A 14 de agosto de 2026, o Conselho Constitucional francês chumbou a lei que proibiria o acesso de menores de 15 anos às redes sociais a partir de setembro, que previa um período de quatro meses para as plataformas encerrarem contas já existentes. O diploma, aprovado pelo Parlamento em julho, exigia ainda que as plataformas usassem mecanismos de verificação de idade aprovados pela autoridade francesa de proteção de dados. Os juízes consideraram que as disposições violavam de forma desproporcionada a liberdade de expressão e de comunicação e que não davam garantias jurídicas suficientes para proteger o direito à vida privada: ou seja, o tribunal invalidou a lei tanto por excesso (restringe demasiado a expressão) como por defeito (protege mal a privacidade)

Macron reagiu, incumbindo o primeiro-ministro Sébastien Lecornu de reescrever a lei em articulação com o quadro regulatório europeu, definindo como meta para a apresentação da nova versão até à primavera de 2027.

O erro mais comum neste debate é tratá-lo como uma escolha binária entre “proteger” e “não proteger” menores. Do ponto de vista de cibersegurança, é mais rigoroso ler o problema como um trade-off entre três superfícies de risco distintas, que não desaparecem mas que se movem consoante a solução escolhida.

1. Imaturidade e exposição a burlas e sextorsão. Os dados em Portugal confirmam que este não é um risco hipotético. A Linha Internet Segura da APAV registou 949 casos de cibercrime e violência em 2025, um aumento de 39% face a 2024. Os casos de extorsão (incluindo sextorsão) cresceram 90%, para 167; os crimes sexuais contra crianças cresceram 92%, para 75; e as redes sociais foram o ponto de contacto inicial em 362 casos, com a conversa a migrar frequentemente para aplicações cifradas como o WhatsApp. Isto é engenharia social clássica aplicada a um público específico com menor capacidade de avaliar risco: exatamente o padrão que a cibersegurança trata há décadas no contexto de phishing e fraude, agora dirigido a adolescentes.

2. Saúde mental e exposição excessiva. As provas sobre uso problemático de redes sociais e sintomas de ansiedade e depressão em adolescentes são, hoje, fortes, embora a relação causal precisa (dose, tipo de uso, design algorítmico versus tempo de ecrã em si) continue em discussão na Academia. O que é consensual é que os próprios sistemas de recomendação e os feeds das redes sociais são concebidos para maximizar o tempo e atenção não bem-estar dos utilizadores: o que aproxima este risco de um problema de “design adversarial” mais do que de uma falha pontual de moderação.

3. Privacidade da verificação de idade. Este é o ponto que a cibersegurança tem mais para dizer, e onde o caso francês foi mais claro: qualquer mecanismo que “prove” a idade de alguém tende a criar, nalgum ponto do processo, uma base de dados de identidade ligada a comportamento online, ou seja, exatamente o tipo de ativo que se torna alvo prioritário de ataque. O exemplo mais concreto é o da Discord: em outubro de 2025, atacantes comprometeram um fornecedor terceiro de apoio ao cliente (5CA) e roubaram cerca de 70 mil imagens de documentos de identificação submetidas para verificação de idade, além de nomes, contactos, transcrições de conversas de suporte e metadados de pagamento; grupos de cibercrime reivindicaram ter acedido a dados de 5,5 milhões de utilizadores, incluindo mais de 2,1 milhões de fotos de documentos. Este incidente não é uma falha de execução isolada, é a demonstração prática de um princípio de cibersegurança básico: centralizar prova de identidade cria um ponto único de falha de alto valor, e “verificar idade” tende, na prática, a significar “recolher e guardar identidade”, mesmo quando a intenção inicial era só confirmar um número.

O Conselho Constitucional francês, ao rejeitar a lei também com base na insuficiência de garantias de privacidade, está essencialmente a validar esta leitura: proibir sem resolver o problema da verificação é impor um risco de privacidade sistémico para obter um benefício de proteção que, como mostra a Austrália, é facilmente contornável.

A Austrália proibiu o acesso de menores de 16 anos às principais plataformas em dezembro de 2025. Os resultados até meados de 2026 são um alerta sobre proibições sem um mecanismo de verificação robusto: a Meta desativou 756 mil contas suspeitas entre dezembro e junho, e o regulador eSafety reporta 4,7 milhões de contas removidas, desativadas ou restringidas mas uma sondagem de março mostrou que cerca de 69% dos menores continuavam ativos no Instagram e TikTok, 69% no Snapchat e 64% no Facebook, sobretudo através de contas falsas ou registadas com idades incorretas. Só a Meta divulgou dados de forma transparente; cinco plataformas enfrentam agora investigações formais por incumprimento, com multas que podem chegar a 99 milhões de dólares australianos. 

Dito isto, o ensinamento que Portugal deve extrair é que sem verificação de idade tecnicamente credível, uma proibição é sobretudo simbólica e desloca os menores para comportamentos de evasão (contas falsas, idades incorretas) que os tornam mais difíceis de proteger, não menos.

O Parlamento português aprovou em fevereiro de 2026, com apoio de PSD e PS, uma lei que eleva a idade digital de consentimento autónomo de 13 para 16 anos, com acesso condicionado dos 13 aos 16 anos mediante consentimento parental verificado. Os alvos regulados foram entretanto alargados para além das redes sociais “clássicas”, passando a incluir aplicações de mensagens (WhatsApp, Signal, Messenger), ferramentas de IA como “companheiros digitais”, plataformas de apostas e jogos online, e lojas de aplicações. As coimas previstas vão de 20 mil a 2 milhões de euros para empresas (ou 2% da faturação global), e de 10 mil a 250 mil euros para indivíduos, com poderes da Autoridade das Comunicações para ordenar bloqueios e medidas de emergência.

O ponto crítico é precisamente o mecanismo de verificação. A proposta original previa verificação compatível com a Chave Móvel Digital (ou sistema equivalente), excluindo explicitamente a auto-identificação por clique, mas em julho de 2026 esse importanto detalhe continuava por esckarecer: o deputado do PS Pedro Delgado Alves referia ainda a necessidade de “soluções robustas de verificação de idade compatíveis com a evolução tecnológica”, com o diploma previsto para ficar pronto em setembro ou outubro de 2026. Ou seja: Portugal aprovou o “quê” (subir a idade, alargar o âmbito, impor coimas pesadas) sem ter ainda fechado o “como” precisamente o degrau em que a lei francesa tropeçou…

Existe já uma alternativa tecnicamente mais defensável do que “enviar o cartão de cidadão para a plataforma” ou “clicar numa checkbox”: o blueprint de verificação de idade da Comissão Europeia, que usa provas de idade sem dados de identidade em que o utilizador demonstra apenas que tem mais de 18 (ou a idade relevante), sem revelar nome, documento ou outros dados pessoais, com emissão em lote e uso único dos comprovativos para impedir rastreamento, e reforço previsto com prova de conhecimento zero (zero-knowledge proofs). O modelo está desenhado para se integrar com a futura Carteira Europeia de Identidade Digital (EUDI Wallet) e já está a ser testado como mini-wallet em Dinamarca, França, Grécia, Itália e Espanha. É precisamente o tipo de garantia técnica cuja ausência o Conselho Constitucional francês apontou como falha jurídica na lei francesa e é, recordamos, a peça que a lei portuguesa ainda não fechou.

Dado o que os dados mostram com as vítimasa crescer (APAV), proteção ineficaz sem verificação robusta (Austrália) e verificação mal desenhada a criar um risco de privacidade próprio e grave (Discord, e o próprio veredito do tribunal francês: a posição mais defensável entre os nossos deputaos não é “proibir” nem “não fazer nada”, é sequenciar corretamente as duas peças que Portugal atualmente está a tentar avançar em simultâneo.

1. Em primeiro lugar, a idade mínima e as obrigações das plataformas (o que a lei portuguesa já define) são razoáveis e alinhadas com a tendência internacional; não há motivo para travar a fundo. Mas a entrada em vigor efetiva do requisito de verificação de idade deveria ficar condicionada à adoção de um mecanismo equivalente ao blueprint europeu (talvez em torno da Chave Móvel Digital ou na futura EUDI Wallet, com prova de idade sem partilha de identidade e sem retenção de documentos pelas plataformas ou por fornecedores terceiros) e não a uma solução ad hoc definida plataforma a plataforma, que é exatamente o padrão que deu origem ao incidente Discord. Impor às plataformas o ónus de guardar cópias de documentos de identificação, mesmo com boas intenções, é criar centenas de “mini-Discords” à espera de acontecer; a arquitetura tem de eliminar essa base de dados de identidade em vez de a regular depois de criada.

2. Em segundo lugar, a verificação de idade isolada não resolve nem a maturidade digital nem a saúde mental: resolve apenas o “quem entra”. A Austrália mostra que sem isto a proibição é largamente contornável, mas mesmo com verificação perfeita, o problema do design algorítmico persiste para quem tem 16 ou 17 anos e continua exposto. Por isso a lei portuguesa fez bem em incluir uma componente educativa (literacia digital, envolvimento de pais e escolas) e em financiar essa vertente com as próprias coimas e etse eixo não deve ser tratado como secundário face ao eixo técnico mas colocado numa banda principal de todo o processo.

3. Por fim e terceiro lugar, o país não precisa de resolver este problema isoladamente nem de arriscar o mesmo colapso jurídico que sucedeu em França. Faz sentido atrelar explicitamente a solução técnica portuguesa ao blueprint e ao calendário da Comissão Europeia, em vez de construir um sistema nacional isolado e mais vulnerável a impugnação (por desproporção, à semelhança da decisão francesa) e a fuga de dados. Isto também dá tempo: lançar a obrigação legal já com uma cláusula de transição para o mecanismo europeu, mais do que forçar uma solução nacional apressada até outubro de 2026, reduz o risco de repetir em Lisboa o mesmo desfecho que Macron sofreu em Paris.