Marco Civil da Internet x Digital Services Act: dois caminhos regulatórios

O Decreto 12.975/2026, publicado em maio de 2026, alterou o Decreto 8.771/2016 para regulamentar a Lei 12.965/2014 — o Marco Civil da Internet — em conformidade com a decisão do Supremo Tribunal Federal nos Temas 987 e 533, que declarou a inconstitucionalidade parcial e progressiva do artigo 19 do MCI. A nova regulamentação abre espaço para um exercício comparativo com o Digital Services Act (DSA), adotado pela União Europeia em 2022.

O MCI, criado em 2014, baseava-se na responsabilidade subjetiva condicionada a ordem judicial específica. O Decreto 12.975/2026 rompe parcialmente com esse modelo ao instituir um dever de cuidado sistêmico: a plataforma pode responder quando houver falha estrutural na prevenção de ilícitos graves, como terrorismo, exploração sexual infantil, tráfico de pessoas, violência contra a mulher e fraudes em massa, independentemente de notificação judicial prévia. Por outro lado, a exigência de ordem judicial é mantida para hipóteses particularmente sensíveis à liberdade de expressão, como crimes contra a honra.

O DSA europeu segue lógica semelhante, em arquitetura regulatória mais amadurecida. O regulamento gradua obrigações conforme a natureza, o porte e o risco do serviço, com regime mais rigoroso para as Very Large Online Platforms (VLOPs), que tenham mais de 45 milhões de usuários mensais na União Europeia. Essas plataformas devem avaliar periodicamente riscos sistêmicos, adotar medidas de mitigação e se submeter a auditorias independentes.

No plano procedimental, o decreto brasileiro cria mecanismo extrajudicial de notificação, com prazos determinados — como até duas horas para indisponibilização de conteúdo íntimo sem consentimento — e assegura ao autor a possibilidade de contestação. O DSA exige mecanismos acessíveis de notice and action, decisões fundamentadas e recurso, inclusive perante órgãos certificados de resolução extrajudicial de litígios. O regime europeu também reconhece os trusted flaggers, entidades especializadas cujas notificações devem ser tratadas com prioridade.

Uma diferença estrutural importante está na arquitetura normativa: o DSA distribui obrigações por camadas (transmissão, hospedagem, plataformas e plataformas de grande dimensão), enquanto o decreto brasileiro aplica deveres de forma mais homogênea aos provedores de aplicação, modulados por critérios gerais como porte econômico e risco do serviço. Quanto à fiscalização, o decreto atribui à ANPD — transformada em agência reguladora pela Lei 15.352/2026 — a competência para regular, fiscalizar e sancionar provedores quanto aos novos deveres. No modelo europeu, a fiscalização é compartilhada entre os Coordenadores de Serviços Digitais e a Comissão Europeia, com multas de até 6% do faturamento anual global. O Brasil ainda não definiu, em nível infralegal, parâmetros sancionatórios com a mesma precisão quantitativa, o que deverá ser objeto de regulamentação complementar pela ANPD.