Com prazo até 9 de julho para contribuições, o Guia Orientativo sobre Mecanismos de Aferição de Idade da ANPD consolida uma abordagem baseada em risco, proteção de privacidade e responsabilidade compartilhada por toda a cadeia digital
A Autoridade Nacional de Proteção de Dados (ANPD) abriu, em 22 de maio, a Tomada de Subsídios sobre o Guia Orientativo “Mecanismos de Aferição de Idade”, documento preliminar de 49 páginas que estabelece requisitos técnicos e jurídicos para plataformas digitais cujos produtos ou serviços sejam direcionados a crianças e adolescentes, ou que possam ser por eles acessados.
As contribuições podem ser enviadas até 9 de julho pela plataforma Brasil Participativo.
O lançamento representa a mais recente etapa da implementação do Estatuto Digital da Criança e do Adolescente, a Lei 15.211/2025, conhecida como ECA Digital, em vigor desde 17 de março de 2026, e do Decreto 12.880, publicado no dia seguinte, que detalhou as obrigações regulatórias, incluindo o artigo 24, dedicado especificamente aos mecanismos confiáveis de aferição de idade.
Uma regulação construída em etapas
A ANPD vem conduzindo esse processo de forma escalonada desde a entrada em vigor do ECA Digital. Em março de 2026, a agência publicou as Orientações Preliminares sobre Mecanismos Confiáveis de Aferição de Idade, que serviram como bússola inicial para o mercado.
O Guia Orientativo agora aberto para consulta é a evolução desse documento, trazendo conteúdo adicional sobre conceitos-chave, definições de responsabilidades por nível de risco e parâmetros específicos para o uso de soluções técnicas como estimativa biométrica de idade facial, verificação de documentos, reconhecimento facial e outros métodos.
O cronograma regulatório prevê ainda uma segunda fase a partir de agosto de 2026, quando a ANPD publicará orientações definitivas e parâmetros normativos mais estruturados. Entre agosto e novembro deste ano, haverá um período de adaptação para os agentes regulados. A partir de janeiro de 2027, a agência iniciará ciclos de monitoramento e fiscalização formais.
A autodeclaração de idade, aquela confirmação de clique “declaro que tenho mais de 18 anos”, perdeu validade jurídica com a entrada em vigor do ECA Digital. O mercado precisa adotar mecanismos que possam efetivamente comprovar o que declaram.
Marco importante para o ECA Digital
Para o Superintendente de Regulação da ANPD, Lucas Borges de Carvalho, o documento representa um avanço regulatório central.
“O Guia de aferição de idade é um marco importante para a implementação do ECA Digital. As orientações apresentadas à sociedade nesta consulta buscam estabelecer as condições regulatórias para a garantia de direitos de crianças e adolescentes no ambiente digital e conferir maior previsibilidade e segurança jurídica na implementação das novas normas”, afirmou o superintendente em comunicado publicado no site oficial da ANPD.
Carvalho também destacou a centralidade da participação social para a qualidade da regulação: “A escuta ativa da sociedade é um pilar essencial para a construção de uma regulação equilibrada, eficaz e alinhada às melhores práticas globais.”
O Guia foi elaborado por uma equipe de 14 profissionais da ANPD, sob a presidência de Waldemar Gonçalves Ortunho Junior e os comissários Miriam Wimmer, Iagê Zendron Miola e Lorena Giuberti Coutinho.
A própria comissária Lorena Coutinho destacou, em evento realizado em março em Brasília, que a agência está desenvolvendo orientações que abordam a neutralidade tecnológica e a proporcionalidade ao risco como eixos centrais.
Os seis requisitos mínimos: o núcleo técnico do documento
O coração técnico das Orientações Preliminares é a sistematização dos onze incisos do artigo 24 do Decreto 12.880/2026 em seis conjuntos de requisitos mínimos, que estruturam o que a ANPD entende por mecanismo “confiável” de aferição de idade.
O primeiro é a proporcionalidade
O documento determina que a solução técnica adotada deve ser precedida de identificação e avaliação de dois tipos distintos de risco: os riscos inerentes ao próprio serviço ou produto digital, e os riscos gerados pelo próprio mecanismo de aferição implementado.
Esses dois vetores não se cancelam mutuamente. Um serviço de alto risco para crianças pode, ao mesmo tempo, exigir um mecanismo de aferição robusto que, se mal desenhado, gera riscos adicionais de exposição de dados sensíveis. A escolha técnica precisa equilibrar os dois lados dessa equação.
O segundo requisito é acurácia, robustez e confiabilidade
A ANPD os distingue com precisão: acurácia é o grau de precisão com que o método determina a idade ou faixa etária do usuário; robustez é a capacidade de resistir a tentativas de burla ou fraude, considerando os meios técnicos razoavelmente disponíveis para o público predominante do serviço; e confiabilidade, em sentido estrito, é a capacidade do mecanismo de produzir resultados corretos e verificáveis de modo constante, em diferentes contextos de uso.
O documento é enfático: um mecanismo que performa bem em ambientes controlados de testes, mas falha em condições reais, não atende ao requisito de confiabilidade. As três dimensões precisam ser mensuradas, documentadas e submetidas a reavaliações periódicas conforme o estado da arte da tecnologia.
O terceiro bloco reúne as garantias de privacidade e proteção de dados pessoais
O artigo 24 do Decreto organiza seis proteções mínimas específicas para esse eixo: minimização de dados, proteção da privacidade, segurança de dados, vedação ao uso secundário, vedação à rastreabilidade e vedação ao compartilhamento contínuo, automatizado e irrestrito de dados pessoais.
O documento é categórico ao afirmar que dados coletados para fins de aferição de idade só podem ser utilizados para essa finalidade, sendo expressamente proibido seu uso para publicidade comportamental, perfilamento, enriquecimento cadastral ou extração de inferências sobre hábitos e padrões de navegação.
A vedação à rastreabilidade merece destaque especial: o mecanismo adotado não pode ser estruturado de modo a permitir a vinculação da identidade do usuário ao seu histórico de navegação ou interações. O objetivo é limitar o resultado da aferição ao estritamente necessário para a proteção, sem abrir espaço para monitoramento continuado da atividade do usuário.
O quarto requisito é inclusão e não discriminação
O documento determina que as soluções devem considerar “a diversidade de contextos socioeconômicos brasileiros” e a garantia de “acesso significativo às tecnologias digitais”. Soluções baseadas exclusivamente na apresentação de documentos oficiais, por exemplo, podem gerar barreiras indevidas para refugiados ou pessoas em situação de vulnerabilidade social que não possuem tais documentos.
Além disso, o documento chama atenção para o risco de vieses algorítmicos em métodos de biometria facial, especialmente diferenças de acurácia entre gêneros ou entre grupos raciais e étnicos, que podem produzir efeitos discriminatórios. A recomendação é que sejam disponibilizadas formas alternativas e complementares de comprovação etária.
O quinto requisito é transparência e auditabilidade
Os registros de auditoria (audit logs) são obrigatórios, mas o documento estabelece uma diretriz importante sobre o que pode e o que não pode constar nesses registros: devem conter apenas metadados funcionais como o resultado da aferição, o momento do acesso e o método empregado, sem reproduzir os dados pessoais que serviram de insumo ao processo. Em outras palavras, é vedado armazenar dados biométricos, imagens ou informações extraídas de documentos de identidade para fins de auditabilidade.
A transparência, por sua vez, deve ser orientada a usuários comuns, em linguagem simples e formatos acessíveis, e não apenas a documentação técnica voltada à comunidade especializada.
O sexto e último requisito é a interoperabilidade
O documento distingue interoperabilidade de integração indiscriminada de dados. A arquitetura interoperável deve ser estruturada para transmitir apenas o resultado ou atributo etário estritamente necessário, como a confirmação booleana “maior de 18 anos”, sem expor os dados utilizados para chegar a essa conclusão.
O documento menciona explicitamente a arquitetura duplo-cego (double-blind), na qual o verificador terceirizado realiza a aferição sem ter acesso à identidade do provedor de serviços solicitante, e o provedor recebe apenas o resultado da aferição, sem acesso aos dados utilizados na produção desse resultado. Esse isolamento mútuo é operacionalizado por mecanismos criptográficos
Privacidade como pilar, não como detalhe
Um dos pontos mais relevantes do Guia é sua postura sobre privacidade.
O documento é explícito ao afirmar que a verificação de idade não pode, por si só, violar as leis de proteção de dados. Ferramentas com preservação de privacidade, como as Provas de Conhecimento Zero (ZKP) e a tokenização de idade, são mencionadas como mecanismos preferíveis por permitirem a aferição sem exposição desnecessária de dados pessoais.
Igualmente importante é a distinção que o Guia faz entre aferição de idade e verificação de identidade. Os dois conceitos têm objetivos legais e operacionais distintos. Essa separação é crítica: ao contrário de exigir que o usuário revele quem é, o objetivo regulatório é apenas confirmar se ele tem ou não a faixa etária adequada para acessar determinado conteúdo ou serviço.
A abordagem favorece o uso de APIs seguras para o fornecimento de “sinais de idade”, permitindo que o serviço receba apenas o atributo necessário, como “maior de 18 anos”, sem acessar dados brutos ou documentos do usuário. O objetivo é reduzir a coleta repetitiva de dados em diferentes plataformas.
O documento também recomenda explicitamente o Relatório de Impacto à Proteção de Dados Pessoais (RIPD), previsto no artigo 38 da LGPD, como ferramenta de análise de proporcionalidade antes da implementação de qualquer mecanismo de aferição.
A cadeia digital de responsabilidades
O Guia estrutura o que chama de “cadeia digital de responsabilidades”, um modelo que distribui obrigações por diferentes elos do ecossistema tecnológico. Lojas de aplicativos e sistemas operacionais têm a obrigação de disponibilizar sinais de idade comprovados para sites e plataformas, por meio de APIs construídas com privacidade desde a concepção. As plataformas, por sua vez, devem garantir que o conteúdo oferecido seja adequado à faixa etária declarada pelo elo anterior da cadeia.
Já os fornecedores de conteúdo proibido para menores, como sites de pornografia, têm a obrigação de adotar seus próprios mecanismos independentes de verificação, sem possibilidade de delegar esse dever às lojas de aplicativos.
Para redes sociais, o Guia determina que a verificação de idade eficaz deve ser oferecida quando necessário, especialmente para tornar o controle parental mais eficiente, e que contas de usuários com menos de 16 anos devem ser vinculadas à conta de um dos pais ou responsável legal.
Serviços de maior risco, como os voltados à venda de itens proibidos, estão sujeitos a limites de verificação mais elevados. O princípio da proporcionalidade é central: quanto maior o risco, mais rigorosos devem ser os mecanismos adotados.
A regulação também instrui os agentes a evitar que os mecanismos de verificação criem barreiras de acesso para populações de baixa renda ou com acesso limitado a dispositivos modernos, incorporando um princípio de inclusão e não discriminação digital ao ecossistema de proteção.
Reconhecimento internacional
A abordagem brasileira vem sendo avaliada positivamente por especialistas internacionais.
Tony Allen, diretor executivo do Age Check Certification Scheme (ACCS), organização britânica especializada em certificação de sistemas de verificação de idade, classificou o Guia como “uma das abordagens regulatórias mais maduras e equilibradas que vimos surgir globalmente” em publicação no LinkedIn.
Allen revelou ainda que representantes do ACCS se reuniram pessoalmente com o presidente da ANPD em visita ao Brasil, e que um diretor da agência esteve presente em Manchester para discutir os fundamentos da regulação em desenvolvimento.
“O que é particularmente encorajador é que a ANPD claramente evitou o pensamento simplista de ‘envie sua identidade’ e, em vez disso, adotou uma estrutura baseada em risco, proporcional e que respeita a privacidade para a aferição de idade”, escreveu Allen (publicação no LinkedIn).
Entre os pontos destacados pelo especialista estão: a distinção entre aferição de idade e verificação de identidade; o reconhecimento explícito de sinais de idade reutilizáveis, tokens e credenciais interoperáveis; e o modelo mais amplo de cadeia digital de responsabilidade envolvendo lojas de aplicativos, sistemas operacionais e serviços subsequentes.
“As diretrizes referenciam repetidamente a necessidade de mecanismos robustos e confiáveis, padrões técnicos reconhecidos internacionalmente, auditabilidade, interoperabilidade e salvaguardas demonstráveis em relação à privacidade, viés, segurança e medidas anti-circunvenção”, acrescentou Allen. Para ele, o que esse conjunto de requisitos sinaliza é que “certificação, avaliação de conformidade e garantia comprovada de forma independente estão se tornando essenciais para o acesso ao mercado e a confiança regulatória” (publicação no LinkedIn).
O contexto global desta regulação
O Brasil não está sozinho nessa trajetória. O Guia da ANPD dialoga com iniciativas regulatórias semelhantes em curso em outros países.
A Austrália concluiu recentemente seu Age Assurance Technology Trial, cujo relatório final estabelece parâmetros próximos aos adotados pelo regulador brasileiro. A nova norma ISO/IEC 27566, que trata de sistemas de aferição de idade, é referenciada no próprio documento como parâmetro técnico internacional.
Nos Estados Unidos, emendas ao COPPA reforçaram as exigências de proteção de dados de menores.
Na Alemanha, autoridades de proteção de dados têm pressionado por proteções ampliadas no âmbito do GDPR para esse mesmo público. No universo das plataformas, o Roblox já passou a adotar verificação de idade para limitar interações no chat com base em faixa etária.
No Brasil, 37 empresas que atuam no ambiente digital já estão sendo monitoradas pela ANPD como parte da primeira fase de fiscalização do ECA Digital.
A agência, que ganhou status de agência reguladora em setembro de 2025, já sinalizou sua disposição em ir além da orientação quando necessário: em agosto de 2025, moveu ação contra a Meta em razão de chatbots de inteligência artificial direcionados a crianças.
O Guia Orientativo sobre Mecanismos de Aferição de Idade está disponível para consulta pública até 9 de julho de 2026, pela plataforma Brasil Participativo, com referência administrativa SEI 00261.003182/2026-47.
Após o encerramento da consulta, a ANPD consolidará as contribuições recebidas para a publicação das orientações definitivas, prevista para agosto de 2026.
ECA Digital: entenda quais as regras para uso de imagem de alunos
Verificação Etária no Brasil e no Mundo: Avanços Legislativos e Soluções Tecnológicas
Provas de Conhecimento Zero (ZKP) na Verificação de Idade: Privacidade sem Exposição?
Provas de Conhecimento Zero (ZKP): Potencial Revolucionário e Barreiras de Infraestrutura e Jurídica
ID Talk com Luis Felipe Monteiro, CEO da Unico: Verificação etária no ambiente digital brasileiro
Conectando soluções inovadoras de empresas nacionais e globais à nossa audiência altamente qualificada que acessa o Crypto ID em busca conhecimento elevado sobre identificação digital, cibersegurança, transformação digital, combate a fraude e todo o universo que protege pessoas e ativos digitais das empresas.
Apresente como a sua empresa pode ajudar organizações a crescer considerando o cenário digital atual. Entre em contato e mostre ao mercado o valor das suas soluções.
Fale com a gente: +55 11 9 9286 7046 ou contato@cryptoid.com.br
