Marco Civil Art. 15: Guarda de Registros de Acesso a Aplicações (Guia para Provedores)

Art. 13 não é a mesma coisa que Art. 15 (e isso confunde muito provedor)

Quando se fala em "guarda de logs" pelo Marco Civil, quase todo mundo pensa no Art. 13 — os registros de conexão, guardados por 1 ano pelo provedor de conexão. Mas existe um segundo dever, menos comentado e que pega muito ISP de surpresa: o Art. 15, que trata dos registros de acesso a aplicações, guardados por 6 meses.

Se o seu provedor opera qualquer aplicação própria — portal do assinante, webmail, área do cliente, hotspot com login, sistema de autoatendimento, hospedagem — você provavelmente também é provedor de aplicação e tem obrigações sob o Art. 15. Ignorar isso é uma lacuna comum de conformidade.

O que diz o Art. 15 do Marco Civil

"O provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 6 (seis) meses." — Lei 12.965/2014, Art. 15

Três condições ativam o dever: ser pessoa jurídica, exercer a atividade de forma organizada e profissional, e ter fins econômicos. Um ISP que cobra pelos seus serviços e roda aplicações próprias atende às três.

O que é "registro de acesso a aplicação"

O Art. 5º, VIII define como o conjunto de informações referentes à data e hora de uso de uma determinada aplicação a partir de um determinado endereço IP. Na prática, para cada acesso à sua aplicação, você registra:

• Data e hora do acesso (com NTP sincronizado)
• Endereço IP de origem
• Identificação da aplicação acessada

Importante: o Art. 15 não obriga a guardar o conteúdo acessado — apenas o registro de quando e de qual IP a aplicação foi usada.

Art. 13 vs Art. 15: a diferença que resolve a confusão

Art. 13 — Registros de Conexão

• Quem guarda: provedor de conexão (o ISP enquanto provê acesso à internet)
• O que: data, hora e duração da conexão + o IP atribuído ao terminal (Art. 5º, VI)
• Prazo: 1 ano

Art. 15 — Registros de Acesso a Aplicações

• Quem guarda: provedor de aplicação (quem oferece a aplicação — inclusive o ISP, para suas próprias aplicações)
• O que: data e hora de uso da aplicação a partir de um IP (Art. 5º, VIII)
• Prazo: 6 meses

Um mesmo ISP pode ter os dois deveres ao mesmo tempo: Art. 13 pelos registros de conexão dos assinantes e Art. 15 pelos acessos às suas aplicações próprias.

Quando seu ISP vira "provedor de aplicação"

Sempre que você oferece uma funcionalidade acessada via internet, é provedor daquela aplicação. Exemplos comuns em provedores:

• Portal / área do assinante (segunda via, consumo, suporte)
• Webmail ou e-mail hospedado
• Hotspot / Wi-Fi com login (captive portal)
• Hospedagem de sites de clientes
• Apps, chatbots e sistemas de autoatendimento próprios

Para cada uma, o Art. 15 pede o registro de acesso por 6 meses, sob sigilo e segurança.

Como guardar: sigilo, segurança e regulamento

Os registros do Art. 15 devem ficar sob sigilo, em ambiente controlado e de segurança. O Decreto 8.771/2016 (regulamento do Marco Civil) detalha os padrões: controle de acesso, autenticação, registro de quem acessou os dados e proteção contra acesso não autorizado. Na prática:

• Acesso restrito e autenticado (idealmente 2FA)
• Trilha de auditoria de quem consultou os dados
• Integridade comprovável (para o registro não ser contestado)
• Retenção controlada de 6 meses, com expurgo documentado

Requisição: só com ordem judicial

Os registros de acesso a aplicações só podem ser disponibilizados mediante ordem judicial (Arts. 22 e 23). Antes disso, autoridade policial, Ministério Público ou administrativa pode requerer cautelarmente a guarda por prazo superior (Art. 15, §2º) — mas o fornecimento depende de decisão judicial. Entregar dados sem ordem é violação de sigilo.

Erros comuns que viram problema

• Achar que basta o Art. 13. Provedor com portal/webmail próprio também responde pelo Art. 15.
• Não logar os acessos às próprias aplicações — quando chega o ofício sobre o portal/hotspot, não há o que entregar.
• Guardar sem segurança — registros em ambiente sem controle de acesso violam o Art. 15 e o Decreto 8.771/2016.
• Misturar prazos — conexão é 1 ano, aplicação é 6 meses; tratar tudo igual gera excesso ou falta.

Checklist — Art. 15 no seu provedor

• ☐ Mapeie suas aplicações próprias (portal, webmail, hotspot, hospedagem, apps)
• ☐ Registre data/hora + IP + aplicação de cada acesso
• ☐ Retenção de 6 meses para registros de acesso a aplicações
• ☐ NTP sincronizado em todos os sistemas
• ☐ Guarda sob sigilo, com acesso restrito e 2FA
• ☐ Trilha de auditoria de quem consultou
• ☐ Não esqueça do Art. 13 (registros de conexão, 1 ano) em paralelo
• ☐ Fornecimento só com ordem judicial

Como a NATVault cobre os dois deveres

A NATVault foi feita para a parte mais crítica da conformidade de provedores — a guarda íntegra e rastreável de registros. A mesma infraestrutura cobre Art. 13 e Art. 15:

• Registros de conexão (Art. 13) com retenção de 12 meses e correlação CGNAT (IP público + porta → IP privado → assinante)
• Registros de acesso a aplicações (Art. 15) com retenção configurável de 6 meses
• Integridade comprovável — trilha imutável com hash encadeado SHA-256 (o registro não é contestável em juízo)
• Sigilo e segurança — acesso restrito, 2FA e auditoria de consultas, conforme o Decreto 8.771/2016
• Resposta a ofício em minutos, com relatório PDF documentado

Conclusão

O Marco Civil tem dois deveres de guarda, não um. O Art. 13 cuida da conexão (1 ano); o Art. 15 cuida do acesso às aplicações (6 meses). Provedor que roda portal, webmail ou hotspot precisa dos dois — e guardar com sigilo, segurança e integridade é o que evita auto de infração e garante que a prova se sustente quando o ofício chegar.

Teste a NATVault grátis por 14 dias (sem cartão) → e mantenha Art. 13 e Art. 15 em conformidade, com integridade comprovável.

Referências

• Lei 12.965/2014 (Marco Civil da Internet) — Art. 5º (VI, VII, VIII), Art. 13, Art. 15, Arts. 22-23
• Decreto 8.771/2016 — Regulamento do Marco Civil (segurança e guarda de registros)
• Lei 13.709/2018 (LGPD) — tratamento e proteção de dados pessoais

Conteúdo informativo; não substitui orientação jurídica. Consulte um advogado especializado para o caso concreto do seu provedor.