O anúncio da Comissão Europeia sobre idade mínima nas redes sociais: uma abordagem crítica
É importante distinguir, desde já, entre anúncio político e instrumento jurídico vinculativo. Von der Leyen recebeu, esta segunda-feira, as conclusões do painel independente de peritos criado na sequência do discurso sobre o Estado da União de 2025, painel esse cujo conteúdo permanecia confidencial até à entrega formal à presidente da Comissão. A presidente afirmou que a evidência apresentada reforça o argumento para restrições de acesso “adequadas à idade”, defendendo um modelo faseado por faixa etária. Contudo, tal como já sucedera em anúncios anteriores da própria Comissão sobre este tema, as propostas concretas só deverão ser apresentadas aos Estados-membros depois do verão. Estamos, portanto, perante uma declaração de intenção política apoiada num relatório técnico ainda não integralmente divulgado ao público e não perante legislação aprovada.
A notícia que motiva esta análise não menciona um elemento que, do ponto de vista da CpC, é central para avaliar a exequibilidade (e riscos) de qualquer restrição etária: a Comissão já desenvolveu e disponibilizou uma aplicação de verificação de idade à escala da União, assente na infraestrutura da Carteira Europeia de Identidade Digital (EUDI Wallet). Segundo a própria Comissão, a solução recorre a provas de conhecimento zero (Zero-Knowledge Proof) para garantir que um utilizador confirma um único facto (por exemplo, ser maior de 18 anos) sem revelar identidade, data de nascimento ou outros atributos, com o objetivo declarado de evitar partilha desnecessária de dados e permitir navegação privada.
É esta arquitetura – e não apenas o limiar etário anunciado – que deveria estar no centro do escrutínio público. Uma restrição de acesso sem um mecanismo de verificação fiável é inconsequente; um mecanismo de verificação de idade à escala de centenas de milhões de utilizadores, ligado à identidade digital, é uma infraestrutura de vigilância potencial se as garantias técnicas falharem ou forem contornadas por via de actos de execução.
Preocupações de fundo:
Análises técnicas independentes já identificaram fragilidades relevantes nesta arquitetura. A Electronic Frontier Foundation aponta que, nas especificações da aplicação, mecanismos de proteção como hashes salgados (salted) e provas de conhecimento zero são recomendados mas não obrigatórios, o que significa que a robustez da privacidade prometida depende de escolhas de implementação que podem variar entre Estados-membros e fornecedores privados. O mesmo texto sublinha que a própria Comissão reconhece não existir ainda solução de prova de conhecimento zero tecnicamente disponível e compatível, o que levanta a questão de saber sobre que base tecnológica concreta assentam as garantias de anonimato atualmente publicitadas.
Investigação publicada pelo https://www.techpolicy.
Há ainda uma questão de proporcionalidade e mercado que a CpC irá monitorizar: segundo a Time, os órgãos executivos das lojas de aplicações foram equacionados como alternativa de verificação, mas a Apple e a Google indicaram que tal disposição obrigaria os utilizadores a entregar dados pessoais: o que demonstra como, mesmo entre atores com interesses divergentes, a arquitetura de verificação de idade escolhida tem impacto direto e distinto na exposição de dados de todos os utilizadores, não apenas dos menores visados pela medida.
Sobre o mérito da medida
A CpC não questiona a legitimidade da preocupação com saúde mental e desenvolvimento infantil que motiva esta iniciativa, nem a base empírica que aponta para riscos associados a design viciante de plataformas, aliás corroborada pelas conclusões preliminares da própria Comissão contra a Meta, anunciadas na sexta-feira anterior a este relatório. A questão que se coloca não é “se” mas “como”: uma restrição etária cuja aplicação prática depende de um sistema de identidade digital centralizado, ainda em fase de especificação incompleta, merece o mesmo nível de escrutínio jurídico e técnico que a CpC aplicaria a qualquer sistema de controlo de acesso a infraestrutura crítica nacional.
Note-se também que von der Leyen recorreu à comparação com o cinto de segurança para justificar a gradualidade da mudança comportamental esperada. A analogia é retoricamente eficaz mas tecnicamente incompleta: o cinto de segurança não exigia a criação de um identificador digital verificável e potencialmente correlacionável entre serviços; a verificação de idade em linha, consoante a implementação, pode exigir precisamente isso.
Propostas concretas da CpC
1. exigir que qualquer proposta legislativa apresentada após o verão inclua, como condição de aprovação, a obrigatoriedade (e não a mera recomendação) de provas de conhecimento zero e de não-correlação entre transações de verificação, eliminando a atual margem de opcionalidade identificada nas especificações técnicas da aplicação europeia.
2. Solicitar, junto da Comissão e do Parlamento Europeu, a publicação integral e atempada do relatório do painel de peritos, incluindo a metodologia e a base empírica das recomendações sobre limiares etários, antes do início de qualquer processo legislativo formal: replicando, no plano europeu, o princípio de transparência que a CpC exige das instituições portuguesas.
3. Acompanhar, junto da CNPD e do Comité Europeu para a Proteção de Dados (CEPD/EDPB), a avaliação de impacto sobre a proteção de dados (AIPD) da aplicação europeia de verificação de idade, com particular atenção aos atos de execução do regulamento eIDAS que definem os requisitos técnicos mínimos de não-rastreabilidade.
4. Alertar para o risco de dependência funcional entre verificação de idade e Carteira Europeia de Identidade Digital, dado que uma futura falha de segurança ou alteração de âmbito desta última passaria a afetar, por arrastamento, o acesso de menores e adultos a serviços digitais essenciais: um cenário que a CpC já identificou como padrão de risco noutros contextos de infraestrutura crítica nacional.
5. Recomendar que qualquer legislação nacional de transposição preveja mecanismos de verificação de idade não assentes exclusivamente em identidade digital estatal, para reduzir o risco de exclusão digital de menores e adultos sem acesso a documentos de identificação eletrónicos, e para evitar a concentração de um ponto único de verificação sobre o acesso à generalidade dos serviços digitais.
