Um dia chega ao hotel um ofício: a Justiça quer saber quem usava determinado endereço de internet, numa data e hora, porque dali partiu uma fraude, uma ameaça ou um crime. O endereço é o do hotel. E agora?
A resposta depende de duas coisas: do que a lei exige de quem fornece conexão à internet, e do que o hotel guardou. Este artigo explica as duas, sem juridiquês.
O que o Marco Civil da Internet diz
A Lei nº 12.965/2014, o Marco Civil da Internet, chama de registro de conexão o conjunto de informações sobre a data e a hora de início e de término de uma conexão, a sua duração e o endereço IP usado pelo aparelho (art. 5º, VI).
O art. 13 determina que, na provisão de conexão à internet, cabe ao administrador de sistema autônomo manter esses registros, sob sigilo e em ambiente controlado e de segurança, pelo prazo de um ano. Administrador de sistema autônomo é quem administra blocos de endereços IP próprios e o roteamento deles (art. 5º, IV) — na prática, a operadora de internet.
A mesma lei proíbe quem fornece conexão de guardar os registros de acesso a aplicações, isto é, o histórico de quais serviços e sites cada usuário usou (art. 14). O registro de conexão diz quem estava conectado e quando; não diz o que a pessoa fez.
Então o hotel não é obrigado?
A maioria dos hotéis não administra blocos de IP próprios: contrata uma operadora. Por isso, a obrigação direta do art. 13 recai sobre a operadora, e não sobre o hotel. Há quem sustente que o estabelecimento que só compartilha a conexão não se enquadra como provedor; a questão da responsabilidade do estabelecimento pelo uso que terceiros fazem da rede não está pacificada nos tribunais.
O problema é prático, e não só legal. Veja o caminho de uma investigação:
- A Justiça pede à operadora quem usava aquele IP naquela hora.
- A operadora responde: o hotel. Todos os hóspedes saem para a internet pelo mesmo IP público, por causa da tradução de endereços (NAT) do roteador.
- A pergunta chega ao hotel: qual dos seus hóspedes era?
Sem registro, o hotel não tem resposta. E "todos os hóspedes" não é resposta que encerre o assunto.
O que vale a pena o hotel guardar
Se o hotel decide se preparar — e quem oferece Wi-Fi aberto ao público tem bons motivos para isso —, o registro útil tem três partes:
- Quem entrou na rede: a identificação feita no portal de acesso (quarto e nome, e-mail, telefone ou voucher), com data e hora, e o aparelho usado.
- O endereço que o aparelho recebeu dentro da rede do hotel, e por quanto tempo.
- A tradução para a internet: o IP público e a porta que o roteador usou para aquela conexão. É o elo que liga o ofício da Justiça ao aparelho certo.
O prazo de referência é o do art. 13: um ano, o mesmo que se exige das operadoras. Guardar menos pode não alcançar a investigação; guardar muito mais sem motivo vai contra a LGPD, que manda eliminar os dados quando a finalidade se esgota.
O que não guardar
- Conteúdo do que o hóspede acessou.
- Histórico de navegação por pessoa, sem uma base legal clara para isso.
- Dados além do necessário no cadastro do portal. Cada campo a mais é mais responsabilidade.
Cuidados com o próprio registro
Um registro só serve se for confiável e se não vazar:
- Acesso restrito: pouca gente consulta, e cada consulta fica registrada — quem, quando e por quê.
- Integridade: o registro não pode ser alterado depois de gravado.
- Expurgo: passado o prazo, os dados são apagados, de forma automática e documentada.
- Relógio certo: um roteador com a hora errada produz um registro que aponta a pessoa errada.
Resumo
- O Marco Civil obriga a operadora — quem administra os blocos de IP — a guardar os registros de conexão por um ano.
- Num hotel, a operadora só consegue apontar o próprio hotel. Quem identifica o hóspede é o registro do hotel.
- O registro útil liga o hóspede identificado no portal ao IP público e à porta de cada conexão.
- Guarde o registro de conexão, não o conteúdo, por um prazo definido, com acesso controlado.
Este artigo é informativo e não substitui a orientação de um advogado. Leis citadas: Lei nº 12.965/2014 (arts. 5º, 13 e 14) e Lei nº 13.709/2018 (LGPD).