O Decreto 12.975/26 já está em vigor e alcança quase todo serviço online. Saiba por que sua matriz de riscos precisa ser refeita agora.

O prazo que passou em silêncio

Na segunda-feira, 20 de julho de 2026, terminou a carência de 60 dias do Decreto nº 12.975, de 21 de maio de 2026. A partir dessa data, o novo regime regulatório do Marco Civil da Internet (Lei nº 12.965/2014) deixou de ser tese jurídica e passou a ser obrigação exigível, com uma novidade que muda o tabuleiro: a ANPD recebeu competências administrativas para fiscalizar e sancionar provedores de aplicações de internet.

A maioria das organizações leu a notícia e seguiu a semana normalmente, convencida de que o assunto diz respeito às grandes redes sociais. É aqui que mora o problema. Provedor de aplicações de internet, na definição legal, é praticamente qualquer serviço que rode na internet: plataformas de software como serviço, marketplaces, aplicativos, portais com áreas de interação, serviços de streaming e até ferramentas corporativas. O rótulo parece distante, mas alcança uma parcela enorme das empresas brasileiras que operam produtos digitais.

O novo decreto altera o Decreto nº 8.771/2016, regulamento do Marco Civil, e incorpora ao plano administrativo a tese fixada pelo STF em junho de 2025, no julgamento dos Temas 987 e 533 (RE 1.037.396 e RE 1.057.258), que declarou a inconstitucionalidade parcial e progressiva do artigo 19 do Marco Civil. Só que o regulamento foi além da decisão judicial: criou estrutura de fiscalização, procedimentos obrigatórios e deveres que não constavam expressamente do julgado. E deu tudo isso para a ANPD administrar.

Enquanto isso, dentro das empresas, a matriz de riscos aprovada no último ciclo de planejamento continua a mesma. Nenhuma linha sobre deveres de moderação. Nenhuma linha sobre transparência de anúncios e impulsionamentos. Nenhuma linha sobre o novo fiscal. O risco mudou de tamanho na segunda-feira; o mapa que deveria enxergá-lo ficou parado no tempo.

O risco invisível: um regime em camadas que ninguém mapeou

O que torna o Decreto nº 12.975/2026 traiçoeiro não é apenas a abrangência, é a arquitetura. As obrigações não são uniformes: o regulamento fragmenta os provedores de aplicações em categorias e distribui deveres em camadas distintas.

A regra histórica do artigo 19 do Marco Civil, pela qual o provedor só respondia civilmente por conteúdo de terceiros se descumprisse ordem judicial específica, virou exceção. Ela sobrevive em duas hipóteses: crimes e ilícitos contra a honra (novo artigo 16-J do Decreto nº 8.771/2016) e os serviços expressamente excluídos do regime de moderação, como provedores de e-mail, mensageria instantânea protegida pelo sigilo das comunicações e videoconferência em grupo restrito (artigo 16-O).

Mas a exclusão é parcial, e este é o detalhe que derruba análises apressadas: mesmo os serviços excluídos permanecem sujeitos aos deveres estruturais do artigo 16-A, à autorregulação do artigo 20-A e às regras de anúncios e impulsionamentos dos artigos 16-K a 16-N. Ou seja, concluir que a empresa está fora do regime de moderação não significa concluir que ela está fora do decreto. Cada serviço precisa ser analisado camada por camada, obrigação por obrigação.

O contexto de fiscalização agrava o cenário. A ANPD foi transformada em agência reguladora pela Lei nº 15.352/2026, com autonomia, carreira própria e apetite demonstrado: em julho, a Autoridade encaminhou 21 organizações para avaliação de sanção após monitoramento de obrigações básicas da LGPD, e seu Mapa de Temas Prioritários para o biênio 2026-2027 anuncia dezenas de ações fiscalizatórias. Uma autoridade que já sanciona pelo básico da LGPD agora acumula um segundo regime inteiro para fiscalizar.

E há a ponte com a própria LGPD: o artigo 6º, inciso X, consagra o princípio da responsabilização e prestação de contas, exigindo que o agente demonstre a adoção de medidas eficazes. Diante do novo decreto, demonstrar significa provar que a organização identificou as obrigações aplicáveis, avaliou seus riscos e tratou cada um deles. Quem não tem esse registro não tem defesa; tem apenas uma opinião.

Como o módulo Gestão de Riscos do PROTEGON resolve

Um regime novo, em camadas, com autoridade fiscalizadora ativa, é exatamente o tipo de evento que uma gestão de riscos madura captura antes que ele vire notificação. O módulo Gestão de Riscos do PROTEGON transforma essa mudança regulatória em um processo estruturado e auditável. Na prática, o módulo permite:

• Registrar o novo risco regulatório de forma estruturada, com descrição, categoria, processos e ativos afetados, vinculando cada obrigação do decreto ao contexto real da operação;
• Classificar probabilidade e impacto em matriz visual, comparando o novo risco com os demais riscos de privacidade e conformidade já mapeados;
• Definir planos de mitigação com responsáveis e prazos, transformando a leitura do decreto em ações concretas: revisão de termos de uso, adequação de fluxos de moderação, ajustes em publicidade digital;
• Acompanhar o tratamento de cada risco em tempo real, com status, evidências anexadas e histórico de reavaliações;
• Gerar trilha de auditoria completa, provando em eventual fiscalização quando o risco foi identificado, como foi avaliado e o que foi feito;
• Oferecer visão consolidada para a alta administração, com indicadores que sustentam decisões de priorização e investimento.

Combinado com o módulo Gestão de Documentos, que versiona políticas, termos e procedimentos alterados por causa do novo regime, e com o módulo Auditor Legal, que verifica periodicamente a aderência da operação às normas aplicáveis, a organização fecha o ciclo: identifica, trata, documenta e comprova.

Resultados práticos: do susto regulatório à rotina controlada

Organizações que operam uma matriz de riscos viva reagem a eventos como o de 20 de julho de maneira diferente. Em vez de reuniões de emergência e pareceres encomendados às pressas, o novo regime entra no fluxo: o risco é registrado, avaliado e distribuído em planos de ação na mesma semana da publicação da norma, com folga dentro da vacatio.

Os efeitos aparecem em três frentes. Na frente regulatória, a empresa constrói, desde o primeiro dia, o acervo de evidências que o princípio da responsabilização exige: se a ANPD bater à porta, a resposta não é improviso, é relatório. Na frente executiva, a alta administração passa a enxergar o risco regulatório digital com o mesmo rigor dos riscos financeiros, com matriz, dono e prazo. Na frente operacional, equipes jurídicas e de tecnologia deixam de disputar versões de planilhas: instituições que centralizam a gestão de riscos costumam relatar reduções expressivas no tempo de resposta a mudanças normativas, em muitos casos superiores a 60% já nos primeiros ciclos.

O ganho mais valioso, porém, é silencioso: a organização para de descobrir obrigações pelo noticiário e passa a descobri-las pelo próprio processo. Quando a próxima norma vier, e a agenda regulatória mostra que ela virá, o caminho já estará pavimentado.

Próximo passo

O Decreto nº 12.975/2026 já está em vigor. A ANPD já tem competência, estrutura e histórico recente de encaminhar organizações para sanção. A pergunta deixou de ser se o novo regime alcança a sua operação, e passou a ser se você consegue provar que analisou isso com método.

Sua matriz de riscos registra, hoje, os deveres que entraram em vigor no dia 20 de julho, com responsável, prazo e plano de tratamento? Conheça o módulo Gestão de Riscos e transforme cada mudança regulatória em rotina controlada.