Guarda de logs pelo Marco Civil quando o registro é dado pessoal

Todo sistema que atende usuário pela internet gera log. Cada requisição deixa um rastro: quando aconteceu, de qual endereço de IP, o que foi acessado. Para quem opera um fluxo de verificação de identidade, esse rastro é obrigatório em parte, útil em quase tudo, e delicado por inteiro, porque um registro que amarra um IP a um momento e a uma ação é, quase sempre, dado pessoal. A tensão que daí nasce é real: uma lei manda guardar, outra manda minimizar, e as duas valem ao mesmo tempo.

De um lado, o Marco Civil da Internet, a Lei 12.965/2014, impõe deveres de guarda de registros. Do outro, a Lei Geral de Proteção de Dados, a Lei 13.709/2018, impõe minimização, prazo e finalidade. Este artigo mostra que não há contradição jurídica entre elas, mas há um dever de engenharia, o de saber exatamente que registro cai em qual regime, por quanto tempo e sob que proteção.

Dois tipos de registro, dois deveres diferentes

O Marco Civil separa dois tipos de registro, e confundi-los é a origem da maioria dos erros. O artigo 5º define cada um. Registro de conexão é o conjunto de informações sobre data e hora de início e término de uma conexão à internet, sua duração e o IP usado pelo terminal. Registro de acesso a aplicações é o conjunto de informações sobre data e hora de uso de uma determinada aplicação a partir de um determinado IP.

Os deveres seguem essa separação. O artigo 13 obriga o administrador de sistema autônomo, o provedor de conexão, a guardar os registros de conexão por um ano, sob sigilo, em ambiente controlado e seguro. O artigo 15 trata do provedor de aplicações de internet constituído como pessoa jurídica com fins econômicos: ele deve guardar os registros de acesso a aplicações por seis meses, também sob sigilo.

Quem opera um fluxo de verificação ou um produto digital é, tipicamente, provedor de aplicação, não provedor de conexão. O dever que o alcança é o do artigo 15: seis meses de registro de acesso à aplicação. Há ainda o artigo 14, que veda ao provedor de conexão guardar registros de acesso a aplicações de terceiros, uma regra de separação que reforça que cada agente guarda o seu tipo de log, e só o seu.

Por que o log é dado pessoal

O endereço de IP, isolado, parece um dado técnico. Mas associado a data, hora e a uma sessão de uso, ele se relaciona a uma pessoa identificável, e é essa a definição de dado pessoal do artigo 5º, inciso I, da LGPD. Um registro de acesso guardado por seis meses é, portanto, um banco de dados pessoais, com todos os deveres que isso acarreta.

A consequência prática é que o registro do Marco Civil não escapa da LGPD por ser obrigatório. Ele apenas tem uma base legal clara para existir: o cumprimento de obrigação legal pelo controlador, a base do artigo 7º, inciso II, da LGPD. Essa base sustenta guardar o log pelos seis meses, mas não sustenta usá-lo para qualquer outra coisa, nem guardá-lo para sempre. Finalidade e necessidade continuam valendo sobre um dado que a lei manda reter.

Quando o log de auditoria vira um banco de dados pessoal

Aqui entra o ponto que mais escapa. Além do registro de acesso que o Marco Civil exige, um sistema de verificação costuma manter uma trilha de auditoria bem mais rica: quem aprovou, quem consultou, qual decisão foi tomada, qual chave de API foi usada, que cadastro foi alterado. Essa trilha não é o registro de acesso do artigo 15, é outra coisa, e muitas vezes contém ou referencia dado pessoal do titular e do operador do sistema.

No momento em que essa trilha guarda quem fez o quê a respeito de uma pessoa identificável, ela própria é um banco de dados pessoais, sujeito à LGPD por inteiro: precisa de base legal, de prazo, de segurança e de minimização. E é justo aqui que se aplica um princípio de projeto valioso: registrar o evento e o ator sem carregar o log de conteúdo pessoal desnecessário. Um log que grava que a decisão X foi tomada sobre o cadastro Y, referenciando identificadores em vez de repetir os dados do titular, cumpre a função de auditoria com muito menos dado sensível dentro.

Conciliar os dois regimes na prática

A conciliação é uma questão de arquitetura, não de escolher um lado. Alguns elementos que a tornam operacional:

• Classificar cada registro pelo regime: o registro de acesso do artigo 15, que tem prazo mínimo de seis meses; a trilha de auditoria de negócio, que tem prazo próprio conforme a finalidade e as obrigações setoriais; e o dado de verificação em si, com o regime de retenção que já discutimos, mais longo por causa das normas de prevenção à lavagem.
• Guardar sob sigilo e segurança: o Marco Civil exige ambiente controlado e seguro, e o Decreto 8.771/2016, que o regulamenta, detalha padrões de segurança para a guarda de registros, como controle estrito de acesso, autenticação e inventário de acessos. O dever de segurança do artigo 46 da LGPD caminha na mesma direção.
• Minimizar o conteúdo do log: registrar ator, evento e referência, não uma cópia do dado pessoal, reduz o tamanho do passivo sem perder a capacidade de auditar.
• Definir prazo e expurgo: seis meses é o mínimo do registro de acesso, não uma licença para reter indefinidamente; passado o prazo e cumpridas as demais obrigações, o registro deve seguir a mesma disciplina de eliminação dos outros dados.

Vale lembrar que o registro só é disponibilizado a terceiros mediante ordem judicial, como o próprio Marco Civil determina, e que a autoridade pode requerer cautelarmente a guarda por prazo superior. O log existe para responder a esse tipo de requisição legítima, não para alimentar uso secundário.

Onde o desenho encontra o produto

A regra de projeto que fecha o assunto é a mesma para todos os registros: guardar o que a lei manda, pelo prazo que ela fixa, com o mínimo de dado pessoal dentro, sob segurança, e apagar depois. Um registro de acesso bem desenhado guarda o instante e a referência da ação, não o conteúdo sensível que a ação tocou, de modo a responder ao dever de prestar contas sem virar, ele próprio, um depósito de dado pessoal. Esse mesmo cuidado se estende às notificações de saída do sistema. Na UNIFOKAL, por exemplo, o envio seguro de webhooks evita despejar dado pessoal no corpo do evento, pelo mesmo motivo que orienta a guarda de qualquer registro: ele serve à verificação e à prestação de contas, não à retenção de conteúdo pessoal. Guardar registro e proteger dado pessoal não são objetivos em conflito: são o mesmo trabalho, feito com atenção a qual registro é qual.

Fontes citadas

• Lei 12.965/2014, Marco Civil da Internet, artigos 5º, 13, 14 e 15, sobre registros de conexão e de acesso a aplicações, disponível no portal do Planalto: planalto.gov.br
• Decreto 8.771/2016, que regulamenta o Marco Civil e detalha padrões de segurança na guarda de registros: planalto.gov.br
• Lei 13.709/2018, LGPD, artigos 5º, 7º e 46, sobre dado pessoal, base legal de obrigação legal e dever de segurança