Introdução
Aferir idade em serviços digitais cria um paradoxo: para proteger crianças e adolescentes, uma empresa pode ser tentada a coletar ainda mais dados — inclusive documentos, imagens e biometria. O ECA Digital e as orientações da ANPD colocam o desafio no lugar correto: o mecanismo precisa ser confiável, proporcional, auditável e compatível com privacidade e minimização.
O que mudou e por que importa
A ANPD divulgou orientações preliminares e cronograma de monitoramento, prevendo ampliação das ações em agosto de 2026. A discussão diferencia autodeclaração simples de mecanismos efetivos e reconhece que diferentes serviços possuem diferentes níveis de risco. Não existe uma única solução técnica apropriada para todo cenário; o desenho deve considerar finalidade, risco, precisão, inclusão e quantidade de dados coletados.
Onde está o risco para as empresas
Uma solução mal desenhada pode criar banco de documentos de identidade, imagens faciais ou dados biométricos muito mais valioso para atacantes do que o serviço original. Pode excluir usuários, produzir falsos resultados ou reutilizar informação para perfilamento e publicidade. Outro erro é delegar todo o tema a fornecedor sem entender onde dados ficam, quanto tempo são retidos e se podem ser usados para outra finalidade.
Controles que precisam sair do papel
Use arquitetura de minimização. Sempre que possível, o serviço deveria receber apenas a afirmação necessária — por exemplo, acima da faixa etária exigida — e não cópia permanente do documento utilizado. Separe aferição de identidade quando não houver necessidade de identificar a pessoa. Defina retenção curta, criptografia, controle de acesso, auditoria, procedimento de contestação e vedação contratual de reutilização. Biometria deve ser tratada com rigor proporcional à sensibilidade.
Como transformar o tema em rotina de governança
Classifique funcionalidades por risco e aplique mecanismos graduais. Uma área informativa pode exigir menos fricção do que chat com adultos, conteúdo impróprio, compra ou recurso de alto risco. Faça avaliação de impacto antes de escolher tecnologia. Teste acessibilidade, falsos positivos, experiência de famílias e recuperação de conta. Documente por que a solução é necessária e por que alternativas menos invasivas foram insuficientes.
O que a diretoria deve perguntar
A diretoria deve perguntar quais dados extras a aferição cria, se são indispensáveis, quem os recebe, por quanto tempo ficam armazenados, como usuário contesta erro e qual seria o impacto de vazamento. O objetivo não é possuir a melhor tecnologia de identificação, mas reduzir risco para menores com o menor tratamento adicional possível.
Conclusão
Proteção infantil e privacidade não são objetivos opostos. Uma boa arquitetura prova apenas o necessário, pelo tempo necessário, com segurança e possibilidade de contestação. A empresa que resolve o problema coletando tudo cria nova vulnerabilidade; a que trabalha com proporcionalidade transforma proteção em engenharia de produto.