Por Cesar Augusto Taborda Lima
Diante de um perfil falso usado para enganar clientes, a ordem prudente é guardar a prova, pedir a remoção à plataforma e, para saber quem está por trás da conta, requerer ao juiz os registros que levam ao autor. Com a decisão definitiva do Supremo Tribunal Federal sobre o art. 19 do Marco Civil da Internet, a plataforma avisada de uma conta não autêntica que não a remove responde, em regra, solidariamente pelos danos, sem necessidade de ordem judicial prévia. A identificação do autor continua a depender do juiz, e a demora pesa contra a vítima: os registros de acesso só precisam ser guardados por seis meses.
Art. 22. A parte interessada poderá, com o propósito de formar conjunto probatório em processo judicial cível ou penal, em caráter incidental ou autônomo, requerer ao juiz que ordene ao responsável pela guarda o fornecimento de registros de conexão ou de registros de acesso a aplicações de internet.
Parágrafo único. Sem prejuízo dos demais requisitos legais, o requerimento deverá conter, sob pena de inadmissibilidade:
I. fundados indícios da ocorrência do ilícito;
II. justificativa motivada da utilidade dos registros solicitados para fins de investigação ou instrução probatória; e
III. período ao qual se referem os registros.
Lei 12.965/2014 (Marco Civil da Internet), art. 22, caput e parágrafo único.
Preservar a prova antes que o perfil desapareça
Perfis falsos costumam sumir assim que a vítima reage, e a própria denúncia, se atendida, apaga a página. A prova vem primeiro:
- o endereço (URL) do perfil e de cada publicação, com o nome de usuário;
- capturas de tela do perfil, das publicações e das mensagens, com data e hora;
- as conversas com clientes abordados e os relatos de quem pagou;
- comprovantes de pagamento, chaves Pix, contas e telefones usados pelo golpista;
- a prova de que a marca, o nome ou a imagem pertencem à vítima.
Capturas de tela provam as imagens que reproduzem, mas, se impugnadas, exigem autenticação eletrônica ou perícia (CPC, art. 422, § 1º). A ata notarial (CPC, art. 384) enfrenta isso de outro modo: o tabelião, dotado de fé pública, acessa o perfil e descreve o que constatou, e o documento público prova os fatos que ele declara terem ocorrido em sua presença (CPC, art. 405). A captura técnica por serviços privados, com código hash e metadados, é alternativa sem fé pública, cujo peso depende da confiabilidade técnica. Na esfera penal, o STJ exige perícia quando há dúvida razoável sobre a integridade da prova digital (AgRg no HC 1.014.212/ES, 2026).
Pedir a remoção e o que mudou com o STF
As principais plataformas têm formulários para denunciar contas que se passam por outra pessoa ou empresa; o do Instagram, por exemplo, só aceita pedidos da pessoa imitada ou de representante autorizado e exige documento de identidade. Quando isso não basta, a notificação extrajudicial deve indicar o endereço exato da conta, explicar por que ela não é autêntica e trazer a prova da identidade ou da marca.
O art. 19 do Marco Civil só responsabilizava a plataforma por conteúdo de terceiros após o descumprimento de ordem judicial específica. Em 26 de junho de 2025, o STF declarou o dispositivo parcialmente inconstitucional nos recursos extraordinários 1.037.396 (Tema 987) e 1.057.258 (Tema 533); o primeiro tratava de um perfil falso no Facebook. Em 17 de junho de 2026, ao julgar embargos de declaração no RE 1.037.396, o Tribunal fixou a redação final da tese do Tema 987 e declarou o trânsito em julgado.
Pela tese, a plataforma responde solidariamente, nos termos do art. 21 do Marco Civil, pelos danos de conteúdos de terceiros em casos de crime ou ato ilícito, salvo se demonstrar dúvida razoável sobre a ilicitude após diligência qualificada; e “aplica-se a mesma regra da responsabilidade solidária nos casos de contas denunciadas como não autênticas”.
Há ressalvas. Nas ofensas à honra vale o art. 19, embora a remoção possa ser pedida por notificação extrajudicial; o art. 19 rege também os serviços de mensagens instantâneas quanto às comunicações interpessoais. Em anúncios e impulsionamentos pagos, a culpa da plataforma é presumida, mesmo sem notificação, salvo prova de que agiu com diligência e em tempo razoável. A tese produz efeitos a partir de 5 de agosto de 2025, aplicando-se também aos atos continuados ou permanentes.
Os registros que levam ao autor
As plataformas devem guardar os registros de acesso por seis meses (art. 15), e os provedores de conexão, os registros de conexão por um ano (art. 13); a entrega desses dados depende de ordem judicial (art. 10, § 1º). O caminho usual parte da plataforma, que, por ordem judicial, informa endereços IP, datas, horários e porta lógica de origem; com esses dados, ordena-se à operadora de internet que identifique o assinante. O STJ exige de ambos os provedores a guarda e o fornecimento da porta lógica (REsp 1.777.769/SP, 2019) e decidiu, em 2025, que a operadora deve identificar o usuário com o IP e o período aproximado, mesmo sem a porta lógica informada pela plataforma (REsp 2.170.872/SP).
O pedido cabe em ação própria, antes de se saber contra quem litigar, ou em processo já existente. Convém requerer desde logo, em caráter de urgência, a preservação dos registros (CPC, art. 301). A autoridade policial ou administrativa e o Ministério Público podem pedir aos provedores a guarda cautelar, inclusive além do prazo legal, com sessenta dias para requerer ao juiz o acesso (arts. 13, §§ 2º e 3º, e 15, § 2º). O assinante identificado nem sempre é o autor, pois redes são compartilhadas; o dado orienta a investigação, sem encerrá-la.
O lado penal
O boletim de ocorrência documenta os fatos e abre à polícia seus próprios instrumentos. Conforme o caso, podem estar presentes a falsa identidade (Código Penal, art. 307), se o fato não constitui elemento de crime mais grave, ou a fraude eletrônica (art. 171, § 2º-A, incluído pela Lei 14.155/2021 e reescrito pela Lei 15.397/2026), punida com reclusão de quatro a oito anos quando a fraude usa informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos, duplicação de aplicação de internet ou meio análogo. A lei de 2026 revogou ainda o § 5º do art. 171, que condicionava, em regra, a ação penal por estelionato à representação da vítima. O enquadramento cabe às autoridades, e a via penal não substitui a ação civil.
A marca como prova de titularidade
Para a empresa, o registro no INPI simplifica a prova. A propriedade da marca adquire-se pelo registro, que assegura uso exclusivo em todo o território nacional, e o titular pode zelar por sua integridade material ou reputação (Lei 9.279/1996, arts. 129 e 130, III).
Parece-me que, nesses casos, o tempo decide mais do que qualquer tese. A prova preservada no primeiro dia e uma notificação precisa colocam a plataforma diante de um dever que o STF tornou claro; a espera pode apagar a prova e os registros que apontariam o autor. A ação judicial se justifica sobretudo quando há prejuízo a recuperar ou risco de que o golpe recomece com outra conta.