Como responder ofício judicial de CGNAT em 30 minutos — checklist que seu advogado não vai cobrar

O problema que todo provedor já enfrentou (ou vai enfrentar)

Chega um oficial de justiça na sua recepção com um envelope. Dentro, um ofício do juiz pedindo: "requisito a V. Sa. que, no prazo de 15 dias, forneça o nome, CPF e endereço do usuario que utilizou o IP 177.87.203.157 porta 34246 em 14/02/2026 as 09:32:17 UTC-3".

Voce tem 15 dias. Sabe o que acontece nos proximos 15 dias na maioria dos provedores?

• Dia 1: recepcionista coloca o envelope na mesa do dono
• Dia 3: dono vê, passa pro TI
• Dia 5: TI descobre que os logs estão em 3 servidores diferentes
• Dia 7: TI descobre que o log daquele dia especifico nao existe ou esta corrompido
• Dia 10: desespero, liga pra advogado
• Dia 13: advogado pede R$ 3.000 pra fazer a defesa porque o cliente nao cumpriu
• Dia 15: entrega incompleta, provedor vira reu de LGPD + Marco Civil

Ou voce pode responder em 30 minutos com um PDF assinado e seguir sua vida. Este artigo e o checklist pra isso.

O que faz um oficio ser respondivel em 30 minutos

3 coisas precisam existir ANTES do oficio chegar:

1. Logs CGNAT armazenados — syslog do seu roteador (MikroTik, Huawei, Cisco) coletado por pelo menos 1 ano e indexado por IP publico + porta + horario
2. Cruzamento com cadastro do cliente — quando voce encontra o IP privado CGNAT (100.64.x.x), precisa saber qual login PPPoE estava usando aquele IP naquele momento E qual CPF/endereco esta cadastrado no login
3. Relatorio formal com hash de integridade — documento PDF assinado com SHA-256, timestamp, e cadeia de custodia pro juiz aceitar

Sem esses 3 pilares, 30 minutos viram 15 dias de sofrimento.

Checklist: 7 passos pra responder em 30 minutos

Passo 1 — Validar o que o oficio pede (5 minutos)

Todo oficio valido de CGNAT precisa ter 4 informacoes minimas:

• IP publico (o IP visto pelo servidor destino, ex: 177.87.203.157)
• Porta de origem (TCP/UDP, ex: 34246)
• Data e hora com fuso (ex: 14/02/2026 09:32:17 BRT / UTC-3)
• Autorizacao judicial expressa (decisao do juiz, nao pedido direto de delegado)

Se faltar alguma: responda o oficio pedindo complementacao. O prazo para de correr ate o juiz complementar. Isso e seu direito e te da mais tempo.

Se faltar a autorizacao judicial (veio direto da delegacia sem decisao do juiz): voce NAO deve entregar. Marco Civil Art. 10 § 1º exige ordem judicial pra quebra de sigilo de dados cadastrais. Responda formal pedindo a decisao.

Passo 2 — Abrir o sistema de consulta (1 minuto)

Com os 4 dados em mao, voce precisa de uma tela de consulta que aceite IP + porta + horario + janela de tolerancia (geralmente 5 minutos). Se seu sistema e manual (grep em txt, Elasticsearch cru), isso ja leva 10-15 minutos. Com uma plataforma dedicada, e 1 clique.

Passo 3 — Buscar a traducao NAT (2 minutos)

A consulta retorna: na hora 09:32:17 do dia 14/02, o seu CGNAT traduziu 177.87.203.157:34246 para o IP privado 100.64.87.12 de um cliente interno. Esse IP privado e que voce vai usar pra identificar o cliente.

Passo 4 — Cruzar com RADIUS (5 minutos)

Com o IP privado 100.64.87.12 e o timestamp 09:32:17, voce consulta seu log RADIUS (ou cadastro de sessoes PPPoE) e descobre que naquele exato momento o login joao.silva estava conectado e tinha esse IP alocado. Pronto — voce tem o cliente.

Passo 5 — Buscar dados cadastrais (3 minutos)

Com o login PPPoE, consulta seu ERP (Pipesoft, MK-Auth, IXC) e puxa: nome completo, CPF, RG, endereco de instalacao, telefone. Sao os dados que o oficio pede.

Passo 6 — Gerar relatorio PDF formal (10 minutos)

Documento obrigatoriamente precisa ter:

• Timbre do provedor com CNPJ
• Numero do processo judicial (do oficio recebido)
• Dados solicitados (IP, porta, data/hora)
• Dados do cliente identificado (nome, CPF, endereco)
• Trecho do log bruto como evidencia (linha do syslog)
• Hash SHA-256 do log como prova de integridade
• Assinatura digital do representante legal do provedor (certificado ICP-Brasil ideal, mas assinatura do administrador serve)
• Data da emissao

Sem esses elementos, o juiz pode devolver. Com eles, e aceito.

Passo 7 — Enviar protocolo + arquivar comprovante (4 minutos)

Resposta via:

1. E-Proc / PJe do tribunal (preferencial) — faz upload do PDF e protocola
2. Email institucional do gabinete (se vara aceitar, algumas aceitam)
3. Balcao fisico como ultimo recurso

Arquive: comprovante de protocolo + copia do PDF enviado + log original em 3 lugares (nuvem, HD local, backup offsite). Voce pode precisar provar cadeia de custodia no futuro.

Modelo de resposta pronta — copie e adapte

EXCELENTISSIMO(A) SENHOR(A) DOUTOR(A) JUIZ(A)

Processo nº [copiar do oficio]

[Nome do Provedor] LTDA, pessoa juridica de direito privado, inscrita no CNPJ sob o nº [CNPJ], com sede em [endereco], vem, respeitosamente, em atencao ao Oficio nº [XX/YYYY] expedido por V. Exa., datado de [data], INFORMAR os dados solicitados relativos ao acesso com IP publico [IP] porta [porta] em [data/hora fuso], conforme segue:

1. Dados da conexao

• IP publico de saida: [IP]
• Porta de origem: [porta]
• Data/hora do registro: [data/hora com fuso horario explicito]
• Sistema CGNAT operante: sim

2. Dados do usuario identificado

• Nome completo: [nome]
• CPF: [CPF]
• Endereco de instalacao: [endereco completo]
• Login PPPoE: [login]
• Data de ativacao do contrato: [data]

3. Integridade da evidencia

O log bruto do syslog do equipamento de CGNAT esta anexo como documento 1. O hash SHA-256 do arquivo de log e: [hash]. Este hash foi calculado no momento da extracao e garante que o log nao foi modificado.

4. Declaracao

[Nome do Provedor] mantem os logs de conexao pelo prazo legal de 1 (um) ano, conforme determina o Art. 13 da Lei 12.965/2014 (Marco Civil da Internet). Os dados aqui apresentados foram extraidos diretamente do sistema de armazenamento e nao passaram por modificacao humana.

Atenciosamente,

[Nome do administrador do provedor]
[Cargo]
[Data]

Salve esse modelo em um arquivo .docx no seu Drive. No dia que o oficio chegar, substitui os 10 campos e manda. Pronto.

5 erros comuns que fazem o provedor perder o prazo

Erro 1 — Logs em texto bruto sem indice

Syslog jogado em arquivo .txt de 50GB nao e log pra judicial. E massa de dados inutil. Pra valer, precisa estar indexado por IP + porta + timestamp.

Erro 2 — Timezone errado no banco de dados

Container MariaDB em UTC, servidor PHP em America/Sao_Paulo, log MikroTik em America/Recife. Resultado: relatorio judicial mostra horario 3h adiantado. O cliente identificado nao estava online naquele horario, e o juiz descarta a prova. Verifique timezone em 3 camadas antes do oficio chegar.

Erro 3 — NAT table sem "log=yes" no MikroTik

Regra de firewall NAT sem log=yes nao gera log de traducao. Voce tem o sessao RADIUS, mas nao tem a traducao IP publico -> privado, e nao consegue identificar o cliente de volta. Aja nisso AGORA: verifique /ip firewall nat print e confirme que suas regras srcnat tem log=yes log-prefix=cgnat.

Erro 4 — Retencao menor que 1 ano

Se seu disco ta cheio e voce esta rotacionando logs de 3 meses, voce esta em situacao de multa. Marco Civil Art. 13 exige 1 ano. Sem desculpa.

Erro 5 — Sem backup dos logs

Seu servidor principal queima. Os logs viram cinzas. Chegou um oficio. Voce vai responder o qua? O backup de logs e obrigatorio na pratica — nao pelo Marco Civil diretamente, mas pela sua sobrevivencia juridica e empresarial.

Quando voce PODE recusar um oficio

1. Falta ordem judicial expressa — se veio so da delegacia, sem decisao do juiz, voce deve recusar educadamente pedindo a decisao (Marco Civil Art. 10 § 1º)
2. Pedido vago — "todos os logs do cliente X" sem data/hora especifica viola proporcionalidade. Peca especificacao.
3. Dados que voce nao tem obrigacao de guardar — historico de navegacao, conteudo de mensagens, dados de aplicacao (Art. 15 e aplicacao, nao ISP). Voce so guarda conexao.
4. Oficio fora do Brasil — tribunal estrangeiro precisa passar por MLAT/cooperacao internacional antes. Nao entregue direto.

Recusar em algum desses casos nao e crime — voce esta cumprindo a lei ao proteger a privacidade do cliente dentro do que a lei permite.

Como o NATVault faz os 7 passos virarem 2 minutos

Os passos 2-6 do checklist acima (consulta + NAT + RADIUS + ERP + PDF formal) estao todos automatizados no NATVault:

• Consulta em 1 clique — digite IP + porta + data/hora, recebe o cliente em menos de 1 segundo
• Cruzamento automatico — NATVault conecta no RADIUS + ERP (Pipesoft/MK-Auth) e retorna ja o cliente identificado
• PDF formal gerado automatico — hash SHA-256, timezone correto, layout juridico pronto pra protocolar
• Retencao 395 dias — 1 ano + 30 dias de margem, sem voce gerenciar
• Cadeia de custodia — audit log de quem consultou o que e quando, rastreavel

Trial 14 dias gratis sem cartao de credito: crie sua conta agora.

Perguntas frequentes

Posso cobrar do juizo pra fazer a consulta?

Marco Civil Art. 14 permite cobrar custas razoaveis em alguns casos (pericia, envolvimento excessivo de recursos). Mas na pratica, provedor que cobra entra em briga com juiz. Recomendo nao cobrar por consulta individual — so por casos excepcionais com muita gente/muitos IPs.

Quanto tempo tenho pra responder?

Padrao e 5 a 15 dias, conforme o oficio. Alguns pedem 48h em casos urgentes. Se o prazo for impossivel, pedir prorrogacao por escrito e aceitavel e nao configura desobediencia.

E se o cliente nao existe mais (cancelou o contrato)?

Voce ainda e obrigado a ter o log de quando ele era ativo. O contrato acabou, mas os dados ficam por 1 ano apos o uso. Responda normalmente com os dados historicos.

E se o IP publico era de outro cliente atras do CGNAT?

O CGNAT usa IP publico compartilhado. Por isso a porta de origem e obrigatoria pra identificacao unica. Se o juiz so mandou IP sem porta, voce nao pode identificar ninguem — responda pedindo a porta.

Preciso guardar o conteudo do trafego do cliente (sites que ele visitou, etc)?

NAO. Marco Civil Art. 13 so exige dados de CONEXAO: login, IP atribuido, inicio e fim da sessao. Conteudo de navegacao e dados de aplicacao (Art. 15) e obrigacao de quem roda a aplicacao (Facebook, Google), nao do ISP.

Sobre o NATVault: plataforma brasileira de compliance Marco Civil pra provedores de internet. Trial gratis 14 dias, sem cartao: comecar agora.