LGPD: STF define limites para acesso a dados digitais em 2026

O Supremo Tribunal Federal (STF) avançou, nas últimas sessões, em um julgamento que pode redefinir o acesso a informações digitais em investigações: a ADC 91, sobre limites para obtenção de dados de usuários previstos no Marco Civil da Internet.

O caso voltou ao centro do debate porque o relator, ministro Cristiano Zanin, sustentou que a identificação de usuários por provedores — quando exige vincular registros de conexão/acesso a dados cadastrais — deve depender de autorização judicial.

Embora a discussão não altere a LGPD diretamente, o desfecho tem impacto prático sobre privacidade e governança de dados, ampliando o peso do controle judicial em pedidos de autoridades e em rotinas de compliance.

O que este artigo aborda:

• O que está em jogo na ADC 91 e por que isso toca a LGPD
• Como provedores e apps devem se preparar no curto prazo
• O que muda para a privacidade: impacto real além da teoria

O que está em jogo na ADC 91 e por que isso toca a LGPD

A ação discute a constitucionalidade do art. 10, §1º, do Marco Civil, que impõe ordem judicial para o compartilhamento de determinados dados por provedores em investigações.

No voto do relator, a regra é válida e deve ser interpretada para deixar claro que o provedor só pode identificar o usuário com autorização judicial, ao fazer o “vínculo” entre dados.

O STF informou que o julgamento foi iniciado e interrompido após formação de placar parcial favorável à exigência de decisão judicial, com retomada em data a ser definida.

Na prática, a tese pode reduzir pedidos “informais” e aumentar exigências documentais, com reflexos em políticas internas de retenção, resposta a autoridades e segurança jurídica do tratamento.

• Para empresas: mais padronização de fluxos de atendimento a ordens e preservação de evidências.
• Para cidadãos: maior barreira institucional para cruzamento que leve à identificação.
• Para investigação: reforço do papel do Judiciário como gatekeeper.

Como provedores e apps devem se preparar no curto prazo

Mesmo antes do fim do julgamento, especialistas em proteção de dados já recomendam mapear quais solicitações externas exigem ordem judicial e quais podem ser atendidas por bases legais específicas.

O risco operacional está em confundir categorias de dados: “dados de tráfego” e registros podem parecer técnicos, mas frequentemente se tornam pessoais quando correlacionados a cadastros e logs.

O caso também dialoga com a ampliação de competências regulatórias em curso na ANPD, que registrou novas frentes ligadas ao Marco Civil após decretos de 2026.

1. Revisar playbooks de requisições e criar trilhas de auditoria (quem pediu, quem autorizou, o que foi entregue).
2. Checar retenção mínima e descarte seguro de logs, alinhando necessidade técnica e minimização.
3. Treinar times de jurídico, segurança e atendimento para evitar entrega de dados sem ordem quando houver “vínculo” identificável.

O que muda para a privacidade: impacto real além da teoria

O precedente tende a fortalecer a leitura de que “identificar” é um ato sensível, porque transforma dados dispersos em perfil individualizado, elevando risco de abuso e de responsabilização.

Para titulares, o efeito é indireto, mas relevante: reduz a chance de rastreamento por atalhos administrativos e reforça transparência e proporcionalidade na coleta e no compartilhamento.

A cobertura pública recente do tema, incluindo a informação de que o STF discute se o acesso a dados de usuários exige ordem judicial, elevou a pressão sobre empresas para padronizar respostas e reduzir improvisos.

Também pesa o detalhamento do próprio tribunal, ao registrar que o relator votou para validar a regra e delimitar que a identificação por vínculo entre registros e cadastros depende de autorização judicial.

Do lado regulatório, a ANPD já indica, em sua agenda, que o tema “Marco Civil” está em andamento sob novas competências associadas a decretos de 2026, o que reforça que privacidade e internet seguirão convergindo em fiscalização.