1ª – Escopo (Des)Proporcional e uma Solução Simplista sem Consideração da Acessibilidade

Legislação

No primeiro texto apresentámos o contexto atual de maior da consciencialização pública para a proteção das crianças face aos riscos das redes sociais (com séries de TV como Adolescence), o vício digital e outros perigos online (como os casinos ilegais promovidos por certos influencers direcionados a jovens), as propostas ou soluções regulatórias que estão a ser discutidas, isto é, a imposição de sistemas de verificação de idade online para impedir o acesso a estes serviços por menores, e os riscos que estas soluções podem ter em relação aos direitos fundamentais de todos.

Neste segundo texto, vamos abordar a Proposta de Lei n.º 398/XVII/1ª (doravante “Proposta”), apresentada pelo Grupo Parlamentar do PSD, que trouxe este debate regulatório a Portugal.

Esta Proposta, cheia de boas intenções (mas, como será analisado, cheia de graves problemas), foi aprovada esmagadoramente na generalidade (apenas contando com votos contra da IL e do Chega), estando agora na fase de especialidade, na qual os grupos parlamentares, na 1ª Comissão (dos Assuntos Constitucionais, Direitos, Liberdades e Garantias) irão, depois de receberem todos os pareceres obrigatórios e realizarem várias audições, discutir/alterar/votar os seus artigos individualmente. Esta é, pois, uma fase crítica para determinar que tipo de texto poderá subir para a votação final em plenário e ser aprovada como Lei.

Assim, este texto pretende brevemente analisar criticamente o texto da proposta, chamando a atenção para as disposições mais problemáticas, e contribuir para o debate público mais consciente sobre este tema, crucial para cidadãos, consumidores, titulares de dados, pais, crianças e para os direitos fundamentais de todos.

Análise Geral do diploma

Considerando a maior consciência social para os riscos e perigos que as crianças correm online, nomeadamente a adição às redes sociais, a Proposta propõe:

1) Criar uma idade mínima (“maioridade digital”) para as pessoas poderem aceder “autonomamente” aos serviços digitais abrangidos pela Proposta, que será de 16 anos (art. 5.º-1).

2) Permitir o acesso condicionado a menores entre 13 e 16 anos, sujeitos ao “consentimento parental” (arts. 5.º-2 e 6.º), com várias funcionalidades impostas e outras restringidas (arts. 6.º-3, 10.º, 11.º e 12.º).

3) Proibir o acesso total a estes serviços por crianças com menos de 13 anos, independentemente de autorização parental (art. 5.º-3).

4) Impor a utilização de um sistema de verificação de idade a todos esses serviços, para detetar se os utilizadores são maiores de 16 anos, crianças com idades compreendidas entre os 13 e 16 anos ou crianças menores de 13 anos. Esta verificação poderá ser feita através de um sistema (ainda não disponível) que usa a Chave Móvel Digital (CMD) ou outro sistema idóneo que cumpra os requisitos técnicos (art. 5.º-4).

5) Todos os serviços abrangidos pelo diploma e os serviços de comunicação eletrónica interpessoais (prestadores de correio eletrónico, serviços de chat) devem implementar um sistema que permite: a) detetar e limitar os contactos suspeitos; b) bloquear automaticamente mensagens que contenham conteúdos violentos, sexuais, agressivos e falsos que possam ser considerados cyberbullying; c) canais de denúncias rápidos.

6) Estabelecer a responsabilidade objetiva pelos danos materiais e imateriais dos prestadores destes serviços resultantes do incumprimento, por ação ou omissão, das obrigações estabelecidas.

7) Estabelecer um regime contraordenacional para a violação das obrigações, com coimas bastante elevadas. Os valores vão de €50.000 a €2.000.000 ou até 2% do volume anual mundial, conforme o mais elevado, para grandes empresas; €20.000 a €1.000.000 ou até 2% do volume anual mundial para pequenas ou médias empresas; €10.000 a €250.000 para pessoas singulares.

8) Adicionalmente, altera ainda a lei de implementação do RGPD em Portugal, estabelecendo que apenas crianças com idade igual ou superior a 16 anos podem prestar o consentimento válido à oferta de serviços da sociedade de informação.

O diploma não é extenso, com 22 artigos e 10 definições.

Quanto às definições, estas serão escrutinadas mais a fundo na secção seguinte, porém é necessário destacar que, ao invés de utilizar a terminologia técnica mais correta, em linha com os restantes diplomas nacionais e europeus aplicáveis aos “ambientes digitais” (Diretiva e Decreto-Lei do Comércio Eletrónico, Regulamento dos Serviços Digitais (DSA), Diretiva e Lei dos Serviços de Comunicação Social Audiovisual), assegurando assim a coesão do ordenamento jurídico e mitigando os custos de “má-regulação”, a Proposta preferiu adotar frequentemente os seus próprios conceitos (incluindo traduções apressadas do diploma australiano…), pouco precisos, como, por exemplo, no art. 4.º-c), d) e e).

Para a entrada em vigor destas medidas e quadro regulatório, a Proposta inclui apenas um período transitório de 90 dias, sendo suposto que a ANACOM publique o “Referencial Técnico Nacional de Verificação de Idade” com as especificações técnicas da solução até ao prazo máximo de 60 dias após a aprovação do diploma.

Escopo de aplicação que vai muito, muito além das redes sociais

Na comunicação social, esta Proposta tem sido frequentemente apresentada como visando essencialmente as redes sociais. Porém, o seu escopo extravasa muito essa dimensão, em virtude das definições adotadas.

O art. 2.º estabelece o escopo da Proposta, com as alíneas do n.º 1 a estabelecer quais os serviços abrangidos, e as alíneas do n.º 3 estabelecem o limite negativo de aplicação, que apenas excluem: i) serviços de comunicações eletrónicas interpessoais (correio eletrónico, serviços de mensagens e conversas de grupo em linha (chats), com um número finito de pessoas (considerando 17 e art. 2 .º-5 da Diretiva (UE) 2018/197 Código Europeu das Comunicações Eletrónicas) e ii) “Aplicações e jogos em linha com carácter informativo ou pedagógico especificamente desenhados para crianças” e “plataformas e aplicações em linha exclusivamente destinadas a difundir conteúdos de manifesto interesse público, em especial nas áreas da educação e saúde”.

Segundo o art. 2.º-1, a Proposta abrange:

1) Plataformas de redes sociais – na acessão da definição do art. 4.º-d). Incluirá Facebook, Instagram, TikTok, X (antigo Twitter), LinkedIn, Bluesky, Reddit, Discord, Teamspeak, Tumblr, Threads, Snapchat.

2) “Apostas e jogos em linha” – a formulação não é precisa. Numa primeira análise, parece que o objetivo desta alínea é referir-se aos “jogos de fortuna e azar em linha”, vulgo, “jogo online”, que já se encontra regulado pelo Regime Jurídico dos Jogos e Apostas Online (DL n.º 66/2015, de 29 de abril), que tem um regime próprio para o registo dos jogadores, que contempla “o nome completo, a data de nascimento, a nacionalidade, a profissão, a morada de residência, o número de identificação civil ou do passaporte, o número de identificação fiscal, o endereço de correio eletrónico” (art. 37.º), o que torna a sua inclusão nesta Proposta redundante e contraproducente. No entanto, se considerarmos o restante texto da Proposta, em especial quanto à definição de “plataforma de jogos em linha” (art. 4.º-e)) e as exclusões do art. 2.º-3, parece que o objetivo é abranger os videojogos, incluindo aqueles que não são acessíveis/não têm funcionalidades online.

3) “Serviços de partilha de imagens e vídeos” – conceito impreciso, que não é esclarecido no corpo da Proposta. Parece ser uma alusão a “serviços de plataforma de partilha de vídeos” da Diretiva e Lei dos Serviços de Comunicação Social Audiovisual. Estes incluem: Youtube, Vimeo, Dailymotion, Twitch, Kick. Adicionalmente, com a referência a partilha de imagens: Canva, Pinterest, DeviantArt, ArtStation, Behance, Dribbble e Pixiv. Muitos destes serviços também se encaixam na definição de “plataforma de redes sociais”. Além destes, acrescentamos ainda as plataformas com conteúdos de carácter sexual, como o Pornhub, XNXX e Stripchat (designados como VLOPs à luz do DSA) e OnlyFans.

4) “Serviços de alojamento de conteúdos” – este conceito expande a aplicação da Proposta a todos os serviços de alojamento em linha, que, por sua vez, já incluem as plataformas em linha, que por sua vez incluem as ditas redes sociais, mas também todos os mercados em linha. Estas cinco palavras determinam que todos os seguintes serviços estão incluídos: a. serviços de alojamento na Cloud para consumidores como Google Drive, Dropbox, OneDrive (Microsoft), iCloud (Apple) e WeTransfer; b. serviços de alojamento web (web hosting): GoDaddy, Bluehost, OVH, Amazon Web Services (AWS), Microsoft Azure e Google Cloud Platform — que disponibilizam infraestrutura para alojar websites e aplicações de terceiros; c. plataformas de alojamento de código: GitHub, GitLab e Bitbucket; d. serviços de plataforma de partilha de vídeos (já referidos acima); e. serviços de enciclopédias online – Wikipedia; f. lojas de aplicações – AppStore, Google Play, Steam, GoG, Nintendo Store; f. serviços de alojamento de blogues e websites: WordPress.com, Blogger, Wix e Squarespace, Sapo Blogs, Substack (nas suas vertentes de alojamento de conteúdos de utilizadores); g. plataformas de comércio eletrónico (marketplaces): OLX, Amazon Marketplace, temu, shein, eBay, Etsy, Alibaba, Worten Marketplace, Vinted, Zalando.

5) Prestadores de serviços e conteúdos com restrições etárias – nomeadamente conteúdos violentos, aditivos ou sexuais.

A Proposta abarca assim categorias de serviços que são excessivamente amplas, independentemente do nível de risco que estes representem, aplicando um regime de restrição de acesso de forma desproporcional aos objetivos que pretende alcançar.

A Proposta proíbe inteiramente todas as crianças com menos de 13 anos de poderem utilizar a esmagadora maioria dos serviços em linha, independentemente das atividades. É proibido a estas crianças pesquisar na Wikipedia para um trabalho na escola ou verem episódios da Bluey no Youtube Kids na SmartTV partilhada na sala de estar.

Quanto ao escopo territorial, a Proposta refere que se aplica a todos os serviços acima referidos que sejam “acessíveis a crianças residentes em Portugal”, isto é, basta estarem online.

Esta interpretação é reforçada pela definição de “Plataforma acessível a crianças”, do art. 4.º c), conceito que surge uma única vez no diploma… no artigo das definições, que descreve “qualquer serviço em linha” (independentemente de ser uma plataforma em linha ou não) que, “pela sua natureza, funcionalidades ou públicos-alvo, seja possível de ser utilizado por crianças”. Como apenas é necessário que se verifique uma destas opções para se aplicar, basta que o serviço esteja disponível online para que seja possível ser acedida por crianças em Portugal.

Finalmente, temos de levantar mais um problema: embora os serviços de comunicações eletrónicas interpessoais estejam excluídos do escopo da lei, o art. 12.º ainda se aplica a estes quando são utilizados por menores de 16 anos. A única forma de um prestador de correio eletrónico (gmail, Outlook, Hotmail) conseguir cumprir as obrigações desta norma (analisada no próximo texto) é implementar um sistema de verificação de idade.

A “solução” da Chave Móvel Digital (CMD), que compromete a acessibilidade, em especial dos mais vulneráveis

A principal solução indicada na Proposta para a obrigação geral de verificação de idade é a utilização, por parte dos prestadores de serviços, de um mecanismo compatível com o sistema CMD, ou outro sistema idóneo semelhante, que cumpra os requisitos (que por sua vez incluem novamente a obrigatoriedade de compatibilidade com o sistema CMD)[1] do Referencial Técnico a ser desenvolvido pela ANACOM, de acordo com os requisitos técnicos da lei.

A Proposta pretende alinhar-se com a proposta europeia e afastar preocupações do carácter intrusivo destas soluções. Para tal, o sistema deverá recolher o mínimo de dados possíveis, ser compatível com sistemas de prova de limiar etário com preservação de privacidade, incluindo prova de conhecimento-zero (zero knowledge proof) (como propostas pela Comissão Europeia). Adicionalmente, pretende-se a compatibilidade com outros sistemas similares à CMD de outros Estados-Membros.

O problema emerge numa questão muito óbvia: esta solução política torna a CMD, uma faculdade criada para facilitar a interação entre cidadãos e entidades públicas, numa quasi obrigatoriedade de todos os que se encontrem no território nacional.

Segundo os dados estatísticos públicos, o número total de CMD ativas ronda os 4,4 milhões, um número que, embora elevado, está longe do número de residentes em Portugal com idades superiores a 16 anos (que, segundo a Pordata.pt, deverá rondar os 8 milhões). Embora a CMD esteja disponível para residentes que não são portugueses (que podem utilizar o passaporte ou o título de residência), estes são menos de 3,7% do total, um número longínquo da sua proporção real (serão aproximadamente 1,5 milhões e perto dos 9,8% da população residente). Estes números não incluem os imigrantes e refugiados em Portugal, que têm processos pendentes de regularização.

Além destes números, é necessário relembrar que este controlo de verificação de idade também terá de ser aplicado a quem estiver de passagem por Portugal, sejam turistas ou viajantes a realizar o transbordo entre meios de transporte.

Destaca-se ainda que a app.gov não cumpre os requisitos de fiabilidade, apresentando deficiências e erros no seu funcionamento, por exemplo na autenticação obrigatória que requer reconhecimento facial.

Neste momento, não só não existe uma solução técnica no terreno que permita aos prestadores destes serviços cumprir os requisitos da Proposta, como o método preferencial indicado nesta seria uma barreira para uma parte muito substancial da população afetada por estas medidas.

A inexistência de soluções técnicas disponíveis, um período transitório de apenas 3 meses e a inexistência de normas que considerem a realidade económica das PMEs (cujo único benefício é no valor das coimas, que ainda assim vão dos €20.000 a €1.000.000 ou até 2% do volume de negócios anual, a nível mundial) tem a consequência de que apenas as Big Tech terão capacidade técnica de se antecipar e cumprir minimamente os requisitos da Proposta.

Finalmente, a Proposta não esclarece quanto à utilização efetiva da ferramenta:

É suposto a verificação da idade ser feita na criação de conta, no início de cada sessão, ou a intervalos regulares durante a utilização do serviço?

No caso de a verificação da idade ser feita no momento da criação de conta, é depois necessário um sistema de autenticação reforçado no início de cada sessão para verificar se é a mesma pessoa a utilizar a conta?

Como a proposta é neutral quanto aos dispositivos a que se aplica, existem inúmeras questões práticas que ficam sem resposta. Por exemplo, quanto a smartTVs que sejam utilizadas por várias pessoas do agregado familiar, qual a solução indicada? Curiosamente, uma criança poderá ver filmes “com bolinha vermelha” transmitidos em canais abertos numa televisão normal, sem necessidade de CMD.

O terceiro e último texto desta série irá abordar mais algumas questões relativas a esta Proposta.

[1] A Proposta repete, constantemente, e de forma circular na sua estrutura e remissões, a obrigação de compatibilidade com a CMD: Art- 5-º n.º 4, Art. 7.º n.º 2, Art. 8.º n.º 1 al. c), n.º 2 b).

A Verificação da Idade Online (Parte 1/3): Como tentar proteger as crianças online poderá prejudicar a privacidade de todos

Legislação

O universo digital transformou radicalmente a forma como as crianças e os adolescentes comunicam, aprendem e se entretêm. As redes sociais, as plataformas de partilha de vídeos e, mais recentemente, as aplicações que permitem a utilização de sistemas de inteligência artificial generativa tornaram-se elementos omnipresentes no quotidiano dos mais jovens.

Contudo, esta imersão digital acarreta riscos amplamente documentados: design aditivo das plataformas, amplificação algorítmica de conteúdos prejudiciais, exposição a material inadequado, cyberbullying, aliciamento sexual (grooming), práticas comerciais nocivas e um impacto crescente na saúde mental dos adolescentes. A investigação científica tem vindo a associar o uso intensivo e prolongado das redes sociais ao aumento das taxas de ansiedade, depressão, autolesão e perturbações alimentares entre os jovens.

A sucessão de vários episódios problemáticos muito mediáticos, documentários e séries contribui bastante para consciencializar e dar destaque ao tema da proteção dos menores online, culminando na notícia viral no final de 2025 de que a Austrália tinha proibido as redes sociais para crianças menores de 16 anos.

Na realidade a Austrália é apenas mais um caso desta tendência mundial, que também chegou a Portugal com o Projeto de Lei nº 398/XVII/1ª, do GP-PSD.

Este texto é o primeiro de três no blog do NOVA Consumer Lab a abordar esta matéria, de forma a contribuir para uma melhor consciencialização e o debate na sociedade civil sobre o impacto das soluções regulatórias e técnicas que estão a ser discutidas.

Este primeiro texto irá assim apresentar esta tendência de propor a imposição de sistemas de verificação da idade online: o que implicam, como funcionam e que riscos acarretam para os direitos fundamentais de todos.

A tendência internacional para implementar a verificação da idade online

O Online Safety Amendment (Social Media Minimum Age) Act 2024 (Austrália) que abriu telejornais em dezembro de 2025, está longe de ser um caso único.

Neste momento, existem 42 Estados onde algum tipo de atividade legislativa ou regulatória visando a proteção de crianças nas redes sociais se encontra em discussão. Entre estes, 4 já têm diplomas em vigor (China, Austrália, Brasil e Vietname), 5 já têm legislação aprovada que ainda não entrou em vigor (entre os quais França, os Emirados Árabes Unidos, a Indonésia e a Malásia) e 15 têm propostas em procedimentos a decorrer (Portugal encontra-se neste grupo).

Na União Europeia, a proteção dos menores online emerge em diversos diplomas e iniciativas, sendo abordada em várias dimensões e agendas, com destaque para: “A Digital Decade for children and youth: the new European strategy for a better internet for kids (BIK+)”.

Focando apenas nos diplomas mais relevantes, destaca-se o Regulamento dos Serviços Digitais (Digital Services Act, DSA).^[1]

O art. 28.º do DSA estabelece para as plataformas em linha a obrigação de proteger menores na conceção do seu serviço. Em julho de 2025, a Comissão Europeia publicou orientações sobre a proteção de menores ao abrigo deste artigo do DSA, estabelecendo uma lista não exaustiva de medidas para proteger as crianças de riscos online, contra o aliciamento, conteúdos prejudiciais, comportamentos problemáticos e aditivos, cyberbullying e práticas comerciais nocivas. Estas medidas estão direcionadas apenas às plataformas em linha e, entre estas, para aquelas que estão direcionadas para menores ou que são predominantemente usadas por estes, nas quais se podem verificar riscos e conteúdos prejudiciais.

Adicionalmente, reconhecendo então a necessidade dos prestadores de serviços de verificarem a idade de todos os utilizadores como consequência lógica destas conclusões, a Comissão começou a trabalhar na sua proposta de uma solução “zero Knowledge proof”.

Por último, no final de novembro, o Parlamento Europeu adotou um relatório não legislativo apelando a uma “ação ambiciosa da UE para proteger os menores online”, com várias propostas, incluindo o estabelecimento de uma idade mínima de 16 anos a nível da UE e a proibição das práticas aditivas mais prejudiciais.

Tipos de Regulação e Soluções Técnicas

O tipo de abordagem regulatória e de soluções técnicas preferidas para esta matéria varia substancialmente entre jurisdições, sendo essencialmente determinados com base na ponderação do equilíbrio entre os interesses a proteger (crianças vs direito à privacidade, liberdade de expressão e acesso de informação, etc.) e quem deve ser responsabilizado (os prestadores de serviços – todos ou apenas os grandes players (VLOPs, gatekeepers) – ou os titulares da responsabilidade parental).

Assim, vemos abordagens distintas quanto ao âmbito dos serviços abrangidos, nos limiares de idade e nos mecanismos de verificação exigidos, sendo possível identificar, em traços gerais, três grandes modelos principais:

– O primeiro modelo centra-se na proibição direta do acesso, como a lei australiana, que baniu os menores de 16 anos das redes sociais e de plataformas de partilha de vídeos. Este modelo impõe às plataformas a obrigação de impedir o acesso, sob pena de sanções significativas.

– O segundo modelo baseia-se no consentimento parental, exigindo que os pais ou tutores autorizem expressamente o acesso dos menores a determinados serviços. Diversas propostas, incluindo a que está em consideração em Portugal (menores de 16 anos, com consentimento parental a partir dos 13), seguem esta lógica.

– O terceiro modelo, mais granular, opta por não restringir o acesso a serviços inteiros, mas sim por impor a prestadores, incluindo plataformas em linha, a obrigação de avaliar quais os conteúdos, funcionalidades ou elementos de design que comportam riscos específicos para os menores, implementando restrições proporcionadas e adaptadas. Esta abordagem é, segundo vários especialistas, a mais compatível com os princípios da necessidade, flexibilidade e proporcionalidade.

Quanto às soluções técnicas de verificação de idade, é possível também identificar três grandes categorias:

– A primeira categoria consiste na verificação por documento de identidade oficial realizada pelo prestador do serviço, que pode ser combinada com o reconhecimento facial em tempo real para efeitos de autenticação. Este modelo exige que o prestador trate dados específicos sobre a identidade do utilizador, incluindo também dados de categorias especiais (como dados biométricos), sensíveis, criando riscos substanciais para o titular de dados.

– A segunda recorre à estimativa de idade por biometria, tipicamente através de análise facial por inteligência artificial. Como exemplo, o serviço oferecido pela empresa Yoti estima se o utilizador aparenta ter mais de 18 anos com base numa digitalização da câmara, sem necessidade de correspondência com uma base de dados de imagens existente. A recolha e tratamento de dados de categorias especiais é imperativa, sendo que existe sempre a possibilidade de o sistema cometer erros, falsos negativos e falsos positivos, bloqueando adultos e permitindo o acesso a menores.

– A terceira, a verificação por atributo, em que o sistema procura confirmar apenas se o utilizador cumpre um limiar de idade, sem transmitir dados de identidade. Esta categoria procura separar as várias fases do tratamento, minimizando os dados tratados e transmitidos entre entidades. O sistema AgeKey da OpenAge Initiative é um exemplo desta última abordagem: o utilizador verifica a sua idade uma única vez, através do método da sua escolha, e um sinal criptográfico é armazenado no seu próprio dispositivo. Quando encontra conteúdo com restrição de idade, autoriza a partilha desse sinal, e a plataforma recebe apenas a confirmação de que o utilizador cumpre o requisito etário, sem receber nome, data de nascimento, morada ou qualquer informação identificativa.

Existe ainda um elemento crucial a considerar: qual o nível da infraestrutura digital em que deve ocorrer a verificação. Isto é, a verificação de idade deve ocorrer:

1) Ao nível de cada aplicação, website, plataforma em linha individual;

2) Ao nível das lojas de aplicações (app stores);

3) Ao nível do sistema operativo ou do dispositivo.

A vantagem de “subir” para os níveis 2 e 3 é limitar esta obrigação de controlo a menos prestadores, que depois transmitem apenas a informação necessária às aplicações ou plataformas em linha.

Em alguns estados dos Estados Unidos da América, a legislação local propõe que a verificação da idade ocorra no momento de configuração do dispositivo e nas lojas de aplicações, transferindo a responsabilidade de bloqueio dos conteúdos para os pais e para a Apple e o Google.

A solução que a Comissão Europeia está a desenvolver encaixa-se no modelo de “verificação por atributo”, ao nível do dipositivo, baseando-se na infraestrutura (em desenvolvimento) das Carteiras de Identidade Digital Europeia (EU Digital Identity Wallets). O “blueprint” da Comissão procura ser um referencial técnico, focado em minimizar o fluxo de dados ao máximo nos vários eixos: o verificador deve apenas fornecer os “tokens” criptográficos que indicam que uma certa pessoa é maior/menor, sem saber em que serviços é que estes serão utilizados, e o prestador do serviço online só deve receber o “token” sem ter acesso aos restantes dados pessoais.

O problema é que estas soluções zero‑knowledge proofs (ZKPs) não são perfeitas. Não impedem correlação por metadados e reutilização de identificadores, têm revogação e ciclo de vida complexos que podem introduzir rastreio, não protegem contra comprometimento de endpoints nem contra phishing/replay/coação, exigem emissão inicial com tratamento de dados pessoais, sofrem com desafios de “holder/device binding”, interoperabilidade, padrões e aceitação regulatória, podem ter custos/desempenho limitantes e baixa agilidade criptográfica, e continuam dependentes de boas práticas do verificador (retenção, finalidade, segurança) para evitar a reidentificação.

Principais riscos para os direitos fundamentais

O debate público sobre os sistemas de verificação de idade online não pode ocorrer sem considerar os riscos substanciais que estes modelos regulatórios podem implicar para os direitos fundamentais, essencial para a avaliação da proporcionalidade das medidas.

Quanto à proteção de dados pessoais e à privacidade, a imposição de mecanismos de verificação de idade implicará a recolha de dados pessoais, incluindo dados pessoais de categorias muito sensíveis: dados relativos à vida sexual ou orientação sexual, as opiniões políticas, as convicções religiosas ou filosóficas, dados biométricos, dados relativos à saúde, etc.

A recolha destes dados, seja pelos prestadores das aplicações/websites/plataformas, das lojas de aplicações, pelos dispositivos, ou por terceiros verificadores (sejam estas entidades privadas ou estatais) irá implicar a criação de datasets extremamente valiosos.

Estes dados serão assim alvos de elevado valor para todo o tipo de atores maliciosos. Quando os dados forem comprometidos (e a questão é sempre “quando”, não “se”), seja por ataque informático, erro humano ou falha de infraestrutura, as consequências serão severas. Por exemplo, a perda de controlo sobre dados biométricos, cópias de documentos de identificação roubadas aumentam significativamente o risco de roubo de identidade; a possibilidade de associação direta da identidade com a atividade online poderá traduzir-se em esquemas de chantagem a todos os níveis.

Além da possibilidade de data breaches, persiste o risco de reutilização destes dados para outras finalidades, seja pelos prestadores dos serviços ou por terceiros verificadores.

Estas soluções ainda estão numa fase embrionária de implementação e imposição e, infelizmente, já ocorreram múltiplos exemplos dos problemas acima descritos.

A existência destes riscos tem como consequência que estes sistemas de controlo provocam graves chilling effects na liberdade de expressão e direito à informação, que não podem ser ignorados.

Uma proibição geral do acesso de menores a serviços em linha interfere também ainda com os próprios direitos fundamentais das crianças (a liberdade de informação e o direito ao livre desenvolvimento da personalidade) e com o direito dos pais a decidir sobre a educação dos seus filhos.

Do ponto de vista da eficácia, as proibições gerais baseadas na idade também têm dois problemas adicionais:

i) Podem ser facilmente contornadas tecnicamente. Além de existirem inúmeros episódios noticiados de sistemas de verificação de idade a serem engados quando usam reconhecimento facial, existe uma bala de prata: os VPN (rede privada virtual).

Os VPN permitem ao utilizador criar um “túnel” encriptado entre o dispositivo e a internet, ocultando o endereço IP e tráfego de terceiros. Além disto, os VPN podem ser usados para contornar restrições geográficas ao encaminhar a ligação através de um servidor noutro país, fazendo com que os sites e serviços pensem que o utilizador está localizado nesse país em vez do local real. Quando os requisitos de verificação de idade do Online Safety Act do Reino Unido entraram em vigor, a utilização de VPNs disparou exponencialmente, com vários prestadores de VPN a reportarem aumentos de 1.400%. e +10 milhões de downloads.

ii) Podem ter ainda o efeito inverso ao pretendido. Proibições gerais podem levar utilizadores, incluindo jovens e crianças, a contornarem estas restrições, indo para cantos ainda menos regulados e mais problemáticos da internet, para plataformas sem controlo e moderação de conteúdos e mais difíceis de supervisionar pelas autoridades competentes.

Considerações Finais

A verificação de idade no acesso a serviços digitais encontra-se num ponto de inflexão.

Embora seja aparente um consenso político para a necessidade de atuar na proteção dos menores online, em especial quanto aos riscos que as redes sociais podem representar para o seu desenvolvimento, persistem grandes dúvidas sobre quais os melhores modelos regulatórios que conseguem atender a uma ponderação completa dos direitos fundamentais em conflito.

O debate sobre estas matérias não pode ser feito apressadamente e sem considerar os graves riscos para os direitos fundamentais que certas soluções implicam.

Os próximos dois textos vão abordar a Proposta de Lei n.º 398/XVII/1ª, do Grupo Parlamentar do PSD, e a forma como este debate está a ser conduzido em Portugal.

[1] A Diretiva dos Serviços de Comunicação Social Audiovisual (AMSD) também deve ser referida, mas o seu destaque terá de ficar para outro texto, noutra ocasião.