Em 24 de abril de 2026, foi publicada a Edição 279 da Jurisprudência em Teses do Superior Tribunal de Justiça, a qual contou com uma tese a respeito do congelamento de dados. Segundo o entendimento firmado pela corte: “9) O requerimento cautelar de guarda dos registros de acesso ou conexão a aplicações de internet por prazo superior ao legal, feito por autoridade policial, administrativa ou pelo Ministério Público, prescinde de prévia autorização judicial”. Tal enunciado encontra fundamento, na declaração do próprio STJ, nos artigos 10, 13, §§ 2º e 3º, e 15, § 2º, da Lei 12.965/2014.
Contudo, uma análise detida dos julgados que conferiram substrato à referida tese, especialmente os acórdãos do HC 626.983/PR (2022) e do AgRg no HC 998.395/SP (2025), revela que, naqueles casos concretos, o objeto da medida cautelar não se limitava aos registros de conexão e de acesso a aplicações de internet [1]. A diligência de congelamento requisitada no primeiro caso foi “a preservação dos dados e IMEI coletados a partir das contas de usuários vinculadas, tais como dados cadastrais, histórico de pesquisa, todo conteúdo de e-mail e iMessages, fotos, contatos e históricos de localização, desde a data de 01.06.2017 até o presente momento”.
No segundo caso, verifica-se que “o Ministério Público, em 12/3/2019, pediu ao diretor da Microsoft Corporation, da Uol e da Verizon Communications a preservação de todos os dados estáticos vinculados às contas de e-mail indicadas nos ofícios, a fim de impedir a livre disposição, por parte de seus titulares, de todos os dados telemáticos que estivessem armazenados nas referidas plataformas pelo prazo de 90 (noventa) dias”.
Ocorre que a Lei 12.965/2014 (Marco Civil da Internet) claramente faz a distinção entre o tipo de dado no ambiente digital, distinguindo (1) os registros de conexão e de acesso a aplicações de internet, espécies de metadados, e (2) os dados de conteúdo.
Os registros de conexão são definidos pelo artigo 5º, VI, do Marco Civil como o conjunto de informações referentes à data e hora de início e término de uma conexão à internet, sua duração e o endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados. Trata-se, portanto, de metadados relacionados ao acesso à rede, que identificam quando e de onde um usuário se conectou, mas não revelam o que foi acessado ou o conteúdo das comunicações.
Os registros de acesso a aplicações de internet, por sua vez, são definidos no artigo 5º, VIII, como o conjunto de informações referentes à data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP. Também correspondem a metadados, mas relacionados ao uso de serviços específicos, como redes sociais, serviços de e-mail ou aplicativos de mensageria, sem revelar o teor das mensagens trocadas ou dos arquivos armazenados.
SpaccaOs dados de conteúdo, embora não definidos expressamente com esse rótulo no Marco Civil da Internet, correspondem ao conjunto de informações que compõem o próprio teor das comunicações e dos arquivos armazenados: o conteúdo de e-mails, mensagens, fotografias, documentos, históricos de localização detalhados, listas de contatos, entre outros elementos. Tais dados gozam de proteção reforçada, pois revelam aspectos íntimos da vida privada do indivíduo.
Feita essa distinção, verifica-se que o artigo 13 do Marco Civil estabelece o prazo de guarda obrigatória dos registros de conexão pelos provedores de conexão à internet, fixado em um ano. Já o artigo 15 determina que os provedores de aplicações de internet constituídos como pessoa jurídica e que exerçam essa atividade de forma organizada, profissionalmente e com fins econômicos devem manter os registros de acesso a aplicações de internet pelo prazo de seis meses.
O § 2º do artigo 13 e o § 2º do artigo 15, expressamente invocados pela tese nº 9 da Jurisprudência em Teses 279 do STJ, preveem a possibilidade de guarda cautelar de tais registros por prazo superior ao legal, mediante requerimento da autoridade policial, administrativa ou do Ministério Público. A ratio dessas normas é permitir a preservação de metadados de conexão e de acesso quando houver necessidade investigatória, sem que se exija, nesse momento preliminar, a prévia intervenção judicial.
É crucial sublinhar, entretanto, que o regime diferenciado previsto nesses dispositivos aplica-se expressamente aos registros de conexão e aos registros de acesso a aplicações de internet, categorias de metadados, e não aos dados de conteúdo. A extensão desse regime a dados de conteúdo não encontra amparo na literalidade do MCI, embora a Convenção de Budapeste trate de preservação expedita de dados (artigo 16), e sua admissibilidade exige análise detida à luz dos direitos fundamentais à privacidade e à autodeterminação informacional.
Dito isso, podemos retomar a análise dos casos
No HC 626.983/PR, a impetração versava sobre medida cautelar de congelamento de dados determinada em procedimento de investigação criminal. Embora o acórdão faça referência aos registros de conexão e de acesso a aplicações de internet, os dados efetivamente preservados – e que geraram a controvérsia sobre a necessidade de autorização judicial – incluíam elementos que vão além da mera identificação de quando e de onde o usuário se conectou ou acessou determinada aplicação. O caso envolvia a preservação de comunicações e informações de natureza diversa, que compõem o conteúdo das interações digitais dos alvos da medida.
O próprio voto-vista do ministro Sebastião Reis Júnior, acolhendo a argumentação do Relator, faz um complemento com o apontamento de que a interpretação dos dispositivos que tratam da guarda cautelar dos registros de conexão e de acesso a aplicações de internet deve ser realizada de forma extensiva: “Acredito que a melhor decisão tangencia o poder geral de cautela dos órgãos de persecução penal e o poder de requisição ministerial. Ciente de tais cânones, os dispositivos em questão alcançam a hipótese mediante interpretação extensiva. […] é possível requerer diretamente a preservação dos registros de conexão e de registro de acesso a aplicações de internet e de dados, não sendo possível acessá-los sem a devida autorização judicial”.
O mesmo padrão repete-se no AgRg no HC 998.395/SP. O pedido de congelamento formulado pela autoridade investigante não circunscrevia seu objeto aos metadados de conexão, mas alcançava dados de natureza mais sensível, incluindo informações que permitem reconstruir o comportamento, os relacionamentos e os hábitos dos alvos ao longo do tempo.
Essa questão chegou ao STF e foi analisada no AgR no HC 222.141/SP (2024), no qual o ministro Gilmar Mendes registrou expressamente que a requisição formulada pelo Gaeco buscava dados relativos a período que retroagia mais de cinco anos – evidenciando a desproporcionalidade da medida –, e que o objeto do pedido de congelamento incluía – sendo este o ponto para nós relevante – histórico de pesquisa, conteúdo de e-mails e iMessages, fotos, contatos e históricos de localização, elementos que, categoricamente, não se enquadram no conceito de registros de acesso a aplicações de internet. Esse entendimento foi reafirmado no AgR no RE 1.492.655/SC (2024).
Com efeito, o STF assentou que o congelamento de dados, ainda que submetido à posterior autorização judicial para fins de acesso ao conteúdo, constitui, por si mesmo, uma intervenção autônoma na autodeterminação informacional (informationelle Selbsstbestimmung) do cidadão, sendo inconstitucional quando realizado fora das hipóteses legais e sem observância das regras de organização e procedimento.
Também não é possível se socorrer com o artigo 16 da Convenção de Budapeste, que trata da preservação expedita de dados, pois, como corretamente pontuado no voto do ministro relator Ricardo Lewandowski, “referidas normas, por mais que se esforce o intérprete, não afastam ou restringem a incidência da cláusula pétrea da reserva de jurisdição na hipótese”.
O problema estrutural que se delineia é o seguinte: ao consolidar a tese nº 9 da Edição 279 da Jurisprudência em Teses do STJ com base em julgados que versam também sobre congelamentos de dados de conteúdo, o STJ criou uma tese abstrata – voltada para metadados – mas sustentada por precedentes concretos que tratam de algo qualitativamente distinto. Esse descompasso entre a ratio decidendi dos casos concretos e o enunciado abstrato extraído deles é prejudicial para a correta aplicação da lei, pois permite que o enunciado seja invocado como escudo jurídico para medidas de congelamento que, na prática, extrapolam os limites legais, sem que haja controle judicial prévio, sem que se questione a adequação do objeto da medida e, por consequência, sem que os direitos fundamentais dos investigados sejam efetivamente tutelados na sua exata dimensão de importância.
No Brasil, a autodeterminação informacional foi progressivamente reconhecida pela doutrina e pela jurisprudência como direito fundamental, derivado do regime de proteção da dignidade da pessoa humana (artigo 1º, III, CF), da inviolabilidade da intimidade e vida privada (artigo 5º, X, CF) e do habeas data (artigo 5º, LXXII, CF). Com a Emenda Constitucional 115/2022, a proteção de dados pessoais foi elevada à condição de direito fundamental autônomo, com assento expresso no artigo 5º, LXXIX, da Constituição.
A relevância da autodeterminação informacional para o debate aqui travado reside em uma premissa que o Supremo Tribunal Federal tornou explícita no HC 222.141/SP: o congelamento de dados não é ato neutro ou meramente conservatório. Ao congelar dados, especialmente dados de conteúdo, a autoridade investigante subtrai do cidadão o controle sobre suas informações pessoais, impedindo-o de modificá-las, excluí-las ou de qualquer forma exercer sobre elas sua autonomia informacional. Essa subtração do controle, por si mesma, constitui intervenção na esfera privada do indivíduo, independentemente de o sigilo das informações ter sido ou não efetivamente quebrado.
Trata-se de perspectiva que vai além da tradicional dicotomia entre sigilo das comunicações (sujeito à reserva de jurisdição, nos termos do artigo 5º, XII, CF) e registros de conexão e de acesso a aplicações de internet (sujeitos a regime menos rígido). A proteção da autodeterminação informacional opera em um inclusive plano anterior à quebra do sigilo: ela tutela o próprio controle do indivíduo sobre seus dados, que pode ser violado já no momento da coleta ou do congelamento, mesmo que o acesso ao conteúdo só ocorra posteriormente mediante autorização judicial.
Essa construção teórica tem consequências práticas da maior relevância
Se o congelamento de dados de conteúdo é uma intervenção, por si mesmo, na autodeterminação informacional, então a ausência de controle judicial prévio sobre a medida cautelar de guarda torna-se constitucionalmente problemática, ao menos quando o objeto do congelamento ultrapassa os limites dos metadados de conexão e de acesso contemplados nos artigos 13, § 2º, e 15, § 2º, do Marco Civil da Internet.
Toda e qualquer captação (levantamento), armazenamento, utilização e transmissão de dados pessoais serve como intervenção na área de proteção do direito fundamental à proteção de dados pessoais [2]. Quaisquer dessas medidas devem, portanto, respeitar a exigência da reserva de lei proporcional, isto é, de que exista uma norma autorizativa específica e proporcional.
Tem-se, assim, que os acórdãos do STJ que deram base ao Enunciado ultrapassaram os limites objetivos estabelecidos pelo Marco Civil da Internet: o pedido de congelamento abrangeu dados que, por sua natureza, não se enquadram na categoria de registros de conexão ou de acesso a aplicações de internet.
Em suma, a aparente compatibilidade entre as posições do STF e do STJ, que poderia ser sustentada sob o argumento de que o STJ se refere apenas a metadados, enquanto o STF trata de dados de conteúdo, colapsa quando se examinam os julgados que fundamentam o enunciado do STJ: como demonstrado, eles versam sobre situações fáticas que envolvem dados de conteúdo, e não apenas metadados.
As consequências práticas desse conflito são múltiplas. Em primeiro lugar, gera-se insegurança jurídica para os sujeitos investigados, que não têm como prever com clareza qual o regime jurídico aplicável ao congelamento de seus dados informáticos. Em segundo lugar, abre-se espaço para que autoridades investigativas invoquem o enunciado do STJ para fundamentar pedidos de congelamento que, na prática, abrangem dados de conteúdo, contornando, assim, a orientação do STF. Em terceiro lugar, cria-se uma situação em que provas obtidas após congelamento irregular, sem autorização judicial e sobre dados de conteúdo, podem ser admitidas em processos criminais com base na aparente autoridade do precedente do STJ, em flagrante violação ao entendimento do STF.
Nesse cenário, teria sido mais prudente que o STJ, ao redigir o enunciado da Edição 279 da Jurisprudência em Teses, excluísse expressamente de seu alcance os dados de conteúdo, restringindo a dispensa de autorização judicial aos casos envolvendo registros de conexão e de acesso a aplicações de internet. Essa ressalva preservaria de forma expressa a coerência entre a Corte e a orientação já firmada pelo STF, sem esvaziar o mecanismo de guarda cautelar de metadados previsto nos artigos 13, § 2º, e 15, § 2º, do Marco Civil da Internet.
[1] Não se desconhece que há boa doutrina sustentando que a guarda cautelar, inclusive dos dados de conteúdo, prescinde de autorização judicial. Nesse sentido, ARAS, Vladimir. O congelamento de dados informáticos para fins de prova no processo penal. Delictae, v. 8, n. 15, p. 180-222, jul./dez. 2023, p. 199 e ss.
[2] SARLET, Ingo Wolfgang. Proteção de dados pessoais como direito fundamental na constituição federal brasileira de 1988: contributo para a construção de uma dogmática constitucionalmente adequada. Revista Brasileira de Direitos Fundamentais e Justiça, v. 14, n. 42, p. 179-218, jan./jun. 2020, p. 210.
O post Congelamento de dados sem autorização judicial e a tese firmada pelo STJ apareceu primeiro em Consultor Jurídico.