Resumo

  • A revogação não é um cancelamento administrativo de uma alocação. De acordo com o registro e o contrato, ela pode encerrar direitos de registro, alterar registros públicos, interromper serviços de DNS reverso ou RPKI e expor um operador a consequências de roteamento e de clientes.
  • Os cinco RIRs publicam motivos e procedimentos significativamente diferentes. O APNIC prevê recurso ao Conselho Executivo; o ARIN vincula rescisão à revogação e arbitragem; o RIPE NCC separa suspensão, rescisão e exclusão por meio de um procedimento de encerramento integrado; o AFRINIC prevê um período de justificativa; o LACNIC usa um processo público de recuperação em várias etapas com prorrogação excepcional.
  • Nenhum desses textos atuais, isoladamente, prova quando cada poder severo apareceu pela primeira vez, quais membros o aprovaram, se o órgão aprovador entendeu seu alcance operacional ou qual instrumento superior autorizou uma extensão posterior por meio de um manual.
  • Um regime de revogação defensável deveria publicar uma rastreabilidade no nível das cláusulas, definir provas e proporcionalidade, preservar medidas provisórias significativas, divulgar resultados anonimizados, atribuir responsabilidade em caso de erro e indicar como os serviços de registro são restabelecidos ou transferidos.

A carta ao escritório de operações

Imagine o aviso chegando a um operador de rede numa sexta à noite. Ele não diz que os roteadores do operador serão desligados à meia-noite. Um Registro Internet Regional não controla todos os roteadores na Internet. Ele anuncia algo mais restrito, mas, em um sistema coordenado, potencialmente mais desestabilizador: direitos de registro específicos são revogados, os serviços cessarão, os registros podem ser excluídos e a organização deve parar de tratar os recursos de numeração listados como delegados a ela.

O operador pode continuar anunciando uma rota. Outras redes podem continuar a aceitá-la por algum tempo. No entanto, os suportes institucionais em torno dessa rota podem mudar. Os dados do registro podem não mais identificar o operador como o titular. O serviço de DNS reverso pode ser afetado. Os elementos da infraestrutura de chave pública de recurso podem parar de suportar as autorizações relacionadas aos recursos. Solicitações de transferência podem se tornar impossíveis.

Clientes, provedores de trânsito, seguradoras, credores e auditores podem reagir à perda de uma posição de registro reconhecida antes mesmo que os filtros de roteamento ajam.

É por isso que a revogação não pode ser tratada como uma simples tarefa administrativa. É uma decisão de alto impacto sobre uma dependência que fica entre o contrato, os registros compartilhados e a coordenação da rede. A decisão não precisa se parecer com uma apreensão policial para exigir uma fonte clara de poder. São as consequências práticas, e não a forma cerimonial, que estabelecem o padrão.

As questões essenciais são elementares. Quem concedeu esse poder? A que pessoa jurídica? Sobre qual categoria de titular e quais serviços? Por quais motivos? Por qual instrumento? Quem pode modificar esses motivos? Que provas são exigidas? O titular pode obter uma suspensão antes que os registros mudem? Quem arca com o custo de uma decisão errada? Se o próprio registro falhar, quem pode restabelecer ou substituir o serviço?

Os textos atuais dos RIRs respondem parcialmente a essas perguntas. Eles ainda não constituem um histórico facilmente verificável. A fraqueza não é que ninguém jamais aceitou um contrato ou votou em uma política. É que a cadeia que vai da competência inicial às consequências atuais está frequentemente dispersa entre constituições de sociedades, contratos padrão, manuais modificáveis, procedimentos internos e usos institucionais. Um poder pode se tornar familiar muito antes de sua autoridade se tornar clara.

A alocação não contém logicamente a revogação

A defesa habitual começa pela simetria. Se uma instituição pode alocar um recurso, ela deve poder recuperá-lo quando as condições não forem mais atendidas. Sem recuperação, registros abandonados se acumulam, solicitações fraudulentas se tornam permanentes, serviços não pagos perduram indefinidamente e um pool finito não pode ser administrado de forma responsável. O argumento tem peso. Um registro sem mecanismo de correção ou recuperação seria incapaz de preservar registros precisos.

Mas a necessidade funcional não é a mesma coisa que autoridade legal. Um proprietário precisa de um meio de recuperar suas instalações, mas não pode inventar um procedimento de despejo após assinar um contrato de aluguel. Um banco precisa de um meio de encerrar uma conta, mas esse poder depende do contrato, da lei, da notificação e do controle. Um órgão profissional pode precisar de disciplina, mas a expulsão exige regras estabelecidas por um órgão competente e aplicadas de forma justa. A necessidade operacional explica por que um poder pode ser justificado. Ela não identifica quem o criou nem até onde ele se estende.

Alocação e revogação também não são imagens espelhadas. Uma decisão de alocação geralmente responde à questão de saber se um solicitante atende aos critérios em um determinado momento. A revogação pode aniquilar uma confiança acumulada ao longo de anos. Um titular pode ter construído planos de endereçamento, contratos de clientes, controles de segurança e suposições de financiamento em torno do registro. Usuários downstream podem não ter relação direta com o RIR, mas dependem do espaço de numeração. O custo de recusar uma nova solicitação não é necessariamente comparável ao custo de remover uma posição estabelecida.

O vocabulário de restituição, recuperação, exclusão, rescisão, suspensão e revogação complica ainda mais a simetria. Esses atos podem ser distintos. Encerrar a associação não responde automaticamente ao que acontece com cada recurso. Suspender um serviço de portal é diferente de excluir uma entrada de registro. A exclusão é diferente de impedir o tráfego de pacotes. Uma restituição voluntária é diferente de uma tomada de posse forçada. Uma rescisão imposta por lei é diferente de uma resposta discricionária a uma violação alegada.

Um sistema legítimo deveria preservar essas distinções. Se um contrato faz da rescisão um gatilho para a revogação, a consequência deve ser explícita. Se uma política permite a exclusão enquanto o contrato continua, a autoridade deve ser identificada separadamente. Se uma instituição reivindica apenas o poder de modificar seus próprios registros, ela não deveria descrever esse ato como se controlasse fisicamente o uso em toda parte. A precisão limita tanto a superestimação institucional quanto o mal-entendido dos operadores.

A rastreabilidade ausente

O documento mais revelador não seria outro manual atual. Seria uma tabela de rastreabilidade. Para cada motivo de revogação, a tabela indicaria sua primeira aparição publicada, a redação anterior, a mudança proposta, a nota explicativa, o órgão aprovador, a data da reunião, a votação, a participação, a base legal, as categorias de contratos afetadas, a regra de transição, o recurso e as modificações subsequentes. Ela distinguiria um voto dos membros de uma aprovação do conselho de administração, de um consenso político aberto, de uma implementação pela equipe e de uma revisão unilateral do contrato.

Essa tabela é difícil de encontrar em todo o sistema de RIRs. Os textos atuais são frequentemente acessíveis. Cópias históricas também podem existir nos arquivos. O que falta é a prova integrada de que um leitor precisa para rastrear um poder severo desde sua origem até sua forma atual. Uma cláusula pode migrar de um contrato para um procedimento, adquirir novos exemplos em um manual, ser reformulada em uma página de ajuda e finalmente parecer inevitável. A repetição então substitui a autorização.

A diferença é importante porque cada documento tem um autor institucional diferente. Uma constituição de empresa pode habilitar os diretores ou membros a administrar a pessoa jurídica. Um contrato de adesão vincula suas partes. Um processo político pode estabelecer critérios de recursos. Uma equipe operacional pode publicar as etapas para dar efeito a uma decisão válida. Uma página web pode explicar o resultado. O fato de todos serem publicados pelo mesmo RIR ou associados a ele não reduz sua autoridade a uma fonte única.

Pode haver boas respostas nos arquivos de reuniões, pareceres jurídicos e históricos contratuais. A crítica atual é mais restrita: um membro ou titular afetado não deveria precisar reconstituir trinta anos de desenvolvimento institucional para saber quem aprovou o poder que ameaça sua posição. O registro é o guardião de seu próprio registro constitucional. Ele pode publicar a rastreabilidade.

A ausência de rastreabilidade não prova que uma cláusula é inválida. Ela cria um déficit de prova. Quanto mais pesado for o poder, menos aceitável é preencher esse déficit com expressões como "prática estabelecida", "expectativa da comunidade" ou "papel necessário". Essas afirmações podem explicar a confiança depositada. Elas não identificam o mandante, o ato de aprovação ou os limites aceitos na época.

APNIC: uma consequência clara e um recurso interno

OContrato de Adesão Padrão do APNICoferece uma visão excepcionalmente direta dessa consequência. Sua identidade documental indica que a versão atualmente publicada é APNIC-079 versão 002, datada de 9 de fevereiro de 2012, e que a publicação original data de 1º de dezembro de 2001. Também especifica que a página é fornecida para referência e que o documento oficial é fornecido pelo APNIC. Somente essa ressalva mostra por que as evidências sobre versão e execução são importantes.

O contrato permite a revogação por notificação por escrito se um membro não renovar sua associação no prazo estipulado. Um evento de insolvência pode justificar revogação e rescisão imediatas. Em caso de violação alegada, a cláusula 4.1 exige uma notificação por escrito descrevendo a violação, as medidas corretivas, um prazo de resposta razoável e a ação pretendida. O membro pode negar a violação, demonstrar que foi corrigida ou relatar circunstâncias excepcionais.

Após examinar a resposta, a sociedade pode enviar outra notificação ou revogar imediatamente todos ou parte dos direitos decorrentes dos documentos do APNIC, incluindo recursos delegados, e pode rescindir o contrato.

A cláusula 4.4 permite então um recurso ao Conselho Executivo quando o membro considera que as circunstâncias relevantes não foram suficientemente consideradas ou que a sociedade agiu de forma irrazoável. O Conselho deve examinar o recurso no prazo de 30 dias e pode exigir a retirada do aviso de revogação. A cláusula 4.5 determina que o membro deve cessar imediatamente o uso dos recursos especificados nos avisos emitidos sob as cláusulas listadas, com medidas injuntivas previstas em caso de descumprimento.

Não é um poder oculto. O contrato em vigor menciona notificação, resposta, consequência e recurso. Também revela o problema de governança. A sociedade toma a decisão inicial; o recurso é levado ao Conselho Executivo integrado à estrutura institucional do APNIC; o membro pode ter que cessar imediatamente o uso enquanto o Conselho dispõe de 30 dias para examinar o caso. O texto não indica no mesmo lugar se o depósito de um recurso suspende a consequência, qual conjunto de provas é enviado ao Conselho, nem como os conflitos são tratados.

O contrato também incorpora os documentos do APNIC conforme existem de tempos em tempos e determina que as alterações vinculam o membro. Essa estrutura torna a rastreabilidade documental particularmente importante. Se um documento posterior do APNIC modificar o que constitui uma violação ou alterar as obrigações relativas aos recursos, a exposição prática pode se estender sem alterar o verbo de revogação. A auditoria adequada, portanto, não pergunta apenas quem aprovou a cláusula 4.3, mas quem pode modificar cada regra incorporada que possa ativá-la.

ARIN: rescisão, revogação e um caminho de modificação contratual

OContrato de Serviços de Registro do ARIN, versão 14.0, datado de 15 de agosto de 2025, usa uma arquitetura diferente. Ele define os recursos de numeração incluídos em termos de direitos de registro e lista serviços como entradas de registro, serviço de nome reverso, RPKI e administração de registros. Essa redação permite distinguir a posição contratual de uma alegação de que o titular possui os números ou que o ARIN controla cada rota.

A seção 13 confere ao ARIN direitos de rescisão por motivos específicos. Alguns motivos permitem rescisão imediata; outras violações estão sujeitas a um prazo de correção de 60 dias após notificação por escrito, sob reserva da apreciação razoável do ARIN. O contrato remete o titular à seção 14(k) para contestar uma rescisão ou suspensão. A seção 13(e) enuncia a consequência principal: exceto em situações específicas, a rescisão implica a revogação imediata pelo ARIN dos recursos de numeração incluídos e a cessação dos serviços.

O tratamento dos recursos legados cobertos em caso de rescisão pelo titular é expressamente diferente, mostrando que nem a rescisão nem a revogação têm efeito universal em todas as categorias de titulares.

O contrato também contém uma regra notável para modificar o próprio contrato. A seção 1(e) descreve um caminho baseado em uma necessidade imediata e imperiosa relacionada a uma mudança definida da lei ou jurisprudência, ou em uma recomendação do conselho de administração ratificada por votação dos membros. Ela prevê notificação e data de vigência diferida. As políticas são tratadas de forma diferente: o texto se reserva um amplo poder de modificação e torna as alterações vinculantes por notificação ou publicação, ao mesmo tempo que prevê uma ordem de precedência em caso de inconsistência.

Isso se aproxima mais de uma cadeia constitucional visível do que de um manual contendo um poder severo autônomo. No entanto, questões importantes subsistem. Que mudanças de política podem ampliar sensivelmente os comportamentos que expõem um titular à rescisão? As versões anteriores do RSA foram aprovadas pelo mesmo caminho? Que titulares legados assinaram qual formulário? Com que frequência uma suspensão ou rescisão contestada foi submetida a arbitragem, e o serviço foi mantido durante esse período?

O texto do ARIN também mostra por que a expressão "poder de revogação" é ampla demais se não estiver vinculada a uma versão de contrato. O contrato distingue direitos, serviços, políticas, status legado e caminhos de rescisão. Uma declaração pública de que o ARIN pode revogar recursos é incompleta. A declaração defensável identifica a categoria de titular, os recursos incluídos, o motivo, o contrato aplicável, a notificação, o caminho de recurso e a consequência.

RIPE NCC: três atos distintos ligados pela incorporação

OContrato de Serviço Padrão do RIPE NCC, RIPE-812, datado de novembro de 2023, torna particularmente visível a natureza estratificada do poder. O artigo 6.3 determina que o descumprimento das políticas RIPE e dos procedimentos do RIPE NCC pode resultar na suspensão dos serviços e na exclusão dos recursos de numeração de acordo com o documento de encerramento designado. O artigo 9 prevê direitos e motivos de rescisão, incluindo o descumprimento de obrigações após o período de correção procedimental, motivos imediatos especificados e rescisão legalmente exigida.

Suspensão, rescisão do contrato e exclusão são, portanto, ligadas, mas distintas. O contrato fornece a autoridade contratual. As políticas e procedimentos fornecem os critérios e as etapas. O documento de encerramento atual fornece a sequência pela qual os avisos, prazos, consequências sobre os serviços e alterações de registro ocorrem. Os estatutos da associação distribuem as competências da sociedade em segundo plano, mas não substituem essa cadeia orientada aos membros.

Essa separação é uma força quando cada camada permanece em sua função designada. Torna-se uma vulnerabilidade se um procedimento operacional puder ampliar os motivos de fundo sem a aprovação exigida para modificar o contrato. Um procedimento pode razoavelmente especificar formatos de endereço, canais de notificação, prazos e etapas de restabelecimento. Não deveria adquirir um novo poder simplesmente porque o contrato incorpora procedimentos por referência.

O RIPE NCC também oferece um caminho de arbitragem interna de conflitos para litígios definidos. A existência de um controle é importante. Sua adequação depende do escopo, do momento, da independência, do acesso às provas e do efeito. Um recurso que só pode declarar um erro após um dano operacional pode ser menos valioso do que um recurso capaz de preservar a posição enquanto os fatos contestados são examinados. Um recurso que não faz parte de sua competência declarada não pode ser tratado como uma apelação geral simplesmente porque é chamado de arbitragem.

A questão da rastreabilidade permanece histórica. Que contratos de serviço anteriores primeiro vincularam o descumprimento à exclusão? Quando o procedimento de encerramento começou a distinguir rescisão de exclusão de registros de recursos? Que mudanças foram aprovadas pelos membros, quais emergiram da comunidade política RIPE e quais foram implementadas pela direção? Os documentos atuais podem ser coerentes enquanto sua ascendência permanece difícil de ver. A publicação dessa ascendência fortaleceria, e não enfraqueceria, sua legitimidade.

AFRINIC: justificativa, poder discricionário e efeito imediato

OContrato de Serviço de Registro do AFRINIC datado de 27 de novembro de 2017ilustra como algumas palavras podem determinar a qualidade de uma proteção. O contrato prevê que o AFRINIC pode dar aviso por escrito de sua intenção de rescindir, convidar o solicitante a justificar ou corrigir a violação especificada e conceder um prazo de 30 dias para responder. Quando o AFRINIC julga os motivos ou as medidas corretivas satisfatórios, o procedimento de rescisão é interrompido.

A etapa seguinte é severa. Se o contrato for rescindido ou expirar, o AFRINIC revogará imediatamente os recursos de numeração e cessará os serviços, com ampla cláusula de exoneração de responsabilidade. O texto combina, portanto, uma possibilidade de resposta com um poder discricionário institucional quanto à satisfação dessa resposta e uma consequência imediata após a rescisão.

Um período de justificativa é significativo. Pode corrigir uma identidade errada, dados de contato desatualizados, erros de pagamento, confusão de sucessor ou alegações baseadas no comportamento de um terceiro. Seu valor depende do registro da decisão. O solicitante recebe as provas? A razão da rejeição da resposta é escrita? Existe um caminho independente capaz de suspender a consequência? O tomador de decisão faz diferença entre uma falha administrativa corrigível e fraude ou abuso deliberado? O registro restabelece todos os serviços afetados após um erro?

A formulação de exoneração de responsabilidade reforça a necessidade dessas perguntas. Um sistema que se reserva um poder de alto impacto, controla as provas, decide se a resposta é satisfatória e declina qualquer responsabilidade concentra o risco no titular. A lei aplicável pode limitar o efeito de uma exclusão, mas o contrato não deve contar com litígios para fornecer toda a proporcionalidade.

As dificuldades institucionais do AFRINIC também tornam a continuidade impossível de ignorar. A doutrina da revogação geralmente imagina um registro estável julgando um membro instável. A governança também deve testar o caso inverso. Se a capacidade jurídica, os sistemas ou a direção do próprio registro forem contestados, quem pode exercer poderes severos? Que registros são preservados? Quem pode manter os serviços? Um relato completo da fonte do poder deve incluir a sucessão, e não apenas a execução.

LACNIC: um processo público escalonado com uma exceção rara

APolítica de Revogação e Restituição de Recursosdo LACNIC usa o processo mais visivelmente escalonado entre os cinco exemplos. O texto inglês lista os seguintes motivos: recursos não utilizados ou não anunciados quando exigido, dados de resolução reversa ou de registro desatualizados, transferências não autorizadas, violações repetidas de políticas, descumprimento contratual incluindo não pagamento ou fraude documental, e organizações que desapareceram ou não respondem. Também indica que um processo não deve ser iniciado quando um terceiro causou a violação sem o conhecimento do beneficiário e não há conluio ou negligência.

A política prevê um contato e uma retificação. Se o problema não for regularizado, os recursos podem ser listados publicamente por um período de até três meses. Após dois meses, os registros NS especificados podem ser removidos. Após três meses sem correção, os recursos são recuperados e os registros do titular são excluídos. O conselho de administração pode prorrogar o período para infraestruturas estratégicas essenciais ou em condições excepcionais, como desastre natural ou instabilidade política.

Esses detalhes demonstram uma atenção à correção e às consequências operacionais. A proteção contra terceiros evita punição automática. A exceção para infraestruturas estratégicas reconhece que uma decisão formalmente justificada pode ser socialmente desproporcional. O período escalonado dá às contrapartes e ao titular tempo para responder.

O mesmo texto levanta questões constitucionais. A página em inglês alerta que a versão espanhola faz fé. Um leitor precisa da versão oficial e do histórico de alterações. Que proposta de política introduziu cada motivo? Qual circunscrição a aprovou, e com que participação? Que provas são exigidas antes da listagem pública? A própria listagem é um ato prejudicial capaz de causar dano comercial? Que controle existe antes da remoção dos registros NS? Como o poder excepcional do conselho de administração é limitado e relatado?

O LACNIC também demonstra que a revogação não é um momento único. É uma sequência: detecção, confirmação, contato, identificação pública, modificação dos serviços, exclusão dos registros e reutilização posterior. O devido processo legal deveria ser aplicado no estágio em que o dano começa, e não apenas no momento da última alteração no banco de dados. Se a listagem pública ou a remoção dos NS causar dano imediato, um recurso disponível após três meses não é um remédio completo.

O reconhecimento do ICANN não é a habilitação ausente

Quando o histórico contratual regional se torna difícil, os discursos institucionais frequentemente remontam para cima. O RIR foi reconhecido; faz parte de um sistema coordenado globalmente; portanto, deve possuir os poderes necessários para administrar os recursos. Esse raciocínio transforma o status em uma habilitação não especificada.

ICP-2, os critérios para o estabelecimento de novos RIRs, é uma prova importante. Ele trata do apoio da comunidade, da autogestão ascendente, da neutralidade, da capacidade técnica, do financiamento e da continuidade. O reconhecimento em relação a esses critérios pode explicar por que uma instituição é aceita como RIR para uma região. Ele não lista todos os motivos pelos quais essa instituição pode rescindir um contrato de associação, excluir dados de DNS reverso ou revogar direitos de registro.

O reconhecimento pode sustentar a confiança. Outras instituições podem se coordenar com o RIR reconhecido em vez de escolher entre registros concorrentes. Esse efeito prático é considerável. Mas um instrumento de reconhecimento não deveria ser usado para fazer o trabalho de um contrato de adesão. Ele não identifica o titular afetado, a violação, a notificação, o recurso, a responsabilidade ou o remédio caso a caso.

O mesmo limite se aplica aoMemorando de Entendimento do ASO de 2019. O protocolo de entendimento estrutura a relação da Address Supporting Organization e os papéis de política global em matéria de números. É relevante para a forma como o ICANN e o sistema de RIRs se coordenam. Não é um calendário dos poderes de execução regionais. A participação do ICANN em uma estrutura de política global não é prova de que aprovou cada cláusula de revogação usada por cada RIR.

Essa distinção protege todas as partes. O ICANN não deveria herdar uma responsabilidade ou autoridade que um instrumento não lhe atribui. Os RIRs não deveriam ver seus poderes contratuais descritos erroneamente como ordens do ICANN. Os membros devem saber qual instituição estabeleceu a regra que enfrentam. Uma atribuição clara é condição de responsabilidade.

A hierarquia técnica não é um cheque em branco

RFC 7020descreve o sistema de registro de números da Internet como uma hierarquia enraizada na função de alocação de endereços da IANA, com os RIRs servindo comunidades regionais e os registros locais servindo clientes. Ele identifica objetivos de gestão responsável, incluindo unicidade, registro, conservação e agregação. Também relata o desenvolvimento da responsabilidade regional.

Esses objetivos explicam por que registros imprecisos ou abandonados são importantes. A unicidade pode ser comprometida se o mesmo espaço for tratado como disponível para titulares conflitantes. A qualidade do registro pode ser comprometida por dados falsos. A conservação pode apoiar a recuperação de recursos verdadeiramente não utilizados sob uma regra autorizada. A agregação pode ser afetada pela fragmentação e por mudanças operacionais.

No entanto, uma RFC informativa não é uma cláusula de rescisão universal. Ela descreve a arquitetura e os objetivos. Não identifica a lei aplicável a um acordo bilateral, não cria recurso de danos e não designa árbitro. A hierarquia técnica estabelece onde as funções ocorrem; não responde a todas as questões legais sobre as instituições que as exercem.

Apágina de recursos de numeração da IANAdescreve de forma similar a coordenação do pool global e as alocações aos RIRs no âmbito de políticas globais. Ajuda a identificar o serviço de mais alto nível. Não diz que todos os poderes que um RIR julga úteis são delegados pela IANA. Tal afirmação também não resolveria o consentimento dos membros, pois o membro não é necessariamente parte do instrumento que rege o serviço da IANA.

A legitimidade institucional é mais forte quando cada camada reivindica apenas sua própria autoridade. A IANA pode descrever a administração do pool global. O ICANN e o ASO podem descrever os papéis de política global. Um RIR pode descrever sua competência empresarial, seus contratos e seu procedimento de política regional. Um membro pode aceitar obrigações definidas. Tribunais e órgãos de arbitragem podem aplicar a lei aplicável. Qualificar todo o arranjo como gestão responsável pode ser prático, mas não deveria mascarar essas passagens distintas.

Os membros votaram em algumas coisas, mas em quais?

O título deste artigo é deliberadamente provocador. Os membros dos RIRs efetivamente votam. Eles elegem diretores ou membros do conselho, aprovam questões constitucionais e, em alguns sistemas, ratificam acordos ou taxas. As comunidades de políticas abertas também deliberam e chegam a consenso sobre regras relativas a recursos. Seria errado dizer que todos os poderes severos surgiram sem participação.

A questão mais difícil é saber o que o voto realmente cobriu. Eleger um conselho de administração não é necessariamente aprovar todos os futuros motivos de execução. Aprovar uma constituição não é necessariamente consentir em cada procedimento da equipe. Participar de um fórum político não é o mesmo que assinar um contrato, e assinar um contrato não é o mesmo que representar os clientes downstream. Um voto em objetivos gerais de gestão responsável não autoriza automaticamente qualquer meio julgado útil para atingir esses objetivos.

Um registro de aprovação deveria identificar a proposta. Os membros votaram no texto exato do acordo? O conselho de administração adotou um procedimento sob um poder delegado claro? Um processo de política aberta aprovou o motivo de fundo enquanto a direção apenas implementou os mecanismos de notificação? A alteração era prospectiva? Os titulares existentes receberam uma saída ou transição? Quantos membros elegíveis participaram? Os conflitos foram divulgados? O documento explicativo indicava que uma mudança poderia encerrar direitos de registro?

Não se trata de exigir consentimento unânime. Sistemas empresariais e associativos agem regularmente por meio de maiorias válidas ou órgãos designados. A exigência é a rastreabilidade. Um conselho de administração pode ter o poder de decidir. Se for o caso, o registro deveria citar a disposição que lhe confere esse poder e publicar a decisão. Um processo comunitário pode ter autoridade para a política regional. Se for o caso, a política deveria remeter à proposta e ao registro de consenso. Um contrato pode autorizar modificações. Se for o caso, o caminho e a notificação deveriam ser visíveis.

A expressão "ninguém votou para criar" descreve o risco do acúmulo de textos: uma consequência grave pode emergir da interação de disposições que cada uma foi aprovada para um propósito mais restrito. A solução não é fingir que a participação nunca ocorreu. É mostrar exatamente onde o poder como um todo, tal como atualmente exercido, recebeu aprovação.

Os documentos incorporados podem deslocar o gatilho

Os contratos padrão frequentemente incorporam políticas e procedimentos. É prático. A administração de números evolui ao longo do tempo, e um registro não pode negociar um novo contrato assinado com cada titular para cada atualização técnica. A incorporação permite que regras comuns evoluam enquanto preserva uma relação de serviço estável.

Ela também cria uma dobradiça constitucional. A cláusula de revogação pode permanecer inalterada enquanto os documentos incorporados estendem as obrigações cujo descumprimento a ativa. Uma nova obrigação de declaração, uma solicitação de auditoria, uma restrição de transferência, uma exigência de segurança ou um padrão de dados podem se tornar um gatilho para rescisão por meio da promessa existente de conformidade. O poder severo se desenvolve no nível do gatilho, e não da cláusula de recurso.

Uma cláusula de ordem de precedência é útil em caso de conflito entre textos, mas não responde à questão da expansão. Pode não haver nenhuma contradição entre uma obrigação geral de cumprir políticas e uma nova política. A questão é se o órgão que adotou essa política estava autorizado a expor o titular a uma rescisão por esse motivo e se o titular recebeu notificação e exame adequados.

Um modelo de incorporação defensável separa mudanças de fundo e mudanças operacionais. Os motivos de fundo para suspensão, rescisão ou exclusão de registro deveriam exigir o mesmo nível de aprovação que o próprio poder severo, ou uma habilitação claramente delimitada por parte desse órgão aprovador. Os detalhes operacionais podem seguir um procedimento mais rápido quando não alteram a exposição. Cada mudança deveria indicar a que categoria pertence e por quê.

O versionamento deve ser mais do que colocar uma data no PDF atual. Um titular deveria poder recuperar o contrato exato e os documentos incorporados em vigor na data da violação alegada. O registro deveria fornecer uma versão comparada, a data de vigência, o link de aprovação e a regra de transição. Caso contrário, ambas as partes podem argumentar a partir do texto de hoje sobre a conduta de ontem.

Proporcionalidade começa com a separação de consequências

Mesmo um poder totalmente autorizado pode ser exercido de forma desproporcional. Os cinco sistemas contêm diferentes combinações de aviso, correção, suspensão, rescisão, exclusão, remoção de registro, parada de serviço e reutilização. Tratá-los como uma única sanção impede decisões calibradas.

Taxas não pagas podem justificar a restrição dos benefícios dos membros antes de justificar a exclusão de dados de registro nos quais se confiou por muito tempo. Documentos de identidade falsos podem justificar uma resposta mais rápida e severa do que um campo de contato desatualizado. Uma transferência contestada pode exigir a manutenção do status quo em vez de um retorno imediato ao pool. O comportamento de um cliente downstream não afiliado não deveria ser automaticamente atribuído ao titular. Infraestruturas essenciais podem exigir um acordo de continuidade mesmo quando o titular está em infração.

Proporcionalidade requer uma escala publicada. O tomador de decisão deve identificar o objetivo, as provas, as medidas menos severas disponíveis, o efeito operacional esperado, o impacto sobre terceiros, a possibilidade de correção e a razão pela qual a consequência escolhida é necessária. A escala deve distinguir limitações de serviço reversíveis de realocação irreversível. Deve indicar quando uma situação de emergência permite aceleração e exigir exame posterior.

A exceção do LACNIC para infraestruturas estratégicas essenciais é um reconhecimento desse problema. Não deveria permanecer excepcional no sentido de ser conceitualmente isolada. Cada RIR deveria saber como lidará com hospitais, redes de segurança pública, infraestruturas de troca críticas, serviços governamentais e dependências importantes de clientes sem criar imunidade para operadores importantes. A importância não é uma defesa contra a violação, mas é relevante para a transição.

Proporcionalidade também limita a linguagem pública. Qualificar uma alegação de fraude antes de qualquer decisão pode prejudicar um operador além da ação do registro. Listas de recuperação públicas podem ser operacionalmente úteis, mas deveriam indicar o status com precisão e permitir correção. A credibilidade de um guardião de registros depende da precisão tanto em relação aos recursos quanto às pessoas.

Um recurso sem suspensão pode chegar tarde demais

Cada proteção atual deveria ser avaliada em relação ao tempo. O APNIC prevê recurso ao Conselho Executivo. O ARIN identifica arbitragem para litígios. O RIPE NCC tem um procedimento de conflito definido. O AFRINIC oferece um período de justificativa. O LACNIC prevê um período de correção escalonado. Essas são garantias importantes.

Mas um recurso pode estar formalmente disponível e praticamente ineficaz. Se o titular deve cessar imediatamente o uso, os registros mudam antes do exame, os elementos RPKI expiram ou as contrapartes rescindem contratos, uma vitória posterior pode não restabelecer a posição inicial. A confiança na rede pode ser perdida mais rapidamente do que um tribunal pode proferir uma decisão fundamentada.

A garantia essencial é a suspensão provisória. O depósito de cada reclamação não deveria bloquear automaticamente uma intervenção de emergência justificada. Uma parte deve, no entanto, poder solicitar a um decisor independente uma suspensão com base em um critério publicado: gravidade do problema, risco de dano irreparável, equilíbrio dos efeitos, interesse público, preservação de provas e risco para a segurança. O examinador deveria poder impor condições, como taxas bloqueadas, transferências restritas ou contatos atualizados, preservando o status de registro básico.

Independência é igualmente importante. Um conselho interno pode conhecer a instituição e agir rapidamente, mas pode supervisionar a equipe cuja decisão examina. A arbitragem pode oferecer distância, mas o custo e a complexidade procedimental podem dissuadir um pequeno operador. Os tribunais oferecem autoridade pública, mas podem ser lentos ou geograficamente distantes. Um sistema de múltiplos níveis pode combinar uma rápida revisão provisória independente com arbitragem ou litígio posterior.

Os motivos deveriam ser publicados de forma anonimizada ou expurgada quando a privacidade permitir. Sem resultados, os membros não podem saber se os recursos corrigem erros ou apenas confirmam as decisões iniciais. Os registros não podem demonstrar tratamento consistente. Um recurso que não deixa nenhuma jurisprudência permite que a mesma ambiguidade se reproduza.

A responsabilidade faz parte da autoridade

Poder e responsabilidade são frequentemente discutidos separadamente. Eles andam juntos. Uma instituição que reivindica autoridade para impor uma consequência grave deveria dizer o que acontece quando ela erra. Exclusões amplas podem ser compreensíveis para coordenação técnica realizada em grande escala, mas uma transferência total do risco enfraquece os incentivos para realizar investigações aprofundadas e restabelecer rapidamente a situação.

Perdas devidas a um erro podem ser variadas: tempo de engenharia, renumeração de emergência, créditos a clientes, transações perdidas, remediação de segurança, honorários profissionais, dano à reputação e custo de reconstrução de relações com o registro. Nem todas as perdas deveriam ser automaticamente recuperáveis. A causalidade pode ser complexa, as contrapartes fazem escolhas independentes, e uma exposição ilimitada poderia ameaçar a continuidade de um registro.

Isso não justifica o silêncio. Um regime equilibrado pode distinguir negligência ordinária, negligência grave, má-fé e ação imposta por lei. Pode limitar uma exposição financeira especificada enquanto prevê obrigações de restabelecimento não limitadas. Pode exigir a correção rápida de registros, a reemissão de serviços, a notificação a contrapartes e a preservação de provas históricas. Pode manter seguro ou reserva de continuidade.

A responsabilidade também disciplina a redação. Se um registro acredita que não poderia assumir qualquer responsabilidade mesmo por uma revogação infundada, uma linguagem ampla se torna mais fácil de adotar. Se diretores e membros têm que considerar o custo de restabelecimento e uma revisão independente, eles são mais propensos a definir as provas e o escopo.

O objetivo não é transformar cada litígio de registro em um processo de danos. Recursos não monetários eficazes podem ser mais importantes. O objetivo é que o titular não suporte todos os riscos operacionais enquanto o registro retém todo o poder de apreciação. Gestão responsável é uma reivindicação de responsabilidade, e não de mero controle.

A substituição é a metade negligenciada da revogação

As discussões sobre revogação focam na substituição do titular. A legitimidade institucional também exige um plano para a substituição do provedor de serviços. ICP-2 trata a continuidade como uma característica importante de um registro regional. No entanto, as explicações públicas atuais são frequentemente muito mais claras sobre como um RIR pode remover um membro do que sobre como o sistema como um todo pode substituir um RIR que não está mais em condições de funcionar.

Um caminho de substituição completo identificaria o decisor, o limiar, as provas, a notificação, o operador interino, a preservação de dados, a continuidade criptográfica, o DNS reverso, a migração de contas, a sucessão de contratos, o tratamento de litígios e o reconhecimento do sucessor. Protegeria os membros contra reivindicações concorrentes, preservando a unicidade dos registros. Distinguiria assistência técnica temporária de substituição institucional permanente.

Isso é importante para a fonte do poder de revogação. Se a autoridade de um RIR é justificada pelo reconhecimento e pela necessidade operacional, as condições de perda desse papel revelam os limites dessa justificativa. Um papel que nunca pode ser transferido começa a se parecer com propriedade. Um papel com um processo de sucessão definido se assemelha mais a uma gestão responsável.

Os membros deveriam ter legitimidade para participar dessa discussão porque suportam o risco de transição. O ICANN, a IANA, o NRO e outros RIRs podem ter papéis de coordenação, mas esses papéis deveriam ser estabelecidos em instrumentos executados, e não deduzidos em período de crise. Os governos podem ter responsabilidades de interesse público sem se tornarem operadores de registro. A continuidade técnica deveria ser projetada antes da falha institucional, e não improvisada após ela.

O mesmo princípio se aplica no nível do titular. Quando os recursos são recuperados, o registro deveria indicar se e quando podem ser reemitidos, como anúncios de rota contraditórios são tratados, quais dados históricos permanecem públicos e como os usuários downstream são informados. Revogação sem plano de substituição pode transformar uma medida de responsabilização em um choque de coordenação.

O melhor argumento a favor do sistema atual

O argumento justo a favor dos RIRs é forte. Eles administram recursos globalmente únicos por meio de instituições de direito privado que permaneceram operacionais por décadas de crescimento. Eles publicam acordos e políticas, mantêm estruturas de membros, garantem notificação e correção em muitos casos e expõem mais de suas regras do que muitos provedores de infraestrutura. Os poderes de revogação tratam de problemas reais: abandono, fraude, não pagamento, registros imprecisos, transferências não autorizadas e violação persistente de políticas.

Nenhum legislador global poderia facilmente decidir cada litígio de registro regional. Um sistema de tratado poderia ser mais lento, mais politizado e menos informado tecnicamente. Contratos e políticas comunitárias podem se adaptar a novos riscos de segurança e operacionais. As eleições de membros e processos abertos fornecem formas de consentimento que são reais mesmo que não sejam sufrágio universal. Os tribunais permanecem disponíveis sob a lei do país de origem.

A ausência de um voto fundador único não é necessariamente fatal. As instituições frequentemente se desenvolvem gradualmente. Órgãos empresariais recebem competência ampla e adotam regras mais detalhadas à medida que as condições mudam. Os titulares renovam acordos com notificação. Confiança e aceitação repetida podem fortalecer expectativas estabelecidas.

Mas essa defesa apoia a documentação, e não a opacidade. Se os poderes são legítimos, uma rastreabilidade o mostrará. Se os caminhos de modificação são válidos, a publicação dos votos e das versões comparadas os demonstrará. Se os recursos funcionam, dados anonimizados fortalecerão a confiança. Se um amplo poder discricionário é raramente usado e geralmente corrigido, denominadores impedirão que casos excepcionais distorçam o debate.

O sistema atual não precisa de um mito de delegação pública original para justificar coordenação útil. Ele precisa de um relato honesto da autoridade privada: competência empresarial, contrato, aprovação dos membros, participação em políticas, confiança operacional e controle do direito do país de origem. Esse relato pode ser sólido enquanto permanece limitado.

Um registro da autoridade de revogação

Cada RIR deveria publicar um registro da autoridade de revogação junto com seu contrato atual. Esse registro deveria ser projetado para que um membro, tribunal, operador de rede ou entidade de formulação de políticas possa lê-lo sem precisar reconstituir todo o arquivo da instituição.

Primeiro, deveria nomear a pessoa jurídica que exerce o poder e a disposição empresarial que lhe atribui a competência. Segundo, deveria identificar cada categoria de titulares afetada: membro, não membro, titular legado, beneficiário via NIR, sucessor, órgão governamental e entidade insolvente. Terceiro, deveria listar cada motivo de fundo e o primeiro instrumento no qual apareceu.

Quarto, deveria ligar cada modificação ao texto da proposta, à versão comparada, ao órgão aprovador, à reunião, à votação ou ao registro de consenso, à data de vigência e à regra de transição. Quinto, deveria mapear a sequência desde a alegação até a notificação, divulgação de provas, resposta, correção, medida provisória, decisão final, alteração de registro, efeito no serviço, apelação e restabelecimento. Sexto, deveria indicar se uma apelação suspende uma etapa e quem pode conceder uma suspensão provisória.

Sétimo, deveria distinguir consequências contratuais de efeitos técnicos e efeitos sobre terceiros. Oitavo, deveria identificar a lei aplicável, o tribunal competente, os limites de responsabilidade, o seguro e os compromissos de restabelecimento. Nono, deveria fornecer contagens anuais anonimizadas por motivo e por resultado. Décimo, deveria estabelecer o plano de substituição institucional e continuidade de dados.

Nenhum desses elementos requer a divulgação de dados confidenciais de membros ou métodos sensíveis à segurança. Agregação e expurgo podem proteger ambos. O que não pode ser retido sem prejudicar a legitimidade é a arquitetura constitucional do poder em si.

O registro deveria ser versionado e arquivado criptograficamente, com links estáveis. Um resumo atual não basta, pois os litígios dizem respeito ao passado. A precisão histórica faz parte do devido processo legal.

O que as provas ainda não podem nos dizer

Os textos oficiais permitem uma comparação confiante das estruturas formais. Eles não fornecem um denominador empírico confiável. Não sabemos, a partir de um conjunto de dados comum, quantos avisos, suspensões, rescisões, exclusões ou revogações cada RIR iniciou a cada ano; quantos foram corrigidos; quantos foram objeto de recurso; com que frequência uma suspensão provisória foi solicitada; quantas decisões foram anuladas; nem quais motivos geraram mais litígios.

Também carecemos de um mapeamento público completo das categorias de contratos. Um contrato padrão pode não reger todos os titulares legados, entidades NIR, beneficiários não membros, sucessores ou instituições públicas nos mesmos termos. Versões históricas são importantes. Uma cláusula datada de 2025 não pode explicar um litígio regido por um formulário assinado anos antes, a menos que o caminho de modificação a tenha validamente reportado.

O efeito operacional também é difícil de medir. Uma alteração em um registro de registro não determina mecanicamente o roteamento, mas as contrapartes podem agir com base nos dados do registro, autorizações de origem de rota, DNS reverso e sinais de due diligence. Estudos de caso exigiriam carimbos de data/hora abrangendo notificações, registros, RPKI, anúncios de rota, efeitos sobre clientes e restabelecimento. Os documentos públicos raramente fornecem essa cronologia integrada.

Finalmente, a validade jurídica não pode ser deduzida apenas da publicação. A lei aplicável pode limitar o poder discricionário, as exclusões ou o procedimento. Um tribunal pode interpretar uma cláusula de forma restritiva. Um membro pode renunciar a uma reclamação ou resolvê-la. Sem decisões, não se deve anunciar que cada cláusula é executória ou inválida.

Essas incertezas deveriam restringir as conclusões, e não encerrar a investigação. Os documentos provam que poderes severos existem em formas substancialmente diferentes. As provas faltantes provam que sua história e desempenho ainda não são suficientemente transparentes para permitir afirmações confiantes em todo o sistema.

A autoridade deve deixar um rastro

Os registros de números da Internet precisam de poderes de correção. Eles devem lidar com registros falsos, organizações abandonadas, obrigações não pagas, transferências não autorizadas e violações graves de políticas. A questão não é se cada registro deve durar eternamente. É se um poder institucional pesado em consequências pode ser examinado desde sua origem até seu remédio.

A resposta não deveria depender do respeito à necessidade técnica. Ela deveria ser visível nos documentos: um mandante competente, uma habilitação limitada, um beneficiário identificado, motivos precisos, caminhos de modificação válidos, padrões de prova, consequências proporcionais, revisão independente, responsabilidade em caso de erro e um plano de substituição. Cada etapa deveria apontar para a aprovação upstream e para o restabelecimento downstream.

O APNIC, ARIN, RIPE NCC, AFRINIC e LACNIC já publicam partes importantes dessa arquitetura. Suas diferenças são instrutivas. Mostram que a revogação é projetada, e não inevitável. Os recursos podem ser internos ou arbitrais. Os períodos de correção podem ser imediatos, de 30 dias, de 60 dias ou escalonados. Os recursos legados podem receber tratamento distinto. Infraestruturas essenciais podem justificar prorrogação. As políticas incorporadas podem ter mais ou menos peso.

Porque escolhas de design existem, a responsabilidade existe. Um manual não pode adquirir força constitucional simplesmente por sobreviver em um site. Um contrato não pode reivindicar legitimidade simplesmente porque a renovação era prática. O reconhecimento não pode substituir uma habilitação destinada aos membros. A dependência operacional não pode se tornar um título por repetição.

O registro mais crível não insistirá que sua autoridade é óbvia. Ele publicará o rastro. Esse rastro permite que os membros vejam o que aceitaram, que os diretores vejam o que podem mudar, que os examinadores vejam o que podem corrigir e que a Internet como um todo distinga gestão responsável de controle sem limites.