Se o seu provedor usa CGNAT — e boa parte dos provedores regionais independentes usa —, guardar o endereço IP deixou de ser suficiente para cumprir a lei. Um decreto de maio de 2026 incluiu no regulamento do Marco Civil da Internet um artigo novo que estende o dever de guarda à porta lógica de origem. Ele já está em vigor, e o texto é explícito ao dizer que a obrigação independe de alguém pedir. Quem só registra IP público e horário tem um registro que, na prática, não identifica ninguém — e agora tem também um problema de conformidade.

Neste artigo

• O que mudou, e desde quando
• Por que o IP sozinho parou de servir
• O que o art. 15-A diz, literalmente
• Quem é o obrigado — e por que isso recai no seu ASN
• O que precisa estar no registro
• O que exigir de um pedido de registros
• A saída que reduz a obrigação: endereço próprio por assinante
• O que este artigo não diz

O que mudou, e desde quando

O Decreto nº 12.975, de 20 de maio de 2026, publicado no Diário Oficial de 21 de maio, alterou o Decreto nº 8.771/2016 — o regulamento do Marco Civil da Internet. Entre as alterações, incluiu um artigo inteiramente novo, o art. 15-A, na seção que trata dos padrões de segurança e sigilo dos registros.

O art. 2º do decreto diz que ele entra em vigor sessenta dias após a data de sua publicação. Contados a partir de 21 de maio de 2026, esses sessenta dias venceram em 20 de julho de 2026. Ou seja: não é regra futura, é obrigação corrente.

Por que o IP sozinho parou de servir

A Lei nº 12.965/2014 define, no art. 5º, inciso VI, o que é registro de conexão: o conjunto de informações referentes à data e hora de início e término de uma conexão à internet, sua duração e o endereço IP utilizado pelo terminal.

Essa definição foi escrita para um mundo em que cada assinante recebia um endereço IPv4 público. Não é mais assim. Com o CGNAT, dezenas ou centenas de assinantes compartilham o mesmo endereço público ao mesmo tempo, e o que distingue um do outro é a porta usada em cada sessão.

A consequência é direta: se chega um pedido informando apenas “IP tal, dia tal, hora tal”, e você opera CGNAT, esse dado aponta para todos os assinantes que estavam atrás daquele IP naquele instante — o que é o mesmo que não apontar para ninguém. O art. 15-A trata exatamente disso.

O que o art. 15-A diz, literalmente

Vale ler o dispositivo em vez de resumo. O caput: o dever de guarda de registros de endereço IP pelos provedores de conexão e pelos provedores de aplicações de internet, previsto nos arts. 13 e 15 da Lei nº 12.965/2014, abrangerá a porta lógica de origem associada sempre que necessário para a identificação inequívoca do terminal de origem ou do próximo enlace de rede.

Duas expressões merecem atenção. “Sempre que necessário” — a obrigação não é universal: ela nasce quando, sem a porta, não dá para identificar. É precisamente o caso de quem opera CGNAT. E “identificação inequívoca” é a régua: o registro tem de fechar em um terminal, não em um conjunto deles.

O §1º fecha duas saídas de uma vez: o dever de guarda da porta lógica de origem independerá de prévia requisição e recairá autonomamente sobre cada provedor. Ou seja, não vale esperar o ofício para começar a registrar, e não vale dizer que quem guarda é o provedor de trânsito acima de você.

O §2º trata do outro lado: o fornecimento da porta e dos dados vinculados observa os arts. 10 e 22 da Lei — o que significa que guardar é obrigatório, entregar não é automático. Isso está detalhado mais abaixo.

Quem é o obrigado — e por que isso recai no seu ASN

O art. 13 da Lei nº 12.965/2014 é claro sobre a titularidade do dever: na provisão de conexão à internet, cabe ao administrador de sistema autônomo manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano.

“Administrador de sistema autônomo” é quem tem ASN — o número de sistema autônomo. Quem obteve ASN e bloco IP assumiu, junto, esse dever legal; é uma das consequências pouco lembradas de sair da condição de cliente e passar a operar rede própria. Como se obtêm os recursos de numeração no Registro.br e o ASN é a parte técnica e cadastral; o art. 13 trata do que vem depois dela.

O §1º do art. 13 reforça: a responsabilidade pela manutenção dos registros não poderá ser transferida a terceiros. Contratar quem opere a rede não transfere o dever — combina com o “autonomamente sobre cada provedor” do art. 15-A.

Há ainda um mecanismo que costuma pegar de surpresa. Pelos §§2º a 4º do art. 13, a autoridade policial, administrativa ou o Ministério Público pode requerer cautelarmente a guarda por prazo maior que um ano. Nesse caso, a autoridade tem 60 dias para ingressar com o pedido de autorização judicial de acesso, o provedor deve manter sigilo sobre o requerimento, e o pedido perde eficácia se a autorização for indeferida ou não for protocolada no prazo.

O que precisa estar no registro

A norma diz o que guardar; a operação diz o que isso exige na prática. Separando as duas coisas:

Da norma: o registro de conexão (data e hora de início e término, duração e IP) mais a porta lógica de origem, por um ano, sob sigilo e em ambiente controlado e de segurança.

Da engenharia — e isto é consequência, não texto legal: registrar a porta só resolve se o par IP-porta puder ser amarrado a um assinante em uma janela de tempo. Como a mesma porta é reutilizada por outro assinante em segundos, o registro precisa da janela — início e fim da tradução —, e todos os equipamentos envolvidos precisam de relógio sincronizado. Registro completo com hora errada é registro inútil.

Vale dimensionar antes de ser cobrado: log de tradução NAT cresce muito mais rápido que log de sessão, e “guardar por um ano” é decisão de armazenamento, não de configuração. Quem for descobrir isso no dia do ofício vai descobrir tarde.

O que exigir de um pedido de registros

Guardar é obrigação sua. Entregar tem regra, e ela protege tanto o assinante quanto o provedor. O art. 10, §1º da Lei condiciona a disponibilização dos registros à ordem judicial. E o art. 22, parágrafo único lista o que o requerimento deve conter, sob pena de inadmissibilidade:

• I — fundados indícios da ocorrência do ilícito;
• II — justificativa motivada da utilidade dos registros solicitados para fins de investigação ou instrução probatória;
• III — o período ao qual se referem os registros.

Na prática, dois pontos importam ao provedor que opera CGNAT. Primeiro: pedido sem o período não é atendível — e o inciso III torna isso um requisito, não uma implicância técnica. Segundo: quando o pedido traz só o IP público, sem porta e sem janela de tempo precisa, a resposta honesta é que o dado não permite identificação inequívoca. Isso não é recusa: é informar a limitação do que foi pedido, e convém dizer exatamente por quê, citando o compartilhamento de endereço.

Responder “não temos” quando o certo é “o que foi pedido não individualiza” são coisas diferentes, e a segunda é a que descreve o fato.

A saída que reduz a obrigação: endereço próprio por assinante

Repare de novo na condição do caput: a porta entra “sempre que necessário para a identificação inequívoca”. Quando cada assinante tem endereço próprio, a porta não é necessária — o endereço já individualiza.

É o caso do IPv6, em que a escassez que levou ao CGNAT não existe. Não é conselho jurídico nem promessa de dispensa: é a leitura do texto. Onde a identificação já fecha pelo endereço, a condição do art. 15-A não se realiza; onde o endereço é compartilhado, se realiza.

Vale como mais um argumento para uma decisão que já tinha outros — e o recurso já está na mão de quase todo mundo. Na base pública de numeração do Registro.br, 8.844 dos 9.125 sistemas autônomos brasileiros já têm bloco IPv6 alocado, ou seja, 96,9%. Ter alocado não é o mesmo que ter em produção: o arquivo é cadastro, não anúncio de rota. Mas mostra que, para a maioria, o passo que falta é de operação, não de obtenção.

O que este artigo não diz

Não é orientação jurídica. É a leitura do texto do decreto e da lei. Caso concreto, ofício concreto e processo concreto pedem análise do seu advogado.

Não afirmamos sanção específica. O art. 15-A cria o dever de guarda; este artigo não trata de qual penalidade se aplica ao descumprimento, nem de como ela vem sendo aplicada — não medimos isso. Vale registrar que é obrigação de outra origem: nasce do Marco Civil, não da regulamentação da Anatel, e por isso não se confunde com as obrigações reunidas no guia das prestadoras de pequeno porte. São deveres paralelos, com fiscais diferentes.

Não é guia de implementação. Não dizemos qual equipamento, qual formato de log ou qual dimensionamento serve ao seu caso. A parte de engenharia aqui é consequência do texto, e está marcada como tal.

A data de vigência é conta nossa. O decreto diz “sessenta dias após a publicação” e foi publicado em 21/05/2026; a data de 20/07/2026 é a contagem desse prazo, não uma data escrita na norma.

O decreto é maior que este recorte. O Decreto 12.975/2026 alterou vários dispositivos do Decreto 8.771/2016, boa parte deles voltada a provedores de aplicações de internet. Aqui tratamos apenas do que atinge o provedor de conexão.

Fontes: Decreto nº 12.975, de 20 de maio de 2026, que incluiu o art. 15-A no Decreto nº 8.771/2016; e Lei nº 12.965/2014 (Marco Civil da Internet), arts. 5º, 10, 13 e 22.