Europa
Nova proposta europeia estabelece limites para o acesso de menores às redes sociais e aposta em criptografia para comprovar a idade sem revelar a identidade. A iniciativa, entretanto, reacende discussões sobre biometria, vigilância digital e os limites impostos pelo Regulamento Geral de Proteção de Dados.
A União Europeia avança na regulamentação da proteção de crianças e adolescentes na internet com uma proposta que poderá transformar a maneira como redes sociais, plataformas de vídeo, jogos digitais e serviços de inteligência artificial identificam a faixa etária de seus usuários.
Apresentado pela Comissão Europeia em 17 de setembro de 2026, o EU KIDS Act (EU Keeping Internet Digital Spaces Accountable and Trustworthy) pretende estabelecer regras harmonizadas para a proteção de menores em ambientes digitais, incluindo limites etários, mecanismos de supervisão parental e obrigações de segurança incorporadas ao desenvolvimento dos serviços.
A iniciativa, porém, apresenta um desafio técnico e jurídico: como impedir que crianças tenham acesso a determinados serviços sem obrigar milhões de usuários a entregar documentos de identidade, fotografias faciais ou outras informações pessoais às plataformas?
O problema coloca em discussão dois direitos fundamentais: a proteção de crianças e adolescentes e a privacidade dos usuários.
No centro desse debate está o conceito de age assurance, expressão utilizada para designar o conjunto de métodos destinados a determinar ou confirmar a idade ou a faixa etária de uma pessoa.
A proposta europeia busca demonstrar que esses objetivos podem ser conciliados mediante tecnologias que permitam comprovar um requisito etário sem necessariamente identificar o indivíduo.
A proposta apresentada pela Comissão Europeia estabelece uma abordagem progressiva para o acesso de crianças e adolescentes a determinadas redes sociais e plataformas de compartilhamento de vídeos.
O modelo prevê três faixas etárias:
A proposta também pretende combater funcionalidades consideradas prejudiciais ao desenvolvimento de menores, como mecanismos de utilização compulsiva, reprodução automática contínua, rolagem infinita e determinadas estratégias de recomendação de conteúdo.
Serviços de inteligência artificial, incluindo chatbots e sistemas que simulam relacionamentos humanos, também estão contemplados em disposições específicas.
Outro aspecto relevante é a transferência de responsabilidades para as empresas.
A proposta exige que determinados serviços demonstrem que seus produtos foram desenvolvidos com mecanismos adequados de proteção, seguindo o conceito de safety by design, ou segurança desde a concepção.
As maiores plataformas poderão enfrentar obrigações de auditoria independente e sanções que, conforme o texto proposto, poderão alcançar 6% do faturamento anual mundial.
Em novembro de 2026, o EU KIDS Act ainda é uma proposta legislativa, não um regulamento em vigor. Seu conteúdo poderá sofrer alterações durante a tramitação no Parlamento Europeu e no Conselho da União Europeia.
Atualmente, diversos serviços digitais utilizam métodos pouco confiáveis para identificar a idade de seus usuários.
O procedimento mais comum consiste em solicitar a data de nascimento durante o cadastro.
Nesse modelo, qualquer pessoa pode informar uma idade diferente da real, tornando a medida facilmente contornável.
Para resolver o problema, algumas empresas recorrem a mecanismos mais rigorosos, como envio de documentos oficiais, reconhecimento facial ou análise automatizada de características físicas.
Essas soluções, entretanto, podem introduzir problemas de privacidade.
Imagine uma plataforma que precise apenas verificar se determinado usuário possui pelo menos 15 anos.
Para responder a essa pergunta, seria realmente necessário coletar seu nome completo, endereço, número de identificação civil, data de nascimento e fotografia?
Sob a perspectiva da proteção de dados, a resposta depende da necessidade e da proporcionalidade do tratamento.
O simples fato de determinado método ser tecnicamente capaz de verificar a idade não significa que sua utilização seja automaticamente legítima.
A coleta precisa ser compatível com a finalidade pretendida e respeitar os princípios estabelecidos pela legislação.
A distinção fundamental está entre comprovar a idade de uma pessoa e descobrir quem ela é.
Uma plataforma pode precisar da primeira informação sem necessariamente possuir justificativa para obter a segunda.
O Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD), vigente desde 2018, estabelece princípios que devem orientar todo tratamento de informações pessoais.
O artigo 5º determina que os dados coletados sejam adequados, pertinentes e limitados ao necessário para as finalidades pretendidas.
Esse é o princípio da minimização dos dados.
Na prática, significa que uma organização não pode justificar a coleta indiscriminada de informações pessoais apenas porque elas podem ser úteis ou facilitar determinado procedimento.
O artigo 25 também estabelece o conceito de privacy by design and by default, exigindo que a proteção de dados seja considerada desde a concepção dos sistemas e incorporada às suas configurações padrão.
No contexto da verificação de idade, esses princípios impõem uma questão: qual é o menor conjunto de informações necessário para comprovar que um usuário atende ao limite etário estabelecido?
Se uma plataforma recebe apenas a confirmação de que determinada pessoa possui idade suficiente para acessar o serviço, não há necessariamente razão para que também receba uma cópia de seu documento de identidade.
A situação torna-se particularmente sensível quando são utilizadas tecnologias de análise facial.
O artigo 9º do RGPD estabelece proteção especial para dados biométricos tratados com a finalidade de identificar uma pessoa de forma única.
É importante distinguir que nem toda utilização de imagem facial configura automaticamente tratamento de dados biométricos dessa categoria. A classificação depende da operação técnica realizada e da finalidade do processamento.
Ainda assim, fotografias faciais e informações derivadas de sua análise podem constituir dados pessoais sujeitos às exigências gerais do regulamento.
A utilização de inteligência artificial para estimar idades também apresenta desafios relacionados à precisão, à discriminação algorítmica e à possibilidade de tratamentos excessivos.
Embora frequentemente utilizadas como expressões equivalentes, reconhecimento facial e estimativa facial de idade representam operações tecnicamente distintas.
No reconhecimento facial destinado à identificação, algoritmos extraem características da imagem de uma pessoa e podem compará-las com modelos ou registros previamente existentes.
Já na estimativa de idade, um modelo de inteligência artificial analisa características visuais para calcular uma idade provável ou enquadrar o indivíduo em determinada faixa etária.
Nesse segundo caso, não é necessariamente realizada a identificação da pessoa.
Isso, entretanto, não elimina os riscos.
Sistemas de estimativa facial podem apresentar erros, especialmente quando o indivíduo está próximo do limite etário estabelecido.
Uma pessoa de 16 anos, por exemplo, poderia ser classificada como tendo 13 anos e sofrer restrições indevidas.
Também existem preocupações relacionadas ao desempenho dos algoritmos em diferentes grupos populacionais, condições de iluminação, características faciais e qualidade das imagens.
Outro problema diz respeito ao tratamento das fotografias utilizadas durante a verificação.
Mesmo quando uma empresa afirma que não armazena permanentemente as imagens, ainda é necessário avaliar onde elas são processadas, por quanto tempo permanecem acessíveis, quais fornecedores participam da operação e se podem ser utilizadas para outras finalidades.
A ausência de armazenamento permanente não significa, por si só, ausência de tratamento de dados pessoais.
Uma das soluções tecnológicas mais relevantes para esse problema envolve as chamadas Zero-Knowledge Proofs (ZKP), ou provas de conhecimento zero.
Trata-se de uma classe de técnicas criptográficas que permite demonstrar a veracidade de determinada afirmação sem revelar as informações utilizadas para comprová-la.
No contexto de verificação etária, o conceito pode ser aplicado para demonstrar que uma pessoa possui idade igual ou superior a determinado limite sem informar sua data de nascimento ou identidade civil à plataforma.
O funcionamento pode ser compreendido por meio de um exemplo.
Um usuário deseja acessar uma rede social que exige idade mínima de 15 anos.
Em vez de enviar seu documento de identidade diretamente à plataforma, ele utiliza um serviço independente que verifica sua idade por meio de uma credencial confiável.
Depois dessa validação, o sistema emite uma comprovação criptográfica.
Quando a rede social solicita a verificação, recebe apenas uma resposta que permite confirmar o atendimento ao requisito etário.
A plataforma não precisa receber o documento original, o nome completo ou a data de nascimento.
O modelo apresentado pela Comissão Europeia prevê justamente a utilização de soluções independentes das plataformas e de mecanismos criptográficos para reduzir a exposição de informações pessoais.
Isso não significa que a tecnologia produza anonimato absoluto em qualquer implementação. A preservação da privacidade também depende da arquitetura do sistema, da ausência de identificadores correlacionáveis, das políticas de retenção e da capacidade de impedir o rastreamento das verificações.
A Comissão Europeia já desenvolveu uma arquitetura técnica de código aberto para apoiar a implementação de aplicativos de verificação de idade.
O projeto, cuja estrutura inicial foi disponibilizada em julho de 2025, permite que os Estados-membros adaptem a solução às suas infraestruturas de identificação digital.
A tecnologia poderá funcionar como aplicativo independente ou ser integrada às carteiras europeias de identidade digital, conhecidas como European Digital Identity Wallets.
O usuário poderá comprovar sua idade por diferentes mecanismos, incluindo documentos eletrônicos, identidades digitais, aplicativos confiáveis ou procedimentos presenciais disponibilizados pelos provedores.
Após a validação, a proposta é que o aplicativo mantenha somente a informação necessária para demonstrar o cumprimento de determinado requisito etário.
Ao acessar um serviço restrito, o usuário poderá apresentar essa comprovação sem transmitir os documentos originalmente utilizados.
Segundo a Comissão Europeia, a solução foi projetada para impedir que o emissor da credencial acompanhe os serviços acessados pelo usuário e para evitar que as plataformas obtenham dados desnecessários sobre sua identidade.
Em abril de 2026, a Comissão informou que a solução já estava tecnicamente preparada, incentivando os Estados-membros a disponibilizá-la até o final do ano.
A implementação prática, entretanto, depende da adoção e adaptação das ferramentas pelas autoridades e organizações responsáveis.
A exigência de mecanismos de comprovação etária também suscita preocupações que ultrapassam a proteção de dados cadastrais.
Se a identificação documental se tornar necessária para acessar grande parte dos serviços digitais, atividades anteriormente realizadas de maneira anônima ou pseudônima poderão passar a depender de mecanismos de autenticação pessoal.
Isso pode afetar o exercício da liberdade de expressão, especialmente em situações nas quais o anonimato representa uma forma legítima de proteção.
Jornalistas, denunciantes, vítimas de violência e pessoas que buscam informações sensíveis podem possuir razões justificáveis para não revelar sua identidade ao utilizar determinados serviços.
Outro risco está na centralização de dados.
Empresas especializadas em verificação etária poderão processar informações de milhões de usuários, tornando-se potenciais alvos de ataques cibernéticos.
Caso armazenem documentos, imagens faciais ou históricos de verificações, esses fornecedores poderão concentrar informações particularmente valiosas para criminosos.
Uma infraestrutura mal implementada também poderia permitir a correlação entre diferentes acessos, revelando quais plataformas determinado indivíduo utiliza.
Por essa razão, mecanismos de verificação devem ser avaliados não apenas pela capacidade de identificar corretamente a faixa etária, mas também pelos riscos de rastreamento, exclusão indevida e exposição de informações.
Em fevereiro de 2025, o Comitê Europeu para a Proteção de Dados (EDPB) publicou a declaração Statement 1/2025 on Age Assurance, estabelecendo princípios aplicáveis aos sistemas destinados à verificação etária.
O documento ressalta que as medidas de proteção de crianças e adolescentes devem ser compatíveis com os direitos fundamentais à privacidade e à proteção de dados pessoais.
Entre as diretrizes estão a necessidade de demonstrar proporcionalidade, limitar a coleta de dados, assegurar transparência e adotar mecanismos adequados de segurança.
O posicionamento também reforça que a verificação de idade não deve servir como justificativa para identificar, localizar, rastrear ou criar perfis dos usuários quando essas atividades não forem necessárias para a finalidade pretendida.
O documento constitui uma referência importante para a análise de conformidade das tecnologias que venham a ser utilizadas no contexto do EU KIDS Act.
A definição de obrigações legais de verificação etária não afasta automaticamente a aplicação do RGPD.
Ao contrário, as empresas continuarão obrigadas a demonstrar que os métodos escolhidos respeitam as regras de proteção de dados.
O debate europeu possui relação direta com o cenário regulatório brasileiro.
A Lei nº 15.211, de 17 de setembro de 2025, conhecida como ECA Digital, estabeleceu regras específicas para a proteção de crianças e adolescentes em ambientes digitais.
Entre suas disposições estão obrigações relacionadas à aferição de idade, supervisão parental, proteção contra conteúdos inadequados e tratamento de informações pessoais.
O artigo 12 exige que provedores de sistemas operacionais e lojas de aplicativos adotem medidas proporcionais, auditáveis e tecnicamente seguras para aferir a idade ou a faixa etária dos usuários, respeitando os princípios da Lei Geral de Proteção de Dados Pessoais (LGPD).
Já o artigo 13 estabelece que os dados coletados para verificação de idade de crianças e adolescentes poderão ser utilizados exclusivamente para essa finalidade.
Essa limitação representa um mecanismo importante para impedir que informações obtidas com o objetivo de proteger menores sejam posteriormente utilizadas para publicidade comportamental, construção de perfis comerciais ou outras atividades incompatíveis.
A LGPD brasileira também estabelece, no artigo 6º, princípios como finalidade, adequação, necessidade, segurança e prevenção.
Portanto, a exigência de mecanismos confiáveis de verificação etária não representa autorização irrestrita para coleta de documentos, imagens faciais ou outros dados pessoais.
O cenário brasileiro apresenta diferenças em relação à proposta europeia, especialmente quanto às faixas etárias e à distribuição de responsabilidades entre plataformas, sistemas operacionais e lojas de aplicativos.
Entretanto, ambos os modelos enfrentam o mesmo problema tecnológico: verificar a idade de maneira suficientemente confiável sem estabelecer uma infraestrutura de identificação excessiva.
A implementação de mecanismos de verificação etária exige uma abordagem que combine engenharia de software, segurança da informação e conformidade regulatória.
Do ponto de vista técnico, sistemas adequados devem considerar:
Minimização de dados: a plataforma deve receber apenas as informações estritamente necessárias para determinar se o usuário atende ao requisito etário.
Separação de responsabilidades: sempre que possível, a comprovação da idade deve ocorrer em infraestrutura independente daquela utilizada para oferecer o serviço digital.
Proteção criptográfica: credenciais devem incorporar mecanismos que impeçam adulterações, reutilizações indevidas e associação desnecessária entre diferentes verificações.
Retenção limitada: documentos e demais informações utilizados durante a validação devem observar políticas de conservação compatíveis com a finalidade e as obrigações legais aplicáveis.
Segurança das integrações: APIs e serviços externos precisam ser protegidos contra interceptação, falsificação de respostas, utilização indevida de credenciais e vazamento de informações.
Auditoria e transparência: organizações precisam demonstrar a efetividade dos controles implementados e documentar suas decisões sobre necessidade, proporcionalidade e riscos.
Alternativas e contestação: devem existir mecanismos acessíveis para usuários que não conseguem utilizar determinada tecnologia ou que foram classificados incorretamente.
Essas medidas também precisam considerar a possibilidade de que soluções de verificação sejam contornadas por usuários mal-intencionados.
O objetivo não é somente proteger informações pessoais, mas assegurar que o mecanismo adotado efetivamente contribua para a proteção de menores.
O EU KIDS Act representa uma mudança relevante na maneira como os legisladores europeus abordam a segurança de crianças e adolescentes na internet.
A proposta procura substituir a simples declaração de idade por mecanismos tecnicamente verificáveis, ao mesmo tempo em que estabelece limites para a quantidade de informações pessoais que as plataformas poderão obter.
A utilização de credenciais digitais e provas criptográficas pode oferecer uma alternativa aos modelos baseados no envio generalizado de documentos ou fotografias faciais.
Entretanto, a eficácia dessas tecnologias dependerá de decisões de implementação, fiscalização adequada e mecanismos capazes de impedir que a verificação etária se transforme em instrumento de monitoramento dos usuários.
A proteção de crianças e adolescentes é uma obrigação legítima, mas sua concretização não precisa ocorrer à custa da privacidade de toda a população.
O desafio será desenvolver sistemas que comprovem somente o necessário, sem ampliar injustificadamente a coleta e a circulação de dados pessoais.
A questão que poderá definir o futuro da verificação de idade na internet não é apenas como descobrir quantos anos um usuário tem, mas como comprovar que ele atende a determinado requisito sem precisar descobrir quem ele é.
Atualizado em 6 de novembro de 2026.
Nova orientação da autoridade francesa de proteção de dados esclarece quando hospitais e profissionais de…
Acordo nos Estados Unidos expõe um mercado pouco transparente de dados de localização e comportamento…
Decisão da autoridade sueca de proteção de dados determina mudanças em plataformas que permitem consultar…
Incidente envolvendo o FGC compromete a confidencialidade de informações pessoais e financeiras. Casos registrados em…
Operação internacional desmantela estrutura utilizada para espionagem, fraudes publicitárias e exploração clandestina de conexões domésticas.…
Infraestrutura digital do governo federal enfrentou ataques DDoS de intensidade recorde nos últimos seis meses.…