VPN no Brasil em 2026: entre o STF, a ANPD e o marketing de "criptografia militar"

Em agosto de 2024, o ministro Alexandre de Moraes determinou multa de R$ 50 mil por dia pra quem usasse VPN pra acessar o X. Oito meses depois, a Câmara aprovou regras regulamentando VPN no Marco Civil da Internet. E em janeiro de
2026, a ANPD anunciou 75 fiscalizações programadas pro biênio 2026-2027 — agora com poder real de sanção.                                                                                                                        O debate sobre VPN no Brasil mudou de patamar. Não é mais "qual a melhor VPN pra assistir Netflix gringo." É uma questão de direito digital, privacidade e regulação.                                                                
Vou tentar separar o que é real do que é marketing.

O que VPN faz de verdade

VPN cria um túnel criptografado entre o seu dispositivo e um servidor remoto. Seu ISP vê que você está conectado ao servidor da VPN — mas não vê o que passa dentro do túnel. O site que você acessa vê o IP do servidor VPN, não o
seu.

É isso. Sério.

VPN não te torna anônimo. Não protege contra phishing. Não impede malware. Não criptografa nada "de ponta a ponta" — o túnel termina no servidor da VPN, e dali pra frente depende do protocolo do site (HTTPS ou não).

O que ela faz bem: impede que seu provedor de internet veja seu tráfego, protege em Wi-Fi público, e permite acessar conteúdo bloqueado por geolocalização. Pra 90% dos usuários, é isso que importa.

O elefante na sala: Kape Technologies

Essa parte é desconfortável mas necessária.

A Kape Technologies — dona da ExpressVPN, CyberGhost, Private Internet Access e ZenMate — se chamava Crossrider até 2018. Crossrider distribuía adware. Quando a reputação ficou tóxica, mudou o nome pra Kape e começou a comprar
ferramentas de privacidade.

 Fica pior. A Kape também comprou o vpnMentor e o Wizcase — dois dos maiores sites de "review independente" de VPN. Ou seja: a empresa que vende VPN também controla os sites que recomendam VPN.

  Pra deixar claro: não existe evidência pública de que a Kape tenha vendido dados de usuários, inserido backdoors, ou cooperado com qualquer governo. Mas o conflito de interesse é estrutural. Uma empresa com passado em adware
controlando a infraestrutura de privacidade de milhões de pessoas merece, no mínimo, ceticismo saudável.

  O cenário regulatório brasileiro

  Aqui é onde fica interessante pra quem mora no Brasil.

  Marco Civil da Internet (Lei 12.965/2014): provedores de internet são obrigados a guardar registros de conexão por 1 ano. VPN não muda essa obrigação — muda o que o provedor consegue ver. Em vez de "usuário acessou site X às
14:32", o log mostra "usuário conectou ao servidor da NordVPN às 14:32." Menos útil, mas não zero.

O caso STF vs. X (agosto 2024): Moraes determinou bloqueio do X e multa de R$ 50 mil/dia pra quem usasse VPN pra acessar a plataforma. Tentou até mandar a Apple e o Google removerem apps de VPN das lojas — mas recuou nessa parte, reconhecendo que causaria "transtornos desnecessários." A OAB pediu revisão da multa pro usuário comum. O X acabou voltando depois que cumpriu as determinações judiciais.

Esse episódio deixou uma coisa clara: VPN virou assunto de debate constitucional no Brasil. Não é mais "ferramenta de nerd."

PL 3402/2024 (Dep. Amom Mandel): Aprovado pela Comissão de Comunicação em agosto de 2025. O projeto garante o direito de usar VPN, mas responsabiliza o usuário se usar a ferramenta pra cometer crime comprovado por decisão
judicial. O relator, deputado Julio Cesar Ribeiro (Republicanos-DF), optou por alterar o Marco Civil ao invés de criar lei nova. Ainda falta passar pela Comissão de Cultura e pela CCJ antes de ir pro Senado.

  Detalhe importante: o texto estabelece que restrições ao uso de VPN só podem ser aplicadas pelo governo, de forma individual e específica — exceto em casos comprovados de segurança nacional.

ANPD em 2026-2027: A Autoridade Nacional de Proteção de Dados virou agência reguladora em 2025 e agora tem poder sancionatório real — multa de até 2% do faturamento ou R$ 50 milhões por infração. Pra 2026-2027, anunciou 75 fiscalizações em 4 eixos: direitos dos titulares (25), crianças e adolescentes (30), setor público (20) e inteligência artificial. A mudança de postura é clara: saíram da "orientação" pra "fiscalização ativa."

O que isso significa pra VPN: a LGPD obriga transparência sobre como seus dados são tratados. Se uma VPN opera no Brasil ou processa dados de brasileiros, está sujeita à LGPD. E a ANPD agora tem dentes.

O que realmente importa na hora de escolher

Esqueça "5.000 servidores em 94 países." Isso é marketing. O que separa VPN séria de VPN de fachada:

Jurisdição. Onde a empresa está registrada determina quais leis se aplicam aos seus dados. Países do Five Eyes (EUA, UK, Canadá, Austrália, Nova Zelândia) têm acordos de compartilhamento de inteligência. Suíça (ProtonVPN) e Panamá
(NordVPN) ficam fora. Importa.

Auditoria independente. "No-logs policy" é fácil de escrever no site. Difícil é provar. Procure auditorias da Deloitte, PwC, Cure53. Código aberto é bônus — permite que qualquer um verifique.

Protocolo. Em 2026: WireGuard > OpenVPN > IKEv2. WireGuard é mais rápido, mais moderno, com superfície de ataque menor (~4.000 linhas de código vs. 600.000+ do OpenVPN).

Servidores RAM-only. Dados não sobrevivem a um reboot. Se o servidor é fisicamente apreendido, não tem o que extrair. NordVPN e ExpressVPN implementam isso. Mullvad opera servidores próprios em data centers auditados.

"Criptografia de nível militar." AES-256. É o padrão da indústria. Todas usam. Não é diferencial — é o mínimo.

Pra fechar

Escrevi uma análise mais detalhada comparando 5 VPNs pelo lado técnico — jurisdição, protocolo, auditorias, modelo de preço em reais. Se quiser se aprofundar: https://blog.jtechauto.com/pt/melhor-vpn-2026/

O ponto central: VPN é ferramenta de privacidade, não de anonimato. E no Brasil de 2026, com PL regulamentando uso, ANPD com poder de fiscalização real, e precedente do STF sobre multa por uso de VPN — entender o que você está contratando nunca foi tão relevante.

  ---
Discussão: vocês consideram jurisdição e auditoria na hora de escolher VPN, ou o critério ainda é preço e velocidade? Curiosidade genuína — porque nos fóruns gringo isso domina a conversa, mas aqui no Brasil raramente vejo o assunto.