ECA Digital: verifique idade sem transformar biometria em atalho

Fornecedores de produtos ou serviços de tecnologia da informação direcionados a crianças e adolescentes, ou de acesso provável por esse público no Brasil, devem adotar mecanismos que permitam oferecer experiências adequadas à idade. Isso não autoriza aplicar reconhecimento facial indiscriminadamente: o ECA Digital exige medidas proporcionais, restringe os dados de verificação à finalidade etária e distribui responsabilidades entre os agentes da cadeia digital.

Para implementar a aferição, classifique primeiro o risco de cada serviço ou funcionalidade. Depois escolha o método menos invasivo capaz de alcançar a precisão necessária, defina retenção, ofereça contestação e registre a decisão. A biometria pode ser considerada, mas não deve funcionar como resposta padrão quando sinais de idade, credenciais ou verificação documental mínima produzirem resultado equivalente.

Defina o escopo por produto e funcionalidade

Não use apenas a idade declarada no cadastro ou o público descrito nos termos de uso. Avalie a atratividade para menores, a facilidade de acesso, o uso provável e o grau de risco à privacidade, à segurança e ao desenvolvimento. Funcionalidades de interação social e compartilhamento em larga escala merecem atenção específica.

Faça a análise em nível funcional. Uma área pública, um chat entre desconhecidos e o acesso a conteúdo restrito podem exigir respostas diferentes dentro do mesmo produto. Registre também de onde virá a informação etária: loja de aplicativos, sistema operacional, credencial verificável, fornecedor especializado ou mecanismo próprio.

O sinal recebido de outro agente não encerra a responsabilidade do serviço. A plataforma ainda precisa adequar a experiência e impedir acesso indevido a conteúdo incompatível com a faixa etária. Para conteúdo, produto ou serviço impróprio, inadequado ou proibido a menores de 18 anos, a autodeclaração isolada não atende à exigência legal de verificação confiável.

Compare o risco do serviço com o risco do método

A matriz deve confrontar dois lados: o dano que a aferição pretende evitar e o dano que o próprio mecanismo pode criar. As orientações da ANPD agrupam os requisitos em proporcionalidade; acurácia, robustez e confiabilidade; privacidade e proteção de dados; inclusão e não discriminação; transparência e auditabilidade; e interoperabilidade. Elas recomendam avaliar tanto os riscos do serviço quanto os do mecanismo escolhido.

• Menor risco: verifique se um sinal de faixa etária, uma configuração de conta ou outro atributo mínimo já permite adaptar a experiência. Não solicite documento completo ou rosto apenas para obter uma resposta que o dispositivo já pode fornecer.
• Risco intermediário: considere combinar sinais e encaminhar somente resultados incertos para uma etapa adicional. Defina previamente o limiar de confiança e o efeito de falsos positivos e falsos negativos.
• Risco elevado: exija robustez compatível com a gravidade do acesso indevido, sem converter a aferição em identificação permanente. Sempre que possível, receba apenas a resposta sobre o cumprimento da idade mínima.

Para cada cenário, registre o risco protegido, os dados necessários, a precisão exigida, as barreiras de acesso, a possibilidade de correção, o prazo de retenção e o responsável pela decisão. Acrescente as condições de fraude testadas e a versão da solução para que mudanças técnicas não passem despercebidas.

Submeta a biometria a uma justificativa reforçada

Quando uma solução tratar dados biométricos, ela lidará com dados pessoais sensíveis. A decisão precisa demonstrar adequação e necessidade no contexto concreto, sobretudo se houver alternativas menos intrusivas capazes de produzir resultado equivalente. Conveniência operacional ou contratação fácil não substituem essa análise.

Peça evidências de desempenho próximas ao limite etário relevante, e não apenas uma taxa média. Examine erros entre grupos afetados, resistência a tentativas de burla e condições reais de captura. Um método que bloqueia adultos ou admite menores sem correção adequada não se torna confiável apenas por apresentar boa precisão agregada.

Antes da contratação, responda: a imagem deixa o dispositivo? O fornecedor recebe o rosto ou somente um atributo etário? É criado um template biométrico? O material pode ser reutilizado para autenticação, publicidade ou treinamento? Qual evento determina a exclusão? Quanto maior a circulação, a reutilização ou a retenção, maior o risco criado pelo próprio mecanismo.

Compare a biometria com pelo menos uma alternativa viável. A comparação deve considerar precisão, fraude, inclusão, quantidade e sensibilidade dos dados, rastreabilidade, dependência de terceiros e possibilidade de recurso. Se a alternativa atingir a finalidade com menor interferência na privacidade, a escolha da biometria perde sustentação.

Separe resultado etário, dado bruto e auditoria

O desenho deve preservar o atributo necessário, não a identidade civil completa. O Decreto nº 12.880/2026 limita a coleta documental ao dado de idade ou à confirmação da faixa etária e determina a eliminação imediata e irreversível da imagem, da cópia ou da informação do documento após a captura necessária. O mesmo decreto veda finalidade diversa, rastreabilidade da identidade e compartilhamento contínuo, automatizado e irrestrito.

Trate separadamente três camadas. O dado bruto serve apenas à operação estritamente necessária e deve seguir a regra de descarte aplicável; o resultado etário deve conter somente a faixa ou a confirmação do limite; o registro de auditoria precisa demonstrar qual política e mecanismo produziram a decisão sem permitir reconstruir documento, rosto ou histórico de acessos.

O contrato com um operador deve fixar finalidade, segurança, exclusão, suboperadores, localização do tratamento, resposta a incidentes e evidências de auditoria. Proíba reutilização comercial, perfilamento e treinamento incompatível com a finalidade. A interoperabilidade deve transportar o mínimo necessário, não criar uma circulação permanente de dados pessoais.

Inclua contestação e documente a decisão

Quem afere ou verifica idade deve oferecer meio adequado para contestar a classificação. A rota precisa atender quem não possui o documento aceito, não consegue usar captura facial, utiliza tecnologia assistiva ou recebeu resultado incorreto. A evidência alternativa pode exigir robustez equivalente, mas não deve coletar dados excessivos como preço para corrigir um erro.

1. Explique a finalidade, os dados utilizados, os agentes envolvidos e a consequência da aferição em linguagem acessível.
2. Apresente o resultado relevante e disponibilize contestação ou retificação por um caminho visível.
3. Encaminhe resultados duvidosos para revisão apropriada e registre o fundamento sem conservar o material bruto.
4. Monitore erros, barreiras de acesso, tentativas previsíveis de fraude e diferenças de desempenho entre grupos.
5. Reavalie a matriz quando mudarem a funcionalidade, o público, o fornecedor, os dados ou a tecnologia.

Registre também a decisão sobre o Relatório de Impacto à Proteção de Dados Pessoais. A ANPD o aponta como instrumento relevante, especialmente quando a aferição puder causar alto risco às liberdades civis e aos direitos fundamentais. Nesses casos, produzi-lo antes da implantação permite comparar alternativas, mapear agentes e retenções, justificar necessidade e proporcionalidade e vincular a escolha às salvaguardas adotadas.

Leia também:

• Nebius cresce 454%, mas a ação depende de uma expansão elétrica quase sem margem
• Twitch e Amazon são processadas: streams teriam treinado IA sem consentimento