Um ecrã aparece antes da câmara: «Confirme que tem 18 anos ou mais.» Três opções. Carregar um documento de identificação. Deixar-se filmar três segundos para uma estimativa de idade. Passar por um fornecedor terceiro com uma conta bancária ou um operador móvel. O adulto escolhe, clica e acede ao serviço. Depois, nada — nenhuma informação sobre o destino do ficheiro enviado.
É o ponto cego do debate sobre a verificação da idade. Discute-se muito a obrigação em si: quem a impõe, a que sites, com que sanções. Este artigo, publicado neste blogue, detalhava o respetivo enquadramento jurídico para 2026: o que exigem a Arcom, Londres, a UE e Moscovo. Mas a pergunta que os adultos realmente se fazem — tanto em francês como em russo — vem depois: os meus documentos vão para onde, ficam quanto tempo e em poder de quem?
As quatro famílias de controlo e o que recolhem
Os métodos não são todos equivalentes, e a diferença não está na «segurança» anunciada, mas sim na quantidade de informação que fazem circular.
1. O carregamento do documento de identificação
O mais difundido e o mais falador. Fotografa um cartão de identidade, um passaporte ou uma carta de condução. O documento contém a sua data de nascimento — a informação útil —, mas também o nome completo, o local de nascimento, a fotografia, um número de documento, por vezes um endereço e uma zona MRZ legível por máquina.
Dito de outra forma: para provar um único facto binário (maior / menor), transmite cerca de quinze atributos identificadores. É exatamente aquilo a que o RGPD chama uma falha de minimização dos dados (artigo 5.º, n.º 1, alínea c)), e é a razão pela qual a Arcom e a CNIL desaconselham este método quando existe alternativa.
2. A estimativa facial da idade
Uma curta captação de vídeo ou uma fotografia é analisada por um modelo que estima uma idade aparente, sem procurar identificá-lo. Os sistemas sérios anunciam uma margem de erro e aplicam uma «margem-tampão»: para não aceitar ninguém com menos de 18 anos, exige-se uma idade estimada de 23 ou 25 anos.
Os trabalhos do NIST norte-americano sobre a estimativa de idade (programa Face Analysis Technology Evaluation, vertente idade) mostram desvios médios na ordem dos dois a três anos conforme os algoritmos, com desempenhos desiguais segundo os grupos de idade e as condições de captação. Consequência prática: um adulto de 19 ou 20 anos pode ser recusado e terá de mudar para outro método.
Ponto crucial a verificar: a imagem é tratada no seu dispositivo ou enviada para um servidor? E é apagada imediatamente após o cálculo? Os fornecedores mais rigorosos documentam uma eliminação em poucos segundos, sem criação de um modelo biométrico.
3. O terceiro de confiança e o «duplo anonimato»
É a arquitetura que a Arcom inscreveu no seu referencial técnico. O princípio: separar os conhecimentos.
- Um fornecedor de prova de idade (banco, operador móvel, fornecedor de identidade digital) sabe quem é, mas ignora que site quer visitar.
- O site 18+ recebe um token criptográfico que diz «esta pessoa é maior de idade», mas ignora a sua identidade.
Nenhuma das duas partes detém a informação completa. O token é de uso único ou de duração muito curta e não deve permitir cruzar várias visitas. O referencial da Arcom, publicado em outubro de 2024 e aplicado desde janeiro de 2025, descreve este modelo como o objetivo a atingir por qualquer serviço pornográfico acessível a partir de França; a lei SREN (maio de 2024) deu-lhe o poder de notificação e de bloqueio.
4. Os sinais fracos: cartão bancário, conta existente, SMS
Frequentemente apresentados como uma verificação, são mais indícios do que provas. Um cartão bancário não é reservado aos maiores de idade em França (os menores dispõem de cartões de débito e de pagamento). Um número de telemóvel não prova a idade do seu titular. Estes métodos são juridicamente frágeis, mas têm um efeito secundário bem real: associam a sua consulta a um meio de pagamento, o que é tudo menos anónimo.
Regra simples: quanto mais prático o método é para a plataforma, mais caro ele sai, em geral, para a sua privacidade. A exceção é o duplo anonimato, simultaneamente protetor e penoso de implementar — o que explica a sua lenta adoção.
Durante quanto tempo são conservados os dados?
Não existe um prazo único. Cruzam-se três regimes.
| Tipo de dado | Prática esperada | Base jurídica / referência |
|---|---|---|
| Fotografia do documento de identificação | Eliminação após o controlo, idealmente em poucos minutos | Minimização + limitação da conservação, RGPD art. 5.º |
| Imagem facial para estimativa | Eliminação imediata, sem modelo armazenado | Referencial Arcom 2024; doutrina da CNIL sobre biometria |
| Token de prova de idade | Duração curta, uso único | Referencial Arcom (duplo anonimato) |
| Registo que prova que o controlo ocorreu | Dado técnico sem identidade (data/hora, método) | Obrigação de demonstrar a conformidade |
| Logs de ligação (IP, data/hora) | Variável, muitas vezes 12 meses | Direito nacional das comunicações eletrónicas |
A nuance que escapa a muitos leitores: uma plataforma pode legitimamente guardar o registo de que um controlo foi efetuado sem guardar o documento de identificação. São duas coisas diferentes. Se uma política de privacidade misturar as duas na mesma frase vaga, é um sinal de alerta — tal como os critérios enumerados no nosso método para reconhecer um chatroulette 18+ sério.
Ler uma política de privacidade em sete minutos
Não é preciso ser jurista. Procure sete elementos, nesta ordem, usando a pesquisa de página do seu navegador (Ctrl+F).
- A palavra «idade» ou «verificação». Se não aparecer em nenhum lugar, apesar de o site exibir um controlo, a política não foi atualizada: mau sinal.
- O nome do subcontratante. Um prestador de verificação deve ser nomeado (Yoti, Veriff, VerifyMy, AgeChecked, Persona… ou um ator local). «Um parceiro de confiança» não é um nome.
- Um prazo quantificado. «O tempo necessário» não significa nada. Procure dias, meses, minutos.
- A localização dos servidores e a menção de uma transferência para fora da UE. Se houver transferência, deve ser citado um mecanismo (cláusulas contratuais-tipo, decisão de adequação).
- A base legal. Para uma obrigação legal de controlo de idade, é geralmente o artigo 6.º, n.º 1, alínea c) do RGPD (obrigação legal), não o consentimento.
- Um contacto do DPO ou encarregado da proteção de dados, com um endereço que não seja uma caixa genérica.
- O procedimento de eliminação. Um formulário, um e-mail dedicado, um prazo de resposta anunciado.
Para este tipo de leitura, muitas pessoas imprimem ou anotam: um marcador fluorescente de ponta fina é mais do que suficiente se guardar uma versão em papel das suas diligências, e evita ter de reler tudo de cada vez.
Os seus direitos, na prática
Em França e na União Europeia, o RGPD dá-lhe alavancas diretamente acionáveis, mesmo num serviço 18+.
- Direito de acesso (art. 15.º): pedir a lista dos dados detidos e a sua origem. O responsável tem um mês para responder, prorrogável até três meses para pedidos complexos.
- Direito ao apagamento (art. 17.º): exigir a eliminação. Atenção, não é absoluto: se uma obrigação legal impuser a conservação da prova do controlo, essa prova pode subsistir — mas o seu documento de identificação não tem qualquer razão para ficar.
- Direito à limitação (art. 18.º): útil durante uma contestação.
- Reclamação junto da CNIL: gratuita, em linha, sem advogado. A CNIL pode interpelar o editor em seu nome, inclusive se estiver estabelecido fora de França, desde que o serviço se dirija a utilizadores franceses.
Na União, o DSA (aplicável desde fevereiro de 2024) impõe além disso um ponto de contacto único identificável, o que torna a ausência de interlocutor dificilmente defensável. No Reino Unido, o Online Safety Act confia à Ofcom a supervisão da «highly effective age assurance» em vigor desde julho de 2025, e o ICO controla a vertente dos dados.
E na Rússia, no Cazaquistão, na Bielorrússia?
O raciocínio muda de natureza. A lei federal russa 152-FZ sobre os dados pessoais impõe desde 2015 a localização dos dados dos cidadãos russos em servidores situados na Rússia, e a Roskomnadzor mantém tanto o registo dos operadores de dados como o das fontes bloqueadas. A identificação através da conta estatal unificada é incentivada, ou mesmo exigida, num número crescente de serviços.
A consequência prática para um adulto russófono é dupla: por um lado, um controlo de idade através de um identificador nacional é tecnicamente robusto; por outro, liga uma consulta 18+ a uma identidade administrativa, que é precisamente aquilo que o duplo anonimato europeu procura evitar. Acrescente-se as restrições às chamadas e as regras que enquadram as ferramentas de contorno — tema que descrevemos factualmente no nosso artigo sobre as aplicações de mensagens limitadas e as regras sobre VPN — e compreende-se por que motivo a mesma obrigação produz efeitos muito diferentes de país para país.
Não existe nestas jurisdições um recurso equivalente à CNIL para um serviço estrangeiro. A decisão faz-se, portanto, a montante: escolher um método menos falador, ou desistir.
Reduzir a exposição sem fazer batota
Nenhuma destas precauções consiste em contornar um controlo. Trata-se de limitar os seus efeitos colaterais.
Preferir, quando há escolha, a estimativa local ou o token. Entre «envie o seu passaporte» e «três segundos de câmara tratados no dispositivo», a segunda opção faz circular infinitamente menos informação.
Nunca enviar um documento em bruto por e-mail ou aplicação de mensagens. Um documento de identificação que passa por uma conversa fica no histórico de dois dispositivos e de um servidor. Se precisar de arquivar as suas próprias cópias, um disco rígido externo cifrado é um suporte mais razoável do que uma pasta «Transferências».
Ocultar o que não é pedido. Para um controlo de idade, só contam a data de nascimento e a validade do documento. Muitos prestadores aceitam uma imagem parcialmente tapada. Se preparar uma digitalização, use as ferramentas de anotação do seu sistema para enegrecer — realmente enegrecer, não colocar um retângulo semitransparente — o número do documento e o local de nascimento.
Separar os usos. Um endereço de e-mail dedicado, não ligado às suas contas profissionais ou familiares, limita os cruzamentos. Um gestor de palavras-passe ajuda a manter várias identidades de acesso distintas sem as anotar num papel.
Cuidar da camada física. Uma webcam com tampa física, ou, em alternativa, uma tampa adesiva para webcam, resolve com um gesto a questão da câmara que fica aberta depois da estimativa facial. É trivial, e é a medida mais fiável que existe.
Verificar o endereço antes de carregar. As páginas de verificação são imitadas em massa. Um falso ecrã de controlo de idade é uma forma simples de obter um documento de identificação completo. Leia o nome de domínio, não o logótipo.
O que provavelmente vai mudar até 2027
Desenham-se três movimentos.
A carteira de identidade europeia (EUDI Wallet). O regulamento eIDAS 2, em vigor desde maio de 2024, prevê que cada Estado-Membro proponha uma carteira de identidade digital, com uma função de divulgação seletiva: provar «maior de idade» sem revelar a data exata nem o nome. O calendário apontava para uma disponibilização pelos Estados por volta do final de 2026, com uma implementação real distribuída depois no tempo. É a ferramenta que tornaria obsoleto o carregamento do passaporte.
A normalização dos tokens de prova de idade. Quanto mais os formatos se uniformizarem, menos pretextos terão os sites para recolher eles próprios documentos.
Uma pressão crescente sobre os intermediários. Lojas de aplicações, sistemas operativos e navegadores são cada vez mais apontados como o lugar «natural» do controlo, o que deslocaria a recolha para atores que já detêm a sua identidade — com um ganho para o utilizador longe de ser evidente.
A reter
A verificação da idade não é uma simples caixa a assinalar: é uma transferência de dados, cuja amplitude depende inteiramente do método adotado. Entre uma estimativa facial tratada localmente e um passaporte carregado num servidor não documentado, a diferença de risco é considerável, para um resultado idêntico do lado da conformidade.
Antes de validar um ecrã de controlo, bastam três reflexos: identificar o prestador, encontrar um prazo de conservação quantificado e verificar que existe um interlocutor para um pedido de eliminação. Se faltar um dos três, a questão já não é a da sua idade, mas a da seriedade do editor — e aí, é melhor fechar o separador. Quanto ao resto, as regras entre adultos maiores de idade não dependem de nenhum controlo automático: dizem respeito ao consentimento, às capturas de ecrã e às gravações, um terreno onde nenhum algoritmo decidirá por si.
Fontes citadas: Arcom (referencial técnico de verificação da idade, outubro de 2024), lei SREN de 21 de maio de 2024, RGPD (regulamento UE 2016/679), regulamento DSA (UE 2022/2065), regulamento eIDAS 2 (UE 2024/1183), CNIL, Ofcom e ICO (Reino Unido), NIST Face Analysis Technology Evaluation, lei federal russa 152-FZ.
