Cancelamento de voos: o Regulamento n.º 261/2004

Doutrina

Agora que as férias de verão estão a começar e que muitos de nós vamos apanhar aviões para destinos longínquos, talvez esta história possa ser do interesse dos consumidores europeus e (por orgulho na legislação) também dos consumidores portugueses.

Durante este mês de junho, tive de viajar bastante por motivos universitários (ou seja, profissionais; não por razões pessoais), o que me obrigou a apanhar quatro voos intercontinentais com companhias aéreas internacionais que operam em Espanha e noutros países da UE (como Portugal). No terceiro destes voos (Málaga – Manila), houve um cancelamento de última hora: após uma hora na pista de aterragem, rebocaram o avião de volta para o aeroporto e comunicaram-nos que o voo estava cancelado devido a «problemas técnicos». Duas semanas depois de isto ter acontecido, ainda não consegui saber quais eram os «problemas técnicos», embora, sinceramente, não tenha a certeza de querer descobrir, uma vez que consegui ver um pequeno camião dos bombeiros pela janela do avião.

O Regulamento (CE) n.º 261/2004 do Parlamento Europeu e do Conselho, de 11 de fevereiro de 2004, que estabelece regras comuns para a indemnização e a assistência aos passageiros do transporte aéreo em caso de recusa de embarque e de cancelamento ou atraso considerável dos voos e que revoga o Regulamento (CEE) n.º 295/91, estabelece uma série de regras que convém recordar em caso de cancelamentos:

– Os passageiros têm direito a receber assistência por parte da transportadora, em dois domínios (art. 5.º, n.º 1, alíneas a) e b)). Em primeiro lugar, o reembolso do preço no prazo de 7 dias, ou o reencaminhamento num transporte equivalente o mais rapidamente possível, ou numa data posterior, caso não haja voo na data imediatamente seguinte e o passageiro concorde (art. 8.º). Trata-se de opções alternativas, com exceção da última, que é subsidiária. Em segundo lugar, deve ser prestada assistência ao consumidor com refeições e bebidas, alojamento em hotel e transporte de e para o aeroporto (art. 9).

– Os passageiros têm direito a uma indemnização, caso não sejam avisados do cancelamento do voo com antecedência suficiente (art. 5.1.c e 7). Ao meu colega e a mim cabia a indemnização máxima (600 euros), uma vez que o cancelamento nos foi notificado uma hora após a hora prevista para a partida e enquanto estávamos a ser rebocados da pista de descolagem. Por outro lado, viajávamos a uma distância de 12 000 quilómetros (art. 7.1.c).

– Por fim, os passageiros devem ser informados dos seus direitos, tanto no balcão (art. 14.1), como através da entrega a cada passageiro de um folheto informativo que indique as normas em matéria de indemnização e assistência da conformidade com o Regulamento 261/2004. A companhia nunca cumpriu esta obrigação. Se tentarem pesquisar no site da Turkish Airlines, verão que também não é nada fácil encontrar a forma de comunicar à companhia aérea o cancelamento de um voo e solicitar a indemnização correspondente. Deve ser feito iniciando uma conversa num tópico de «feedback». Demorámos pouco mais de uma hora e meia até descobrirmos como comunicar com a companhia aérea. É de referir que tanto o meu colega como eu somos doutores em Direito Privado e especialistas em Direito do Consumo (ele é catedrático de Direito Internacional Privado).

Trata-se de um diploma cujo âmbito de aplicação vai além do Direito do Consumo: também podem beneficiar das normas os passageiros que, como era o meu caso, viajam por motivos profissionais e, por conseguinte, não têm a condição de consumidor (Rec. 17 da Diretiva UE 2011/83), se tivermos em conta o disposto no seu artigo 3.º, n.º 1, alínea a), segundo o qual o Regulamento (CE) n.º 261/2004 se aplica «aos passageiros que partem de um aeroporto localizado no território de um Estado-Membro ao qual o Tratado se aplica». Os passageiros podem ser, ou não, consumidores. Caberá questionar se existe direito a reembolso para o passageiro quando o voo foi pago pela sua empresa; mas não parece que se deva duvidar nem do direito à assistência previsto no artigo 9.º, nem do direito a indemnização por cancelamento previsto no artigo 7.º; uma vez que, nestes dois casos, é o próprio passageiro quem sofre o incidente e, por conseguinte, quem tem direito a ser indemnizado.

Após uma hora e meia de busca pelo tesouro, conseguimos finalmente contactar a companhia aérea. Optei por fazê-lo em espanhol, convencido de que, se tenho o direito de intentar uma ação judicial no meu local de residência, também tenho o direito a que uma empresa comunique comigo na língua do local onde resido. A «conversa» foi longa: cada mensagem a solicitar a indemnização era respondida com uma oferta de cheque em produtos da companhia (milhas de voo). Não aceitem! Perderão o direito à indemnização. Coloco «conversa» entre aspas porque se tratava de mensagens padrão cujo único objetivo parecia ser dissuadir ou atrasar o momento do pagamento: o meu colega recebia exatamente as mesmas.

Review of the case law of the European Court of Justice: June 2026

Jurisprudência

June 2026 saw a number of relevant judgments from the Court of Justice of the European Union (CJEU) addressing important issues in consumer law. These decisions contribute to clarifying the interpretation of EU directives and regulations and further develop core principles such as consumer protection, legal certainty, and market fairness. Below is an overview of rulings delivered in this month, highlighting their practical implications for businesses, consumers, and regulators across the EU.

General Court Annuls Meta’s Marketplace Designation under the Digital Markets Act

In its judgment of 3 June 2026 (Case T-1078/23, Meta Platforms, Inc. v European Commission), the General Court of the European Union clarified the limits the Commission faces when classifying and designating core platform services under the Digital Markets Act (DMA).

The case concerned a Commission decision designating Meta as a gatekeeper and classifying its services, Messenger and Marketplace, as distinct core platform services and important gateways for business users to reach end users.

The Court held that while the designation of Messenger was valid, the Commission made an error of law regarding Marketplace. The Court clarified that the qualitative assessment for classifying a service must be based on the factual circumstances existing at the exact time of the decision’s adoption, rather than being restricted to the retrospective three-year period used for calculating quantitative thresholds.

Importantly, the Court stressed that the Commission failed in its obligation to state reasons by not properly evaluating significant changes Meta implemented on Marketplace on 31 July 2023. Failing to rigorously analyze these limitations, which restricted the number of permitted listings, was considered incompatible with the Commission’s duty to conduct a diligent and impartial examination based on the most complete and reliable information possible.

The judgment also underlines that the mere fact that quantitative user thresholds were largely exceeded in the previous three years does not automatically justify a designation, especially when recent factual changes limit how business users can offer goods to consumers on the platform.

Overall, the ruling reinforces the balance between regulating major tech platforms and ensuring procedural fairness, annulling the Marketplace designation and limiting the Commission’s ability to base decisions on insufficient reasoning or outdated factual scenarios.

CJEU Clarifies Liability Regime for Passenger Injuries on Package Cruises

In its judgment of 4 June 2026 (Case C-629/24, MH v Costa Crociere SpA), the Court of Justice of the European Union clarified the rules governing liability when a passenger sustains personal injury on a cruise ship.

The case concerned preliminary rulings regarding passengers who suffered injuries on board. The core issue was whether compensation claims should be governed by the strict liability regime for package travel under Directive 90/314 or the specific liability limits established by Regulation 392/2009 and the Athens Convention.

The Court held that when a cruise is sold as a package, actions for damages relating to injuries sustained during the carriage by sea are governed by the maritime carrier liability regime. The Court clarified that this applies to the entire period the passenger is on board, without needing to distinguish whether the injury resulted from transport, accommodation, or recreation services.

Importantly, the Court stressed that while organizers are liable to consumers for the proper performance of a package contract, they are entitled to rely on the compensation limits provided by the Athens Convention. Therefore, the specific liability caps for death or personal injury occurring on a ship take precedence over the general package travel rules.

The judgment also underlines that passengers have the choice to bring an action either against the cruise organizer or directly against the performing carrier, but they cannot obtain compensation exceeding the actual loss suffered through multiple claims.

Overall, the ruling reinforces the balance between ensuring adequate protection for travelers and maintaining harmonized international liability limits for the maritime transport industry, clarifying the intersection between package travel regulations and maritime law.

CJEU Clarifies Rules on Default Interest for Voided Consumer Contracts

In its judgment of 11 June 2026 (Case C-903/24, Zmarka), the Court of Justice of the European Union clarified the rules on awarding statutory default interest when a contract is annulled due to unfair terms.

The case concerned a voided foreign currency loan where the core issue was whether default interest accrues from a general payment demand or only from a demand specifying the exact amount claimed.

The Court held that requiring the specific amount to be stated in an extrajudicial or procedural document to trigger default interest does not violate Directive 93/13 or the principle of effectiveness.

Importantly, the Court stressed that this requirement does not place an excessive burden on consumers, as they can easily verify paid installments through bank records or by requesting a certificate.

The judgment also underlines that this rule applies independently of specific case circumstances, even when individuals are represented by legal counsel

Overall, the ruling reinforces the balance between consumer protection and fair procedural standards, confirming that specifying claim amounts is a valid prerequisite for obtaining default interest on voided agreements.

CJEU Clarifies Rules on Basic Payment Accounts and Anti-Money Laundering Checks

In its judgment of 11 June 2026 (Case C-81/24, LH v OTP banka d.d.), the Court of Justice of the European Union clarified the limits banks face when refusing to open basic payment accounts due to anti-money laundering regulations.

The case concerned a bank’s refusal to open a basic account for an individual solely because the applicant was included on the United States OFAC list, a restrictive measures list maintained by a third country.

The Court held that EU law does not permit credit institutions to automatically reject applications based purely on such third-country lists. The Court clarified that being on an external sanctions list does not inherently prohibit establishing a business relationship under Directive 2015/849.

Importantly, the Court stressed that while inclusion on such a list is a relevant risk factor, banks are required to conduct an individual assessment of the actual money laundering or terrorist financing risks. A refusal is only justified if this personalized assessment shows the risk cannot be effectively managed through proportionate measures.

The judgment also underlines that anti-money laundering rules cannot be used as a pretext to create unjustified barriers for consumers seeking access to the financial system, particularly given the inherently lower risk of accounts with limited features.

Overall, the ruling reinforces the balance between preventing financial crime and ensuring financial inclusion, confirming that automatic account denials based on foreign sanctions lists are incompatible with EU law without a proper risk evaluation.

CJEU Clarifies Exemptions for Importing Protected Species in Consumer Medicines

In its judgment of 11 June 2026 (Case C-601/24, Gotka), the Court of Justice of the European Union clarified the rules governing the importation of medicinal products containing protected species of wild fauna and flora.

The case concerned criminal proceedings against an individual who introduced tablets containing Japanese seahorse extract into the EU from a third country without an import permit, intended purely for personal therapeutic use.

The Court held that while such a complex preparation is considered a specimen under EU law, it can qualify for the personal or household effects exemption. The Court clarified that classifying a product as a medicinal product does not exclude it from the scope of wildlife protection regulations.

Importantly, the Court stressed that the absence of a commercial purpose is a decisive criterion. Therefore, consumers who lawfully purchase such products abroad for their own medical needs or those of a close relative are exempt from presenting an import permit, provided specific customs conditions are met.

The judgment also underlines that Member States cannot impose criminal sanctions on individuals importing these products if this personal effects derogation applies. If the exemption does not apply, any criminal penalty imposed must strictly comply with the principle of proportionality.

Overall, the ruling reinforces the balance between ensuring the conservation of endangered species and protecting individuals acting without commercial intent, preventing the unjustified criminalization of cross-border personal purchases.

CJEU Clarifies Temporal Application of Rules on Non-Performing Loans

In its judgment of 11 June 2026 (Case C-65/25, IFIS NPL INVESTING), the Court of Justice of the European Union clarified the temporal scope of EU rules regarding non-performing loans and anti-money laundering supervision.

The case concerned bulk assignments of non-performing loans under older national legislation that required neither written contracts nor prudential supervision, applicable before the deadline for transposing Directive 2021/2167.

The Court held that the EU framework on credit purchasers does not apply retroactively to transfers occurring before the 29 December 2023 transposition deadline.

Importantly, the Court stressed that general anti-money laundering rules apply only to specific entities, which exclude purchasers of non-performing loans. Therefore, while consumers now enjoy stronger protections under the new framework, these strict requirements cannot be imposed on prior assignments.

The judgment also underlines that general EU principles, such as transparency and good faith, are inapplicable, as the older national legislation did not implement EU law.

Overall, the ruling reinforces legal certainty, confirming that national rules lacking strict written form and supervision for loan assignments are permitted if the facts occurred before the new directives became applicable

CJEU Clarifies Limits on National Restrictions for Cross-Border Digital Services

In its judgment of 16 June 2026 (Joined Cases C-188/24 and C-190/24), the Court of Justice of the European Union clarified the limits Member States face when regulating information society services originating from other EU countries.

The cases concerned French legislation requiring pornographic websites to implement age verification, and rules prohibiting navigation apps from rebroadcasting police roadside checks.

The Court held that while criminal laws and public policy measures fall within the EU’s harmonized framework, Member States generally cannot impose broad, abstract criminal obligations on service providers established in other Member States.

Importantly, the Court stressed that national authorities may still take targeted measures against specific providers. Requiring a specific platform to use age verification or prohibiting a navigation app from sharing roadside check data is permitted if proportionate and procedurally valid. This ensures that vulnerable consumers, such as minors, receive adequate protection without imposing unlawful general monitoring obligations.

The judgment also underlines that platforms actively controlling content visibility through algorithms cannot claim the liability exemptions reserved for neutral hosting services.

Overall, the ruling reinforces the balance between the free movement of digital services and the protection of public security, clarifying when national authorities can lawfully restrict cross-border online platforms

CJEU Strikes Down Hungarian Mandatory Price Reductions for Food Retailers

In its judgment of 18 June 2026 (Case C-658/24, Penny Market), the Court of Justice of the European Union clarified the limits Member States face when imposing mandatory price reductions and minimum stock obligations on large food retailers.

The case concerned Hungarian emergency legislation requiring food retailers with a turnover exceeding EUR 2.5 million to reduce prices of certain basic products by at least 15% and to maintain mandatory stock levels.

The Court held that such legislation is precluded by the EU’s common agricultural market rules and the Services Directive, as imposing mandatory prices fundamentally undermines the free formation of selling prices and fair competition.

Importantly, the Court stressed that while combating inflation and protecting disadvantaged consumers are legitimate goals, targeting only large retailers fails to achieve them systematically, leaving many vulnerable shoppers without access to these discounted goods.

The judgment also underlines that these requirements likely constitute indirect discrimination, as the turnover thresholds primarily penalized foreign-owned companies while allowing large domestic retail franchises to effectively escape the rules.

Overall, the ruling reinforces the integrity of the EU internal market, confirming that national emergency interventions cannot unjustifiably disrupt harmonized agricultural pricing mechanisms or impose discriminatory burdens on cross-border businesses.

CJEU Clarifies Consumer Protection Scope for Financial Contracts for Differences

In its judgment of 18 June 2026 (Case C-346/25, FIBO Markets), the Court of Justice of the European Union clarified the scope of conflict-of-law rules regarding financial instruments and consumer contracts under the Rome I Regulation.

The case concerned a dispute over a financial contract for differences (CFD), focusing on whether a framework contract’s rules allowing a broker to modify or delay orders fall under an exception that excludes financial instruments from the general consumer protection regime.

The Court held that while the core elements determining the price difference of a CFD constitute a financial instrument, the terms of a framework contract governing order execution and potential price modifications do not.

Importantly, the Court stressed that expanding this exception to cover framework execution terms would unlawfully deprive consumers of the mandatory legal protections afforded by the law of their habitual residence.

The judgment also underlines that this exception must be interpreted strictly, as CFDs are complex and highly speculative products that expose retail clients to significant risks. Overall, the ruling reinforces investor protection in cross-border financial services, confirming that brokers cannot use broad framework clauses to bypass the protective laws of a client’s home country.

Review of the case law of the European Court of Justice: May 2026

Jurisprudência

May 2026 saw a number of relevant judgments from the Court of Justice of the European Union (CJEU) addressing important issues in consumer law. These decisions contribute to clarifying the interpretation of EU directives and regulations and further develop core principles such as consumer protection, legal certainty, and market fairness. Below is an overview of rulings delivered in this month, highlighting their practical implications for businesses, consumers, and regulators across the EU.

Presence of Pest Traces in Food Premises May Suffice to Establish Breach of EU Hygiene Obligations: CJEU Clarifies Scope of Food Business Operators’ Responsibility

In its judgment of 13 May 2026 (Case C-483/24, Aldi SA), the Court of Justice of the European Union interpreted Regulation 852/2004 on the hygiene of foodstuffs in the context of repeated findings of rodent droppings, pest traces, and contaminated products in food shops and warehouses.

The Court held that, under EU food hygiene law, the finding by competent authorities of traces and droppings of pests in food business premises may, in itself, be sufficient to establish an infringement of certain hygiene obligations, without the need to additionally prove that the operator failed to take all possible preventive measures.

The Court emphasized that Regulation 852/2004 pursues a high level of consumer protection and food safety, and that food business operators bear the primary responsibility for ensuring compliance with hygiene requirements throughout the food chain.

In particular, the Court clarified that the repeated presence of pests or contamination in shops and storage facilities demonstrates a breach of obligations relating to the protection of food against contamination and the implementation of adequate pest-control procedures. The Court also confirmed that HACCP-based procedures do not relieve operators from compliance with the general hygiene obligations laid down in Annex II of the Regulation.

However, regarding the structural requirements of food premises, the Court distinguished that the mere presence of pests is not automatically sufficient to establish a breach. In such cases, it must also be shown that the characteristics of the premises themselves prevent the implementation of proper hygiene practices.

Overall, the judgment reinforces that EU food hygiene rules impose strict responsibilities on food business operators, reflecting the fundamental objective of ensuring food safety and protecting public health.

Traders Must Inform Consumers About Possible Customs Formalities and Duties in International Transport Contracts: CJEU Clarifies Scope of Pre-Contractual Information Duties

In its judgment of 13 May 2026 (Case C-488/24, D.V. v Kigas MB), the Court of Justice of the European Union interpreted Article 5(1)(a) and (c) of Directive 2011/83 on consumer rights in the context of an international carriage contract involving customs duties imposed on goods transported from Norway to Lithuania.

The Court held that, in contracts for the international carriage of goods, traders must inform consumers that customs formalities may need to be completed and that customs duties may be payable when goods are imported into the European Union.

The Court emphasized that such information forms part of the main characteristics of the service and is essential for consumers before deciding whether to conclude the contract, since customs procedures and duties may significantly affect both the performance and the overall cost of the transport service.

However, the Court clarified that EU law does not require traders to provide detailed information on the precise customs documents to be submitted or on the exact rates and amounts of customs duties applicable. According to the Court, imposing such an obligation would be disproportionate, particularly because those duties may depend on factors unknown at the time the contract is concluded.

The judgment also confirms that customs duties constitute additional charges within the meaning of Directive 2011/83, meaning that traders must at least inform consumers that such charges may arise, even where their exact amount cannot reasonably be calculated in advance.

CJEU Limits National Notification Duties for Imported Food Supplements

In its judgment of 21 May 2026 (Case C-626/24, PRAGON s. r. o. v Státní zemědělská a potravinářská inspekce), the Court of Justice of the European Union clarified the limits Member States face when imposing prior notification obligations on operators importing food supplements from other EU countries.

The case concerned Czech legislation requiring operators to notify authorities at least 24 hours in advance of the arrival of food supplements imported from another Member State, in order to facilitate official food safety controls.

The Court held that Article 9(7) of Regulation 2017/625 fully harmonises the conditions under which Member States may require such notifications. Under that provision, prior notification obligations are permitted only where they are strictly necessary for the organisation of official controls.

Importantly, the Court stressed that such measures must remain exceptional and proportionate. A general and systematic obligation applying to all imported food supplements was considered incompatible with EU law, particularly given the existence of less restrictive mechanisms for ensuring food safety, including risk-based controls, information-sharing systems between Member States, and existing notification mechanisms under EU food supplement legislation.

The judgment also underlines that the mere fact that products originate from another Member State does not automatically justify stricter controls, since those goods are already subject to harmonised EU food safety rules.

Overall, the ruling reinforces the balance between consumer and public health protection and the free movement of goods within the EU internal market, while limiting Member States’ ability to impose broad administrative burdens on intra-EU trade.

The CJEU Rejects Greek Restrictions on Online Sales of Non-Prescription Medicines

In its judgment of 21 May 2026 (Case C-604/24, Farmakeio YZ & Sia OE v Ypourgos Anaptyxis kai Ependyseon and Ypourgos Ygeias), the Court of Justice of the European Union clarified the limits Member States face when regulating the online sale of non-prescription medicinal products.

The case concerned Greek legislation allowing certified online pharmacies to sell at a distance only a limited subcategory of non-prescription medicines, namely “over-the-counter” products, while excluding other non-prescription medicines from online sale.

The Court held that Article 85c(1) and (2) of Directive 2001/83 precludes such legislation. According to the Court, the directive requires Member States to ensure that all non-prescription medicinal products may in principle be sold online, while permitting prohibitions only for prescription medicines.

The Greek Government justified the restriction on grounds such as overmedication, counterfeit medicines, and the lack of direct pharmacist supervision in online sales. While the Court accepted that these objectives relate to public health protection and consumer safety, it stressed that Member States must adopt proportionate measures and cannot impose restrictions that effectively eliminate online sales of certain non-prescription medicines.

Overall, the ruling reinforces the balance between public health protection and the free movement of goods and services within the EU, while limiting Member States’ ability to impose broad restrictions on cross-border online pharmaceutical sales.

A Verificação de Idade Online chega a Portugal: ChatControl à portuguesa e outros problemas

Doutrina

Este é o terceiro texto sobre a temática da verificação da idade online desta série.

No primeiro texto, apresentámos a origem destas propostas regulatórias, como funcionam as soluções que estão a ser discutidas e os seus riscos para os direitos fundamentais de todos em sociedade.

No segundo texto, abordámos a Proposta de Lei n.º 398/XVII/1ª (doravante “Proposta”), apresentada pelo Grupo Parlamentar do PSD, que, depois de ter sido esmagadoramente aprovada no primeiro voto na especialidade, está agora em discussão na especialidade.

Desde a publicação dos últimos textos, ocorreram alguns desenvolvimentos:

– Na Austrália foi publicado o “Social Media Minimum Age: Compliance Update” do eSafety Commissioner sobre a aplicação do diploma Online Safety Amendment (Social Media Minimum Age) Act 2024, que demonstrou a falta de efetividade das medidas tomadas, também relatado por várias notícias e reportagens.

– A Comissão Europeia disponibilizou a primeira versão do sistema de verificação de idade europeia em open-source, de forma a permitir a sua testagem e promover a sua adoção mundialmente. Em poucas horas, vários grupos de ativistas, profissionais de cibersegurança e privacidade e hackers demonstraram a altíssima fragilidade da aplicação, com diversas vulnerabilidades que podiam ser ultrapassadas em “2 minutos”. Entre os problemas, o sistema armazena dados sensíveis de forma imprópria e vários dos controlos (incluindo o resultado da verificação biométrica) gravavam a informação em ficheiros editáveis, permitindo subverter e contornar facilmente a utilização da ferramenta.^[1]

– A Comissão Europeia adotou a Recomendação (UE) 2026/1035 de 29 de abril de 2026 que estabelece um quadro comum para as tecnologias de verificação da idade à escala da UE. Embora não tenha caracter vinculativo, a Comissão estabeleceu como objetivo que todos os Estados Membros adotem medidas próprias (legislativas e aplicações técnicas) em linha com este quadro comum até ao final de 2026.

– No início desta semana, a Presidente da Comissão Ursula von der Leyen referiu no seu keynote speech no European Summit on Artificial Intelligence and Children, que a Comissão Europeia montou um “Special Panel of experts on Child Safety Online” que está a estudar este tema, incluindo a possibilidade de ser proposto um regulamento europeu para estabelecer de forma uniforme o limite de idade para o acesso a redes sociais e outros serviços digitais em toda a UE. Segundo a própria, dependendo das conclusões deste comité, é possível que a proposta desse regulamento ocorra ainda durante este verão.

– Em Portugal, têm decorrido as audições parlamentares sobre a Proposta na Comissão de Assuntos Constitucionais.

Neste terceiro texto, vamos abordar os temas que falta destacar desta Proposta, em especial, o fim da inviolabilidade da correspondência privada, com a inserção inócua do tema do ChatControl.

Fim da inviolabilidade da correspondência privada e o combate ao cyberbullying a priori

Como referimos no texto anterior, embora a Proposta inicialmente exclua do seu escopo de aplicação os serviços de comunicações eletrónicas interpessoais, há uma exceção.

O Art. 12.º-1 (“Proteção contra aliciamento e violência digital sobre crianças”) estabelece que os serviços abrangidos pela lei deverão “a) implementar mecanismos de deteção e limitação de contactos suspeitos; b) bloquear automaticamente mensagens contendo material violento ou sexual, incluindo conteúdos agressivos ou falsos que possam configurar cyberbullying; c) Disponibilizar canais de denúncia rápidos e seguros. (…)”.

O n.º 3 do mesmo artigo acrescenta que estas medidas deverão também ser cumpridas “com as devidas adaptações, pelos serviços de comunicações eletrónicas interpessoais” quando usados por menores de 16 anos, sendo também aplicável, inerentemente, a todos aqueles que não tenham Chave Móvel Digital e não consigam comprovar a sua idade, e a maiores de 16 anos, quando enviem mensagens a estas contas.

Ora, enquanto a alínea a) pode ser concretizável na prática com base nas denúncias, a alínea b) requer imperativamente outro tipo de medidas técnicas. Como é possível detetar e bloquear automaticamente mensagens privadas trocadas entre utilizadores que tenham conteúdos das categorias indicadas (material violento, sexual, conteúdos agressivos, falsos, cyberbullying)?

A única forma de esta deteção ocorrer é se existir um sistema que 1) leia todas as mensagens privadas e 2) consiga corretamente detetar se os conteúdos das mesmas correspondem às categorias referidas.

Quanto a 1), em especial com a sua aplicação a serviços de comunicações eletrónicas interpessoais, este requisito implica o fim da inviolabilidade da correspondência privada, um dos direitos fundamentais plasmados na nossa Constituição (art. 34.º). A Proposta pretende assim que, fora do âmbito do processo penal, numa lógica preventiva, massificada, o sigilo da correspondência seja violado, que esta seja toda lida, analisada, filtrada e, se necessário, apreendida por privados, fora do alcance de qualquer juiz de instrução.

Um argumento que tem sido referido para afastar estas preocupações é que, dado que não é o Estado a realizar este controlo, não se coloca um problema de inconstitucionalidade. Trata-se de uma falácia que pretende contornar o óbvio: de facto, não será uma “PIDE” a analisar a correspondência privada, mas o Estado Português “subcontrata” e responsabiliza os privados para realizar este controlo por este.

No contexto dos serviços de comunicações eletrónicas interpessoais, esta obrigação irá necessariamente implicar medidas técnicas (“com as devidas adaptações”) que vão atentar contra medidas de segurança e a encriptação P2P.

A existência desta norma na Proposta aparenta ser uma forma (altamente simplificada) de inserir neste diploma o tema do ChatControl, extremamente controverso, e que tem recebido forte oposição no Conselho e no Parlamento.^[2]

Quanto a 2), o diploma impõe a todos os prestadores, com responsabilidade civil objetiva por danos materiais e imateriais que possam ocorrer em caso de falha, que detetem e bloqueiem automaticamente todas as mensagens com conteúdos violentos, sexuais, agressivos ou falsos que possam configurar cyberbullying.

As categorias indicadas são quase progressivamente mais indefinidas (o que são conteúdos falsos ou que configuram cyberbullying para um filtro automático?), requerendo uma análise casuística que depende muito do contexto (online e offline).

Existe uma assunção muito incorreta de que é fácil ou trivial olhar para mensagens e comentários e detetar automaticamente comportamentos abusivos. No contexto de pré-adolescentes dos 13 aos 16 anos, a violência psicológica, de género e sexual é frequentemente muito mais subtil do que os “adultos” imaginam, recorrendo a expressões, trocadilhos, neologismos, memes, slang, que estão em constante evolução etimológica (de desconstrução, reconstrução, inversão irónica, apropriação, etc.) não só na internet (nos seus milhares de nichos e tribos), mas também nos círculos sociais (hiper) específicos dos menores (expressões específicas de escolas, turmas, grupos de amigos, equipas de desporto).

A probabilidade de falsos positivos e falsos negativos irá derrotar totalmente o objetivo desta medida. Se nem o Estado Chinês consegue censurar com sucesso adolescentes no WeChat com a maior máquina repressiva do mundo, será proporcional que Proposta imponha responsabilidade objetiva aos prestadores por danos causados (art. 16.º-1) pelo seu sistema de deteção não conseguir acompanhar novas expressões homofóbicas inventadas por um grupo de rapazes do 9.º B da Escola Secundária Marquesa de Alorna, em Almeirim?

Não é possível prevenir o cyberbullying a priori com este tipo de mecanismo, por muito boas que sejam as intenções desta proposta.

Se, na moderação de conteúdos publicados e partilhados nos VLOP e VLOSE, já existem diversos problemas com falsos positivos, falsos negativos e chilling effects na liberdade de expressão, esta medida da Proposta é ainda mais desproporcional e problemática para os direitos fundamentais.

Uma supervisão inconsistente

A Proposta indica que a supervisão deste diploma deverá caber à ANACOM e à CNPD, mediante as suas respetivas competências, sendo que deverão articular-se ainda com a ARTE (Agência para a Reforma Tecnológica do Estado, antiga AMA) para assegurarem a integração segura, eficiente e adequada do sistema da CMD ou de outro sistema idóneo, com as regras da verificação de idade.

Estas nomeações aparentam ser intuitivas e razoáveis numa primeira análise, exceto num pormenor: segundo o legislador, a ANACOM não é a autoridade competente para assegurar a proteção dos menores nas plataformas em linha, incluindo nas ditas “redes sociais”.

O art. 28.º do DSA estabelece a obrigação dos prestadores de plataformas em linha de adotarem medidas que protejam menores.

Ora, a lei nacional de implementação do DSA (Lei 12-A/2026 de 15 de abril) determina que o Coordenador dos Serviços Digitais, a ANACOM, tem competência para a supervisão e execução do DSA e da lei de implementação em todas as matérias, exceto a publicidade nas plataformas em linha e… a proteção de menores nas ditas plataformas. Nesta matéria, foi a ERC a designada como entidade competente para a supervisão do art. 28º-1, enquanto a supervisão do n.º 2, que respeita à proibição de exibição de anúncios com base em perfis de menores, ficou a cargo da CNPD.

A Proposta ou a lei de implementação do DSA devem ser alteradas para concentrar na mesma entidade ambas as competências.

Proibição de práticas aditivas dirigidas a menores entre os 13 e os 16 anos

A Proposta obriga os prestadores de serviços, que pretendam continuar a permitir o acesso a crianças entre 13 e 16 anos, a implementarem uma modalidade com uma série de funcionalidades obrigatórias destinadas a permitir uma monitorização reforçada pelos titulares das responsabilidades parentais (arts. 6.º-3 e 10.º) e que não pode ter uma série de funcionalidades, propícias ao desenvolvimento de “adição digital” (art. 11.º).

Vários destes requisitos, em específico as funcionalidades obrigatórias refletem em parte práticas do mercado, quanto aos “perfis-criança” ou “parental control” de vários dispositivos e serviços.

Quanto às funcionalidades proibidas, a Proposta enumera as seguintes: a reprodução automática (autoplay), o infinite scroll, a gamificação destinada a prolongar o uso, proliferação de notificações não essenciais (com destaque para o período noturno), loot boxes ou mecanismos equivalentes.

Várias destas podem já estar enquadradas no Regime das Práticas Comerciais Desleais (existe vasta literatura sobre este tema, incluindo neste blog, encontrando-se algumas ações de enforcement a decorrer), ou no Digital Services Act (DSA), seja quanto à proibição dos dark patterns do art. 25.º (cuja formulação podia ser melhorada, mas esse é um tema para outro texto) e nas obrigações de mitigação de riscos sistémicos a direitos fundamentais aplicáveis aos VLOP e VLOSE (sendo que já existem ações de enforcement a decorrer, como Comissão vs Tiktok sobre o design aditivo). É relevante destacar que estes regimes têm um escopo de aplicação subjetivo muito mais favorável que a Proposta, estendendo a sua aplicação além dos menores, protegendo todos os consumidores, independentemente da idade (no caso do Regime das Práticas Comerciais Desleais) e todos os utilizadores de plataformas online, no caso do DSA.

Entre as funcionalidades proibidas, destaca-se que a Proposta inclui a utilização de ferramentas de IA que permitam geração de imagens e vídeos – visando assim impedir que crianças criem deepfakes (e em especial deepnudes) de colegas. Este tema em específico tem recebido muito destaque devido a diversos casos altamente problemáticos, incluindo a geração deste tipo de conteúdo pelo Grok.ai da rede social X, sobre o qual já decorrem várias ações. A proibição de deepfakes de cariz sexual já tem enquadramento legislativo, em vários diplomas, sendo que o AI Act também vai passar a incluir esta funcionalidade nas práticas absolutamente proibidas, pelo (quase concluído) AI Omnibus.

E a responsabilidade dos responsáveis parentais?

A Proposta é silenciosa quanto à realidade que pretende ignorar: são os responsáveis parentais que entregam telemóveis, tablets, computadores e consolas às crianças de todas as idades, e os deixam sem supervisão, independentemente de estes terem funcionalidades de controlo parental.

A Proposta não atribuí qualquer valor jurídico à possibilidade de os responsáveis parentais permitirem aos filhos contornar as regras que estabelece.^[3] Toda a sociedade é onerada por controlos de idade com chilling effects substanciais na liberdade de expressão e direito de acesso à informação devido a esta preocupação com a proteção das crianças – mas os principais responsáveis, aqueles que detêm a responsabilidade parental, não são, e o trocadilho é necessário, considerados responsáveis.

Quanto às crianças com idade entre os 13 e os 16 anos, embora não abordado aqui em detalhe, a Proposta ignora completamente a realidade de que nem todas as famílias são iguais: em muitas famílias, a guarda é partilhada (ou pode ainda estar a decorrer litígio sobre esse tema) ou as crianças podem estar institucionalizadas (será o Estado a decidir se as crianças entre 13 e 16 anos podem usufruir de qualquer um dos serviços abarcados pela Proposta). Adicionalmente, ao preferir a solução da CMD, esta solução exige que estas crianças tenham telemóveis para a sua autenticação.

Conclusões

As boas intenções deste Proposta são inegáveis. No entanto, no estado atual em que foi apresentada, esta Proposta apresenta diversas deficiências legísticas e técnicas, propostas de medidas que são desproporcionais, com entraves técnicos para os objetivos pretendidos, que colocam em risco os direitos fundamentais de todos.

É preciso que ocorra um debate alargado, consciente, sério e honesto na sociedade civil sobre os conteúdos desta Proposta e as escolhas que estão a ser feitas. Ainda é possível corrigir o texto da Proposta na fase da especialidade que se encontra a decorrer na Assembleia da República, mas requer tempo e calma, sendo necessário ouvir as preocupações de todos os interessados e os alertas dos técnicos.

É possível proteger as crianças com um modelo de responsabilidade partilhada de forma equilibrada entre prestadores de serviços e tilares das responsabilidades parentais que não coloque em causa a segurança e os direitos fundamentais de todos.

^[1] Infelizmente este tem sido um mau ano para o lançamento de sistemas e aplicações pela Comissão Europeia. No início de abril deste ano, a União Europeia implementou o seu novo Sistema de Entrada e Saída (EES), um sistema de controlo de fronteiras digital e biométrico que substitui os carimbos manuais nos passaportes . A digitalização completa deste procedimento, que antes até já estava altamente digitalizado, tem causado caos generalizado nos aeroportos europeus. A Grécia já suspendeu completamente a sua utilização.

^[2] De forma muito resumida, o ChatControl é o termo utilizado para designar a proposta do Regulamento que estabelece regras para prevenir e combater o abuso sexual de crianças, que visa tornar obrigatória a análise automática de todas as mensagens por sistemas de comunicação eletrónica interpessoal para a deteção de conteúdos de abuso sexual de crianças. Esta proposta de regulamento de 2022 (e várias versões subsequentes) têm sido sistematicamente bloqueadas no Conselho Europeu e no Parlamento Europeu.

Uma versão anterior do ChatControl (conhecido como ChatControl 1.0) era um regulamento temporário de 2021 que estabelecia uma exceção à Diretiva da privacidade eletrónica (Diretiva ePrivacy) para permitir, de forma voluntária, que alguns prestadores pudessem realizar esta monitorização automatizada de CSAM. Este diploma já não se encontra em aplicação, depois do Parlamento Europeu se ter recusado a prorrogar este regime.

^[3] Uma das principais recomendações da CNPD no seu parecer é precisamente responsabilizar os “pais cúmplices”.

Marcar e Arriscar? A questão dos Pacotes Voo+Hotel

Doutrina

Por Leonor de Sá e Frade

Imaginem: é Fevereiro. Está frio lá fora, não pára de chover e o Verão parece daqui a uma eternidade. À distância de um clique, promessas de destinos mais quentes aliciam-nos através da internet: Maldivas, Rio, Cabo… Uma pessoa deixa-se ir. Carrega no botão (“ofertas de inverno!”) e reserva: voos, hotel, carro, atividades; uma semana inteira de férias marcada em menos de dez minutos.

Adicionar serviços é fácil: página após página, ofertas, promoções, “genius deals”, pacotes de atividades, fotos meramente ilustrativas e momentos de ‘decisão obrigatória’ empurram os consumidores a reservar, comprar, alugar ou subscrever serviços. Só que compreender o enquadramento dos serviços não é por vezes tão fácil como reservá-los. E como viajante, nada pior que ficar apeado no Estrangeiro. Nós sabemos.

Os Pacotes Voo+Hotel: Um negócio, três modelos

Nos termos e condições aplicáveis à reserva de pacotes de Voo+Hotel na Plataforma Rumbo, a operadora apresenta-se como agência de viagens, atuando como intermediária entre o viajante e os prestadores finais dos serviços (companhias aéreas e, quando aplicável, outros fornecedores), assumindo obrigações típicas dessa intermediação, como a responsabilidade pelos danos suportados pelos viajantes com o incumprimento da execução material dos serviços.

Já nos termos e condições aplicáveis à reserva de pacotes de Voo+Hotel na eDreams, a operadora da plataforma, que se assume como agência de viagens registada em Espanha, qualifica-se predominantemente como prestadora de serviços. Esta qualificação reforça a ideia de que a eDreams é parte autónoma no contrato no que respeita aos serviços por si prestados (estabelecimento de ligação entre utilizador e prestador do serviço), excluindo expressamente a responsabilidade direta pela prestação dos serviços de transporte aéreo e alojamento.

Por seu turno, a Booking adota, de forma consistente nos seus termos e condições, um modelo assente no regime de mandato, em representação das operadoras turísticas, sem assumir a posição de parte principal no contrato de prestação do serviço de viagem. A relação contratual principal estabelece-se, assim, entre o cliente e o hotel/companhia aérea, cabendo à Booking funções de mediação, facilitação e gestão administrativa, dentro dos limites conferidos pelo mandato.

Em virtude do exposto, forçoso é concluir que, havendo muitos contratos, em especial no comércio com consumidores, que dispensam a leitura atenta dos “termos e condições” aplicáveis (o que pode ocorrer por se tratar de contratos cujas cláusulas são tacitamente conhecidas das partes em virtude da frequência dos comportamentos adotados, como contratar uma viagem de autocarro, uma maçã num supermercado ou um novo par de sapatos), outros há, porém, relativamente aos quais se observa uma enorme variabilidade de cláusulas com repercussões graves a nível da responsabilidade assumida pelo profissional e, inversamente, dos riscos assumidos pelo consumidor, no caso em apreço, viajante. Cláusulas de que, aqui entre nós e o Leitor, os consumidores, a maioria das vezes, não têm bem noção.

(Breve) Enquadramento Jurídico

Nos casos em que as plataformas atuam como agências de viagens, o consumidor beneficia, em regra, de um quadro jurídico mais protetor: a agência assume deveres específicos de assistência e, em determinadas circunstâncias, responsabilidade solidária pela correta execução do pacote, mesmo quando os serviços são prestados por terceiros. Este modelo oferece maior previsibilidade quanto aos direitos do consumidor. Veja-se, na cláusula 15. dos termos e condições da Rumbo, como a operadora se assume “responsável por danos causados ao Utilizador por motivo da sua falha total ou parcial na prestação dos serviços de férias organizadas contratados, independentemente de serem fornecidos pela própria (…) ou por terceiros.”

Quando as plataformas se posicionam como prestadoras de serviços, incluindo o mandato, o enquadramento altera-se substancialmente. Embora esta atuação possa conferir maior clareza quanto à identidade do cocontratante, também pode implicar uma fragmentação da responsabilidade, exigindo ao consumidor um esforço acrescido para distinguir quais os direitos oponíveis à operadora da plataforma ou aos prestadores finais, como as companhias aéreas. Tal é afirmado, e assim confirmado, pela Cláusula 2.1.1. dos termos e condições da operadora eDreams (“Não celebramos a relação contratual relacionada com os Serviços de Viagem e/ou Outros Serviços que compra, a menos que expressamente indicado como tal”) e pela Secção A21., dos termos da Booking (ao abrigo do qual o utilizador “NÃO irá beneficiar dos direitos aplicáveis aos pacotes ao abrigo da Diretiva da UE (CE) 2015/2302 ou dos Regulamentos de Serviços de viagens conexos e de viagens organizadas do RU de 2018 (em conjunto, os “Requisitos de viagens organizadas”)”, não se considerando a operadora “responsáve[l] pelo desempenho adequado destes serviços de viagem.”).

Estas diferenças não são meramente formais, tendo impacto direto no nível de proteção do consumidor. A falta de atenção ao papel efetivamente assumido por cada plataforma pode levar o consumidor a acreditar, erradamente, de que dispõe de direitos ou garantias que, afinal, não lhe são aplicáveis. A própria eDreams avisa, em caps lock “QUANDO FIZER UMA RESERVA ATRAVÉS DESTE SITE, O CONTRATO SERÁ ENTRE O UTILIZADOR E O FORNECEDOR DE VIAGENS E NÃO ENTRE NÓS E O UTILIZADOR.”

Conclusão: Marcar e Arriscar

Para se proteger, é essencial que o consumidor leia atentamente as cláusulas antes de concluir a reserva, identifique quem é a parte contratual responsável por cada serviço e tenha consciência de que, consoante o modelo adotado (agência, prestador ou mandatário), poderá estar mais ou menos protegido em caso de imprevistos. Já o dissemos e voltamos a dizer: ninguém quer marcar, arriscar e, em vez de aproveitar, ficar apeado.

Review of the case law of the European Court of Justice: April 2026

Jurisprudência

April 2026 saw a number of relevant judgments from the Court of Justice of the European Union (CJEU) addressing important issues in consumer law. These decisions contribute to clarifying the interpretation of EU directives and regulations. Below is an overview of rulings delivered in this month, highlighting their practical implications for businesses, consumers, and regulators across the EU.

Consumer Acknowledgment Can Interrupt Limitation Periods: CJEU Clarifies Effects in Unfair Contract Cases

In its judgment of 16 April 2026 (Case C-901/24, Falucka), the Court of Justice of the European Union interpreted Article 7(1) of Directive 93/13/EEC in the context of restitution claims following the invalidity of consumer contracts containing unfair terms. The case concerned proceedings between mBank and several consumers after a mortgage loan agreement was declared void due to unfair terms, raising the question whether a consumer’s acknowledgment of debt, made during litigation, can interrupt the limitation period for the bank’s restitution claim.

The Court held that EU law does not preclude national rules under which such an acknowledgment interrupts the limitation period. It reasoned that this does not undermine the effectiveness of consumer protection, since the invalidity of unfair terms must restore the parties to their original position, which may include mutual restitution. The Court emphasized that the consumer’s right to restitution remains intact, and that allowing interruption of limitation periods does not make it excessively difficult to exercise rights under EU law.

Importantly, the Court clarified that a consumer’s informed acknowledgment, made after being advised of the legal consequences of contract invalidation, may validly produce legal effects, including restarting limitation periods. It rejected the argument that such acknowledgments inherently disadvantage consumers, noting that consumers must be properly informed, but not exhaustively instructed on all procedural consequences, such as limitation rules.

The Court also found that this approach is consistent with the principles of legal certainty and the right of access to a court, as it allows sellers or suppliers to rely on consumer statements when deciding whether to initiate legal action. Such rules ensure predictability and fairness in legal relations, without compromising the protective purpose of Directive 93/13.

Overall, the judgment confirms that consumer protection under EU law does not exclude procedural consequences flowing from a consumer’s own informed statements, and that national limitation rules, when applied proportionately, remain compatible with the Directive’s objectives.

Online Gambling Restrictions and Restitution of Losses: CJEU Confirms Compatibility with EU Law

In its judgment of 16 April 2026 (Case C-440/23, FB), the Court of Justice of the European Union interpreted Article 56 TFEU in the context of national restrictions on online gambling and claims for restitution of losses incurred under unlawful gambling contracts. The case concerned proceedings between a consumer and Malta-based online gambling operators, raising questions about whether German legislation prohibiting certain online games of chance, such as slot machines and secondary lotteries, was compatible with the freedom to provide services.

The Court held that EU law does not preclude national legislation imposing a general prohibition on specific forms of online gambling, even where other types of gambling are permitted, including land-based games and certain licensed online activities like sports betting. It reasoned that Member States retain broad discretion in regulating gambling to protect consumers and prevent fraud and addiction, and that differences in regulatory treatment between types of games do not, in themselves, undermine the consistency or proportionality of such legislation.

The Court emphasized that the existence of demand for prohibited online gambling services, or the fact that similar services are lawfully offered in other Member States, does not invalidate national restrictions. It also clarified that a later legislative shift towards a licensing system does not retroactively affect the legality or consequences of a prior prohibition, including during transitional regulatory periods.

Importantly, the Court confirmed that contracts concluded in breach of such national prohibitions may be considered void under applicable national law, and that consumers may seek restitution of losses incurred. It rejected the argument that such claims constitute an abuse of rights, noting that restitution arises from national contract law and reflects the consequences of illegality, rather than reliance on EU law itself.

Overall, the judgment reaffirms the wide regulatory autonomy of Member States in the gambling sector and confirms that national rules on contract nullity and restitution, when applied consistently with EU law, do not infringe the freedom to provide services.

Bank Restitution Actions May Interrupt Limitation Periods Despite Parallel Invalidity Proceedings: CJEU Clarifies Consumer Protection Limits

In its judgment of 16 April 2026 (Case C-752/24, Jangielak), the Court of Justice of the European Union interpreted Article 7(1) of Directive 93/13/EEC, together with the principles of effectiveness, proportionality, legal certainty and the right of access to a court, in the context of restitution claims following the invalidity of consumer credit agreements containing unfair terms. The case concerned proceedings between mBank and consumers after a mortgage loan agreement indexed to the Swiss franc was challenged for containing unfair terms, raising the question whether a bank’s action for restitution, brought before the final outcome of separate invalidity proceedings initiated by consumers, can interrupt the limitation period.

The Court held that EU law does not preclude national rules under which the bringing of such a restitution action interrupts the limitation period, even where parallel proceedings on the invalidity of the contract are still ongoing. It reasoned that this mechanism is compatible with the objective of Directive 93/13, since the invalidity of unfair terms requires restoring the parties to their original position, which may include mutual restitution obligations.

The Court emphasized that consumer protection does not exclude the bank’s right to seek restitution, as denying such a possibility could infringe the principle of proportionality and lead to unjust enrichment of the consumer. It also stressed that allowing interruption of limitation periods ensures effective judicial protection and access to a court for the seller or supplier, maintaining a fair balance between the parties.

Importantly, the Court clarified that the mere obligation for consumers to defend themselves in restitution proceedings does not make the exercise of their rights excessively difficult, provided that national courts ensure procedural safeguards. In particular, courts must verify that costs are not disproportionately high and may, where appropriate, stay proceedings to avoid undermining consumer protection.

The Court further found that such rules are consistent with the principle of legal certainty, as they ensure predictability in legal relations by allowing limitation periods to be interrupted through judicial actions in a uniform manner.

Overall, the judgment confirms that Directive 93/13 does not prevent national procedural rules that allow banks to interrupt limitation periods through restitution actions, even during ongoing invalidity proceedings, provided that consumer rights are not rendered excessively difficult or impossible to exercise.

Equity May Justify Allowing Time-Barred Bank Claims: CJEU Sets Limits Under Consumer Law

In its judgment of 16 April 2026 (Case C-753/24, Rzepacz), the Court of Justice of the European Union held that Article 7(1) of Directive 93/13/EEC does not preclude national rules allowing courts, in exceptional circumstances, to grant a bank’s restitution claim even after the limitation period has expired, where equity so requires.

The Court emphasized that the invalidity of unfair terms entails restoring the parties to their original position, including mutual restitution, and that fully excluding the bank’s claim could breach the principle of proportionalityand lead to unjust enrichment.

However, such exceptions must remain strictly limited, based on objective criteria, and applied so that they do not make it excessively difficult for consumers to exercise their rights, particularly by avoiding disproportionate costs.

Overall, the ruling confirms that equity-based exceptions to limitation periods are permissible, provided they do not undermine effective consumer protection under EU law.

Non-Publication of ISO Standards Does Not Preclude Their Enforceability Where Access Is Ensured: CJEU Clarifies Rule of Law Requirements

In its judgment of 21 April 2026 (Case C-155/24, Stichting Rookpreventie Jeugd), the Court of Justice of the European Union interpreted Article 4(1) of Directive 2014/40/EU in light of the principle of the rule of law, legal certainty, and free access to EU law, in the context of measuring tobacco emissions. The case concerned whether ISO standards referenced in EU legislation, but not published in the Official Journal, can be enforced against individuals.

The Court held that EU law does not preclude the enforceability of such ISO standards where individuals have had actual access to their official and authentic content, even if they were not formally published. In such cases, individuals cannot rely on alternative measurement methods to challenge compliance with emission limits.

The Court emphasized that free and effective access to legal rules is a core requirement of the rule of law under Article 2 TEU. Therefore, standards incorporated into EU law must be accessible in a general, non-discriminatory, and free-of-charge manner, ensuring that individuals can verify compliance and enforce their rights.

Importantly, the Court clarified that once such access is guaranteed, the absence of formal publication in the Official Journal does not undermine the binding nature of those standards. At the same time, it stressed that the EU must ensure access to these standards, even where they are protected by intellectual property rights, due to an overriding public interest.

Overall, the judgment confirms that non-publication of technical standards does not prevent their application, provided that effective access is ensured, thereby safeguarding both legal certainty and a high level of public health protection under EU law.

Charging Interest on Credit Costs Is Precluded Under EU Law: CJEU Clarifies Scope of “Total Amount of Credit”

In its judgment of 23 April 2026 (Case C-744/24, P.W. v Bank Polska Kasa Opieki S.A.), the Court of Justice of the European Union interpreted Article 3(g) and (j) and Article 10(2) of Directive 2008/48/EC in the context of consumer credit agreements involving financed insurance premiums. The case concerned whether a lender may apply interest not only to the amount actually disbursed to the consumer, but also to costs associated with the credit, such as insurance premiums.

The Court held that EU law precludes such a practice. Interest, defined as the “borrowing rate”, may be applied only to the amount of credit actually made available to the consumer, and not to sums forming part of the total cost of the credit, even where those costs are financed as part of the agreement.

The Court emphasized the strict distinction established by Directive 2008/48 between the “total amount of credit” and the “total cost of the credit to the consumer”. Costs such as insurance premiums, particularly where they are required to obtain the credit on advertised terms, fall within the latter category and cannot be treated as part of the credit drawn down.

Importantly, the Court clarified that this prohibition applies regardless of whether the relevant sums are physically transferred to the consumer or paid directly to third parties. The classification of such amounts depends on their economic function within the credit agreement, not on the method of disbursement.

Overall, the judgment confirms that lenders cannot circumvent EU consumer protection rules by artificially inflating the base on which interest is calculated. By excluding credit costs from the interest-bearing amount, the ruling reinforces transparency, ensures comparability of credit offers, and safeguards a high level of consumer protection under EU law.

Consumers May Enforce Rights Against Transferee Banks: CJEU Confirms Limits Under Directive 93/13

In its judgment of 23 April 2026 (Case C-761/24, HM and JD v AXA Bank Belgium SA and Others), the Court of Justice of the European Union clarified the application of Directive 93/13/EEC to loan agreements transferred between credit institutions.

The Court held that EU law does not preclude requiring consumers to assert their rights only against the transferee of a contract, as long as this does not make those rights impossible or excessively difficult to exercise.

It stressed that the concept of “seller or supplier” includes transferee banks, and that all legal consequences of unfair terms must remain enforceable against them under the same conditions as against the original lender.

Overall, the judgment confirms that contract transfers cannot undermine consumer protection, and rights must remain fully effective after the transfer.

Pacote Voo + Hotel – Reforma do Regime Jurídico das Viagens Organizadas

Doutrina

Os direitos dos viajantes e as obrigações dos operadores responsáveis pela organização e/ou execução dos serviços de viagem são, atualmente, regulados pela legislação nacional que transpõe a Diretiva (UE) 2015/2302, do Parlamento Europeu e do Conselho, de 25 de novembro de 2015 – Decreto‑Lei n.º 17/2018, de 8 de março.

Todavia, as réplicas da pandemia de Covid‑19 – refletidas em disposições nacionais que contrariavam o texto da Diretiva, cancelamentos em massa, em episódios de insolvência de operadores turísticos (ex.: o caso “Thomas Cook”) e na exposição de fragilidades na tutela dos viajantes – motivaram a Comissão Europeia, em novembro de 2023, a propor a revisão da Diretiva (UE) 2015/2302, com o duplo objetivo de reforçar a proteção dos viajantes, e de simplificar alguns aspetos do regime.

No passado dia 30 de março de 2026, o Conselho adotou a sua posição final relativamente ao texto da proposta que se espera publicado em breve no Jornal Oficial, dando início a um novo capítulo para o regime aplicável aos pacotes de viagem.

Vejamos algumas das prioridades institucionais que moldaram o texto final da Diretiva quanto ao (i) conceito de “viagens organizadas”, (ii) às soluções em matéria de reembolsos em caso de resolução e, por último, (iii) à criação de um sistema de reclamações.

a) Definição de Viagens Organizadas e Serviços de Viagem Conexos

A revisão da Diretiva assenta na premissa de que as definições vigentes eram excessivamente complexas e geravam incerteza jurídica, sobretudo no que respeita a reservas em ambientes digitais.

A proposta inicial da Comissão visava, por isso, simplificar os conceitos de “viagem organizada” e “serviços de viagem conexos”. Todavia, o Parlamento Europeu defendeu a eliminação total deste último conceito.

O texto final reflete essa opção do Parlamento, lidando apenas com a noção de “viagem organizada”, que conta apenas com pequenas alterações ao seu conceito originário – designadamente, que constituirá uma viagem organizada a aquisição de serviços de viagens a diferentes operadores através de processos interligados de reserva em linha, pelos quais os dados pessoais do viajante que permitem a sua identificação como parte contratante (sem os especificar em concreto) são transferidos para outro(s) operador(es) e esse(s) operador(es) celebram um contrato com o viajante até 24 horas após a confirmação da reserva do primeiro serviço de viagem.

De notar que, nesta nova versão, os operadores que promovam a aquisição de serviços adicionais de viagem quando estes não configuram uma viagem organizada, devem informar claramente o consumidor de que este não beneficiará da proteção do regime. A omissão dessa informação poderá conduzir à aplicação, por ficção legal, das garantias próprias das viagens organizadas.

Contudo, em apreciação global, a definição de “viagem organizada” permanece geralmente a mesma, e, portanto, com o mesmo nível de complexidade que se pretendia simplificar – não permitindo ainda destrinçar com clareza se os atuais modelos de negócio sofisticados subjacentes à oferta de “Pacote Voo + Hotel” recaem no conceito de viagem organizada. E, mesmo quanto aos operadores que atualmente se auto-qualificam como prestadores de serviços de viagem conexos (ex.: Booking.com), fica a dúvida sobre se os consumidores viajantes ficam mais protegidos com esta alteração (por contratarem, a final, uma viagem organizada), ou menos protegidos por perderem a proteção antes conferida aos serviços de viagem conexos.

b) Soluções em Matéria de Reembolsos em caso de Resolução

O regime dos pagamentos antecipados reveste especial importância na proteção dos viajantes. Em contextos excecionais, como os cancelamentos em massa, as agências de viagens têm enfrentado dificuldades em cumprir o prazo de reembolso de 14 dias em caso de resolução, previsto no artigo 12.º, n.º 4, da Diretiva (UE) 2015/2302, devido à necessidade de restituir, num curto período, montantes particularmente elevados.

Reconhecendo este problema, a Comissão Europeia propôs, na revisão da Diretiva, a introdução de limites aos pagamentos antecipados. A proposta previa que, salvo exceções, o montante exigido no momento da reserva não excedesse 25% do preço total da viagem, e que o pagamento do remanescente não pudesse ser solicitado com menos de 28 dias de antecedência relativamente ao início da viagem.

Esta solução visava, assim, mitigar o risco de incumprimento do dever de reembolso e reforçar a liquidez dos viajantes. Aliás, considerando a proposta da Comissão insuficiente, o BEUC propôs medidas de proteção reforçadas, nomeadamente através de contas de escrow.

Contudo, num ângulo diametralmente oposto, o Parlamento Europeu rejeitou a norma e relegou para os Estados‑Membros a competência para regular esta matéria em função das particularidades dos respetivos mercados.

O texto proposto pelo Parlamento Europeu reconfigura o regime do direito de resolução dos contratos de viagem organizada, clarificando os critérios que deverão orientar a definição da medida da taxa que poderá ser exigida ao viajante em caso de resolução antecipada, e estabelecendo um critério supletivo para a sua fixação (i.e., o preço do pacote, deduzido das poupanças relevantes e dos rendimentos decorrentes da utilização alternativa dos serviços de viagem).

Paralelamente, o legislador concentra-se no reforço da proteção dos consumidores perante «circunstâncias inevitáveis e excecionais», adotando como referencial interpretativo o juízo de prognose na perspetiva do “viajante médio”. Este conceito permite uma aproximação à jurisprudência do Tribunal de Justiça da União Europeia relativa ao “consumidor médio” – normalmente informado e razoavelmente atento e avisado.

A nova formulação da Diretiva consagra ainda, ao nível do próprio texto legal, a possibilidade de o organizador oferecer ao viajante um vale (voucher) como alternativa ao reembolso em numerário. Essa alternativa é, porém, estritamente regulada:

– O viajante conserva sempre o direito ao reembolso em dinheiro;

– O vale deve corresponder, pelo menos, ao valor a reembolsar (podendo ser superior) e ser utilizável em qualquer serviço de viagem oferecido pelo organizador;

– O viajante que reserva com vale não pode ser tratado de forma menos favorável do que os demais;

– O vale tem uma validade máxima de 12 meses, prorrogável uma única vez, por até 12 meses, mediante acordo expresso das partes em meio durável;

– O organizador deve informar, em meio durável, que (i) o viajante não é obrigado a aceitar o vale, (ii) qual o valor do vale e o montante do reembolso a que tem direito e que este está coberto pela garantia de insolvência; (iii) deve também esclarecer que o vale pode ser utilizado total ou parcialmente e que, se for usado para contratar um único serviço de viagem, esse serviço não ficará abrangido pelo regime jurídico das viagens organizadas; (iv) é admitida uma transferência única e gratuita do vale; e, por fim, (v) se o vale não for utilizado na totalidade até ao termo da sua validade, o remanescente deve ser pago no prazo de 14 dias, sem necessidade de pedido específico.

O tema dos vales foi muito discutido aquando da pandemia Covid-19, quando os operadores turísticos (validados por legislação nacional excecional) tentavam impor aos consumidores vales pelo cancelamento das suas reservas em detrimento do direito ao reembolso. A solução aqui proposta reforça o direito ao reembolso dos viajantes, mas regula a opção pela oferta de um vale como alternativa – a escolha é do viajante e, em última instância, este tem sempre direito a reaver o seu dinheiro.

c) Sistema de Reclamações

A par da obrigação de assistência já prevista no artigo 16.º da Diretiva (UE) 2015/2302, é proposta a introdução de um novo artigo 16a, que impõe aos organizadores a criação de um sistema de reclamações que permita o contacto fácil e acessível por parte dos viajantes.

O sistema de reclamações deve cumprir dois requisitos essenciais: (a) confirmar a receção da reclamação em suporte duradouro no prazo de sete dias; e (b) assegurar uma resposta ao viajante no prazo de 60 dias a contar da data de apresentação da reclamação.

O Parlamento Europeu estabeleceu ainda, de forma expressa, a articulação com o regime de resolução alternativa de litígios de consumo previsto na Diretiva 2013/11/UE. Note-se, contudo, que tal articulação não carecia de disposição expressa na presente revisão, uma vez que já decorria do direito vigente aplicável às relações de consumo.

Considerações Finais

A revisão da Diretiva das Viagens Organizadas representa um passo decisivo na consolidação da proteção do viajante europeu. Ao simplificar alguns conceitos e criar mecanismos mais claros de informação e reclamação, o novo regime assegura uma tutela mais robusta do viajante consumidor num contexto internacional em que se prevê a ocorrência cada vez mais frequente de “circunstâncias inevitáveis e excecionais”.

Todavia, persistem desafios. Por um lado, o modelo de negócio das agências de viagens online continua a colocar dificuldades ao conceito de viagem organizada. Por outro lado, importa sublinhar a necessária articulação do regime das viagens organizadas com a regulação europeia dos direitos dos passageiros[1], em particular com o Regulamento (CE) 261/2004 relativo aos direitos dos passageiros aéreos. Com efeito, a sobreposição entre os dois regimes, que ocorre sempre que uma viagem organizada inclui transporte aéreo, tem suscitado dificuldades de aplicação, nomeadamente quanto à determinação do regime aplicável em caso de cancelamento ou atraso de voos. A eficácia da reforma das viagens organizadas dependerá, nesta matéria, da harmonização que se espera vertida no texto do Regulamento (CE) 261/2004 – atualmente em processo de revisão.

[1] Designadamente, o Regulamento (UE) 2021/782 do Parlamento Europeu e do Conselho, de 29 de abril de 2021, relativo aos direitos e obrigações dos passageiros dos serviços ferroviários; o Regulamento (UE) n. ° 181/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011 , respeitante aos direitos dos passageiros no transporte de autocarro; e o Regulamento (UE) n. ° 1177/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, relativo aos direitos dos passageiros do transporte marítimo e por vias navegáveis interiores.

A Verificação da Idade Online chega a Portugal: Análise da Proposta de Lei n.º 398/XVII/1ª – Escopo (Des)Proporcional e uma Solução Simplista sem Consideração da Acessibilidade

Legislação

No primeiro texto apresentámos o contexto atual de maior da consciencialização pública para a proteção das crianças face aos riscos das redes sociais (com séries de TV como Adolescence), o vício digital e outros perigos online (como os casinos ilegais promovidos por certos influencers direcionados a jovens), as propostas ou soluções regulatórias que estão a ser discutidas, isto é, a imposição de sistemas de verificação de idade online para impedir o acesso a estes serviços por menores, e os riscos que estas soluções podem ter em relação aos direitos fundamentais de todos.

Neste segundo texto, vamos abordar a Proposta de Lei n.º 398/XVII/1ª (doravante “Proposta”), apresentada pelo Grupo Parlamentar do PSD, que trouxe este debate regulatório a Portugal.

Esta Proposta, cheia de boas intenções (mas, como será analisado, cheia de graves problemas), foi aprovada esmagadoramente na generalidade (apenas contando com votos contra da IL e do Chega), estando agora na fase de especialidade, na qual os grupos parlamentares, na 1ª Comissão (dos Assuntos Constitucionais, Direitos, Liberdades e Garantias) irão, depois de receberem todos os pareceres obrigatórios e realizarem várias audições, discutir/alterar/votar os seus artigos individualmente. Esta é, pois, uma fase crítica para determinar que tipo de texto poderá subir para a votação final em plenário e ser aprovada como Lei.

Assim, este texto pretende brevemente analisar criticamente o texto da proposta, chamando a atenção para as disposições mais problemáticas, e contribuir para o debate público mais consciente sobre este tema, crucial para cidadãos, consumidores, titulares de dados, pais, crianças e para os direitos fundamentais de todos.

Análise Geral do diploma

Considerando a maior consciência social para os riscos e perigos que as crianças correm online, nomeadamente a adição às redes sociais, a Proposta propõe:

1) Criar uma idade mínima (“maioridade digital”) para as pessoas poderem aceder “autonomamente” aos serviços digitais abrangidos pela Proposta, que será de 16 anos (art. 5.º-1).

2) Permitir o acesso condicionado a menores entre 13 e 16 anos, sujeitos ao “consentimento parental” (arts. 5.º-2 e 6.º), com várias funcionalidades impostas e outras restringidas (arts. 6.º-3, 10.º, 11.º e 12.º).

3) Proibir o acesso total a estes serviços por crianças com menos de 13 anos, independentemente de autorização parental (art. 5.º-3).

4) Impor a utilização de um sistema de verificação de idade a todos esses serviços, para detetar se os utilizadores são maiores de 16 anos, crianças com idades compreendidas entre os 13 e 16 anos ou crianças menores de 13 anos. Esta verificação poderá ser feita através de um sistema (ainda não disponível) que usa a Chave Móvel Digital (CMD) ou outro sistema idóneo que cumpra os requisitos técnicos (art. 5.º-4).

5) Todos os serviços abrangidos pelo diploma e os serviços de comunicação eletrónica interpessoais (prestadores de correio eletrónico, serviços de chat) devem implementar um sistema que permite: a) detetar e limitar os contactos suspeitos; b) bloquear automaticamente mensagens que contenham conteúdos violentos, sexuais, agressivos e falsos que possam ser considerados cyberbullying; c) canais de denúncias rápidos.

6) Estabelecer a responsabilidade objetiva pelos danos materiais e imateriais dos prestadores destes serviços resultantes do incumprimento, por ação ou omissão, das obrigações estabelecidas.

7) Estabelecer um regime contraordenacional para a violação das obrigações, com coimas bastante elevadas. Os valores vão de €50.000 a €2.000.000 ou até 2% do volume anual mundial, conforme o mais elevado, para grandes empresas; €20.000 a €1.000.000 ou até 2% do volume anual mundial para pequenas ou médias empresas; €10.000 a €250.000 para pessoas singulares.

8) Adicionalmente, altera ainda a lei de implementação do RGPD em Portugal, estabelecendo que apenas crianças com idade igual ou superior a 16 anos podem prestar o consentimento válido à oferta de serviços da sociedade de informação.

O diploma não é extenso, com 22 artigos e 10 definições.

Quanto às definições, estas serão escrutinadas mais a fundo na secção seguinte, porém é necessário destacar que, ao invés de utilizar a terminologia técnica mais correta, em linha com os restantes diplomas nacionais e europeus aplicáveis aos “ambientes digitais” (Diretiva e Decreto-Lei do Comércio Eletrónico, Regulamento dos Serviços Digitais (DSA), Diretiva e Lei dos Serviços de Comunicação Social Audiovisual), assegurando assim a coesão do ordenamento jurídico e mitigando os custos de “má-regulação”, a Proposta preferiu adotar frequentemente os seus próprios conceitos (incluindo traduções apressadas do diploma australiano…), pouco precisos, como, por exemplo, no art. 4.º-c), d) e e).

Para a entrada em vigor destas medidas e quadro regulatório, a Proposta inclui apenas um período transitório de 90 dias, sendo suposto que a ANACOM publique o “Referencial Técnico Nacional de Verificação de Idade” com as especificações técnicas da solução até ao prazo máximo de 60 dias após a aprovação do diploma.

Escopo de aplicação que vai muito, muito além das redes sociais

Na comunicação social, esta Proposta tem sido frequentemente apresentada como visando essencialmente as redes sociais. Porém, o seu escopo extravasa muito essa dimensão, em virtude das definições adotadas.

O art. 2.º estabelece o escopo da Proposta, com as alíneas do n.º 1 a estabelecer quais os serviços abrangidos, e as alíneas do n.º 3 estabelecem o limite negativo de aplicação, que apenas excluem: i) serviços de comunicações eletrónicas interpessoais (correio eletrónico, serviços de mensagens e conversas de grupo em linha (chats), com um número finito de pessoas (considerando 17 e art. 2 .º-5 da Diretiva (UE) 2018/197 Código Europeu das Comunicações Eletrónicas) e ii) “Aplicações e jogos em linha com carácter informativo ou pedagógico especificamente desenhados para crianças” e “plataformas e aplicações em linha exclusivamente destinadas a difundir conteúdos de manifesto interesse público, em especial nas áreas da educação e saúde”.

Segundo o art. 2.º-1, a Proposta abrange:

1) Plataformas de redes sociais – na acessão da definição do art. 4.º-d). Incluirá Facebook, Instagram, TikTok, X (antigo Twitter), LinkedIn, Bluesky, Reddit, Discord, Teamspeak, Tumblr, Threads, Snapchat.

2) “Apostas e jogos em linha” – a formulação não é precisa. Numa primeira análise, parece que o objetivo desta alínea é referir-se aos “jogos de fortuna e azar em linha”, vulgo, “jogo online”, que já se encontra regulado pelo Regime Jurídico dos Jogos e Apostas Online (DL n.º 66/2015, de 29 de abril), que tem um regime próprio para o registo dos jogadores, que contempla “o nome completo, a data de nascimento, a nacionalidade, a profissão, a morada de residência, o número de identificação civil ou do passaporte, o número de identificação fiscal, o endereço de correio eletrónico” (art. 37.º), o que torna a sua inclusão nesta Proposta redundante e contraproducente. No entanto, se considerarmos o restante texto da Proposta, em especial quanto à definição de “plataforma de jogos em linha” (art. 4.º-e)) e as exclusões do art. 2.º-3, parece que o objetivo é abranger os videojogos, incluindo aqueles que não são acessíveis/não têm funcionalidades online.

3) “Serviços de partilha de imagens e vídeos” – conceito impreciso, que não é esclarecido no corpo da Proposta. Parece ser uma alusão a “serviços de plataforma de partilha de vídeos” da Diretiva e Lei dos Serviços de Comunicação Social Audiovisual. Estes incluem: Youtube, Vimeo, Dailymotion, Twitch, Kick. Adicionalmente, com a referência a partilha de imagens: Canva, Pinterest, DeviantArt, ArtStation, Behance, Dribbble e Pixiv. Muitos destes serviços também se encaixam na definição de “plataforma de redes sociais”. Além destes, acrescentamos ainda as plataformas com conteúdos de carácter sexual, como o Pornhub, XNXX e Stripchat (designados como VLOPs à luz do DSA) e OnlyFans.

4) “Serviços de alojamento de conteúdos” – este conceito expande a aplicação da Proposta a todos os serviços de alojamento em linha, que, por sua vez, já incluem as plataformas em linha, que por sua vez incluem as ditas redes sociais, mas também todos os mercados em linha. Estas cinco palavras determinam que todos os seguintes serviços estão incluídos: a. serviços de alojamento na Cloud para consumidores como Google Drive, Dropbox, OneDrive (Microsoft), iCloud (Apple) e WeTransfer; b. serviços de alojamento web (web hosting): GoDaddy, Bluehost, OVH, Amazon Web Services (AWS), Microsoft Azure e Google Cloud Platform — que disponibilizam infraestrutura para alojar websites e aplicações de terceiros; c. plataformas de alojamento de código: GitHub, GitLab e Bitbucket; d. serviços de plataforma de partilha de vídeos (já referidos acima); e. serviços de enciclopédias online – Wikipedia; f. lojas de aplicações – AppStore, Google Play, Steam, GoG, Nintendo Store; f. serviços de alojamento de blogues e websites: WordPress.com, Blogger, Wix e Squarespace, Sapo Blogs, Substack (nas suas vertentes de alojamento de conteúdos de utilizadores); g. plataformas de comércio eletrónico (marketplaces): OLX, Amazon Marketplace, temu, shein, eBay, Etsy, Alibaba, Worten Marketplace, Vinted, Zalando.

5) Prestadores de serviços e conteúdos com restrições etárias – nomeadamente conteúdos violentos, aditivos ou sexuais.

A Proposta abarca assim categorias de serviços que são excessivamente amplas, independentemente do nível de risco que estes representem, aplicando um regime de restrição de acesso de forma desproporcional aos objetivos que pretende alcançar.

A Proposta proíbe inteiramente todas as crianças com menos de 13 anos de poderem utilizar a esmagadora maioria dos serviços em linha, independentemente das atividades. É proibido a estas crianças pesquisar na Wikipedia para um trabalho na escola ou verem episódios da Bluey no Youtube Kids na SmartTV partilhada na sala de estar.

Quanto ao escopo territorial, a Proposta refere que se aplica a todos os serviços acima referidos que sejam “acessíveis a crianças residentes em Portugal”, isto é, basta estarem online.

Esta interpretação é reforçada pela definição de “Plataforma acessível a crianças”, do art. 4.º c), conceito que surge uma única vez no diploma… no artigo das definições, que descreve “qualquer serviço em linha” (independentemente de ser uma plataforma em linha ou não) que, “pela sua natureza, funcionalidades ou públicos-alvo, seja possível de ser utilizado por crianças”. Como apenas é necessário que se verifique uma destas opções para se aplicar, basta que o serviço esteja disponível online para que seja possível ser acedida por crianças em Portugal.

Finalmente, temos de levantar mais um problema: embora os serviços de comunicações eletrónicas interpessoais estejam excluídos do escopo da lei, o art. 12.º ainda se aplica a estes quando são utilizados por menores de 16 anos. A única forma de um prestador de correio eletrónico (gmail, Outlook, Hotmail) conseguir cumprir as obrigações desta norma (analisada no próximo texto) é implementar um sistema de verificação de idade.

A “solução” da Chave Móvel Digital (CMD), que compromete a acessibilidade, em especial dos mais vulneráveis

A principal solução indicada na Proposta para a obrigação geral de verificação de idade é a utilização, por parte dos prestadores de serviços, de um mecanismo compatível com o sistema CMD, ou outro sistema idóneo semelhante, que cumpra os requisitos (que por sua vez incluem novamente a obrigatoriedade de compatibilidade com o sistema CMD)[1] do Referencial Técnico a ser desenvolvido pela ANACOM, de acordo com os requisitos técnicos da lei.

A Proposta pretende alinhar-se com a proposta europeia e afastar preocupações do carácter intrusivo destas soluções. Para tal, o sistema deverá recolher o mínimo de dados possíveis, ser compatível com sistemas de prova de limiar etário com preservação de privacidade, incluindo prova de conhecimento-zero (zero knowledge proof) (como propostas pela Comissão Europeia). Adicionalmente, pretende-se a compatibilidade com outros sistemas similares à CMD de outros Estados-Membros.

O problema emerge numa questão muito óbvia: esta solução política torna a CMD, uma faculdade criada para facilitar a interação entre cidadãos e entidades públicas, numa quasi obrigatoriedade de todos os que se encontrem no território nacional.

Segundo os dados estatísticos públicos, o número total de CMD ativas ronda os 4,4 milhões, um número que, embora elevado, está longe do número de residentes em Portugal com idades superiores a 16 anos (que, segundo a Pordata.pt, deverá rondar os 8 milhões). Embora a CMD esteja disponível para residentes que não são portugueses (que podem utilizar o passaporte ou o título de residência), estes são menos de 3,7% do total, um número longínquo da sua proporção real (serão aproximadamente 1,5 milhões e perto dos 9,8% da população residente). Estes números não incluem os imigrantes e refugiados em Portugal, que têm processos pendentes de regularização.

Além destes números, é necessário relembrar que este controlo de verificação de idade também terá de ser aplicado a quem estiver de passagem por Portugal, sejam turistas ou viajantes a realizar o transbordo entre meios de transporte.

Destaca-se ainda que a app.gov não cumpre os requisitos de fiabilidade, apresentando deficiências e erros no seu funcionamento, por exemplo na autenticação obrigatória que requer reconhecimento facial.

Neste momento, não só não existe uma solução técnica no terreno que permita aos prestadores destes serviços cumprir os requisitos da Proposta, como o método preferencial indicado nesta seria uma barreira para uma parte muito substancial da população afetada por estas medidas.

A inexistência de soluções técnicas disponíveis, um período transitório de apenas 3 meses e a inexistência de normas que considerem a realidade económica das PMEs (cujo único benefício é no valor das coimas, que ainda assim vão dos €20.000 a €1.000.000 ou até 2% do volume de negócios anual, a nível mundial) tem a consequência de que apenas as Big Tech terão capacidade técnica de se antecipar e cumprir minimamente os requisitos da Proposta.

Finalmente, a Proposta não esclarece quanto à utilização efetiva da ferramenta:

É suposto a verificação da idade ser feita na criação de conta, no início de cada sessão, ou a intervalos regulares durante a utilização do serviço?

No caso de a verificação da idade ser feita no momento da criação de conta, é depois necessário um sistema de autenticação reforçado no início de cada sessão para verificar se é a mesma pessoa a utilizar a conta?

Como a proposta é neutral quanto aos dispositivos a que se aplica, existem inúmeras questões práticas que ficam sem resposta. Por exemplo, quanto a smartTVs que sejam utilizadas por várias pessoas do agregado familiar, qual a solução indicada? Curiosamente, uma criança poderá ver filmes “com bolinha vermelha” transmitidos em canais abertos numa televisão normal, sem necessidade de CMD.

O terceiro e último texto desta série irá abordar mais algumas questões relativas a esta Proposta.

[1] A Proposta repete, constantemente, e de forma circular na sua estrutura e remissões, a obrigação de compatibilidade com a CMD: Art- 5-º n.º 4, Art. 7.º n.º 2, Art. 8.º n.º 1 al. c), n.º 2 b).

A Verificação da Idade Online (Parte 1/3): Como tentar proteger as crianças online poderá prejudicar a privacidade de todos

Legislação

O universo digital transformou radicalmente a forma como as crianças e os adolescentes comunicam, aprendem e se entretêm. As redes sociais, as plataformas de partilha de vídeos e, mais recentemente, as aplicações que permitem a utilização de sistemas de inteligência artificial generativa tornaram-se elementos omnipresentes no quotidiano dos mais jovens.

Contudo, esta imersão digital acarreta riscos amplamente documentados: design aditivo das plataformas, amplificação algorítmica de conteúdos prejudiciais, exposição a material inadequado, cyberbullying, aliciamento sexual (grooming), práticas comerciais nocivas e um impacto crescente na saúde mental dos adolescentes. A investigação científica tem vindo a associar o uso intensivo e prolongado das redes sociais ao aumento das taxas de ansiedade, depressão, autolesão e perturbações alimentares entre os jovens.

A sucessão de vários episódios problemáticos muito mediáticos, documentários e séries contribui bastante para consciencializar e dar destaque ao tema da proteção dos menores online, culminando na notícia viral no final de 2025 de que a Austrália tinha proibido as redes sociais para crianças menores de 16 anos.

Na realidade a Austrália é apenas mais um caso desta tendência mundial, que também chegou a Portugal com o Projeto de Lei nº 398/XVII/1ª, do GP-PSD.

Este texto é o primeiro de três no blog do NOVA Consumer Lab a abordar esta matéria, de forma a contribuir para uma melhor consciencialização e o debate na sociedade civil sobre o impacto das soluções regulatórias e técnicas que estão a ser discutidas.

Este primeiro texto irá assim apresentar esta tendência de propor a imposição de sistemas de verificação da idade online: o que implicam, como funcionam e que riscos acarretam para os direitos fundamentais de todos.

A tendência internacional para implementar a verificação da idade online

O Online Safety Amendment (Social Media Minimum Age) Act 2024 (Austrália) que abriu telejornais em dezembro de 2025, está longe de ser um caso único.

Neste momento, existem 42 Estados onde algum tipo de atividade legislativa ou regulatória visando a proteção de crianças nas redes sociais se encontra em discussão. Entre estes, 4 já têm diplomas em vigor (China, Austrália, Brasil e Vietname), 5 já têm legislação aprovada que ainda não entrou em vigor (entre os quais França, os Emirados Árabes Unidos, a Indonésia e a Malásia) e 15 têm propostas em procedimentos a decorrer (Portugal encontra-se neste grupo).

Na União Europeia, a proteção dos menores online emerge em diversos diplomas e iniciativas, sendo abordada em várias dimensões e agendas, com destaque para: “A Digital Decade for children and youth: the new European strategy for a better internet for kids (BIK+)”.

Focando apenas nos diplomas mais relevantes, destaca-se o Regulamento dos Serviços Digitais (Digital Services Act, DSA).^[1]

O art. 28.º do DSA estabelece para as plataformas em linha a obrigação de proteger menores na conceção do seu serviço. Em julho de 2025, a Comissão Europeia publicou orientações sobre a proteção de menores ao abrigo deste artigo do DSA, estabelecendo uma lista não exaustiva de medidas para proteger as crianças de riscos online, contra o aliciamento, conteúdos prejudiciais, comportamentos problemáticos e aditivos, cyberbullying e práticas comerciais nocivas. Estas medidas estão direcionadas apenas às plataformas em linha e, entre estas, para aquelas que estão direcionadas para menores ou que são predominantemente usadas por estes, nas quais se podem verificar riscos e conteúdos prejudiciais.

Adicionalmente, reconhecendo então a necessidade dos prestadores de serviços de verificarem a idade de todos os utilizadores como consequência lógica destas conclusões, a Comissão começou a trabalhar na sua proposta de uma solução “zero Knowledge proof”.

Por último, no final de novembro, o Parlamento Europeu adotou um relatório não legislativo apelando a uma “ação ambiciosa da UE para proteger os menores online”, com várias propostas, incluindo o estabelecimento de uma idade mínima de 16 anos a nível da UE e a proibição das práticas aditivas mais prejudiciais.

Tipos de Regulação e Soluções Técnicas

O tipo de abordagem regulatória e de soluções técnicas preferidas para esta matéria varia substancialmente entre jurisdições, sendo essencialmente determinados com base na ponderação do equilíbrio entre os interesses a proteger (crianças vs direito à privacidade, liberdade de expressão e acesso de informação, etc.) e quem deve ser responsabilizado (os prestadores de serviços – todos ou apenas os grandes players (VLOPs, gatekeepers) – ou os titulares da responsabilidade parental).

Assim, vemos abordagens distintas quanto ao âmbito dos serviços abrangidos, nos limiares de idade e nos mecanismos de verificação exigidos, sendo possível identificar, em traços gerais, três grandes modelos principais:

– O primeiro modelo centra-se na proibição direta do acesso, como a lei australiana, que baniu os menores de 16 anos das redes sociais e de plataformas de partilha de vídeos. Este modelo impõe às plataformas a obrigação de impedir o acesso, sob pena de sanções significativas.

– O segundo modelo baseia-se no consentimento parental, exigindo que os pais ou tutores autorizem expressamente o acesso dos menores a determinados serviços. Diversas propostas, incluindo a que está em consideração em Portugal (menores de 16 anos, com consentimento parental a partir dos 13), seguem esta lógica.

– O terceiro modelo, mais granular, opta por não restringir o acesso a serviços inteiros, mas sim por impor a prestadores, incluindo plataformas em linha, a obrigação de avaliar quais os conteúdos, funcionalidades ou elementos de design que comportam riscos específicos para os menores, implementando restrições proporcionadas e adaptadas. Esta abordagem é, segundo vários especialistas, a mais compatível com os princípios da necessidade, flexibilidade e proporcionalidade.

Quanto às soluções técnicas de verificação de idade, é possível também identificar três grandes categorias:

– A primeira categoria consiste na verificação por documento de identidade oficial realizada pelo prestador do serviço, que pode ser combinada com o reconhecimento facial em tempo real para efeitos de autenticação. Este modelo exige que o prestador trate dados específicos sobre a identidade do utilizador, incluindo também dados de categorias especiais (como dados biométricos), sensíveis, criando riscos substanciais para o titular de dados.

– A segunda recorre à estimativa de idade por biometria, tipicamente através de análise facial por inteligência artificial. Como exemplo, o serviço oferecido pela empresa Yoti estima se o utilizador aparenta ter mais de 18 anos com base numa digitalização da câmara, sem necessidade de correspondência com uma base de dados de imagens existente. A recolha e tratamento de dados de categorias especiais é imperativa, sendo que existe sempre a possibilidade de o sistema cometer erros, falsos negativos e falsos positivos, bloqueando adultos e permitindo o acesso a menores.

– A terceira, a verificação por atributo, em que o sistema procura confirmar apenas se o utilizador cumpre um limiar de idade, sem transmitir dados de identidade. Esta categoria procura separar as várias fases do tratamento, minimizando os dados tratados e transmitidos entre entidades. O sistema AgeKey da OpenAge Initiative é um exemplo desta última abordagem: o utilizador verifica a sua idade uma única vez, através do método da sua escolha, e um sinal criptográfico é armazenado no seu próprio dispositivo. Quando encontra conteúdo com restrição de idade, autoriza a partilha desse sinal, e a plataforma recebe apenas a confirmação de que o utilizador cumpre o requisito etário, sem receber nome, data de nascimento, morada ou qualquer informação identificativa.

Existe ainda um elemento crucial a considerar: qual o nível da infraestrutura digital em que deve ocorrer a verificação. Isto é, a verificação de idade deve ocorrer:

1) Ao nível de cada aplicação, website, plataforma em linha individual;

2) Ao nível das lojas de aplicações (app stores);

3) Ao nível do sistema operativo ou do dispositivo.

A vantagem de “subir” para os níveis 2 e 3 é limitar esta obrigação de controlo a menos prestadores, que depois transmitem apenas a informação necessária às aplicações ou plataformas em linha.

Em alguns estados dos Estados Unidos da América, a legislação local propõe que a verificação da idade ocorra no momento de configuração do dispositivo e nas lojas de aplicações, transferindo a responsabilidade de bloqueio dos conteúdos para os pais e para a Apple e o Google.

A solução que a Comissão Europeia está a desenvolver encaixa-se no modelo de “verificação por atributo”, ao nível do dipositivo, baseando-se na infraestrutura (em desenvolvimento) das Carteiras de Identidade Digital Europeia (EU Digital Identity Wallets). O “blueprint” da Comissão procura ser um referencial técnico, focado em minimizar o fluxo de dados ao máximo nos vários eixos: o verificador deve apenas fornecer os “tokens” criptográficos que indicam que uma certa pessoa é maior/menor, sem saber em que serviços é que estes serão utilizados, e o prestador do serviço online só deve receber o “token” sem ter acesso aos restantes dados pessoais.

O problema é que estas soluções zero‑knowledge proofs (ZKPs) não são perfeitas. Não impedem correlação por metadados e reutilização de identificadores, têm revogação e ciclo de vida complexos que podem introduzir rastreio, não protegem contra comprometimento de endpoints nem contra phishing/replay/coação, exigem emissão inicial com tratamento de dados pessoais, sofrem com desafios de “holder/device binding”, interoperabilidade, padrões e aceitação regulatória, podem ter custos/desempenho limitantes e baixa agilidade criptográfica, e continuam dependentes de boas práticas do verificador (retenção, finalidade, segurança) para evitar a reidentificação.

Principais riscos para os direitos fundamentais

O debate público sobre os sistemas de verificação de idade online não pode ocorrer sem considerar os riscos substanciais que estes modelos regulatórios podem implicar para os direitos fundamentais, essencial para a avaliação da proporcionalidade das medidas.

Quanto à proteção de dados pessoais e à privacidade, a imposição de mecanismos de verificação de idade implicará a recolha de dados pessoais, incluindo dados pessoais de categorias muito sensíveis: dados relativos à vida sexual ou orientação sexual, as opiniões políticas, as convicções religiosas ou filosóficas, dados biométricos, dados relativos à saúde, etc.

A recolha destes dados, seja pelos prestadores das aplicações/websites/plataformas, das lojas de aplicações, pelos dispositivos, ou por terceiros verificadores (sejam estas entidades privadas ou estatais) irá implicar a criação de datasets extremamente valiosos.

Estes dados serão assim alvos de elevado valor para todo o tipo de atores maliciosos. Quando os dados forem comprometidos (e a questão é sempre “quando”, não “se”), seja por ataque informático, erro humano ou falha de infraestrutura, as consequências serão severas. Por exemplo, a perda de controlo sobre dados biométricos, cópias de documentos de identificação roubadas aumentam significativamente o risco de roubo de identidade; a possibilidade de associação direta da identidade com a atividade online poderá traduzir-se em esquemas de chantagem a todos os níveis.

Além da possibilidade de data breaches, persiste o risco de reutilização destes dados para outras finalidades, seja pelos prestadores dos serviços ou por terceiros verificadores.

Estas soluções ainda estão numa fase embrionária de implementação e imposição e, infelizmente, já ocorreram múltiplos exemplos dos problemas acima descritos.

A existência destes riscos tem como consequência que estes sistemas de controlo provocam graves chilling effects na liberdade de expressão e direito à informação, que não podem ser ignorados.

Uma proibição geral do acesso de menores a serviços em linha interfere também ainda com os próprios direitos fundamentais das crianças (a liberdade de informação e o direito ao livre desenvolvimento da personalidade) e com o direito dos pais a decidir sobre a educação dos seus filhos.

Do ponto de vista da eficácia, as proibições gerais baseadas na idade também têm dois problemas adicionais:

i) Podem ser facilmente contornadas tecnicamente. Além de existirem inúmeros episódios noticiados de sistemas de verificação de idade a serem engados quando usam reconhecimento facial, existe uma bala de prata: os VPN (rede privada virtual).

Os VPN permitem ao utilizador criar um “túnel” encriptado entre o dispositivo e a internet, ocultando o endereço IP e tráfego de terceiros. Além disto, os VPN podem ser usados para contornar restrições geográficas ao encaminhar a ligação através de um servidor noutro país, fazendo com que os sites e serviços pensem que o utilizador está localizado nesse país em vez do local real. Quando os requisitos de verificação de idade do Online Safety Act do Reino Unido entraram em vigor, a utilização de VPNs disparou exponencialmente, com vários prestadores de VPN a reportarem aumentos de 1.400%. e +10 milhões de downloads.

ii) Podem ter ainda o efeito inverso ao pretendido. Proibições gerais podem levar utilizadores, incluindo jovens e crianças, a contornarem estas restrições, indo para cantos ainda menos regulados e mais problemáticos da internet, para plataformas sem controlo e moderação de conteúdos e mais difíceis de supervisionar pelas autoridades competentes.

Considerações Finais

A verificação de idade no acesso a serviços digitais encontra-se num ponto de inflexão.

Embora seja aparente um consenso político para a necessidade de atuar na proteção dos menores online, em especial quanto aos riscos que as redes sociais podem representar para o seu desenvolvimento, persistem grandes dúvidas sobre quais os melhores modelos regulatórios que conseguem atender a uma ponderação completa dos direitos fundamentais em conflito.

O debate sobre estas matérias não pode ser feito apressadamente e sem considerar os graves riscos para os direitos fundamentais que certas soluções implicam.

Os próximos dois textos vão abordar a Proposta de Lei n.º 398/XVII/1ª, do Grupo Parlamentar do PSD, e a forma como este debate está a ser conduzido em Portugal.

[1] A Diretiva dos Serviços de Comunicação Social Audiovisual (AMSD) também deve ser referida, mas o seu destaque terá de ficar para outro texto, noutra ocasião.

Nota crítica ao acórdão Staubsaugerservice (C‑62/25)

Jurisprudência

No acórdão Staubsaugerservice (C-62/25), de 26 de março, o Tribunal de Justiça da União Europeia (TJUE) debruça-se sobre uma questão central do direito do consumo: o que deve estar incluído no preço apresentado ao consumidor?

O caso dizia respeito à venda online de sacos para aspirador. O produto era anunciado por € 14,90, com referências a “entrega gratuita” e “portes grátis”. Ao lado do preço, surgia um asterisco, que remetia para outra página, onde se explicava que poderiam ser cobradas “despesas de processamento” se o valor total da encomenda não atingisse um determinado valor. Quando o consumidor colocava o bem no carrinho, aparecia então um acréscimo de € 3,95, identificado como “sobretaxa por pequena quantidade”.

A questão submetida ao TJUE era a de saber se estas despesas de processamento deveriam ser incluídas no “preço de venda”, na aceção do art. 2.º-a) da Diretiva 98/6/CE, relativa à indicação dos preços dos produtos oferecidos aos consumidores.

A resposta do Tribunal é negativa. Segundo o TJUE, esses custos não têm de ser incluídos no preço de venda se variarem em função do valor global da encomenda e só forem devidos abaixo de um montante mínimo, desde que sejam claramente indicados e que esse limiar não torne, na prática, o seu pagamento inevitável.

A decisão não convence.

O primeiro problema está na própria qualificação destas chamadas “despesas de processamento”. O que são exatamente? Não parecem corresponder a despesas de transporte, entrega ou expedição, até porque o próprio site anunciava a gratuitidade da entrega e dos portes. Também não parecem corresponder a um serviço acessório autónomo pedido pelo consumidor. Na realidade, funcionam como uma parcela do montante exigido pelo profissional quando o consumidor compra apenas aquele bem ou compra abaixo de certo valor. Nesse sentido, tudo indica que deveriam ser tratadas como parte do preço.

Dito de outro modo: se o profissional pretende incentivar compras de valor mais elevado, pode fazê-lo através de um desconto ou de uma vantagem para encomendas acima de determinado limiar. O que não deveria poder fazer é o inverso: anunciar um preço mais baixo e acrescentar depois um valor adicional se o consumidor não atingir esse limiar. Essa construção é artificial e contrária à lógica da transparência. O que surge apresentado como “despesa de processamento” parece ser, em substância, a forma invertida de uma política de desconto.

O segundo problema está no raciocínio do Tribunal quanto ao caráter “evitável” destes custos. O TJUE entende que não são obrigatoriamente suportados pelo consumidor porque este os pode evitar se comprar mais produtos e atingir um valor mínimo de encomenda. O ponto relevante consiste, no entanto, em saber se, para comprar aquele bem nas condições em que ele lhe é apresentado, esse montante é ou não inevitável.

Se o consumidor quiser comprar apenas um pacote de sacos para aspirador anunciado por € 14,90 e tiver de pagar mais € 3,95, então esse valor é, na prática, parte do custo de aquisição daquele bem. A circunstância de o consumidor poder evitá-lo comprando mais não elimina essa realidade. Apenas revela a função económica do mecanismo: aumentar o valor médio das encomendas.

O terceiro ponto, talvez o mais importante, diz respeito à transparência. A Diretiva 98/6/CE tem um objetivo muito claro: melhorar a informação dos consumidores e facilitar a comparação dos preços. O art. 4.º-1 exige que o preço de venda seja inequívoco, facilmente identificável e perfeitamente legível. Ora, tal não parece verificar-se neste caso.

O consumidor não vê logo o preço total a pagar. Vê um preço e um asterisco e, eventualmente, uma remissão para outra página. Para perceber quanto terá efetivamente de pagar, tem de detetar esse sinal, abrir a página, interpretar as condições relativas ao valor da encomenda e fazer o cálculo. Isto não é transparência. É fragmentação da informação sobre o preço.

É, aliás, difícil aceitar a ideia de que esta apresentação favorece a comparabilidade dos preços. Pelo contrário: se uma loja anuncia o produto por € 14,90 e outra por € 15,90, a primeira parece mais vantajosa. Mas se, na primeira, acrescem € 3,95, a conclusão inverte-se. A comparação é falseada precisamente porque o preço apresentado ao consumidor não corresponde ao montante que este terá de pagar na compra em causa.

Em suma, o acórdão Staubsaugerservice adota uma perspetiva excessivamente formal sobre o conceito de preço de venda e enfraquece as exigências de transparência na comunicação do preço ao consumidor.