Privacidade infantil: Reddit e varredura global mostram que autodeclaração de idade não basta

Quando a autodeclaração de idade é insuficiente?

A autodeclaração de idade, sozinha, pode ser insuficiente quando crianças conseguem contornar o controle e acessar conteúdo ou tratamentos de alto risco. Em 24 de fevereiro de 2026, o ICO anunciou multa contra o Reddit no Reino Unido por falhas no tratamento de dados infantis, incluindo aferição de idade e avaliação de impacto. A mesma fonte informa recurso ao tribunal em 1º de abril; não se deve apresentar a multa como desfecho irrecorrível. Em março de 2026, o relatório da GPEN sobre 876 sites e aplicativos divulgou observações coletadas em novembro de 2025.

As duas notícias apontam para a mesma direção: empresas que oferecem serviços digitais acessados por crianças e adolescentes precisam fazer mais do que publicar termos de uso longos ou perguntar “você tem mais de 13 anos?”.

O que está em jogo

Crianças e adolescentes interagem com plataformas digitais todos os dias: jogos, redes sociais, aplicativos escolares, streaming, comunidades, eventos, e-commerces, clubes, programas de fidelidade e ferramentas de aprendizagem.

Esses ambientes podem coletar dados como nome, idade, e-mail, localização, imagens, comportamento de navegação, preferências, interações, dados de dispositivo, histórico de compras e dados educacionais.

O risco é que essa coleta aconteça de forma excessiva, pouco transparente ou sem controles adequados. Em alguns casos, os dados podem ser usados para publicidade, perfilamento, recomendação de conteúdo, ranqueamento, monetização ou compartilhamento com terceiros.

Para um adulto, já é difícil entender muitas políticas de privacidade. Para uma criança, é ainda mais distante. Por isso, reguladores ao redor do mundo vêm insistindo em uma ideia simples: quando o público inclui crianças, a empresa precisa desenhar a experiência pensando nelas desde o início.

Autodeclaração de idade pode ser insuficiente

Um dos pontos mais sensíveis é a chamada age assurance, ou mecanismos para estimar, verificar ou lidar com a idade dos usuários. A autodeclaração simples, em que o usuário apenas informa uma data de nascimento, pode ser fácil de contornar.

Isso não significa que toda empresa precise aplicar uma verificação pesada e invasiva. A medida deve ser proporcional ao risco. Mas quando o serviço é claramente atrativo para crianças ou pode expô-las a riscos relevantes, a empresa precisa avaliar se os controles adotados são suficientes.

No Brasil, o art. 14 da LGPD exige o melhor interesse de crianças e adolescentes. Além disso, a Lei nº 15.211/2025, art. 9º exige mecanismos confiáveis de verificação a cada acesso a conteúdo, produto ou serviço impróprio, inadequado ou proibido para menores de 18 anos, vedando autodeclaração nessa hipótese. Para serviços direcionados ou de acesso provável por esse público, o art. 10 prevê mecanismos para experiências adequadas à idade. O caso britânico não define a regra brasileira nem torna a coleta de documento ou biometria obrigatória em todo cadastro.

O que a varredura global encontrou

O relatório da GPEN descreve mecanismos de idade fáceis de contornar, limitações de transparência, coleta de dados e dificuldades para excluir contas. A varredura reproduziu experiências de uso; não foi estudo científico representativo nem investigação que concluísse infrações de todas as plataformas examinadas. Seus achados servem para orientar revisão de controles, não para atribuir ilegalidade automática a cada serviço.

Esses temas são extremamente práticos para empresas brasileiras. Uma edtech, por exemplo, pode usar múltiplas ferramentas integradas à rotina escolar. Um app de esporte pode coletar fotos, localização e dados de menores. Um game pode usar publicidade comportamental. Uma plataforma de eventos pode exigir dados para emissão de ingressos. Um clube de benefícios pode criar perfis de consumo.

Em todos esses casos, a empresa precisa perguntar: estamos coletando apenas o necessário? Explicamos isso de forma compreensível? Existe consentimento adequado quando aplicável? A criança ou responsável consegue pedir exclusão? Os fornecedores foram avaliados?

Checklist para empresas que tratam dados de crianças e adolescentes

Um programa mínimo de governança deveria considerar:

1. Mapeamento de dados infantis
   Identifique onde dados de crianças e adolescentes aparecem: cadastro, app, escola, eventos, suporte, fotos, marketing, analytics, cookies e fornecedores.
2. Finalidade clara e coleta mínima
   Evite coletar dados “por padrão”. Cada dado deve ter finalidade definida e compatível com o serviço.
3. Linguagem adequada
   Avisos de privacidade devem ser compreensíveis para responsáveis e, quando fizer sentido, também para crianças e adolescentes em linguagem simples.
4. Consentimento e responsável legal
   Quando aplicável, avalie como o consentimento será obtido, registrado e gerenciado. Evite fluxos frágeis que não demonstram cuidado.
5. Publicidade e perfilamento
   Revise cookies, pixels, SDKs, redes de anúncio e ferramentas de analytics. No âmbito do ECA Digital, o art. 26 veda criar perfis comportamentais de crianças e adolescentes para direcionar publicidade comercial; consentimento não afasta essa proibição.
6. Exclusão de conta e direitos dos titulares
   A empresa precisa ter processo para responder solicitações de acesso, correção, exclusão e informação sobre compartilhamento.
7. Avaliação de impacto
   Projetos com risco elevado, grande volume de dados ou tecnologias mais invasivas podem demandar avaliação específica e medidas de mitigação.

Critério de aceite recomendado: antes de liberar uma jornada restrita por idade, produto define o risco que precisa impedir e segurança testa tentativas de contornar o mecanismo com contas fictícias. Privacidade verifica se a evidência de idade é mínima, tem retenção justificada e não alimenta publicidade. A aprovação registra resultado, falhas e responsável por correção; falha crítica impede liberar aquela jornada até correção. O guia sobre verificação de idade online e atuação da ANPD complementa o enquadramento brasileiro.

Privacidade infantil é também confiança

Cuidar de dados de crianças não é apenas uma exigência regulatória. É uma decisão de confiança. Pais, escolas, alunos e usuários esperam que empresas digitais protejam crianças de práticas que elas não conseguem compreender plenamente.

Empresas que constroem essa governança desde cedo reduzem risco, melhoram reputação e demonstram maturidade diante de parceiros, escolas, famílias e reguladores.

Como a TOGETHER pode apoiar

A TOGETHER ajuda empresas a revisar fluxos de dados de crianças e adolescentes, ajustar políticas, mapear fornecedores, avaliar cookies e publicidade, estruturar processos de titulares e implementar medidas proporcionais ao risco. Com DPO as a Service, a empresa conta com apoio contínuo para transformar o cuidado com dados infantis em rotina real de operação.

Conteúdo da TOGETHER. Atualização editorial em 3 de outubro de 2026.