos incisos II e III do art. 7º .
    § 3º O disposto no caput não impede o acesso aos dados cadastrais que informem qualificação pessoal, filiação e endereço, na forma da lei, pelas autoridades administrativas que detenham competência legal para a sua requisição.
    § 4º As medidas e os procedimentos de segurança e de sigilo devem ser informados pelo responsável pela provisão de serviços de forma clara e atender a padrões definidos em regulamento, respeitado seu direito de confidencialidade quanto a segredos empresariais.
    Art. 11. Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, de dados pessoais ou de comunicações por provedores de conexão e de aplicações de internet em que pelo menos um desses atos ocorra em território nacional, deverão ser obrigatoriamente respeitados a legislação brasileira e os direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas e dos registros.
    § 1º O disposto no  caput   aplica-se aos dados coletados em território nacional e ao conteúdo das comunicações, desde que pelo menos um dos terminais esteja localizado no Brasil.
    § 2º O disposto no  caput   aplica-se mesmo que as atividades sejam realizadas por pessoa jurídica sediada no exterior, desde que oferte serviço ao público brasileiro ou pelo menos uma integrante do mesmo grupo econômico possua estabelecimento no Brasil.
    § 3º Os provedores de conexão e de aplicações de internet deverão prestar, na forma da regulamentação, informações que permitam a verificação quanto ao cumprimento da legislação brasileira referente à coleta, à guarda, ao armazenamento ou ao tratamento de dados, bem como quanto ao respeito à privacidade e ao sigilo de comunicações.
    § 4º Decreto regulamentará o procedimento para apuração de infrações ao disposto neste artigo.
    Art. 12. Sem prejuízo das demais sanções cíveis, criminais ou administrativas, as infrações às normas previstas nos arts. 10 e 11 ficam sujeitas, conforme o caso, às seguintes sanções, aplicadas de forma isolada ou cumulativa:
    I - advertência, com indicação de prazo para adoção de medidas corretivas;
    II - multa de até 10% (dez por cento) do faturamento do grupo econômico no Brasil no seu último exercício, excluídos os tributos, considerados a condição econômica do infrator e o princípio da proporcionalidade entre a gravidade da falta e a intensidade da sanção;
    III - suspensão temporária das atividades que envolvam os atos previstos no art. 11; ou
    IV - proibição de exercício das atividades que envolvam os atos previstos no art. 11.
    Parágrafo único. Tratando-se de empresa estrangeira, responde solidariamente pelo pagamento da multa de que trata o  caput  sua filial, sucursal, escritório ou estabelecimento situado no País.
    A partir de uma interpretação sistemática desses dispositivos, percebe-se que os arts. 10 e 11 prescrevem obrigações aos provedores de conexão e de aplicações que estão relacionadas tanto ao regime de guarda e tratamento quanto ao regime de disponibilização dos dados. 
    O caráter atécnico da redação dos dispositivos legais sem dúvida dificulta a interpretação legal. Todavia, bem examinados, depreende-se que o único dispositivo que impõe alguma obrigação de disponibilização dos dados é o art. 10, já que o art. 11 refere-se tão somente às operações de coleta, armazenamento, guarda e tratamento de registros, de dados pessoais ou de comunicações.
    O art. 10 entabula um dever de disponibilização dos registros de conexão e de acesso a aplicações de interne, bem como de dados pessoais e do conteúdo de comunicações privadas. Todavia, fica claro da leitura da lei que tanto o escopo do dever de disponibilização quanto as condicionantes dessa disponibilização assumem limites e critérios diferenciados quando se trata de registros de conexão e de acesso vis a vis os conteúdos das comunicações privadas em si.
    Os registros de conexão à internet equivalem, na forma da lei, simplesmente ao “conjunto de informações referentes à data e hora de início e término de uma conexão à internet, sua duração e o endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados” (art. 5º, inciso VI). Trata-se, portanto, dos chamados metadados, os quais podem ser tecnicamente acessados por empresas de aplicativos sem que seja necessário violar o padrão de criptografia ponta-a-ponta. Esses dados, no entanto, não revelam qualquer elemento do conteúdo da comunicação.
    Para esse subconjunto, registros de conexão, o dever de guarda e disponibilização imposto pelo Marco Civil da Internet é autoaplicável. Isso porque a lei deixa claro no art. 10, § 1º, que o “provedor responsável pela guarda somente será obrigado a disponibilizar os registros mencionados no caput, de forma autônoma ou associados a dados pessoais ou a outras informações que possam contribuir para a identificação do usuário ou do terminal, mediante ordem judicial, na forma do disposto na Seção IV deste Capítulo, respeitado o disposto no art. 7º”. Assim, satisfeita a condição sagrada no dispositivo, qual seja, “ordem judicial”, é inafastável o dever de disponibilização dos registros de conexão à autoridade.
    Já o § 2º do art. 10, por sua vez, trata do conteúdo das comunicações privadas. Ocorre que esse parágrafo, diferente do anterior, não é autoaplicável, mas claramente carece de regulamentação. Depreende-se da sua redação que “o conteúdo das comunicações privadas somente poderá ser disponibilizado mediante ordem judicial, nas hipóteses e na forma que a lei estabelecer, respeitado o disposto nos incisos II e III do art. 7º”. Ao prever qu