Imagine que para acessar determinados conteúdos no Reddit você precisa tirar uma selfie ou fotografar seu documento de identidade e enviar para uma empresa americana que você nunca ouviu falar, que afirma apagar esses dados depois e que aparentemente tem acesso a registros governamentais de vários países.
Parece exagero? Não é. Isso está acontecendo agora no Reino Unido, o Reddit é Multado em R$ 111 milhões e Discord Recua na implementação da ferramenta de verificação. A discussão em torno desse processo gerou esta multa milionária para o Reddit, uma crise de relações públicas para o Discord e um debate que vai muito além dessas duas plataformas.
No centro de tudo está a empresa Persona, uma startup americana de verificação de identidade que foi contratada pelo Reddit, Discord e Roblox para cumprir as exigências da Lei de Segurança Online do Reino Unido, conhecida pela sigla OSA, que em inglês significa Online Safety Act.
A lei Britânica determina que plataformas online devem verificar a idade de seus usuários e garantir que crianças não sejam expostas a conteúdo prejudicial. O problema é que o caminho escolhido para cumprir essa exigência gerou novos problemas: privacidade insuficiente, dados sensíveis entregues a terceiros e, no caso do Reddit, verificações que falharam em identificar crianças como crianças.
A Multa do Reddit: £16 milhões por fazer Errado o que deveria Proteger Crianças
O ICO, sigla para Information Commissioner’s Office, que é o escritório do comissário de informação do Reino Unido e funciona como a autoridade nacional de proteção de dados do país, anunciou a aplicação de uma multa de £16 milhões ao Reddit, segundo informações do site de notícias EuroNews . Convertendo pela cotação da libra esterlina em relação ao real, o valor equivale a aproximadamente R$ 111 milhões.
A conclusão da investigação foi direta: o Reddit não realizou adequadamente as verificações de idade exigidas pela legislação britânica, colocando crianças usuárias da plataforma em risco de serem expostas a conteúdo inadequado e prejudicial. A empresa processou ilegalmente dados pessoais de crianças.
Leia Também: WhatsApp lança o histórico de mensagens em grupos e o comando @todos no Brasil
John Edwards, comissário de informação do Reino Unido, declarou que a falta de supervisão do Reddit fez com que dados de usuários com menos de 13 anos fossem coletados sem consentimento. Isso os deixou potencialmente expostos a conteúdos que não deveriam ter visto, e disse que esse comportamento é inaceitável.
Ele acrescentou que confiar em que sejam os próprios usuários quem declarem sua idade não é suficiente quando crianças podem estar em risco, e encorajou o setor a revisar suas práticas com urgência.
O Reddit informou que pretende recorrer da decisão. A empresa argumentou em comunicado que a plataforma não exige que os usuários compartilhem informações sobre sua identidade, independentemente da idade, porque está profundamente comprometida com a privacidade e a segurança deles.
E afirmou que a insistência do ICO para que colete mais informações privadas de cada usuário do Reino Unido é contraproducente e choca com sua convicção na privacidade online.
Essa tensão no argumento do Reddit revela o paradoxo no coração de toda a discussão: para proteger a privacidade de crianças impedindo que elas vejam conteúdo impróprio, a plataforma pode precisar coletar mais dados de todos os usuários. E coletar mais dados vai contra os princípios de privacidade que a própria plataforma diz defender.
O que é a Persona e por que ela está no centro da controvérsia?
A Persona é uma startup americana fundada em 2018 que oferece serviços de verificação de identidade para empresas. O modelo de negócio é simples: uma empresa precisa confirmar que seus usuários são quem dizem ser ou que têm determinada idade, e em vez de construir esse sistema internamente, ela contrata a Persona para fazer isso.
O usuário envia uma selfie ou uma foto do documento oficial, e a Persona usa tecnologia de reconhecimento facial e análise de documentos para confirmar a identidade ou estimar a idade.
No modelo aplicado pelo Reddit, a empresa afirmou que usou a Persona justamente porque não queria ter conhecimento direto da identidade de seus usuários. A lógica era: a Persona faz a verificação, confirma apenas que a pessoa tem mais de 18 anos, e o Reddit recebe apenas essa confirmação e a data de nascimento, sem ter acesso às imagens enviadas. As fotos seriam armazenadas pela Persona por no máximo sete dias e depois apagadas.
O problema começou quando usuários do Discord, que foi a segunda grande plataforma a contratar a Persona para o mesmo fim, leram com atenção a política de privacidade da empresa. O que encontraram causou alarme.
A Política de privacidade da Persona afirma que ela pode obter dados pessoais dos usuários por meio de bancos de dados de terceiros, registros governamentais e outras fontes publicamente disponíveis.
Leia Também
Isso significa que a Persona não apenas recebe as fotos e documentos que o usuário envia voluntariamente. Ela pode cruzar essas informações com bancos de dados externos, incluindo registros governamentais, para verificar ou complementar os dados recebidos.
Para quem envia um documento de identidade ou uma selfie esperando que esses dados sejam usados apenas para confirmar a idade e depois apagados, descobrir que eles podem ser cruzados com registros governamentais é uma revelação perturbadora.
O questionamento que surgiu nas redes sociais foi imediato: quais registros governamentais? De quais países? Para qual finalidade específica esse cruzamento é feito? E quem tem acesso a esses dados cruzados?
O Discord, a Selfie e a Retirada de Emergência
O Discord usou a Persona em um teste limitado no Reino Unido, onde a verificação de idade já havia sido implementada. Quando os usuários descobriram o cruzamento com registros governamentais descrito na política de privacidade da Persona, as redes sociais foram tomadas por críticas, acusações de falta de transparência e comparações com a vigilância estatal.
Savannah Badalich, chefe de políticas de produto do Discord, confirmou que a empresa realizou um teste limitado da Persona no Reino Unido e que esse teste já foi concluído, conforme reportagem do The Verge. O Discord removeu referências à Persona de sua documentação oficial e o CEO da Persona, Rick Song, declarou que todos os dados coletados durante o teste foram apagados imediatamente após a verificação.
Mas a controvérsia não parou aí. Um relatório independente apontou a existência de código exposto em um endpoint autorizado nos Estados Unidos, com o endpoint sendo um ponto de acesso a um sistema de computadores pela internet, com arquivos que sugeriam integração entre reconhecimento facial e relatórios financeiros. A Persona negou ter contratos governamentais e informou que o material foi removido.
O ICO observou que a multa do Reddit serve como advertência para outras plataformas de redes sociais que operam no Reino Unido. O regulador afirmou que se dirige agora especificamente às empresas que se baseiam na boa-fé dos usuários para verificar a idade.
O Discord, por sua vez, mantém uma parceria paralela com a empresa k-ID para verificação etária, que usa tecnologia diferente da Persona. Segundo o Discord, a análise facial nesse caso roda localmente no dispositivo do usuário, sem enviar o vídeo da selfie para servidores externos.
Documentos de identidade e selfies comparativas seriam apagados após a validação. Mas especialistas em privacidade apontam que a linguagem usada pelo Discord sobre esse processo permanece ambígua em pontos relevantes.
O Discord também afirma que a maioria dos usuários não precisará comprovar a idade, porque modelos de aprendizado de máquina analisam dados de conta, atividade e comportamento do dispositivo para determinar a faixa etária com alto grau de confiança.
Caso o sistema não consiga confirmar que um usuário é adulto, o perfil passa automaticamente para uma experiência adolescente, com canais restritos bloqueados e conteúdos sensíveis filtrados até que a idade seja verificada.
O que é a Online Safety Act e por que ela Criou essa Situação?
A Lei de Segurança Online do Reino Unido é o instrumento legal que criou toda essa pressão sobre as plataformas. Aprovada em 2023 e com implementação iniciada em julho de 2025, ela exige que plataformas que hospedam ou permitem conteúdo gerado por usuários implementem medidas para impedir que crianças acessem material prejudicial à sua idade.
Os tipos de conteúdo que a lei quer proteger incluem pornografia, material que incentive automutilação ou suicídio, conteúdo relacionado a transtornos alimentares, discurso de ódio, incentivo à violência e desafios perigosos.
A lei exige que as plataformas usem métodos de verificação de idade considerados altamente eficazes pelo regulador britânico, chamado Ofcom, que é o equivalente britânico da nossa Agência Nacional de Telecomunicações.
Plataformas que não cumprirem a lei podem ser multadas em até £18 milhões ou 10% da receita global. Em casos extremos, o Ofcom tem poder para bloquear completamente o acesso a um site no Reino Unido.
A autodeclaração, que é simplesmente perguntar ao usuário sua data de nascimento e acreditar na resposta, foi explicitamente rejeitada como método suficiente. Qualquer criança com nove anos consegue digitar uma data de nascimento falsa. O ICO afirmou que o Reddit estava dependendo justamente desse tipo de verificação insuficiente, o que resultou na multa.
O Paradoxo: Proteger Crianças exige Coletar Dados de Adultos
Aqui está o problema central que nenhuma das soluções atuais resolveu de forma satisfatória: verificar efetivamente a idade de uma pessoa na internet requer obter informações sobre ela. E quanto mais robusta for a verificação, mais informações são necessárias, e maior o impacto sobre a privacidade de todos os usuários, não apenas das crianças.
Uma selfie analisada por reconhecimento facial é um dado biométrico, ou seja, um dado que pertence ao corpo do usuário e é permanente. Uma foto de documento de identidade contém nome completo, data de nascimento, número do documento e outros dados sensíveis.
Enviar esses dados para uma empresa privada de terceiros, mesmo que ela afirme apagá-los depois, representa uma exposição que muitos usuários consideram desproporcional ao objetivo.
A ironia é que o Reddit foi multado por não coletar dados suficientes para verificar a idade, enquanto os usuários do Discord criticaram a plataforma por aparentemente coletar dados demais.
Cresce o debate de que obrigar os usuários a fornecer documentos de identidade e selfies para uma infinidade de desenvolvedores é um pesadelo para a privacidade. A alternativa cogitada é que as próprias lojas de aplicativos, Apple e Google, assumam a responsabilidade pela verificação: o usuário verificaria a identidade uma única vez, e as lojas bloqueariam downloads de aplicativos inadequados para a faixa etária confirmada. Isso concentraria a coleta de dados em dois pontos em vez de espalhá-la por centenas de plataformas diferentes.
Há apelos crescentes para que as lojas de aplicativos da Apple e do Google sejam responsabilizadas legalmente pela verificação de idade e, em resposta, apliquem restrições de idade aos downloads de aplicativos. Isso já acontece em alguns Estados dos Estados Unidos.
Confira Também
Mas essa solução também levanta questões: A Apple e a Google já concentram um poder enorme sobre o ecossistema de aplicativos. Dar a elas também o controle sobre a verificação de identidade dos usuários ampliaria ainda mais esse poder de uma forma que pode trazer outras consequências indesejadas.
O que Acontece no resto do mundo: Brasil e a ausência de Regulação Equivalente
No Brasil, não existe atualmente uma legislação equivalente à Online Safety Act britânica especificamente voltada à verificação de idade em plataformas digitais. A Lei Geral de Proteção de Dados, a LGPD, estabelece regras sobre coleta e tratamento de dados pessoais e inclui disposições específicas sobre dados de crianças e adolescentes, que segundo a lei são os menores de 12 anos e os indivíduos entre 12 e 18 anos.
O tratamento de dados pessoais de crianças exige consentimento específico e destacado de pelo menos um dos pais ou do responsável legal.
O Estatuto da Criança e do Adolescente, o ECA, proíbe que conteúdo inadequado seja comercializado ou exibido a menores. Mas a aplicação dessas normas ao ambiente digital ainda é inconsistente, e não há uma exigência de verificação de idade técnica equivalente ao que o Reino Unido implementou.
Essa ausência não significa que o Brasil está imune à discussão. A pressão regulatória global sobre grandes plataformas digitais em relação à proteção de crianças está se intensificando, e países como Austrália, França, Espanha e Turquia estão implementando ou discutindo legislações similares à Britânica. É provável que a pressão chegue ao Brasil com mais força ao longo dos próximos meses.
Para o usuário Brasileiro, o cenário atual significa que ao acessar plataformas como Reddit e Discord, as políticas de verificação de idade aplicadas dependem de onde você está: usuários no Reino Unido já passam pelo processo, enquanto usuários Brasileiros acessam as mesmas plataformas sem as mesmas barreiras.
O que Você pode fazer Agora para Proteger Crianças no Ambiente Digital
Independentemente de onde a legislação vai parar, há medidas práticas que pais e responsáveis podem adotar hoje, sem depender de regulação governamental ou verificação de plataformas.
No iPhone, o recurso Screen Time, que em português aparece como Tempo de Uso, permite criar restrições de conteúdo por categoria de idade, bloquear downloads de aplicativos com determinadas classificações, restringir o acesso ao navegador Safari e estabelecer limites de tempo de uso por aplicativo. O recurso permite também criar uma senha separada da senha de desbloqueio do dispositivo para impedir que a criança altere as configurações.
No Android, o Google Family Link permite gerenciar o dispositivo de uma criança remotamente, aprovar ou bloquear downloads de aplicativos, definir limites de tempo de tela, ver relatórios de uso e bloquear conteúdo adulto nas buscas do Google. O recurso é gratuito e funciona em dispositivos Android e em iPhones.
Além das ferramentas técnicas, a conversa direta com as crianças e os adolescentes sobre o que fazem online permanece insubstituível. Ferramentas de controle podem ser contornadas por jovens com conhecimento técnico, e plataformas com verificação de idade podem ser acessadas por VPN, como os usuários Britânicos já demonstraram ao usar imagens de jogos para enganar sistemas de reconhecimento facial.
A educação digital, que inclui ensinar sobre a privacidade, sobre os riscos de compartilhar dados pessoais e sobre como avaliar a confiabilidade de uma solicitação de informações, é a proteção mais duradoura que existe.
