A Verificação de Idade Online chega a Portugal: ChatControl à portuguesa e outros problemas

Doutrina

Este é o terceiro texto sobre a temática da verificação da idade online desta série.

No primeiro texto, apresentámos a origem destas propostas regulatórias, como funcionam as soluções que estão a ser discutidas e os seus riscos para os direitos fundamentais de todos em sociedade.

No segundo texto, abordámos a Proposta de Lei n.º 398/XVII/1ª (doravante “Proposta”), apresentada pelo Grupo Parlamentar do PSD, que, depois de ter sido esmagadoramente aprovada no primeiro voto na especialidade, está agora em discussão na especialidade.

Desde a publicação dos últimos textos, ocorreram alguns desenvolvimentos:

– Na Austrália foi publicado o “Social Media Minimum Age: Compliance Update” do eSafety Commissioner sobre a aplicação do diploma Online Safety Amendment (Social Media Minimum Age) Act 2024, que demonstrou a falta de efetividade das medidas tomadas, também relatado por várias notícias e reportagens.

– A Comissão Europeia disponibilizou a primeira versão do sistema de verificação de idade europeia em open-source, de forma a permitir a sua testagem e promover a sua adoção mundialmente. Em poucas horas, vários grupos de ativistas, profissionais de cibersegurança e privacidade e hackers demonstraram a altíssima fragilidade da aplicação, com diversas vulnerabilidades que podiam ser ultrapassadas em “2 minutos”. Entre os problemas, o sistema armazena dados sensíveis de forma imprópria e vários dos controlos (incluindo o resultado da verificação biométrica) gravavam a informação em ficheiros editáveis, permitindo subverter e contornar facilmente a utilização da ferramenta.^[1]

– A Comissão Europeia adotou a Recomendação (UE) 2026/1035 de 29 de abril de 2026 que estabelece um quadro comum para as tecnologias de verificação da idade à escala da UE. Embora não tenha caracter vinculativo, a Comissão estabeleceu como objetivo que todos os Estados Membros adotem medidas próprias (legislativas e aplicações técnicas) em linha com este quadro comum até ao final de 2026.

– No início desta semana, a Presidente da Comissão Ursula von der Leyen referiu no seu keynote speech no European Summit on Artificial Intelligence and Children, que a Comissão Europeia montou um “Special Panel of experts on Child Safety Online” que está a estudar este tema, incluindo a possibilidade de ser proposto um regulamento europeu para estabelecer de forma uniforme o limite de idade para o acesso a redes sociais e outros serviços digitais em toda a UE. Segundo a própria, dependendo das conclusões deste comité, é possível que a proposta desse regulamento ocorra ainda durante este verão.

– Em Portugal, têm decorrido as audições parlamentares sobre a Proposta na Comissão de Assuntos Constitucionais.

Neste terceiro texto, vamos abordar os temas que falta destacar desta Proposta, em especial, o fim da inviolabilidade da correspondência privada, com a inserção inócua do tema do ChatControl.

Fim da inviolabilidade da correspondência privada e o combate ao cyberbullying a priori

Como referimos no texto anterior, embora a Proposta inicialmente exclua do seu escopo de aplicação os serviços de comunicações eletrónicas interpessoais, há uma exceção.

O Art. 12.º-1 (“Proteção contra aliciamento e violência digital sobre crianças”) estabelece que os serviços abrangidos pela lei deverão “a) implementar mecanismos de deteção e limitação de contactos suspeitos; b) bloquear automaticamente mensagens contendo material violento ou sexual, incluindo conteúdos agressivos ou falsos que possam configurar cyberbullying; c) Disponibilizar canais de denúncia rápidos e seguros. (…)”.

O n.º 3 do mesmo artigo acrescenta que estas medidas deverão também ser cumpridas “com as devidas adaptações, pelos serviços de comunicações eletrónicas interpessoais” quando usados por menores de 16 anos, sendo também aplicável, inerentemente, a todos aqueles que não tenham Chave Móvel Digital e não consigam comprovar a sua idade, e a maiores de 16 anos, quando enviem mensagens a estas contas.

Ora, enquanto a alínea a) pode ser concretizável na prática com base nas denúncias, a alínea b) requer imperativamente outro tipo de medidas técnicas. Como é possível detetar e bloquear automaticamente mensagens privadas trocadas entre utilizadores que tenham conteúdos das categorias indicadas (material violento, sexual, conteúdos agressivos, falsos, cyberbullying)?

A única forma de esta deteção ocorrer é se existir um sistema que 1) leia todas as mensagens privadas e 2) consiga corretamente detetar se os conteúdos das mesmas correspondem às categorias referidas.

Quanto a 1), em especial com a sua aplicação a serviços de comunicações eletrónicas interpessoais, este requisito implica o fim da inviolabilidade da correspondência privada, um dos direitos fundamentais plasmados na nossa Constituição (art. 34.º). A Proposta pretende assim que, fora do âmbito do processo penal, numa lógica preventiva, massificada, o sigilo da correspondência seja violado, que esta seja toda lida, analisada, filtrada e, se necessário, apreendida por privados, fora do alcance de qualquer juiz de instrução.

Um argumento que tem sido referido para afastar estas preocupações é que, dado que não é o Estado a realizar este controlo, não se coloca um problema de inconstitucionalidade. Trata-se de uma falácia que pretende contornar o óbvio: de facto, não será uma “PIDE” a analisar a correspondência privada, mas o Estado Português “subcontrata” e responsabiliza os privados para realizar este controlo por este.

No contexto dos serviços de comunicações eletrónicas interpessoais, esta obrigação irá necessariamente implicar medidas técnicas (“com as devidas adaptações”) que vão atentar contra medidas de segurança e a encriptação P2P.

A existência desta norma na Proposta aparenta ser uma forma (altamente simplificada) de inserir neste diploma o tema do ChatControl, extremamente controverso, e que tem recebido forte oposição no Conselho e no Parlamento.^[2]

Quanto a 2), o diploma impõe a todos os prestadores, com responsabilidade civil objetiva por danos materiais e imateriais que possam ocorrer em caso de falha, que detetem e bloqueiem automaticamente todas as mensagens com conteúdos violentos, sexuais, agressivos ou falsos que possam configurar cyberbullying.

As categorias indicadas são quase progressivamente mais indefinidas (o que são conteúdos falsos ou que configuram cyberbullying para um filtro automático?), requerendo uma análise casuística que depende muito do contexto (online e offline).

Existe uma assunção muito incorreta de que é fácil ou trivial olhar para mensagens e comentários e detetar automaticamente comportamentos abusivos. No contexto de pré-adolescentes dos 13 aos 16 anos, a violência psicológica, de género e sexual é frequentemente muito mais subtil do que os “adultos” imaginam, recorrendo a expressões, trocadilhos, neologismos, memes, slang, que estão em constante evolução etimológica (de desconstrução, reconstrução, inversão irónica, apropriação, etc.) não só na internet (nos seus milhares de nichos e tribos), mas também nos círculos sociais (hiper) específicos dos menores (expressões específicas de escolas, turmas, grupos de amigos, equipas de desporto).

A probabilidade de falsos positivos e falsos negativos irá derrotar totalmente o objetivo desta medida. Se nem o Estado Chinês consegue censurar com sucesso adolescentes no WeChat com a maior máquina repressiva do mundo, será proporcional que Proposta imponha responsabilidade objetiva aos prestadores por danos causados (art. 16.º-1) pelo seu sistema de deteção não conseguir acompanhar novas expressões homofóbicas inventadas por um grupo de rapazes do 9.º B da Escola Secundária Marquesa de Alorna, em Almeirim?

Não é possível prevenir o cyberbullying a priori com este tipo de mecanismo, por muito boas que sejam as intenções desta proposta.

Se, na moderação de conteúdos publicados e partilhados nos VLOP e VLOSE, já existem diversos problemas com falsos positivos, falsos negativos e chilling effects na liberdade de expressão, esta medida da Proposta é ainda mais desproporcional e problemática para os direitos fundamentais.

Uma supervisão inconsistente

A Proposta indica que a supervisão deste diploma deverá caber à ANACOM e à CNPD, mediante as suas respetivas competências, sendo que deverão articular-se ainda com a ARTE (Agência para a Reforma Tecnológica do Estado, antiga AMA) para assegurarem a integração segura, eficiente e adequada do sistema da CMD ou de outro sistema idóneo, com as regras da verificação de idade.

Estas nomeações aparentam ser intuitivas e razoáveis numa primeira análise, exceto num pormenor: segundo o legislador, a ANACOM não é a autoridade competente para assegurar a proteção dos menores nas plataformas em linha, incluindo nas ditas “redes sociais”.

O art. 28.º do DSA estabelece a obrigação dos prestadores de plataformas em linha de adotarem medidas que protejam menores.

Ora, a lei nacional de implementação do DSA (Lei 12-A/2026 de 15 de abril) determina que o Coordenador dos Serviços Digitais, a ANACOM, tem competência para a supervisão e execução do DSA e da lei de implementação em todas as matérias, exceto a publicidade nas plataformas em linha e… a proteção de menores nas ditas plataformas. Nesta matéria, foi a ERC a designada como entidade competente para a supervisão do art. 28º-1, enquanto a supervisão do n.º 2, que respeita à proibição de exibição de anúncios com base em perfis de menores, ficou a cargo da CNPD.

A Proposta ou a lei de implementação do DSA devem ser alteradas para concentrar na mesma entidade ambas as competências.

Proibição de práticas aditivas dirigidas a menores entre os 13 e os 16 anos

A Proposta obriga os prestadores de serviços, que pretendam continuar a permitir o acesso a crianças entre 13 e 16 anos, a implementarem uma modalidade com uma série de funcionalidades obrigatórias destinadas a permitir uma monitorização reforçada pelos titulares das responsabilidades parentais (arts. 6.º-3 e 10.º) e que não pode ter uma série de funcionalidades, propícias ao desenvolvimento de “adição digital” (art. 11.º).

Vários destes requisitos, em específico as funcionalidades obrigatórias refletem em parte práticas do mercado, quanto aos “perfis-criança” ou “parental control” de vários dispositivos e serviços.

Quanto às funcionalidades proibidas, a Proposta enumera as seguintes: a reprodução automática (autoplay), o infinite scroll, a gamificação destinada a prolongar o uso, proliferação de notificações não essenciais (com destaque para o período noturno), loot boxes ou mecanismos equivalentes.

Várias destas podem já estar enquadradas no Regime das Práticas Comerciais Desleais (existe vasta literatura sobre este tema, incluindo neste blog, encontrando-se algumas ações de enforcement a decorrer), ou no Digital Services Act (DSA), seja quanto à proibição dos dark patterns do art. 25.º (cuja formulação podia ser melhorada, mas esse é um tema para outro texto) e nas obrigações de mitigação de riscos sistémicos a direitos fundamentais aplicáveis aos VLOP e VLOSE (sendo que já existem ações de enforcement a decorrer, como Comissão vs Tiktok sobre o design aditivo). É relevante destacar que estes regimes têm um escopo de aplicação subjetivo muito mais favorável que a Proposta, estendendo a sua aplicação além dos menores, protegendo todos os consumidores, independentemente da idade (no caso do Regime das Práticas Comerciais Desleais) e todos os utilizadores de plataformas online, no caso do DSA.

Entre as funcionalidades proibidas, destaca-se que a Proposta inclui a utilização de ferramentas de IA que permitam geração de imagens e vídeos – visando assim impedir que crianças criem deepfakes (e em especial deepnudes) de colegas. Este tema em específico tem recebido muito destaque devido a diversos casos altamente problemáticos, incluindo a geração deste tipo de conteúdo pelo Grok.ai da rede social X, sobre o qual já decorrem várias ações. A proibição de deepfakes de cariz sexual já tem enquadramento legislativo, em vários diplomas, sendo que o AI Act também vai passar a incluir esta funcionalidade nas práticas absolutamente proibidas, pelo (quase concluído) AI Omnibus.

E a responsabilidade dos responsáveis parentais?

A Proposta é silenciosa quanto à realidade que pretende ignorar: são os responsáveis parentais que entregam telemóveis, tablets, computadores e consolas às crianças de todas as idades, e os deixam sem supervisão, independentemente de estes terem funcionalidades de controlo parental.

A Proposta não atribuí qualquer valor jurídico à possibilidade de os responsáveis parentais permitirem aos filhos contornar as regras que estabelece.^[3] Toda a sociedade é onerada por controlos de idade com chilling effects substanciais na liberdade de expressão e direito de acesso à informação devido a esta preocupação com a proteção das crianças – mas os principais responsáveis, aqueles que detêm a responsabilidade parental, não são, e o trocadilho é necessário, considerados responsáveis.

Quanto às crianças com idade entre os 13 e os 16 anos, embora não abordado aqui em detalhe, a Proposta ignora completamente a realidade de que nem todas as famílias são iguais: em muitas famílias, a guarda é partilhada (ou pode ainda estar a decorrer litígio sobre esse tema) ou as crianças podem estar institucionalizadas (será o Estado a decidir se as crianças entre 13 e 16 anos podem usufruir de qualquer um dos serviços abarcados pela Proposta). Adicionalmente, ao preferir a solução da CMD, esta solução exige que estas crianças tenham telemóveis para a sua autenticação.

Conclusões

As boas intenções deste Proposta são inegáveis. No entanto, no estado atual em que foi apresentada, esta Proposta apresenta diversas deficiências legísticas e técnicas, propostas de medidas que são desproporcionais, com entraves técnicos para os objetivos pretendidos, que colocam em risco os direitos fundamentais de todos.

É preciso que ocorra um debate alargado, consciente, sério e honesto na sociedade civil sobre os conteúdos desta Proposta e as escolhas que estão a ser feitas. Ainda é possível corrigir o texto da Proposta na fase da especialidade que se encontra a decorrer na Assembleia da República, mas requer tempo e calma, sendo necessário ouvir as preocupações de todos os interessados e os alertas dos técnicos.

É possível proteger as crianças com um modelo de responsabilidade partilhada de forma equilibrada entre prestadores de serviços e tilares das responsabilidades parentais que não coloque em causa a segurança e os direitos fundamentais de todos.

^[1] Infelizmente este tem sido um mau ano para o lançamento de sistemas e aplicações pela Comissão Europeia. No início de abril deste ano, a União Europeia implementou o seu novo Sistema de Entrada e Saída (EES), um sistema de controlo de fronteiras digital e biométrico que substitui os carimbos manuais nos passaportes . A digitalização completa deste procedimento, que antes até já estava altamente digitalizado, tem causado caos generalizado nos aeroportos europeus. A Grécia já suspendeu completamente a sua utilização.

^[2] De forma muito resumida, o ChatControl é o termo utilizado para designar a proposta do Regulamento que estabelece regras para prevenir e combater o abuso sexual de crianças, que visa tornar obrigatória a análise automática de todas as mensagens por sistemas de comunicação eletrónica interpessoal para a deteção de conteúdos de abuso sexual de crianças. Esta proposta de regulamento de 2022 (e várias versões subsequentes) têm sido sistematicamente bloqueadas no Conselho Europeu e no Parlamento Europeu.

Uma versão anterior do ChatControl (conhecido como ChatControl 1.0) era um regulamento temporário de 2021 que estabelecia uma exceção à Diretiva da privacidade eletrónica (Diretiva ePrivacy) para permitir, de forma voluntária, que alguns prestadores pudessem realizar esta monitorização automatizada de CSAM. Este diploma já não se encontra em aplicação, depois do Parlamento Europeu se ter recusado a prorrogar este regime.

^[3] Uma das principais recomendações da CNPD no seu parecer é precisamente responsabilizar os “pais cúmplices”.

A Verificação da Idade Online chega a Portugal: Análise da Proposta de Lei n.º 398/XVII/1ª – Escopo (Des)Proporcional e uma Solução Simplista sem Consideração da Acessibilidade

Legislação

No primeiro texto apresentámos o contexto atual de maior da consciencialização pública para a proteção das crianças face aos riscos das redes sociais (com séries de TV como Adolescence), o vício digital e outros perigos online (como os casinos ilegais promovidos por certos influencers direcionados a jovens), as propostas ou soluções regulatórias que estão a ser discutidas, isto é, a imposição de sistemas de verificação de idade online para impedir o acesso a estes serviços por menores, e os riscos que estas soluções podem ter em relação aos direitos fundamentais de todos.

Neste segundo texto, vamos abordar a Proposta de Lei n.º 398/XVII/1ª (doravante “Proposta”), apresentada pelo Grupo Parlamentar do PSD, que trouxe este debate regulatório a Portugal.

Esta Proposta, cheia de boas intenções (mas, como será analisado, cheia de graves problemas), foi aprovada esmagadoramente na generalidade (apenas contando com votos contra da IL e do Chega), estando agora na fase de especialidade, na qual os grupos parlamentares, na 1ª Comissão (dos Assuntos Constitucionais, Direitos, Liberdades e Garantias) irão, depois de receberem todos os pareceres obrigatórios e realizarem várias audições, discutir/alterar/votar os seus artigos individualmente. Esta é, pois, uma fase crítica para determinar que tipo de texto poderá subir para a votação final em plenário e ser aprovada como Lei.

Assim, este texto pretende brevemente analisar criticamente o texto da proposta, chamando a atenção para as disposições mais problemáticas, e contribuir para o debate público mais consciente sobre este tema, crucial para cidadãos, consumidores, titulares de dados, pais, crianças e para os direitos fundamentais de todos.

Análise Geral do diploma

Considerando a maior consciência social para os riscos e perigos que as crianças correm online, nomeadamente a adição às redes sociais, a Proposta propõe:

1) Criar uma idade mínima (“maioridade digital”) para as pessoas poderem aceder “autonomamente” aos serviços digitais abrangidos pela Proposta, que será de 16 anos (art. 5.º-1).

2) Permitir o acesso condicionado a menores entre 13 e 16 anos, sujeitos ao “consentimento parental” (arts. 5.º-2 e 6.º), com várias funcionalidades impostas e outras restringidas (arts. 6.º-3, 10.º, 11.º e 12.º).

3) Proibir o acesso total a estes serviços por crianças com menos de 13 anos, independentemente de autorização parental (art. 5.º-3).

4) Impor a utilização de um sistema de verificação de idade a todos esses serviços, para detetar se os utilizadores são maiores de 16 anos, crianças com idades compreendidas entre os 13 e 16 anos ou crianças menores de 13 anos. Esta verificação poderá ser feita através de um sistema (ainda não disponível) que usa a Chave Móvel Digital (CMD) ou outro sistema idóneo que cumpra os requisitos técnicos (art. 5.º-4).

5) Todos os serviços abrangidos pelo diploma e os serviços de comunicação eletrónica interpessoais (prestadores de correio eletrónico, serviços de chat) devem implementar um sistema que permite: a) detetar e limitar os contactos suspeitos; b) bloquear automaticamente mensagens que contenham conteúdos violentos, sexuais, agressivos e falsos que possam ser considerados cyberbullying; c) canais de denúncias rápidos.

6) Estabelecer a responsabilidade objetiva pelos danos materiais e imateriais dos prestadores destes serviços resultantes do incumprimento, por ação ou omissão, das obrigações estabelecidas.

7) Estabelecer um regime contraordenacional para a violação das obrigações, com coimas bastante elevadas. Os valores vão de €50.000 a €2.000.000 ou até 2% do volume anual mundial, conforme o mais elevado, para grandes empresas; €20.000 a €1.000.000 ou até 2% do volume anual mundial para pequenas ou médias empresas; €10.000 a €250.000 para pessoas singulares.

8) Adicionalmente, altera ainda a lei de implementação do RGPD em Portugal, estabelecendo que apenas crianças com idade igual ou superior a 16 anos podem prestar o consentimento válido à oferta de serviços da sociedade de informação.

O diploma não é extenso, com 22 artigos e 10 definições.

Quanto às definições, estas serão escrutinadas mais a fundo na secção seguinte, porém é necessário destacar que, ao invés de utilizar a terminologia técnica mais correta, em linha com os restantes diplomas nacionais e europeus aplicáveis aos “ambientes digitais” (Diretiva e Decreto-Lei do Comércio Eletrónico, Regulamento dos Serviços Digitais (DSA), Diretiva e Lei dos Serviços de Comunicação Social Audiovisual), assegurando assim a coesão do ordenamento jurídico e mitigando os custos de “má-regulação”, a Proposta preferiu adotar frequentemente os seus próprios conceitos (incluindo traduções apressadas do diploma australiano…), pouco precisos, como, por exemplo, no art. 4.º-c), d) e e).

Para a entrada em vigor destas medidas e quadro regulatório, a Proposta inclui apenas um período transitório de 90 dias, sendo suposto que a ANACOM publique o “Referencial Técnico Nacional de Verificação de Idade” com as especificações técnicas da solução até ao prazo máximo de 60 dias após a aprovação do diploma.

Escopo de aplicação que vai muito, muito além das redes sociais

Na comunicação social, esta Proposta tem sido frequentemente apresentada como visando essencialmente as redes sociais. Porém, o seu escopo extravasa muito essa dimensão, em virtude das definições adotadas.

O art. 2.º estabelece o escopo da Proposta, com as alíneas do n.º 1 a estabelecer quais os serviços abrangidos, e as alíneas do n.º 3 estabelecem o limite negativo de aplicação, que apenas excluem: i) serviços de comunicações eletrónicas interpessoais (correio eletrónico, serviços de mensagens e conversas de grupo em linha (chats), com um número finito de pessoas (considerando 17 e art. 2 .º-5 da Diretiva (UE) 2018/197 Código Europeu das Comunicações Eletrónicas) e ii) “Aplicações e jogos em linha com carácter informativo ou pedagógico especificamente desenhados para crianças” e “plataformas e aplicações em linha exclusivamente destinadas a difundir conteúdos de manifesto interesse público, em especial nas áreas da educação e saúde”.

Segundo o art. 2.º-1, a Proposta abrange:

1) Plataformas de redes sociais – na acessão da definição do art. 4.º-d). Incluirá Facebook, Instagram, TikTok, X (antigo Twitter), LinkedIn, Bluesky, Reddit, Discord, Teamspeak, Tumblr, Threads, Snapchat.

2) “Apostas e jogos em linha” – a formulação não é precisa. Numa primeira análise, parece que o objetivo desta alínea é referir-se aos “jogos de fortuna e azar em linha”, vulgo, “jogo online”, que já se encontra regulado pelo Regime Jurídico dos Jogos e Apostas Online (DL n.º 66/2015, de 29 de abril), que tem um regime próprio para o registo dos jogadores, que contempla “o nome completo, a data de nascimento, a nacionalidade, a profissão, a morada de residência, o número de identificação civil ou do passaporte, o número de identificação fiscal, o endereço de correio eletrónico” (art. 37.º), o que torna a sua inclusão nesta Proposta redundante e contraproducente. No entanto, se considerarmos o restante texto da Proposta, em especial quanto à definição de “plataforma de jogos em linha” (art. 4.º-e)) e as exclusões do art. 2.º-3, parece que o objetivo é abranger os videojogos, incluindo aqueles que não são acessíveis/não têm funcionalidades online.

3) “Serviços de partilha de imagens e vídeos” – conceito impreciso, que não é esclarecido no corpo da Proposta. Parece ser uma alusão a “serviços de plataforma de partilha de vídeos” da Diretiva e Lei dos Serviços de Comunicação Social Audiovisual. Estes incluem: Youtube, Vimeo, Dailymotion, Twitch, Kick. Adicionalmente, com a referência a partilha de imagens: Canva, Pinterest, DeviantArt, ArtStation, Behance, Dribbble e Pixiv. Muitos destes serviços também se encaixam na definição de “plataforma de redes sociais”. Além destes, acrescentamos ainda as plataformas com conteúdos de carácter sexual, como o Pornhub, XNXX e Stripchat (designados como VLOPs à luz do DSA) e OnlyFans.

4) “Serviços de alojamento de conteúdos” – este conceito expande a aplicação da Proposta a todos os serviços de alojamento em linha, que, por sua vez, já incluem as plataformas em linha, que por sua vez incluem as ditas redes sociais, mas também todos os mercados em linha. Estas cinco palavras determinam que todos os seguintes serviços estão incluídos: a. serviços de alojamento na Cloud para consumidores como Google Drive, Dropbox, OneDrive (Microsoft), iCloud (Apple) e WeTransfer; b. serviços de alojamento web (web hosting): GoDaddy, Bluehost, OVH, Amazon Web Services (AWS), Microsoft Azure e Google Cloud Platform — que disponibilizam infraestrutura para alojar websites e aplicações de terceiros; c. plataformas de alojamento de código: GitHub, GitLab e Bitbucket; d. serviços de plataforma de partilha de vídeos (já referidos acima); e. serviços de enciclopédias online – Wikipedia; f. lojas de aplicações – AppStore, Google Play, Steam, GoG, Nintendo Store; f. serviços de alojamento de blogues e websites: WordPress.com, Blogger, Wix e Squarespace, Sapo Blogs, Substack (nas suas vertentes de alojamento de conteúdos de utilizadores); g. plataformas de comércio eletrónico (marketplaces): OLX, Amazon Marketplace, temu, shein, eBay, Etsy, Alibaba, Worten Marketplace, Vinted, Zalando.

5) Prestadores de serviços e conteúdos com restrições etárias – nomeadamente conteúdos violentos, aditivos ou sexuais.

A Proposta abarca assim categorias de serviços que são excessivamente amplas, independentemente do nível de risco que estes representem, aplicando um regime de restrição de acesso de forma desproporcional aos objetivos que pretende alcançar.

A Proposta proíbe inteiramente todas as crianças com menos de 13 anos de poderem utilizar a esmagadora maioria dos serviços em linha, independentemente das atividades. É proibido a estas crianças pesquisar na Wikipedia para um trabalho na escola ou verem episódios da Bluey no Youtube Kids na SmartTV partilhada na sala de estar.

Quanto ao escopo territorial, a Proposta refere que se aplica a todos os serviços acima referidos que sejam “acessíveis a crianças residentes em Portugal”, isto é, basta estarem online.

Esta interpretação é reforçada pela definição de “Plataforma acessível a crianças”, do art. 4.º c), conceito que surge uma única vez no diploma… no artigo das definições, que descreve “qualquer serviço em linha” (independentemente de ser uma plataforma em linha ou não) que, “pela sua natureza, funcionalidades ou públicos-alvo, seja possível de ser utilizado por crianças”. Como apenas é necessário que se verifique uma destas opções para se aplicar, basta que o serviço esteja disponível online para que seja possível ser acedida por crianças em Portugal.

Finalmente, temos de levantar mais um problema: embora os serviços de comunicações eletrónicas interpessoais estejam excluídos do escopo da lei, o art. 12.º ainda se aplica a estes quando são utilizados por menores de 16 anos. A única forma de um prestador de correio eletrónico (gmail, Outlook, Hotmail) conseguir cumprir as obrigações desta norma (analisada no próximo texto) é implementar um sistema de verificação de idade.

A “solução” da Chave Móvel Digital (CMD), que compromete a acessibilidade, em especial dos mais vulneráveis

A principal solução indicada na Proposta para a obrigação geral de verificação de idade é a utilização, por parte dos prestadores de serviços, de um mecanismo compatível com o sistema CMD, ou outro sistema idóneo semelhante, que cumpra os requisitos (que por sua vez incluem novamente a obrigatoriedade de compatibilidade com o sistema CMD)[1] do Referencial Técnico a ser desenvolvido pela ANACOM, de acordo com os requisitos técnicos da lei.

A Proposta pretende alinhar-se com a proposta europeia e afastar preocupações do carácter intrusivo destas soluções. Para tal, o sistema deverá recolher o mínimo de dados possíveis, ser compatível com sistemas de prova de limiar etário com preservação de privacidade, incluindo prova de conhecimento-zero (zero knowledge proof) (como propostas pela Comissão Europeia). Adicionalmente, pretende-se a compatibilidade com outros sistemas similares à CMD de outros Estados-Membros.

O problema emerge numa questão muito óbvia: esta solução política torna a CMD, uma faculdade criada para facilitar a interação entre cidadãos e entidades públicas, numa quasi obrigatoriedade de todos os que se encontrem no território nacional.

Segundo os dados estatísticos públicos, o número total de CMD ativas ronda os 4,4 milhões, um número que, embora elevado, está longe do número de residentes em Portugal com idades superiores a 16 anos (que, segundo a Pordata.pt, deverá rondar os 8 milhões). Embora a CMD esteja disponível para residentes que não são portugueses (que podem utilizar o passaporte ou o título de residência), estes são menos de 3,7% do total, um número longínquo da sua proporção real (serão aproximadamente 1,5 milhões e perto dos 9,8% da população residente). Estes números não incluem os imigrantes e refugiados em Portugal, que têm processos pendentes de regularização.

Além destes números, é necessário relembrar que este controlo de verificação de idade também terá de ser aplicado a quem estiver de passagem por Portugal, sejam turistas ou viajantes a realizar o transbordo entre meios de transporte.

Destaca-se ainda que a app.gov não cumpre os requisitos de fiabilidade, apresentando deficiências e erros no seu funcionamento, por exemplo na autenticação obrigatória que requer reconhecimento facial.

Neste momento, não só não existe uma solução técnica no terreno que permita aos prestadores destes serviços cumprir os requisitos da Proposta, como o método preferencial indicado nesta seria uma barreira para uma parte muito substancial da população afetada por estas medidas.

A inexistência de soluções técnicas disponíveis, um período transitório de apenas 3 meses e a inexistência de normas que considerem a realidade económica das PMEs (cujo único benefício é no valor das coimas, que ainda assim vão dos €20.000 a €1.000.000 ou até 2% do volume de negócios anual, a nível mundial) tem a consequência de que apenas as Big Tech terão capacidade técnica de se antecipar e cumprir minimamente os requisitos da Proposta.

Finalmente, a Proposta não esclarece quanto à utilização efetiva da ferramenta:

É suposto a verificação da idade ser feita na criação de conta, no início de cada sessão, ou a intervalos regulares durante a utilização do serviço?

No caso de a verificação da idade ser feita no momento da criação de conta, é depois necessário um sistema de autenticação reforçado no início de cada sessão para verificar se é a mesma pessoa a utilizar a conta?

Como a proposta é neutral quanto aos dispositivos a que se aplica, existem inúmeras questões práticas que ficam sem resposta. Por exemplo, quanto a smartTVs que sejam utilizadas por várias pessoas do agregado familiar, qual a solução indicada? Curiosamente, uma criança poderá ver filmes “com bolinha vermelha” transmitidos em canais abertos numa televisão normal, sem necessidade de CMD.

O terceiro e último texto desta série irá abordar mais algumas questões relativas a esta Proposta.

[1] A Proposta repete, constantemente, e de forma circular na sua estrutura e remissões, a obrigação de compatibilidade com a CMD: Art- 5-º n.º 4, Art. 7.º n.º 2, Art. 8.º n.º 1 al. c), n.º 2 b).

A Verificação da Idade Online (Parte 1/3): Como tentar proteger as crianças online poderá prejudicar a privacidade de todos

Legislação

O universo digital transformou radicalmente a forma como as crianças e os adolescentes comunicam, aprendem e se entretêm. As redes sociais, as plataformas de partilha de vídeos e, mais recentemente, as aplicações que permitem a utilização de sistemas de inteligência artificial generativa tornaram-se elementos omnipresentes no quotidiano dos mais jovens.

Contudo, esta imersão digital acarreta riscos amplamente documentados: design aditivo das plataformas, amplificação algorítmica de conteúdos prejudiciais, exposição a material inadequado, cyberbullying, aliciamento sexual (grooming), práticas comerciais nocivas e um impacto crescente na saúde mental dos adolescentes. A investigação científica tem vindo a associar o uso intensivo e prolongado das redes sociais ao aumento das taxas de ansiedade, depressão, autolesão e perturbações alimentares entre os jovens.

A sucessão de vários episódios problemáticos muito mediáticos, documentários e séries contribui bastante para consciencializar e dar destaque ao tema da proteção dos menores online, culminando na notícia viral no final de 2025 de que a Austrália tinha proibido as redes sociais para crianças menores de 16 anos.

Na realidade a Austrália é apenas mais um caso desta tendência mundial, que também chegou a Portugal com o Projeto de Lei nº 398/XVII/1ª, do GP-PSD.

Este texto é o primeiro de três no blog do NOVA Consumer Lab a abordar esta matéria, de forma a contribuir para uma melhor consciencialização e o debate na sociedade civil sobre o impacto das soluções regulatórias e técnicas que estão a ser discutidas.

Este primeiro texto irá assim apresentar esta tendência de propor a imposição de sistemas de verificação da idade online: o que implicam, como funcionam e que riscos acarretam para os direitos fundamentais de todos.

A tendência internacional para implementar a verificação da idade online

O Online Safety Amendment (Social Media Minimum Age) Act 2024 (Austrália) que abriu telejornais em dezembro de 2025, está longe de ser um caso único.

Neste momento, existem 42 Estados onde algum tipo de atividade legislativa ou regulatória visando a proteção de crianças nas redes sociais se encontra em discussão. Entre estes, 4 já têm diplomas em vigor (China, Austrália, Brasil e Vietname), 5 já têm legislação aprovada que ainda não entrou em vigor (entre os quais França, os Emirados Árabes Unidos, a Indonésia e a Malásia) e 15 têm propostas em procedimentos a decorrer (Portugal encontra-se neste grupo).

Na União Europeia, a proteção dos menores online emerge em diversos diplomas e iniciativas, sendo abordada em várias dimensões e agendas, com destaque para: “A Digital Decade for children and youth: the new European strategy for a better internet for kids (BIK+)”.

Focando apenas nos diplomas mais relevantes, destaca-se o Regulamento dos Serviços Digitais (Digital Services Act, DSA).^[1]

O art. 28.º do DSA estabelece para as plataformas em linha a obrigação de proteger menores na conceção do seu serviço. Em julho de 2025, a Comissão Europeia publicou orientações sobre a proteção de menores ao abrigo deste artigo do DSA, estabelecendo uma lista não exaustiva de medidas para proteger as crianças de riscos online, contra o aliciamento, conteúdos prejudiciais, comportamentos problemáticos e aditivos, cyberbullying e práticas comerciais nocivas. Estas medidas estão direcionadas apenas às plataformas em linha e, entre estas, para aquelas que estão direcionadas para menores ou que são predominantemente usadas por estes, nas quais se podem verificar riscos e conteúdos prejudiciais.

Adicionalmente, reconhecendo então a necessidade dos prestadores de serviços de verificarem a idade de todos os utilizadores como consequência lógica destas conclusões, a Comissão começou a trabalhar na sua proposta de uma solução “zero Knowledge proof”.

Por último, no final de novembro, o Parlamento Europeu adotou um relatório não legislativo apelando a uma “ação ambiciosa da UE para proteger os menores online”, com várias propostas, incluindo o estabelecimento de uma idade mínima de 16 anos a nível da UE e a proibição das práticas aditivas mais prejudiciais.

Tipos de Regulação e Soluções Técnicas

O tipo de abordagem regulatória e de soluções técnicas preferidas para esta matéria varia substancialmente entre jurisdições, sendo essencialmente determinados com base na ponderação do equilíbrio entre os interesses a proteger (crianças vs direito à privacidade, liberdade de expressão e acesso de informação, etc.) e quem deve ser responsabilizado (os prestadores de serviços – todos ou apenas os grandes players (VLOPs, gatekeepers) – ou os titulares da responsabilidade parental).

Assim, vemos abordagens distintas quanto ao âmbito dos serviços abrangidos, nos limiares de idade e nos mecanismos de verificação exigidos, sendo possível identificar, em traços gerais, três grandes modelos principais:

– O primeiro modelo centra-se na proibição direta do acesso, como a lei australiana, que baniu os menores de 16 anos das redes sociais e de plataformas de partilha de vídeos. Este modelo impõe às plataformas a obrigação de impedir o acesso, sob pena de sanções significativas.

– O segundo modelo baseia-se no consentimento parental, exigindo que os pais ou tutores autorizem expressamente o acesso dos menores a determinados serviços. Diversas propostas, incluindo a que está em consideração em Portugal (menores de 16 anos, com consentimento parental a partir dos 13), seguem esta lógica.

– O terceiro modelo, mais granular, opta por não restringir o acesso a serviços inteiros, mas sim por impor a prestadores, incluindo plataformas em linha, a obrigação de avaliar quais os conteúdos, funcionalidades ou elementos de design que comportam riscos específicos para os menores, implementando restrições proporcionadas e adaptadas. Esta abordagem é, segundo vários especialistas, a mais compatível com os princípios da necessidade, flexibilidade e proporcionalidade.

Quanto às soluções técnicas de verificação de idade, é possível também identificar três grandes categorias:

– A primeira categoria consiste na verificação por documento de identidade oficial realizada pelo prestador do serviço, que pode ser combinada com o reconhecimento facial em tempo real para efeitos de autenticação. Este modelo exige que o prestador trate dados específicos sobre a identidade do utilizador, incluindo também dados de categorias especiais (como dados biométricos), sensíveis, criando riscos substanciais para o titular de dados.

– A segunda recorre à estimativa de idade por biometria, tipicamente através de análise facial por inteligência artificial. Como exemplo, o serviço oferecido pela empresa Yoti estima se o utilizador aparenta ter mais de 18 anos com base numa digitalização da câmara, sem necessidade de correspondência com uma base de dados de imagens existente. A recolha e tratamento de dados de categorias especiais é imperativa, sendo que existe sempre a possibilidade de o sistema cometer erros, falsos negativos e falsos positivos, bloqueando adultos e permitindo o acesso a menores.

– A terceira, a verificação por atributo, em que o sistema procura confirmar apenas se o utilizador cumpre um limiar de idade, sem transmitir dados de identidade. Esta categoria procura separar as várias fases do tratamento, minimizando os dados tratados e transmitidos entre entidades. O sistema AgeKey da OpenAge Initiative é um exemplo desta última abordagem: o utilizador verifica a sua idade uma única vez, através do método da sua escolha, e um sinal criptográfico é armazenado no seu próprio dispositivo. Quando encontra conteúdo com restrição de idade, autoriza a partilha desse sinal, e a plataforma recebe apenas a confirmação de que o utilizador cumpre o requisito etário, sem receber nome, data de nascimento, morada ou qualquer informação identificativa.

Existe ainda um elemento crucial a considerar: qual o nível da infraestrutura digital em que deve ocorrer a verificação. Isto é, a verificação de idade deve ocorrer:

1) Ao nível de cada aplicação, website, plataforma em linha individual;

2) Ao nível das lojas de aplicações (app stores);

3) Ao nível do sistema operativo ou do dispositivo.

A vantagem de “subir” para os níveis 2 e 3 é limitar esta obrigação de controlo a menos prestadores, que depois transmitem apenas a informação necessária às aplicações ou plataformas em linha.

Em alguns estados dos Estados Unidos da América, a legislação local propõe que a verificação da idade ocorra no momento de configuração do dispositivo e nas lojas de aplicações, transferindo a responsabilidade de bloqueio dos conteúdos para os pais e para a Apple e o Google.

A solução que a Comissão Europeia está a desenvolver encaixa-se no modelo de “verificação por atributo”, ao nível do dipositivo, baseando-se na infraestrutura (em desenvolvimento) das Carteiras de Identidade Digital Europeia (EU Digital Identity Wallets). O “blueprint” da Comissão procura ser um referencial técnico, focado em minimizar o fluxo de dados ao máximo nos vários eixos: o verificador deve apenas fornecer os “tokens” criptográficos que indicam que uma certa pessoa é maior/menor, sem saber em que serviços é que estes serão utilizados, e o prestador do serviço online só deve receber o “token” sem ter acesso aos restantes dados pessoais.

O problema é que estas soluções zero‑knowledge proofs (ZKPs) não são perfeitas. Não impedem correlação por metadados e reutilização de identificadores, têm revogação e ciclo de vida complexos que podem introduzir rastreio, não protegem contra comprometimento de endpoints nem contra phishing/replay/coação, exigem emissão inicial com tratamento de dados pessoais, sofrem com desafios de “holder/device binding”, interoperabilidade, padrões e aceitação regulatória, podem ter custos/desempenho limitantes e baixa agilidade criptográfica, e continuam dependentes de boas práticas do verificador (retenção, finalidade, segurança) para evitar a reidentificação.

Principais riscos para os direitos fundamentais

O debate público sobre os sistemas de verificação de idade online não pode ocorrer sem considerar os riscos substanciais que estes modelos regulatórios podem implicar para os direitos fundamentais, essencial para a avaliação da proporcionalidade das medidas.

Quanto à proteção de dados pessoais e à privacidade, a imposição de mecanismos de verificação de idade implicará a recolha de dados pessoais, incluindo dados pessoais de categorias muito sensíveis: dados relativos à vida sexual ou orientação sexual, as opiniões políticas, as convicções religiosas ou filosóficas, dados biométricos, dados relativos à saúde, etc.

A recolha destes dados, seja pelos prestadores das aplicações/websites/plataformas, das lojas de aplicações, pelos dispositivos, ou por terceiros verificadores (sejam estas entidades privadas ou estatais) irá implicar a criação de datasets extremamente valiosos.

Estes dados serão assim alvos de elevado valor para todo o tipo de atores maliciosos. Quando os dados forem comprometidos (e a questão é sempre “quando”, não “se”), seja por ataque informático, erro humano ou falha de infraestrutura, as consequências serão severas. Por exemplo, a perda de controlo sobre dados biométricos, cópias de documentos de identificação roubadas aumentam significativamente o risco de roubo de identidade; a possibilidade de associação direta da identidade com a atividade online poderá traduzir-se em esquemas de chantagem a todos os níveis.

Além da possibilidade de data breaches, persiste o risco de reutilização destes dados para outras finalidades, seja pelos prestadores dos serviços ou por terceiros verificadores.

Estas soluções ainda estão numa fase embrionária de implementação e imposição e, infelizmente, já ocorreram múltiplos exemplos dos problemas acima descritos.

A existência destes riscos tem como consequência que estes sistemas de controlo provocam graves chilling effects na liberdade de expressão e direito à informação, que não podem ser ignorados.

Uma proibição geral do acesso de menores a serviços em linha interfere também ainda com os próprios direitos fundamentais das crianças (a liberdade de informação e o direito ao livre desenvolvimento da personalidade) e com o direito dos pais a decidir sobre a educação dos seus filhos.

Do ponto de vista da eficácia, as proibições gerais baseadas na idade também têm dois problemas adicionais:

i) Podem ser facilmente contornadas tecnicamente. Além de existirem inúmeros episódios noticiados de sistemas de verificação de idade a serem engados quando usam reconhecimento facial, existe uma bala de prata: os VPN (rede privada virtual).

Os VPN permitem ao utilizador criar um “túnel” encriptado entre o dispositivo e a internet, ocultando o endereço IP e tráfego de terceiros. Além disto, os VPN podem ser usados para contornar restrições geográficas ao encaminhar a ligação através de um servidor noutro país, fazendo com que os sites e serviços pensem que o utilizador está localizado nesse país em vez do local real. Quando os requisitos de verificação de idade do Online Safety Act do Reino Unido entraram em vigor, a utilização de VPNs disparou exponencialmente, com vários prestadores de VPN a reportarem aumentos de 1.400%. e +10 milhões de downloads.

ii) Podem ter ainda o efeito inverso ao pretendido. Proibições gerais podem levar utilizadores, incluindo jovens e crianças, a contornarem estas restrições, indo para cantos ainda menos regulados e mais problemáticos da internet, para plataformas sem controlo e moderação de conteúdos e mais difíceis de supervisionar pelas autoridades competentes.

Considerações Finais

A verificação de idade no acesso a serviços digitais encontra-se num ponto de inflexão.

Embora seja aparente um consenso político para a necessidade de atuar na proteção dos menores online, em especial quanto aos riscos que as redes sociais podem representar para o seu desenvolvimento, persistem grandes dúvidas sobre quais os melhores modelos regulatórios que conseguem atender a uma ponderação completa dos direitos fundamentais em conflito.

O debate sobre estas matérias não pode ser feito apressadamente e sem considerar os graves riscos para os direitos fundamentais que certas soluções implicam.

Os próximos dois textos vão abordar a Proposta de Lei n.º 398/XVII/1ª, do Grupo Parlamentar do PSD, e a forma como este debate está a ser conduzido em Portugal.

[1] A Diretiva dos Serviços de Comunicação Social Audiovisual (AMSD) também deve ser referida, mas o seu destaque terá de ficar para outro texto, noutra ocasião.

Boas influências: As Regras da Publicidade nas Redes Sociais e os Influencers

Doutrina

Nos últimos anos, o marketing de influência tem vindo a consolidar-se como uma peça central do comércio eletrónico e da publicidade moderna. A Direção-Geral do Consumidor (DGC), no seu Guia informativo “A Publicidade e o Marketing de Influência ”, define o marketing de influência como a “estratégia de divulgação de marcas, produtos ou serviços que utiliza a popularidade, credibilidade e o alcance de influenciadores para, em seu nome ou por sua conta, comunicar de forma mais próxima e personalizada com o público alvo”.

A popularização de criadores de conteúdo nas redes sociais, os chamados influencers ou influenciadores digitais, demonstrou a grande influência sobre hábitos, gostos e decisões de consumo que estes exercem, principalmente entre públicos jovens. Neste sentido, também no Guia, a DGC define influenciadores como a “pessoa ou personagem no meio digital que possui o potencial de influenciar os outros, através da produção e divulgação de conteúdo nas redes sociais, incentivando ou influenciando o consumo de bens e serviços, o estilo ou as preferências do seus seguidores em relação ao que promove ou recomenda”.

Esta nova forma de comunicação direta com o consumidor e a elevada afluência nas redes sociais leva a que os profissionais cada vez mais recorram a influenciadorespara reforçar as suas estratégias de marketing. O estudo “Consumer Sentiment Survey 2025”, da Boston Consulting Group, indicou que o uso das redes sociais continua a crescer entre a população em 2025. 57% dos portugueses passou mais de uma hora por dia nas redes sociais, enquanto, entre os jovens adultos (18-34 anos), um em cada quatro utilizou estas plataformas mais de três horas diárias. Outro estudo da Brinfer, Top Brands 2025, demonstrou que 48,6% dos utilizadores usam as redes sociais para pesquisar informações sobre produtos e que, numa escala de 1 a 10, os fãs atribuem um valor médio de 7.2 à influência que seguir marcas nas redes sociais tem nas suas decisões de compras. Estes estudos comprovam a crescente tendência da utilização das redes sociais e a suscetibilidade dos consumidores a serem expostos a publicidade nestes meios e a serem influenciados pelos mesmos.

Os fatores enunciados refletem-se no crescente investimento no marketing de influência. A nível internacional, segundo um estudo do The Statistics Portal – Statista, o tamanho deste mercado mais do que triplicou desde 2020 e estima-se que no final de 2025 atinja um recorde de cerca de 33 mil milhões de dólares americanos, o que comprova a tendência crescente deste mercado. A nível nacional, o estudo da Brinfer indica que o valor do investimento anual em marketing de influência, apenas no Instagram, cresceu de 59,5 milhões de euros em 2024 para 63 milhões em 2025.

A par da relevância crescente deste mercado, é essencial garantir uma prática responsável. A utilização de conteúdo patrocinado sem a devida transparência suscita preocupações quanto ao direito à informação, à proteção do consumidor e à lealdade comercial. Torna-se, por isso, pertinente proceder ao enquadramento legal do Direito Português.

A Constituição da República Portuguesa, no artigo 60.º, n.º 2, proíbe todas as formas de publicidade oculta, indireta ou dolosa. Neste âmbito, o Código da Publicidade, nomeadamente no artigo 6º, estabelece que a publicidade deve reger-se pelos princípios da licitude, identificabilidade, veracidade e respeito pelos direitos do consumidor.

O princípio da licitude, consagrado no artigo 7º, determina que é proibida a “publicidade que ofenda os valores, princípios e instituições fundamentais constitucionalmente consagrados”, enunciando ainda diretrizes essenciais.

Já o artigo 8º, que enuncia o princípio da identificabilidade, consagra que a publicidade tem de ser clara e inequivocamente identificada como tal, seja qual for o meio de difusão utilizado. Deste modo, de acordo com o Guia da DGC, no âmbito de uma relação comercial entre o influenciador e a marca, é proibido alegar falsamente ou dar a impressão de que não se está a agir para fins comerciais ou profissionais, ou ainda, apresentar-se falsamente como consumidor, sob pena de ser responsabilizado pela infração.

Consequentemente, o artigo 9º proíbe a publicidade oculta, vedando o uso de imagens subliminares ou outros meios dissimuladores que explorem a possibilidade de transmitir publicidade sem que os destinatários se apercebam da sua natureza. O n.º 3 do artigo clarifica que “subliminar” corresponde a qualquer publicidade capaz de provocar perceções sensoriais sem que o seu destinatário tome consciência.

Importa destacar também o princípio da veracidade (artigo 10º), segundo o qual a publicidade deve ser verdadeira, sem deformar os factos relacionados com os produtos ou serviços promovidos. O artigo 11º reforça esta regra ao proibir toda a publicidade que seja enganosa nos termos do DL n.º 57/2008, de 26 de março, que trata do regime aplicável às práticas comerciais desleais das empresas nas relações com os consumidores. O artigo 7º deste Decreto-Lei determina que é enganosa a prática comercial que contenha informações falsas ou que, sendo factualmente corretas, induzam o consumidor em erro ou que o levem a tomar uma decisão de transação que não teria feito sendo devidamente informado.

Neste sentido, a DGC sublinha no seu Guia que os influenciadores devem divulgar os conteúdos comerciais de forma clara, transparente e responsável, assegurando uma relação de confiança entre consumidor, influenciador e marca.

De modo mais geral, o artigo 12º do Código da Publicidade proíbe a publicidade que atente contra os direitos do consumidor, que segundo o Guia da DGC abrange vários direitos, nomeadamente o direito à qualidade dos bens e serviços; à proteção da saúde e da segurança física; à formação e à educação para o consumo; à informação para o consumo; à proteção dos interesses económicos; à prevenção e à reparação dos danos patrimoniais que resultem da ofensa de interesses ou direitos individuais homogéneos, coletivos ou difusos; à proteção jurídica e a uma justiça acessível e pronta; e à participação, por via representativa, na definição legal ou administrativa dos seus direitos e interesses. Todos estes direitos têm de ser respeitados no âmbito do marketing de influência, bem como em qualquer tipo de publicidade.

Por fim, importa mencionar o artigo 15º, que regula a publicidade testemunhal, na qual se insere o tipo de publicidade denominada comummente por review. Este tipo de publicidade tornou-se particularmente popular, especialmente quando os influenciadores partilham a sua experiência com determinado produto ou serviço. Segundo o artigo mencionado, esta publicidade deve integrar depoimentos personalizados, genuínos e comprováveis, ligados à experiência do depoente ou de quem ele represente.

No que respeita à responsabilidade civil, o artigo 30º do Código da Publicidade determina que respondem civil e solidariamente pelos prejuízos causados a terceiros pela difusão de mensagens publicitárias ilícitas: os anunciantes, os profissionais, as agências de publicidade e quaisquer outras entidades que exerçam a atividade publicitária e ainda os titulares dos suportes publicitários utilizados ou os respetivos concessionários. No nº 2 do artigo excecionam-se desta responsabilidade os anunciantes que provem não ter tido conhecimento prévio da mensagem publicitária veiculada.

Abordando ainda o regime sancionatório aplicável em caso de violação destas regras, este é um fator de risco que pode ser desconhecido pelos influenciadores e outros anunciantes que usam os meios digitais para publicitar conteúdo comercial. O artigo 34º do Código da Publicidade estabelece que, pelas infrações à maioria das disposições do Código, poderão ser aplicadas coimas de 1750 a 3750 euros ou de 3500 a 45 mil euros, caso o infrator seja pessoa singular ou coletiva. O nº 2 do artigo indica ainda que a negligência é sempre punível nos termos gerais. Finalmente, o artigo 35º aborda a responsabilidade pela contraordenação, estabelecendo que poderão ser responsabilizados todos os intervenientes na emissão da mensagem publicitária.

Importa notar que o regime sancionatório em Portugal pune de forma bastante leve quando comparado com outros países da União Europeia, como por exemplo em França. A Lei francesa nº 2023-451, que regula a publicidade feita por influenciadores nas redes sociais, prevê no artigo 5º uma pena de dois anos de prisão e multa de 300.000 euros pela publicidade não devidamente identificada.

Encerrado o enquadramento legal, importa analisar com maior atenção o já mencionado Guia informativo “A Publicidade e o Marketing de Influência”, cuja versão atualizada foi publicada em novembro pela DGC. O documento pretende sensibilizar todos os intervenientes para o cumprimento da lei em matéria de publicidade e para boas práticas na comunicação comercial digital. A nova atualização reforça o guia com novos temas e orientações, de modo a acompanhar a evolução das redes sociais e o crescente investimento das marcas nesse tipo de comunicação comercial.

Esta nova versão aprofunda matérias como as restrições previstas no Código da Publicidade, inclui novos tópicos e incorpora também algumas das restrições previstas no regime das práticas comerciais desleais. Importa referir que, nesta versão, as recomendações que dizem respeito às melhores práticas para identificar os conteúdos comerciais como publicidade, passam a refletir o alinhamento com os 5 Princípios Fundamentais das autoridades europeias de fiscalização da proteção do consumidor.

O Guia identifica três indicadores-chave para determinar se um influenciador está sujeito às regras da publicidade: (i) o conteúdo gerado nas redes sociais inclui a promoção de marcas ou produtos; (ii) recebimento de alguma forma de contrapartida, como pagamento monetário, serviços, bens ou experiências em troca de publicações de modo a comercializar bens ou serviços, direta ou indiretamente; e por fim, (iii) o influenciador atua no âmbito de uma atividade profissional ou em nome e por conta de um profissional, mesmo que não de forma exclusiva. Concluindo, ao existir uma relação comercial na promoção de bens e serviços, as regras aplicáveis à publicidade devem ser cumpridas por todos os intervenientes na cadeia de produção publicitária, incluindo os influenciadores.

Deste modo, verificando-se uma relação comercial, o influenciador tem o dever de identificar as publicações como publicidade, seguindo o princípio da identificabilidade, bem como qualquer norma legal aplicável. De acordo com a DGC, deve ser utilizado no início das publicações, as indicações #PUB, #PUBLICIDADE ou #ANÚNCIO PUBLICITÁRIO, adaptando à plataforma em causa. Se existir outro tipo de benefícios, deve haver lugar a uma identificação cumulativa de #PATROCÍNIO ou #PATROCINADO. Também poderá haver uma identificação complementar na língua inglesa: #ADVERTISEMENT ou #ADVERTISING e #SPONSORSHIP ou #SPONSORED, acompanhada pelas identificações em português. O influenciador deve também recorrer às ferramentas de publicação de anúncios que algumas plataformas já oferecem, como etiquetas que indicam conteúdo patrocinado.

O Guia da DGC refere ainda algumas más práticas na identificação das publicações, como inserir as hashtags referidas apenas no meio ou no final da publicação, porque não permite uma identificação imediata e adequada da comunicação comercial. Outro exemplo de má prática é a identificação da publicidade em partes da publicação apenas acessíveis ao carregar num link ou na opção “saiba mais”.

Tendo em conta as normas legais mencionadas, bem como boas práticas no âmbito do marketing de influência, será que em Portugal estas são cumpridas? Para responder a esta questão importa proceder à análise de ações de fiscalização dos últimos três anos realizadas pela DGC.

Analisando a ação de fiscalização de final de 2023/início de 2024, a DGC fiscalizou 366 mensagens, de 20 influenciadores, na rede social Instagram, relativas a 137 empresas, de modo a verificar o cumprimento da legislação acerca da identificação clara e inequívoca da relação comercial entre o influenciador e a marca/empresa. Registou-se que 28% das mensagens (102 de 366) não identificavam a relação comercial entre influenciador e empresa, abrangendo 55% das empresas (76 de 137) em que não existia identificação. Contudo, alguns influenciadores cumpriam as normas aplicáveis numas mensagens e noutras não. No seguimento da fiscalização foram instaurados os devidos processos de contraordenação contra os influenciadores bem como contra as marcas/empresas que foram publicitadas sem a devida identificação.

A seguinte ação de fiscalização re alizada pela DGC, em outubro de 2024, incidiu sobre a publicidade divulgada por influenciadores portugueses também na rede social Instagram. Na ação foram analisadas 457 mensagens publicitárias, relativas a 67 empresas, em formato de publicações e vídeos (stories), divulgadas por 30 influenciadores. Verificou-se uma taxa de cumprimento das normas aplicáveis de 82% pelas empresas (55 de 67 total) e de 66% pelos influenciadores com 10 mensagens publicitárias com infração (2% do total de 457). Relativamente aos casos de infração registados, estes tiveram origem na falta de identificação clara de conteúdos comerciais, designadamente a ausência da referência #Pub no início das publicações. A DGC realizou uma comparação com os últimos dados de fiscalização e registou uma melhoria significativa da taxa de cumprimento dos influenciadores (de 5% para 66%) e dos operadores económicos (de 50% para 82%).

Dando seguimento a esta monitorização, foi também realizada uma ação de fiscalização pela DGC em outubro de 2025, publicada em novembro, relativa à publicidade divulgada por influenciadores digitais portugueses, através das suas contas nas plataformas Instagram e TikTok. No decorrer da ação foram analisados 417 conteúdos comerciais de 10 influenciadores digitais referentes a 43 marcas. Registou-se uma taxa de cumprimento da legislação por parte destes influenciadores de 90% (9 de 10), sendo que 99% dos conteúdos comerciais verificados estavam identificados como publicidade. Contudo, foram detetados indícios de violação do Princípio da Identificabilidade do Código da Publicidade por um influenciador digital, pela falta da menção a #Pub.

Com base nestes resultados, é possível observar que houve uma melhoria significativa nos últimos dois anos da tendência de cumprimento da legislação aplicável à publicidade, com 90% de taxa de cumprimento da legislação pelos influenciadores, face a 66% em 2024 e a 5% em 2023/início de 2024. Este panorama permite fazer um balanço bastante positivo para o marketing de influência, porém seria importante alargar a amostra destas fiscalizações. A DGC tem-se comprometido a continuar estas ações de fiscalizações e monitorização de modo a contribuir para esta tendência de crescimento de cumprimento das normas, investindo nos seus eixos complementares à fiscalização: prevenção e capacitação.

Por outro lado, para uma análise a nível europeu, importa notar o relatório de 2024 da Comissão Europeia sobre o cumprimento de legislação europeia por influenciadores, principalmente a Diretiva 2005/29/CE, relativa a Práticas Comerciais Desleais.

No relatório de fevereiro de 2024, a Comissão Europeia investigou 576 influenciadores em várias plataformas de redes sociais, nomeadamente Instagram, Tiktok, Youtube, Facebook, X, Snapchat e Twitch, num estudo no qual participaram 22 países da União Europeia e também a Noruega e Islândia. Verificou-se que 97% das publicações dos influenciadores monitorizados continham conteúdo comercial, mas apenas 20% indicavam sistematicamente que o conteúdo era publicitário. Registou-se também que apenas 40% dos influenciadores analisados apresentavam a identificação publicitária durante a totalidade da comunicação e que 34% tinham essa identificação disponível sem serem necessários passos adicionais, como o “ver mais” ou “scroll down”. Ainda quanto à identificação, 38% dos influenciadores não utilizaram a etiqueta de publicidade da plataforma Instagram e, em alguns casos, optaram por utilizar expressões diferentes como “colaboração” (16%), “parceria” (15%) ou um agradecimento genérico à marca (11%). Na sequência deste relatório, 358 influenciadores foram demarcados para investigação adicional e terão sido contactados pelas autoridades nacionais.

Ainda no panorama europeu, importa mencionar que, em 2023, a Comissão Europeia lançou o Influencer Legal Hub, que disponibiliza informação prática para o cumprimento da legislação da União Europeia por parte dos influenciadores digitais.

Em síntese, a crescente relevância do marketing de influência transformou a dinâmica da comunicação comercial, ampliando tanto as oportunidades para marcas e criadores de conteúdo como os riscos para os consumidores.

As ações de fiscalização da DGC demonstram uma evolução muito positiva, possivelmente revelando maior consciencialização dos influenciadores e das empresas que recorrem a este tipo de comunicação. Contudo, os dados à escala europeia, talvez devido ao tamanho elevado da amostra comparada utilizada, mostram que persistem lacunas no cumprimento das normas, o que reforça a necessidade de cooperação transnacional, de contínua formação dos intervenientes e de mecanismos de fiscalização para promover uma tendência de cumprimento.

Apesar dos progressos alcançados, o desafio mantém-se em assegurar que o marketing de influência se desenvolve de forma ética, responsável e plenamente alinhada com os princípios da transparência e da proteção do consumidor. Num contexto em que a fronteira entre conteúdo pessoal e promoção comercial é por vezes ténue, cabe a influenciadores, marcas e plataformas assumir um compromisso ativo com práticas claras e legais, contribuindo para um ambiente digital mais seguro, informado e confiável para todos.

Agressividade ou Lealdade? O Dilema do Modelo “Consent or Pay”

Doutrina

Em novembro de 2023, os utilizadores europeus das redes sociais Facebook e Instagram foram confrontados com uma escolha quanto à utilização dos seus dados pessoais, para efeitos da sua utilização em publicidade comportamental pela gigante Meta. De repente, um consumidor utilizador destas redes sociais recebe uma notificação persistente, na qual a Meta informa que terá de optar entre continuar a “utilizar gratuitamente com anúncios”, ou pagar uma subscrição mensal de pelo menos € 9.99 para aceder a uma versão da rede social sem publicidade comportamental. Para a maior parte dos milhares de milhões de utilizadores esta foi uma escolha simples (e obrigatória), uma vez que não era fácil remover a notificação que bloqueava o acesso à página do utilizador na rede.

Contudo, as instituições europeias e a doutrina têm feito correr muita tinta quanto à legalidade deste modelo de negócio implementado pela Meta e comumente designado de “Consent or pay” ou “Pay or okay”. Esta novidade surgiu na sequência do Acórdão do Tribunal de Justiça da União Europeia Bundeskartellamt, no qual o Tribunal reconhece que os utilizadores têm o direito de recusar dar o seu consentimento de forma individual a operações de tratamento de dados que não sejam necessárias à execução do contrato, sem serem obrigados a abdicar da utilização do serviço digital no seu todo. Assim, é referido que o operador do serviço deve fornecer uma “alternativa equivalente não acompanhada de tais operações de tratamento de dados” e, se necessário, “mediante uma remuneração adequada” (Parágrafo 150).

Este tema está longe de estar encerrado, e encontra-se em discussão aberta à luz de vários ramos do direito da União, nomeadamente à luz do direito à proteção de dados pessoais, do direito da concorrência, e ainda do direito do consumo.

Após o lançamento do modelo de subscrição, o Bureau Européen des Unions de Consommateurs (doravante BEUC) emitiu um comunicado de imprensa expressando a sua convicção de que este modelo viola a Diretiva da Práticas Comercias Desleais, consubstanciando uma prática agressiva pelo exercício de influência indevida sobre o consumidor, e uma prática comercial enganosa por ação. Em julho de 2024, a Comissão Europeia e a CPC anunciaram o seguimento da ação e enviaram uma carta à Meta pedindo-lhe que proponha soluções até 1 de setembro de 2024 (as quais são, até ao momento, desconhecidas).

Cabe-nos aqui desenvolver o modelo “Consent or pay” pelo olhar da Diretiva das Práticas Comerciais Desleais, cingindo-se esta análise à validade dos argumentos que sustentam a agressividade desta prática.

Prática Comercial Agressiva

A Organização de Consumidores argumenta que o design da notificação consubstancia um “dark pattern”, que não possibilita que o consumidor utilizador aceda à sua página, contactos e fotos, e o pressiona a tomar uma decisão quanto ao modelo de subscrição.

De facto, uma configuração tendenciosa da interface da rede, se apresentada num contexto B2C, pode consubstanciar uma prática comercial enganosa, agressiva ou contrária à diligência profissional imposta pelo artigo 5.º da Diretiva. Tal dependerá do padrão em concreto, e se for suscetível de afetar o comportamento económico do consumidor médio (ou, tratando-se uma prática dirigida a um grupo de consumidores particularmente vulneráveis, o consumidor médio desse grupo).

No caso em análise, o argumento prende-se especificamente com a persistência da notificação da alteração do modelo de negócio, e a urgência que cria no consumidor para tomar uma decisão para poder aceder à sua conta. Ainda que este tipo de “subscrição forçada” não conste do elenco exemplificativo apresentado pela Comissão na UCPD Guidance, a verdade é que os elementos do caso concreto nos levam facilmente à conclusão de que tal prática é suscetível de distorcer o comportamento económico e transacional do consumidor médio.

Como nos indica o Acórdão Orange Polska[1] (C-628/17 [2019] ECLI:EU:C:2019:480), os Tribunais nacionais devem ter cautela ao qualificar uma prática comercial como o “exercício de influência indevida”, e na análise deste conceito as “informações prestadas antes da celebração de um contrato sobre as condições contratuais e as consequências da referida celebração são de importância fundamental para o consumidor” (para. 35).

Ora, por um lado, voltando ao nosso caso, a Meta anunciou no seu site oficial, a 30 de outubro de 2023, que iria “oferecer uma subscrição sem anúncios para os utilizadores na Europa”. Não obstante, o consumidor médio não é suficientemente diligente ao ponto de verificar este site, pelo que um email ou notificação prévia na própria interface da rede social teria mais oportunidades de retirar o elemento surpresa da notificação. É aqui que reside uma diferença factual muito relevante face ao Acórdão Orange Polska e que poderá por analogia, porventura, nortear uma decisão favorável ao BEUC.

Por outro lado, o formato binário e a persistência da notificação criam indubitavelmente uma pressão para o consumidor fazer a sua escolha de imediato, que penderá, tendencialmente, para a opção que afirma a continuação da utilização “gratuita”, mas com anúncios.

O formato e modo da notificação utilizado pela Meta é suscetível de prejudicar significativamente o período de ponderação do consumidor, nomeadamente, quanto ao impacto que cada opção tem nos seus dados pessoais e na sua carteira, levando-nos a tomar uma decisão de transação que, possivelmente, não tomaríamos em circunstâncias comerciais leais. Aliás, muitos de nós não lemos o texto até ao fim, com a pressa de verificar se tínhamos notificações novas.

Assim, a natureza da notificação, qualificável como “dark pattern”, e a persistência da mesma, intercedem a favor do argumento de que a Meta exerceu influência indevida sobre os seus utilizadores.

Ademais, não era evidente, para o consumidor médio, a opção de apagar a sua conta de utilizador ou de fazer o download dos seus dados pessoais, uma vez que tal não aparecia diretamente na notificação que bloqueava a página principal da rede.

É aqui que reside o fundamento da qualificação desta prática como “subscrição forçada”, como argumenta o BEUC.

Este elemento, por si só, justifica a invocação do Artigo 9(d) da Diretiva, consubstanciando um entrave desproporcional ao exercício pelo consumidor dos seus direitos, nomeadamente, a resolução do contrato ou troca de serviço.

Noutra perspetiva, esta é também uma clara violação do normativo do RGPD (Regime Geral de Proteção de Dados), segundo o qual retirar o consentimento deve ser tão fácil para o sujeito de dados, como dá-lo (Artigo 7(3), in fine). Esta violação de direito da proteção de dados pessoais deverá ser considerada e pesada na qualificação da prática comercial como agressiva, como o refere várias vezes a Comissão na UCPD Guidance.

Conclusão

A alteração do modelo de negócio da Meta per se não viola a Diretiva da Práticas Comerciais Desleais. A questão é mais profunda que isto, pois estão aqui essencialmente em conflito o direito fundamental à proteção dos dados pessoais (Artigo 8.º da Carta dos Direitos Fundamentais da União Europeia) e o direito fundamental à liberdade de empresa (Artigo 16.º da Carta dos Direitos Fundamentais da União Europeia) e de livre iniciativa económica (Artigo 61.º da Constituição da República Portuguesa). A análise que aqui se fez reporta-se sobretudo ao modo como o modelo foi apresentado aos consumidores europeus. E, nessa medida, a ponderação geral destes argumentos leva-nos a acompanhar a posição do BEUC quanto à qualificação como prática comercial desleal agressiva. No entanto, considerando a falta de precedente, não é inteiramente evidente se os Tribunais acompanharão este juízo.

[1] O caso em questão envolvia um consumidor que solicitou um contrato de telecomunicações por via do site da empresa de telecomunicações. Durante o processo de solicitação do contrato, o consumidor teve a possibilidade de consultar os detalhes da oferta e os contratos-padrão diretamente no site da empresa. Contudo, a celebração do contrato só seria possível na presença do funcionário da empresa, tendo o consumidor de declarar que tomou conhecimento dos documentos e que aceitava o seu conteúdo. O TJUE acabou por concluir que não se tratava de uma prática comercial agressiva por influência indevida, tendo, contudo, deixado orientações para a interpretação do conceito.

Sharenting, responsabilidade parental e o DSA: responsabilidade civil, conhecimento efetivo e risco sistémico

Doutrina

A prática de partilhar imagens ou vídeos de crianças nas redes sociais pelos pais (share + parenting) e outros familiares é conhecida como “sharenting”. Note-se que, apesar do caráter expressivo do termo, os pais não são os familiares que mais partilham fotografias de crianças. Os primos, os irmãos mais velhos e os tios e tias partilham mais frequentemente do que os avós e os pais das crianças. Esta é uma prática que põe em risco os direitos fundamentais dos menores nas redes sociais e à qual a resposta da lei e das autoridades públicas tem sido bastante limitada. Os processos de responsabilidade civil revelam-se excessivamente lentos, tendo em conta a importância do tempo quando se trata da exposição de menores no ambiente digital, e os meios de intervenção das autoridades (por exemplo, o artigo 84.º, n.º 2, da LOPDgdd, que obriga o Ministério Público a atuar) não foram até hoje utilizados.

Talvez o Regulamento dos Serviços Digitais (DSA) nos permita, enquanto consumidores e utilizadores de redes sociais, contribuir para a proteção dos menores contra estas práticas, especialmente quando aqueles que publicam estes conteúdos lucram com eles (influenciadores).

Existem poucos estudos sobre a incidência do sharenting entre os menores, um dos quais é o relatório EU Kids Online, que analisa comportamentos como os seguintes: (1) pais que publicam fotografias sem perguntar aos menores, (2) menores que pedem aos pais para eliminarem conteúdos, (3) menores que se sentem frustrados quando veem conteúdos publicados e (4) consequências negativas para a vida social dos menores em resultado da publicação de conteúdos. As respostas por país podem ser vistas no gráfico abaixo:

A maioria das situações de sharenting tende a envolver práticas sociais com uma influência relativamente baixa (o que não significa que não representem um risco para as crianças), que correspondem ao equivalente funcional no ambiente digital de mostrar fotografias ou vídeos de crianças a familiares e amigos: pessoas cujas contas nas redes sociais têm poucos seguidores, que são cuidadosas nas definições de privacidade das contas e que publicam conteúdos neutros (não íntimos ou humilhantes) sobre crianças. Podemos referir-nos a esta prática como “partilha social”. Se a conta atingir um certo nível de notoriedade, ou se o número de publicações exceder um número significativo, falamos de “oversharenting”, o que não é aceitável devido ao risco que representa para os direitos dos menores. No entanto, deve ter-se em conta que qualquer prática de sharenting comporta um risco para os menores, na medida em que, uma vez carregado o conteúdo na Internet, há pouco controlo sobre a sua difusão (e muito menos sobre a sua eliminação).

A prática de sharenting que representa o maior risco para os menores é o sharenting lucrativo, efetuado por aqueles conhecidos como “instamamis” ou “instapapis”: influenciadores cujo conteúdo está em grande parte (ou mesmo quase inteiramente) relacionado com menores. O sharenting lucrativo deve ser sempre considerado como “oversharenting”.

A prática do sharenting comporta riscos para os direitos fundamentais dos menores, que serão mais ou menos acentuados consoante o nível de notoriedade e o número de publicações. Concretamente, estão em risco o direito à honra (menores em situações domésticas que podem causar constrangimento), o direito à privacidade (menores em situações que gostariam de excluir do conhecimento geral, quer causem ou não constrangimento), o direito à própria imagem (em fotografias ou vídeos em que aparecem sem o seu consentimento) e o direito à proteção de dados (não só imagens ou vídeos, uma vez que a autoimagem também é um dado pessoal, mas também áudios ou textos em que são mencionados menores). A prática do sharenting é igualmente prejudicial ao direito ao livre desenvolvimento da personalidade e contrária ao interesse superior da criança. Por fim, a segurança dos menores também é posta em causa, como alertou o Tribunal da Relação de Évora em 2015, precisamente num caso de sharenting.

Todos estes direitos são reconhecidos tanto a nível internacional como nacional. Podemos citar, sem sermos exaustivos, o artigo 26.º da Constituição Portuguesa, segundo o qual “todos têm direito à identidade pessoal, ao desenvolvimento da personalidade, à capacidade civil, à cidadania, ao bom nome e reputação, à imagem, à palavra, à reserva da intimidade da vida privada e familiar e à proteção jurídica contra quaisquer formas de discriminação (nº 1) e “a lei estabelecerá garantias efetivas contra a obtenção e utilização abusivas, ou contrárias à dignidade humana, de informações relativas às pessoas e famílias” (nº 2), o artigo 18.º, segundo o qual “é garantido o direito à honra, à reserva da intimidade da vida privada e familiar e à imagem” (n.º 1), e “a lei limita a utilização da informática para garantir a honra e a reserva da intimidade da vida privada e familiar dos cidadãos e o pleno exercício dos seus direitos” (nº 4); e o artigo 10.º da Constituição espanhola (“a dignidade da pessoa humana, os direitos invioláveis que lhe são inerentes, o livre desenvolvimento da personalidade, o respeito pela lei e pelos direitos dos outros são a base da ordem política e da paz social”). O direito à proteção de dados é reconhecido no artigo 8.º da Carta dos Direitos Fundamentais da UE, juntamente com o direito ao respeito pela vida privada e familiar (artigo 7.º), bem como pelo RGPD e respetivas implementações nacionais.

O consentimento da criança é essencial para avaliar se algum dos direitos acima mencionados foi violado (outros, como a honra ou a privacidade, dependem não só do conteúdo, mas também das características do conteúdo e das repercussões sociais que este tem). No âmbito dos seus deveres de responsabilidade parental (art. 1877.º e 1878.º CC-PT; art. 154.º CC-ESP, art. 18.º Convenção sobre os Direitos da Criança de 1989), os pais devem proteger a identidade digital da criança e, se esta ainda não tiver capacidade jurídica para consentir, fazê-lo em seu nome. No entanto, o consentimento que os pais podem dar em nome dos filhos deve ser utilizado em benefício destes e não para pôr em risco os seus direitos. Os menores devem adquirir progressivamente a autonomia negocial (art. 127.º do CC-PT; art. 2.º da LOPJM), razão pela qual é por vezes difícil determinar o momento a partir do qual têm capacidade para consentir, consoante as circunstâncias. No que diz respeito ao sharenting, parece que a idade a partir da qual podem consentir (ou opor-se) é de 13 anos, que é a idade a partir da qual podem exprimir o seu consentimento em conformidade com o artigo 8.º do RGPD. Este limite mínimo de idade é seguido em Portugal (art. 16.º da Lei da Proteção de dados pessoais) e é aumentado em um ano em Espanha (art. 7.2 da LOPDgdd).

Tendo em conta os riscos que a prática do sharenting representa para os menores, vale a pena perguntar se existem elementos de defesa contra a mesma.

Podemos começar por dizer que é possível exigir a responsabilidade civil derivada da lesão de direitos de personalidade (arts. 70.º e 483.º CC-PT; art. 1902.º CC-ESP) associada a um exercício ilegítimo dos deveres de responsabilidade parental (art. 334.º CC-PT). É certo que a posição jurisprudencial tradicional da imunidade dos ilícitos familiares deve ser ultrapassada, como bem salienta Mariana García Duarte Marum (pp. 114-115), embora não seja menos verdade que um dos primeiros casos conhecidos de condenação por sharenting condena precisamente uma mãe por publicar posts sobre o quão mal a atitude do filho para com ela a fazia sentir (Sentença do Tribunal de Roma de 21 de dezembro de 2017). Do mesmo modo, pode ser invocada a responsabilidade civil pela violação do direito à proteção de dados, nos termos do art. 82.º do RGPD. Neste caso, colocar-se-ia a questão de saber se os pais devem ser considerados “responsáveis pelo tratamento de dados” nos termos do art. 82.º, n.º 1, do RGPD, ou apenas as próprias redes sociais. Neste último caso, parece razoável estabelecer como critério mínimo para a responsabilidade o facto de terem conhecimento efetivo da ilegalidade do conteúdo, uma questão que discutiremos mais adiante. Em todo o caso, é necessário provar a conduta negligente ou dolosa do arguido para que se possa invocar a responsabilidade civil, não sendo suficiente a mera violação do RGPD (Sentença do TJUE de 4 de maio de 2023).

As dúvidas que acabámos de apontar não são o maior obstáculo à proteção dos menores contra o sharenting através da responsabilidade civil (quer geral, quer por violação das normas de proteção de dados). De facto, em Portugal, Itália e Espanha já existem sentenças de tribunais regionais ou provinciais que condenam o sharenting. O maior problema é a lentidão (associada a qualquer procedimento judicial) com que os conteúdos seriam removidos e o consequente prejuízo que a sua permanência nas redes geraria para os menores. Neste contexto, é possível que o Regulamento dos Serviços Digitais, que entrou em vigor em fevereiro de 2024, possa proporcionar um meio mais ágil de bloquear e, se for caso disso, remover conteúdos relativos a menores nas redes sociais.

Nos termos do artigo 6.º do Regulamento Serviços Digitais (DSA), “em caso de prestação de um serviço da sociedade da informação que consista na armazenagem de informações prestadas por um destinatário do serviço (por exemplo, redes sociais), o prestador do serviço não é responsável pelas informações armazenadas a pedido de um destinatário do serviço, desde que: não tenha conhecimento efetivo da atividade ou conteúdo ilegal e, no que se refere a uma ação de indemnização por perdas e danos, não tenha conhecimento de factos ou de circunstâncias que evidenciem a ilegalidade da atividade ou do conteúdo” (art. 6.1.a). É considerado “conhecimento efetivo” aquelas notificações que “permitem a um prestador diligente de alojamento virtual identificar a ilegalidade da atividade ou das informações em causa sem um exame jurídico pormenorizado” (art. 16.3).

É importante notar que, para que a notificação obrigue a rede social a agir, deve ser suficientemente pormenorizada e precisa, em conformidade não só com o n.º 3 do artigo 16.º do DSA, mas também com o considerando 53, que estabelece que “os mecanismos de notificação e ação deverão permitir a apresentação de notificações que sejam suficientemente precisas e devidamente fundamentadas para permitir que o prestador de serviços de alojamento virtual em causa tome uma decisão informada e diligente, compatível com a liberdade de expressão e de informação, relativamente aos conteúdos a que se refere a notificação, em especial se esses conteúdos devem ser ou não considerados ilegais e devem ser suprimidos ou o acesso aos mesmos deve ser bloqueado. Esses mecanismos deverão facilitar a apresentação de notificações com uma explicação das razões pelas quais a pessoa ou a entidade que apresenta a notificação considera que o conteúdo é ilegal e uma indicação clara da localização desse conteúdo. Sempre que uma notificação contenha informações suficientes para permitir a um prestador diligente de serviços de alojamento virtual identificar, sem um exame jurídico pormenorizado, que é evidente que o conteúdo é ilegal, deverá considerar-se que a notificação dá origem ao conhecimento efetivo ou ao conhecimento da ilegalidade”.

Quando a rede social recebe uma notificação (por exemplo, através das suas caixas de correio de denúncia de conteúdos) que a informa de forma suficientemente pormenorizada sobre conteúdos de partilha de conteúdos e indica os direitos fundamentais dos menores que podem ser afetados, deve agir de forma diligente e imediata para bloquear ou remover esses conteúdos, sob pena de ser considerada responsável pelos mesmos, uma vez que, de acordo com o n.º 1, alínea b), do artigo 6.1.b do DSA, o prestador de um serviço da sociedade da informação será responsável pelo conteúdo que aloje “a partir do momento em que tenha conhecimento da ilicitude, atue com diligência no sentido de suprimir ou desativar o acesso aos conteúdos ilegais”.

O artigo 6.º, em conjugação com o artigo 16.º e o considerando 53, permite a adoção de medidas contra práticas específicas de partilha de bens, independentemente da frequência com que os pais ou familiares praticam a partilha de bens (desde que os direitos dos menores estejam efetivamente em risco, embora seja esse o caso na maioria das situações de partilha de bens) e independentemente da dimensão da plataforma.

Se a plataforma for considerada de grande dimensão (very large online platform, VLOP) nos termos do artigo 33.º do DSA, devem aplicar-se medidas de atenuação dos riscos que sejam razoáveis, proporcionadas e eficazes e adaptadas aos riscos sistémicos específicos identificados nos termos do artigo 34.º. Em 25 de abril de 2023, a Comissão Europeia publicou a primeira lista de plataformas de muito grande dimensão, incluindo redes sociais como o Facebook, o Instagram, o TikTok ou o YouTube. Em 16 de maio de 2024, a Comissão Europeia abriu um processo contra a Meta em relação ao risco de dependência em menores e ao chamado efeito de orifício dos coelhos, mas ainda não se tem conhecimento de ter iniciado um processo semelhante em relação aos riscos de sharenting. Em Espanha, a Lei Orgânica de Proteção de Dados Pessoais e Garantia dos Direitos Digitais foi além do mero desenvolvimento nacional do RGPD e, no n.º 2 do artigo 84.º, estabelece que “a utilização ou difusão de imagens ou dados pessoais de menores nas redes sociais e serviços equivalentes da sociedade da informação que possam implicar uma ingerência ilícita nos seus direitos fundamentais determinará a intervenção do Ministério Público, que solicitará as medidas cautelares e de proteção previstas na Lei Orgânica 1/1996, de 15 de janeiro, de Proteção Jurídica de Menores”. Apesar da clareza da redação literal da norma, não se conhecem ainda ações intentadas pelo Ministério Público em casos de lenocínio lucrativo.

Do #NOFILTER ao #FILTERDROP: o esforço legislativo no combate à distorção digital da beleza

Doutrina

Tem circulado pela internet nos últimos dias a notícia de que fora sancionada no último dia 11, através do Decreto Legislativo 146 (2020-2021), a emenda à Lei de Marketing norueguesa, que “visa ajudar a reduzir a pressão corporal na sociedade devido às pessoas idealizadas na publicidade”[1]. Após uma esmagadora votação de 72 votos a favor e 15 contra, a alteração legislativa passa a obrigar os influenciadores digitais a identificar as fotografias que tenham sido retocadas. As redes sociais visadas pela medida vão desde o Instagram, passando pelo Facebook, TikTok, Twitter e Snapchat.

Não é de hoje que o NOVA Consumer Lab tem trabalhado sobre a influência das redes sociais e das tecnologias sobre o comportamento social. Mais do que nunca, as redes sociais deixaram de ser meros instrumentos de compartilhamento de rotina e vida pessoal, com fotos de família, crianças e animais para ceder espaço ao lucro e à comercialização de produtos e serviços. Hoje, a regra é clara: curvas incríveis, padrões inigualáveis e um quase “conto de fadas da beleza”.

Por trás da perfeição dos corpos e lifestyle presentes nas mídias sociais, sob a égide da despretensiosa naturalidade, estão, entretanto, os patrocínios, parcerias, publicidades e, sobretudo, os inúmeros retoques às fotos e vídeos publicados por aqueles que ditam, para além de tendências, o novo ideal de vida e beleza. Naomi Wolf, autora feminista e ativista dos direitos civis nos EUA, já em 1992 apontava o fato de o mito da beleza estar sempre prescrevendo comportamentos, não aparência[2]. Cada vez mais incomodados com os resultados sociais advindos dessa dita pressão estética, reguladores e legisladores pelo mundo estão a reagir à propaganda da perfeição aparente. Em fevereiro deste ano, logo após uma campanha que circulava dentro das próprias redes sociais (#filterdrop), a Advertising Standards Authority (ASA) – agência reguladora de propagandas do Reino Unido, aprovou uma legislação muito semelhante à norueguesa, e passou a determinar que os influenciadores digitais do país não fizessem mais uso de filtros “enganosos” em campanhas com produtos de beleza nas mídias.

Na França, desde 2017, vigora a determinação de obrigatoriedade da mensagem “photografie retouchée” para fotos que tenham sofrido qualquer tipo de alteração por programas digitais, demonstrando o esforço por tornar a mídia mais responsável em termos de publicidade.

Já na Noruega, a regra visa proibir que os influenciadores compartilhem imagens sem a devida sinalização de retoque e uso de filtros de beleza, os quais foram projetados para melhorar a aparência, incluídos como recursos comuns aos aplicativos de redes sociais atuais. Proposta pelo Ministério da Infância e da Família, a lei integra os esforços públicos de contenção da distorção de imagem no país, devendo ser seguida por todos influenciadores e celebridades que recebam pagamento para criação de anúncios nas redes com uso de técnicas de pré e pós-produção de imagem. O não cumprimento da lei pode implicar não somente em sanções pecuniárias, como também pena de prisão.

Acerca da construção de um ideal de beleza física e da influência das redes sociais sobre o bem-estar, uma pesquisa recente realizada pela Dove, e conduzida pela Edelman Data & Intelligence, com mulheres dos EUA, Reino Unido e Brasil, aponta que 84% das jovens com 13 anos já aplicaram filtro ou realizaram algum tipo de edição em suas fotos. Os dados divulgados pela pesquisa ainda tratam do fato de que mais da metade das mulheres se compara com as fotos publicadas na internet, além de temer publicar fotos de seu corpo em virtude dos padrões atualmente estabelecidos.

Em Portugal, a pesquisa aponta que “2 em cada 3 raparigas tentem mudar ou esconder pelo menos uma parte do corpo antes de publicarem uma fotografia sua, tal como a cara, o cabelo, a pele, a barriga ou o nariz, para removerem “imperfeições” e corresponderem a padrões de beleza irrealistas”.

As técnicas de produção que aprimoram ou alteram uma imagem com fins comerciais não são novidade no mundo da publicidade e exige atenção dos consumidores que, em razão dos retoques realizados, possam vir a ser enganados pelas alegações visuais exageradas ou, até mesmo, impossíveis de atingir. Em Portugal, o tema ainda não tem nenhum tipo de tratamento especial, embora vigore o Código da Publicidade e a Constituição da República Portuguesa estabeleça, no art. 60º, a proibição à publicidade considerada oculta, o que, em nossa visão, pode estar pressuposta em posts relacionados a produtos e serviços de estética, alimentação ou emagrecimento, por exemplo.

No mesmo sentido, a Entidade Reguladora da Saúde, em 2015, após a aprovação do Decreto-Lei n.º 238/20, tornou-se a entidade competente para a fiscalização em matéria de publicidade em saúde. A normativa é mais uma a prescrever a obrigatoriedade de clareza na publicidade, em seu art. 7.º, ainda que não trate especificamente da abordagem relacionada às redes sociais.

Fato é que padrões de beleza sempre existiram e as características ideais variam ao longo da história. A despeito do esforço legislativo em favor do combate à distorção digital de corpos e da construção de padrões inatingíveis de beleza física, normalmente ocultos sob retoques e adaptações de imagem, é preciso notar que nem sempre o Direito terá as soluções para problemas cujas raízes são de cunho muito mais social, e psíquico, do que legal. Atualmente, até mesmo a mercantilização do movimento “body positive” pode impedir uma autêntica solução da questão que, historicamente, remonta ao uso de espartilhos, pílulas de arsênicos, maquiagens com chumbo e dietas absurdamente restritivas.

Ainda que os instrumentos regulamentares sejam necessários e possamos enxergá-los como meios hábeis a reduzir a pressão sobre a imagem física, é preciso compreender o espectro limitado dessas atuações e recordar que a idealização da beleza é muito mais profunda e complexa do que a utilização de filtros. Não podemos, não queremos e nem devemos nos reduzir a somente legislar o tema, quando é preciso discutir seriamente questões como representação, sexualização e objetificação do corpo como instrumento comercial, atentos ao fato de que redes sociais são mais do que redes de socialização, mas grandes empresas voltadas, sobretudo, ao lucro.

[1] Tradução da Decisão resumida da emenda legislativa à Lei de Marketing, 2009, da Noruega.

[2] WOOLF, N. O Mito da Beleza. Como as Imagens de Beleza são usadas contra as Mulheres. Tradução de Waldéa Barcellos. Rio de Janeiro. Ed. Rocco, 1992

Personal Data as Counter-performance and Consumer Protection. An Unfair Commercial Practices Italian Decision

Jurisprudência

By Donato Maria Matera

On March 30th, 2021, with the decision n. 2631, the Italian Consiglio di Stato ended a dispute concerning an unfair commercial practices case where Facebook was involved.

The most important part of this decision deals with a misleading commercial practice: in particular, the question was if the Facebook’s advertisement that the social service is «for free» can be considered as a misleading behaviour, since consumers are actually «paying» it with their personal data.

Hence, the core issue is the possibility to consider personal data as a counter-performance, or, if one prefers, as a payment method, other than money. The answer to this question has very relevant practical consequences: in fact, if personal data are a counter-performance to a service, this economic operation can be considered as an actual contract and, if the parties are consumers and traders, consumer law can be applicable.

During the trial, the Facebook defence argued that personal data are an extra commercium good and data protection is a fundamental right, so they cannot be sold, traded or reduced to an economic interest. In this sense, as personal data cannot be a counter-performance, the operation where Facebook provides consumers with a digital service is for free and consumer law cannot be applied neither can be configured an unfair commercial practice.

This position seems to be in continuity with a European Data Protection Supervisor Opinion (n. 4/2017), provided with regard to the European Commission proposal for a Directive on certain aspects concerning contracts for the supply of digital content (COM(2015) 634 final). On this occasion the EDPS underlined that personal data are related to a fundamental right and they cannot be considered as a commodity and it defined as «dangerous» the possibility to let people «pay» with their personal data.

The Italian decision goes to a different direction. The judges affirm that Facebook actually capitalizes users’ personal data and make a profit from them. In addition, once a user provides his personal data and successively decides to remove them by a deselecting operation, this causes the loss of some services originally available. According to the Italian judges this circumstance clearly shows how Facebook social services are not for free, but they are a counter-performance to the provision of personal data, for commercial purposes. At the same time is it also clear that, due to their particular legal regime, these data cannot be considered as an actual commodity.

These argumentations lead the Court to consider applicable consumer law and, in particular the one on unfair commercial practices (Directive 2005/29/CE; in Italy this Directive has been transposed in the legislative decree 2005/206, articles 18 and following). In this regard, the judges clarify that there is no contrast between consumer and privacy law (as regulated by the Reg. UE 2016/679), but they provide consumers with a «multilevel» protection, being compatible with each other. This interaction, as many authors had already highlighted, contributes to increase the standard of consumer protection, since it allows to extend the application of certain business-to-consumer remedies to cases where processing of personal data is involved.

In light of these considerations, the Consiglio di Stato claims that a misleading commercial practice was adopted: Facebook represented his service as free, while actually it was not. In fact, as a consequence of this conduct, consumers were unaware that personal data they provided at the time of subscription were used for commercial and remunerational purposes. This circumstance, according to the Italian Court, is likely to materially distort their economic behaviour, falling within the scope of Directive 2005/29/CE.

For these reasons the judges confirm the penalties stated by the Italian independent market Authority (AGCM) to the social networks company, in relation to this practice. This case represents another step in the debate focused on considering personal data as consideration, especially in consumer contracts. It has become clear that nowadays many business models are based on personal data, and a «data market» exists, as scholars observe. In this context, it would be fundamental the application of consumer law principles and rules to these cases, in order to provide consumers (the weak part) with an actual protection. The first step to be made in order to reach such achievement is the qualification of these operations as contracts where personal data are to be considered the counter-performance.

A Clubhouse e a privacidade dos utilizadores

Doutrina

A nova rede social Clubhouse é já bastante conhecida entre o público, tendo chegado a Portugal no início deste ano. A sua popularidade eclodiu após ter sido palco de um debate entre Elon Musk, Marc Andreessen, Vlad Tenev e muitos outros empresários e elementos do público em geral, que chegaram mesmo a esgotar a capacidade da sala de chat hospedada pela Clubhouse para o efeito. O seu crescimento exponencial trouxe também alguns desafios e uma certa polémica em torno da privacidade dos utilizadores.

O grande fator que torna a Clubhouse atrativa prende-se com a sua exclusividade: além de apenas estar disponível para iOS, cada utilizador começa com dois convites para enviar a outras pessoas para aderirem à rede social. Esta rede social permite manter diálogos com outros utilizadores através de áudio – diálogos estes que, de acordo com a política de privacidade, não ficam gravados, pois quando a sala virtual é encerrada, não subsiste qualquer registo daquele chat. Existem exceções: os áudios dos utilizadores poderão ser temporariamente armazenados se houver, por exemplo, o reporte de um incidente. Nesta é ainda possível acumular-se seguidores e seguir outros utilizadores. O nome de utilizador é público e poderá ser utilizado para encontrar outros utilizadores. É possível mudar a fotografia de perfil, ligar a aplicação às contas do Twitter e Instagram, entre muitas outras opções.

Não obstante toda esta atratividade e utilidade, várias têm sido as preocupações levantadas pelos utilizadores no que se refere à privacidade. Até agora, muitos foram os relatos apresentados de falhas nesta vertente. Um dos casos mais falados é datado de fevereiro deste ano: um utilizador conseguiu transmitir em direto o áudio de uma sala de chat no seu website, mas foi rapidamente banido pois a gravação ou streaming sem a autorização explícita dos oradores viola os termos e condições da rede social.

Outro incidente ocorreu há poucos dias: a Clubhouse sofreu um ataque informático, o que resultou na disponibilização da informação relativa a 1,3 milhões de utilizadores em plena internet. Do que foi possível apurar, não foram revelados dados relativos a cartões bancários, moradas e emails. No entanto, a informação disponibilizada poderá facilitar ataques de phishing. A Clubhouse manifestou-se publicamente quanto a este assunto, afirmando que os dados disponibilizados já seriam públicos e poderiam ser consultados por qualquer utilizador através da aplicação.

Outro problema e desafio que a Clubhouse comporta relaciona-se com a facilidade de difusão de opiniões e informações, sem qualquer controlo por parte de um moderador associado à rede social – deste modo, será mais fácil a propagação de fake news, ódio, difamação contra utilizadores, teorias da conspiração, etc. O facto de as conversas não deixarem qualquer registo, após o encerramento de cada sala, implica que se os incidentes não forem reportados em tempo útil, não restem quaisquer provas que permitam reagir contra estes abusos.

Apesar destes incidentes, a questão mais relevante que cumpre analisar prende-se com o seguinte: se um utilizador quiser convidar amigos a utilizar a aplicação, terá de autorizar o acesso da aplicação à sua lista de contactos. Se não autorizar este acesso, o utilizador poderá continuar a utilizar a aplicação, mas ser-lhe-á relembrado constantemente através de uma notificação de que ainda não deu tal permissão.

Importa agora analisar a Política de Privacidade da Clubhouse, através de uma visão guiada pelo Regulamento Geral de Proteção de dados (RGPD). Na política de privacidade consta que a rede social recolhe dados fornecidos pelo utilizador titular de dados quer quando este acede à rede social, quer quando este a utiliza, criando ou partilhando conteúdos e comunicando com outros utilizadores da rede, o que é algo normal e necessário à execução do contrato, ou seja, de acordo com o art. 6.º, nº 1, alínea b), do RGPD, estamos perante um tratamento válido e lícito. Além do tratamento ser válido e lícito, também a questão dos deveres de informação é cumprida, pois aplica-se o artigo 14º, uma vez que a pessoa que recebe o convite recebe todas as informações necessárias sobre o tratamento de dados, os seus direitos, prazos de conservação. Supõe-se também que se o titular de dados não aceitar o convite num certo período de tempo, o Clubhouse deve apagar os dados utilizados nesta operação de tratamento (caso não lhe tenha sido dada autorização para o acesso contínuo à lista de contactos pelo utilizador). Releva ainda para a discussão o facto de na política de privacidade, no ponto relativo a Networks and Connections, a rede social menciona que, se o utilizador escolher dar permissão à aplicação para esta fazer o upload, sincronizar ou importar as informações da sua lista de contactos pessoais, esta poderá ser utilizada para “melhorar a experiência do utilizador em vários aspetos”, notificando-o quando um dos seus contactos se junte à rede social e utilizando a lista de contactos para recomendar outros utilizadores que possa querer seguir e recomendando, por sua vez, a sua conta a outros utilizadores.

Dado o exposto, se a aplicação requer que o utilizador dê permissão para que a mesma possa aceder à sua lista de contactos, estaremos já perante outra base de licitude, que será o consentimento, ou seja, sem o consentimento do utilizador titular de dados, a rede social não poderá ter acesso a esta informação (art. 6º, n.º 1, alínea a), do RGPD). Levantam-se aqui várias questões: em primeiro lugar, existem queixas de utilizadores que não deram permissão e mesmo assim a aplicação teve acesso aos dados das suas listas de contactos. Em segundo lugar, é suspeito e bastante invasivo um utilizador dar permissão para o acesso à sua lista de contactos à aplicação, e pessoas que nem sequer utilizam a aplicação veem os seus dados recolhidos e tratados pela Clubhouse sem terem dado o seu consentimento. Esta prática designa-se shadow profile.

Podemos concluir que, apesar de esta não aceitação da permissão de acesso à lista de contactos por parte do utilizador não afetar o funcionamento e utilização da rede social por parte do mesmo, este não poderá disfrutar da experiência completa da rede social, uma vez que será mais difícil encontrar e conectar-se com os seus amigos e familiares e, além disso, também não poderá enviar os seus dois convites disponibilizados inicialmente, o que criará entraves à socialização com amigos, que é o verdadeiro objetivo da rede social. Todavia, a autorização que o titular de dados dá para o acesso da aplicação à lista de contactos não se trata de um verdadeiro consentimento para o tratamento, na medida em que o utilizador não é o titular destes dados, devendo tratar-se de uma imposição dos termos de serviço do IOS e da App Store da Apple. Esta autorização dada pelo utilizador vai de encontro ao princípio da transparência e lealdade do RGPD, sendo que até pode ser considerada como uma oportunidade dada ao utilizador de exercer o direito de oposição.

Em março, surgiu uma atualização para tentar colmatar esta e muitas outras questões e falhas, sobretudo no que se refere à encriptação. No entanto, as queixas mantêm-se. Aguardemos o desenrolar da situação.

O início do(s) Caso(s) TikTok? – Cláusulas Contratuais Gerais, Bens Virtuais e Copyright

Doutrina

A Organização Europeia do Consumidor BEUC apresentou uma queixa à Comissão Europeia e à rede de autoridades de defesa do consumidor contra o TikTok, na passada terça-feira, dia 16 de Fevereiro, por várias violações de Direito do Consumo, nomeadamente quanto a cláusulas contratuais abusivas e práticas comerciais desleais. Para além da BEUC, em mais 15 Estados[1], associações de defesa dos direitos dos consumidores também apresentaram queixas às autoridades e entidades reguladoras, de forma coordenada, contra o TikTok – e não, Portugal (ainda?) não se encontra nesta lista.

O TikTok, da chinesa ByteDance, começou em 2016 como uma app que procurava inovar no modelo do Vinee do Musical.ly e tornar-se numa rede social de partilha de vídeos curtos dos utilizadores, em diferentes temáticas e interesses, com enfâse na reprodução de músicas atuais e áudio de cenas de filmes e séries populares – adquirindo para este propósito licenças junto dos right holders. Com a aquisição do Musical.ly no final de 2017 e a fusão de ambas as apps em Agosto de 2018, o TikTok conseguiu sair da bolha do mercado chinês e penetrar no mercado americano (e, por conseguinte, mundial), convertendo-se rapidamente numa das mais populares plataformas em todo o mundo, entre as várias faixas etárias – com uma estimativa de mais de 1,1 mil milhões de utilizadores mensais.

Com a extraordinária popularidade, também vieram controvérsias – desde de a app ser banida na India; executive orders do ex-presidente dos Estados Unidos para bloquear a app devido a receios de espionagem e partilha de dados pessoais com o Governo Chinês, procurando assim forçar a sua venda a uma multinacional americana; ser forçada a bloquear todos os utilizadores italianos e realizar um controlo apertado da sua idade, para a sua readmissão (devido à morte de uma menor de 13 anos); e claro, alegações relativas a invasão de privacidade e tratamento ilícito dos dados dos utilizadores, incluindo a utilização de tecnologia de reconhecimento facial, por autoridades de proteção de dados europeias.

Estas novas queixas da BEUC e das associações de proteção de consumidores vêm abrir um novo capítulo, uma nova frente de combate aos abusos do TikTok (e outras multinacionais que utilizem as mesmas técnicas), centrando as queixas no Direito do Consumo, nomeadamente quanto a práticas comerciais desleais, cláusulas contratuais gerais abusivas e falta de transparência no tratamento de dados pessoais e publicidade.

As práticas sob escrutínio incluem:

a política de bens virtuais da TikTok, que permite a livre modificação da taxa de câmbio das moedas adquiridas e preços na in-app store (os utilizadores podem converter moedas com corrente legal na moeda virtual da Tiktok e posteriormente utilizar esta para comprar prendas[2]);
cláusulas abusivas quanto aos direitos de propriedade intelectual dos conteúdos criados pelos utilizadores (User-Generated Content), com a transferência de uma licença irrevogável que permite ao TikTok ter controlo absoluto sobre os direitos autorais e de imagem, podendo lucrar de diversas formas com este, sem ter de pagar quaisquer quantias, sendo que o utilizador também abdica do exercício de quaisquer direitos de ser reconhecido como o autor moral da obra (ainda que estes direitos não sejam legalmente transferíveis).
- Isto levou à descoberta, desagradável para muitos, de que o TikTok podia livremente utilizar os seus vídeos e imagem em anúncios e marketing do TikTok, de forma gratuita e sem necessitar de autorização e notificação.

Publicidade oculta e enganosa, seja colocada pelo TikTok, seja pela utilização de funcionalidades que permitem que marcas usem influencers para campanhas de marketing agressivas junto dos seus fãs – especialmente direcionada a crianças e outras pessoas vulneráveis;
Falta de transparência nas obrigações de informação aos titulares de dados pessoais, possível ausência de base de licitude do tratamento, reutilização de dados para finalidades incompatíveis, (…) diversas possíveis violações do Regulamento Geral de Proteção de Dados.

Em paralelo com a abertura deste tema, é de destacar também o recém publicado relatório do Parlamento Europeu sobre a necessidade de “atualizar” a Diretiva das Cláusulas Contratuais Abusivas (93/13/CEE), para os serviços digitais. Este relatório aborda, entre vários temas, as cláusulas predatórias sobre o copyright do user-generated content, como a referida acima do TikTok.

É possível que estas queixas das associações de defesa dos consumidores se convertam no futuro em processos judiciais, sejam movidos pelas entidades reguladores ou como ações coletivas de indeminização dos consumidores – e que, quem sabe, cheguem ao Tribunal de Justiça, de forma a conseguir uma atualização jurisprudencial, uniforme na União Europeia, da aplicabilidade das Diretivas sobre Cláusulas Contratuais Abusivas e Práticas Comerciais Desleais a este tipo de práticas e modelos de negócio.

[1] Os Estados em questão: Bélgica, Chipre, República Checa, Dinamarca, França, Alemanha, Grécia, Itália, Países Baixos, Noruega, Eslováquia, Eslovênia, Suécia, Espanha e Suíça.

[2] No contexto de redes socias, este modelo de negócio aparenta ser inspirado no sistema de awards do Reddit, em que os utilizadores premeiam as publicações que gostam mais, dando-lhes maior visibilidade e notoriedade a terceiros, pelo algoritmo.