Por Luciano Poubel · Publicado originalmente no LinkedIn em 20 de agosto de 2026.
Durante muitos anos, a “verificação de idade” na internet funcionou de uma maneira quase infantil.
Uma tela perguntava:
“Você tem mais de 18 anos?”
O usuário clicava em “sim”.
E pronto.
Uma criança de 12 anos podia fazer exatamente a mesma coisa.
Todos sabiam que aquilo não verificava idade alguma. Era, na prática, uma porta fechada com um aviso escrito “não entre”, mas sem fechadura.
O ECA Digital começou a mudar essa lógica no Brasil. A Lei nº 15.211/2025 criou novas obrigações para a proteção de crianças e adolescentes no ambiente digital e passou a exigir mecanismos de aferição e, em determinadas situações, de efetiva verificação de idade. Para conteúdos, produtos e serviços proibidos a menores, a simples autodeclaração deixou de ser suficiente.
A intenção parece difícil de contestar.
Uma criança não deveria conseguir acessar pornografia, apostar, comprar bebida alcoólica ou ingressar em determinados ambientes digitais simplesmente mentindo a própria idade.
Mas, quando tentamos substituir aquele botão inútil por algo realmente eficaz, aparece uma pergunta muito mais complicada:
como provar que alguém é adulto sem obrigá-lo a revelar quem é?
É aí que proteção infantil e privacidade começam a dividir a mesma mesa.
A solução óbvia cria outro problema
A resposta mais intuitiva seria simples: peça um documento.
Quer acessar determinado conteúdo? Envie sua identidade.
Quer utilizar determinado serviço? Informe CPF, data de nascimento ou faça uma validação biométrica.
Problema resolvido?
Talvez um problema tenha sido resolvido e outro tenha acabado de nascer.
Imagine milhões de pessoas fornecendo documentos, imagens do rosto, datas de nascimento ou outros dados identificadores a sites, aplicativos e intermediários apenas para provar que ultrapassaram determinada faixa etária.
Quem armazenará essas informações?
Por quanto tempo?
Elas poderão ser usadas para publicidade?
Poderão alimentar perfis comportamentais?
E se houver um vazamento?
Mais importante: a plataforma realmente precisa saber quem você é ou precisa apenas saber que você tem idade suficiente para estar ali?
Essa distinção parece pequena, mas é provavelmente uma das questões centrais do novo modelo.
E a legislação brasileira percebeu o problema.
O Decreto nº 12.880/2026 define o chamado “sinal de idade” como uma informação ou credencial capaz de indicar a idade ou a faixa etária de um usuário sem revelar dados pessoais adicionais. O decreto determina ainda que as soluções observem minimização de dados, proteção da privacidade, segurança, proporcionalidade ao risco e, de maneira especialmente interessante, a vedação à rastreabilidade da identidade e do histórico de acessos e verificações realizados pelos cidadãos.
Em outras palavras, a lógica ideal não deveria ser:
“Diga-me quem você é para que eu descubra sua idade.”
Deveria ser algo mais próximo de:
“Diga-me apenas aquilo que eu realmente preciso saber sobre sua idade.”
Talvez um site não precise conhecer sua data de nascimento
Imagine que você entre em um serviço permitido apenas para maiores de 18 anos.
A plataforma não precisa necessariamente receber seu nome, CPF, endereço e data de nascimento. Talvez precise apenas receber uma informação:
MAIOR DE 18: SIM.
Só isso.
Esse é justamente um dos modelos previstos na regulamentação. Lojas de aplicativos e sistemas operacionais deverão fornecer sinais de idade aos serviços digitais, e esses sinais devem ficar limitados às informações estritamente necessárias para confirmar a idade mínima exigida. O Decreto nº 12.880 é explícito ao vedar, nessa comunicação, o envio da data de nascimento exata, da identidade civil ou de dados de perfilamento do usuário.
A proposta é interessante porque separa duas coisas que durante muito tempo foram confundidas:
verificar idade
e
identificar uma pessoa.
Nem sempre são a mesma coisa.
É possível imaginar um sistema em que uma fonte confiável já tenha realizado a verificação e apenas informe ao próximo serviço que determinado requisito etário foi cumprido.
Isso seria muito diferente de entregar uma cópia da identidade a cada plataforma visitada.
E talvez seja justamente essa a evolução necessária.
A melhor tecnologia de verificação de idade pode ser aquela que descubra o mínimo possível sobre você.
Mas nem todo site precisa tratar você como se estivesse entrando em um cassino
Outro cuidado importante é evitar a impressão de que o ECA Digital criou uma espécie de “RG obrigatório para usar a internet”.
Não criou.
O Decreto nº 12.880 trabalha expressamente com proporcionalidade entre o mecanismo utilizado e o risco associado ao produto ou serviço. Também diferencia conteúdos simplesmente sujeitos a adequação etária daqueles cuja oferta ou acesso é juridicamente proibido a crianças e adolescentes.
Isso faz sentido.
Um serviço de conteúdo educacional não apresenta o mesmo risco de uma plataforma pornográfica.
Um aplicativo de leitura não é equivalente a uma plataforma de apostas.
Um jogo classificado para determinada faixa etária também não deveria necessariamente exigir a mesma tecnologia utilizada para impedir que um menor compre bebida alcoólica ou acesse pornografia.
A aferição de idade precisa ser proporcional.
Quanto maior o risco, maior pode ser a necessidade de certeza sobre a idade.
Quanto menor o risco, menos invasivo deveria ser o mecanismo utilizado.
Essa talvez seja uma das chaves para evitar que uma legislação criada para proteger crianças acabe produzindo uma internet de vigilância para adultos.
E a biometria facial?
Aqui o debate fica especialmente interessante.
A ANPD submeteu à participação social, em 2026, um Guia Orientativo sobre mecanismos de aferição de idade. Entre as soluções técnicas discutidas estão verificação documental e estimativa facial de idade.
É importante distinguir estimativa de idade de reconhecimento facial.
Uma tecnologia pode analisar características do rosto para estimar uma faixa etária sem necessariamente tentar descobrir a identidade daquela pessoa.
Ainda assim, o tratamento da imagem facial levanta questões importantes.
Qual é a margem de erro?
A ferramenta funciona igualmente bem para diferentes grupos populacionais?
O que acontece quando uma pessoa de 19 anos é classificada como tendo 16?
Existe direito de contestar?
O dado é apagado depois da análise?
O Decreto tenta responder parte dessas preocupações. Ele exige que mecanismos de aferição sejam orientados por acurácia, confiabilidade, não discriminação, minimização e segurança. Também determina que o usuário tenha meio adequado para contestar a idade ou faixa etária atribuída.
E há uma regra particularmente importante para documentos.
Se um documento for utilizado para confirmar a idade, o tratamento deverá ser limitado à obtenção dessa informação. A imagem ou cópia do documento não poderá ser armazenada ou conservada e deverá ser eliminada imediatamente após a captura da informação necessária, segundo o decreto.
Isso mostra algo importante.
A discussão não é simplesmente sobre verificar ou não verificar.
É sobre como verificar sem criar um problema maior do que aquele que queremos resolver.
Para proteger a privacidade das crianças, talvez precisemos tratar dados delas
E aqui aparece o paradoxo mais difícil.
Para oferecer uma experiência adequada à idade de uma criança, primeiro precisamos saber — de alguma maneira — que estamos diante de uma criança.
Ou seja: para proteger os dados dos menores, pode ser necessário tratar algum dado que permita determinar sua faixa etária.
Parece contraditório.
Mas não necessariamente é.
O problema está no quanto se coleta e no que se faz depois.
A Lei nº 15.211 prevê expressamente que dados coletados para verificação de idade devem ser utilizados exclusivamente para essa finalidade. Também determina que o sinal de idade seja construído sob lógica de minimização, vedando compartilhamento contínuo, automatizado e irrestrito de dados pessoais.
O Decreto reforça ainda mais essa lógica: além da minimização e da finalidade específica, veda a utilização desses dados para criação de perfis comportamentais e impede a rastreabilidade do histórico de verificações do cidadão.
Isso aproxima o problema de uma ideia conhecida em proteção de dados:
não colete tudo o que consegue coletar. Colete apenas aquilo que realmente precisa.
E talvez essa regra seja ainda mais importante quando estamos falando justamente de crianças e adolescentes.
O caso Discord mostra que essa discussão já saiu do papel
Esse debate não está restrito a seminários ou projetos futuros.
Em agosto de 2026, a ANPD instaurou processo de fiscalização contra o Discord para investigar possíveis violações ao ECA Digital. Entre os pontos mencionados oficialmente pela Agência estavam possíveis falhas na prevenção de graves violações envolvendo crianças e adolescentes e a ausência de mecanismos efetivos de aferição de idade.
Poucos dias depois, a ANPD determinou preventivamente a suspensão, no Brasil, da funcionalidade de transmissões ao vivo e de recursos equivalentes de vídeo até que a plataforma demonstre a adoção de medidas adequadas de proteção. É importante fazer uma precisão: a suspensão não decorreu exclusivamente da questão etária. A decisão apontou um conjunto mais amplo de falhas estruturais e preventivas relacionadas à proteção de crianças e adolescentes.
Ainda assim, o episódio mostra que o ECA Digital já deixou de ser apenas uma lei à espera de implementação.
As empresas estão sendo fiscalizadas.
E a forma como identificam ou deixam de identificar a presença de menores em seus ambientes digitais já faz parte dessa discussão.
Agosto de 2026 é justamente o momento dessa transição
A ANPD está agora em uma fase especialmente importante da implementação das novas regras.
O cronograma oficial prevê, entre agosto e novembro de 2026, um período de adaptação e monitoramento das soluções de aferição de idade. A partir de janeiro de 2027, estão previstas ações de fiscalização vinculadas aos temas prioritários definidos pela Agência.
Ou seja, ainda estamos descobrindo como essa infraestrutura funcionará na prática.
E talvez seja justamente agora que as perguntas mais difíceis precisem ser feitas.
Porque soluções técnicas aparentemente simples podem produzir consequências enormes quando aplicadas a milhões de pessoas.
O verdadeiro desafio talvez não seja descobrir sua idade
Talvez estejamos fazendo a pergunta errada.
A pergunta não deveria ser:
“Como descobrir exatamente quem está do outro lado da tela?”
Talvez seja:
“Qual é a menor quantidade de informação necessária para oferecer uma experiência segura e adequada à idade?”
Em determinados contextos, talvez seja preciso comprovar que alguém é maior de 18 anos.
Mas isso não significa necessariamente conhecer seu nome.
Em outros, pode bastar saber se o usuário pertence a determinada faixa etária.
E haverá situações de baixo risco em que sequer faria sentido exigir um mecanismo invasivo.
Se construirmos sistemas dessa maneira, proteção de crianças e privacidade não precisam ser objetivos incompatíveis.
O risco aparece quando confundimos certeza sobre a idade com identificação total do indivíduo.
Porque uma internet mais segura para crianças não deveria significar uma internet em que todos os adultos precisem deixar uma cópia de sua identidade por onde passam.
Então, internet com RG?
Talvez não.
Pelo menos não deveria ser essa a resposta.
O objetivo do ECA Digital é tornar mais difícil que crianças acessem ambientes, conteúdos e produtos incompatíveis com sua idade. A legislação também procura impedir que a solução para esse problema resulte em coleta massiva e desnecessária de dados.
E essa talvez seja a parte mais interessante da discussão.
Queremos uma internet em que uma criança de 12 anos não consiga se passar facilmente por adulta apenas clicando em um botão.
Mas também deveríamos querer uma internet em que um adulto não precise entregar nome, documento, biometria e histórico pessoal a cada serviço apenas para provar que é adulto.
Entre esses dois extremos existe um enorme desafio tecnológico, regulatório e jurídico.
E talvez a melhor solução seja justamente aquela que consiga responder:
“Esta pessoa possui idade suficiente?”
sem precisar responder também:
“Quem exatamente é esta pessoa?”
E você?
Você enviaria uma fotografia do seu documento a um site apenas para comprovar que tem mais de 18 anos?
Aceitaria uma análise facial?
Preferiria que seu celular ou sistema operacional simplesmente enviasse à plataforma um sinal dizendo “maior de 18”, sem revelar sua identidade?
E qual nível de certeza deveríamos exigir antes de permitir acesso a diferentes tipos de conteúdo?
Talvez a pergunta central seja esta:
até onde estamos dispostos a abrir mão de privacidade para proteger crianças — e será que realmente precisamos fazer essa escolha?
Quero saber sua opinião.
Como você desenharia uma verificação de idade que fosse realmente eficaz sem transformar a internet em um sistema permanente de identificação?
Comente.
Especialmente se discordar.
Referências
BRASIL. Lei nº 15.211, de 17 de setembro de 2025 — Estatuto Digital da Criança e do Adolescente. Regras de proteção de crianças e adolescentes em ambientes digitais, incluindo mecanismos de aferição e verificação de idade, sinais etários, minimização de dados e limitação de finalidade.
BRASIL. Decreto nº 12.880, de 18 de março de 2026. Regulamenta o ECA Digital e disciplina conceitos, princípios e requisitos relativos à aferição e verificação de idade, incluindo proporcionalidade ao risco, minimização, segurança, vedação à rastreabilidade e sinais de idade.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. ECA Digital — cronograma de implantação das soluções de aferição de idade. Período de adaptação e monitoramento previsto entre agosto e novembro de 2026 e ações de fiscalização a partir de 2027.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Guia Orientativo “Mecanismos de Aferição de Idade” — Tomada de Subsídios. Discussão regulatória sobre requisitos de mecanismos de aferição, incluindo soluções como estimativa facial e verificação documental.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Processo de fiscalização do Discord, agosto de 2026. Apuração sobre cumprimento de deveres do ECA Digital, incluindo mecanismos de aferição de idade e proteção contra riscos graves a crianças e adolescentes.