Na quarta-feira passada, dia 7 de maio, o deputado federal Fábio Teruel (MDB-SP) protocolou na Câmara o Projeto de Lei 2201/2026, que institui o chamado Token de Maioridade Digital (TMD) no âmbito da plataforma Gov.br. A ideia, em uma frase, é a seguinte: toda vez que alguém quiser acessar um site considerado de conteúdo adulto no Brasil, terá antes que entrar na sua conta Gov.br e gerar um código temporário que comprove ao site que ele tem 18 anos ou mais.
O projeto se apoia em um conceito real da criptografia, a Prova de Conhecimento Zero (Zero Knowledge Proof, ZKP). Na teoria, o site adulto receberia apenas uma confirmação binária do tipo "sim, esse usuário é maior de idade", sem ver nome, CPF, biometria ou qualquer outro dado pessoal. O Gov.br, por sua vez, geraria o token sob demanda, ele expiraria após o uso, e a Autoridade Nacional de Proteção de Dados (ANPD) ficaria como fiscal da brincadeira toda. A justificativa do PL é o Estatuto Digital da Criança e do Adolescente (Lei Felca), em vigor desde março, que tornou insuficiente o famoso botãozinho "tenho 18 anos ou mais" e exige checagem de idade efetiva nesse tipo de site.
Até aí, na superfície, parece quase razoável. É exatamente isso que o canal precisa desmontar.
O cavalo de Troia técnico
Prova de Conhecimento Zero não é mágica. É uma técnica criptográfica legítima, usada hoje em sistemas sérios, mas ela só faz o que faz dentro de uma fronteira muito específica. ZKP impede que o site adulto saiba quem é você. Não impede que o Gov.br saiba.
Para o token ser gerado, sua conta Gov.br precisa estar autenticada. O servidor do governo precisa saber, naquele instante, que o CPF X solicitou um token de maioridade. Isso é metadado, e metadado é dado. Quando o Estado armazena, mesmo que seja só por questão técnica de auditoria de segurança, o registro de que o CPF do cidadão João da Silva solicitou três tokens de maioridade na sexta à noite, o que ele tem em mãos não é proteção infantil. É um mapa de hábitos íntimos de cidadão adulto, em servidor estatal, sob jurisdição que pode mudar a regra da auditoria por decreto.
O texto do PL não responde a questões técnicas básicas que qualquer programador com seis meses de carreira faria. Como o token vai funcionar em navegadores focados em privacidade, como Tor ou Brave em modo restritivo? Vai ser necessário ter o app do Gov.br aberto no celular toda vez que o cidadão usar o computador? Como fica em sessão anônima? E em dispositivos compartilhados em casa? O ZKP cobre o contato entre site e usuário, mas não cobre o fato de que, para gerar o token, o sistema do governo precisa autenticar o cidadão pelo CPF. Esse fluxo, por definição, deixa rastro.
A justificativa formal do projeto diz que "soluções tradicionais de verificação de idade exigem o compartilhamento excessivo de dados pessoais sensíveis, criando novos riscos à privacidade". É verdade. Escanear rosto e enviar foto do RG para portal pornográfico desconhecido é, sim, ideia ruim. Mas a solução proposta pelo PL não elimina o risco; ela apenas o transfere. Em vez de N empresas privadas saberem fragmentos sobre o cidadão, o Gov.br passa a saber o conjunto inteiro, com nível ouro de identidade verificada.
O elefante que ninguém quer ver
Em 18 de abril, três semanas antes da protocolização do PL, a plataforma Vecert Threat Intelligence publicou alerta de um vazamento na dark web com 251 milhões de CPFs supostamente vinculados ao portal Gov.br. A base, batizada de MORGUE, estava sendo vendida por US$ 500 em Bitcoin, contra os US$ 40 mil cobrados pelo vazamento da Serasa Experian em 2021. Continha nome completo, gênero, data de nascimento, filiação e, em parte dos registros, data de óbito.
O Ministério da Gestão e da Inovação em Serviços Públicos negou a invasão. Especialistas do CISO Advisor avaliaram que pode ser remontagem de bases antigas reembaladas. Pode ser. Mas a pergunta que importa para qualquer cidadão sensato não é se aquele vazamento específico veio do Gov.br. A pergunta é a seguinte: o Estado brasileiro hoje, com todo o pessoal técnico que tem, com toda a estrutura, com toda a CGU e ANPD funcionando, tem condições de garantir que um banco de dados ainda mais sensível, contendo registros de quando cada CPF acessou conteúdo adulto, vai ficar a salvo?
A resposta honesta, olhando para o histórico recente de vazamentos em sistemas governamentais brasileiros, é não. Não tem.
Quando o problema é fingir que o problema é outro
A pauta da proteção das crianças contra conteúdo adulto é legítima. Esse texto não está aqui para dizer o contrário. Crianças não devem acessar pornografia, ponto final. O que está em discussão é quem é responsável por isso, e como isso se faz sem destruir, de tabela, a privacidade do adulto.
A resposta de bom senso, que vale desde antes da internet existir, é simples. Pais são responsáveis pelo que os filhos consomem. Se a preocupação do legislador é genuína, o caminho técnico já existe e está disponível em qualquer smartphone vendido no Brasil. Controle parental nativo do Android e do iOS, ferramentas como Google Family Link e Apple Screen Time, roteadores com filtro de conteúdo, navegadores com modo família, soluções de DNS gratuitas como o OpenDNS Family Shield. Isso tudo já funciona, é gratuito, não exige Estado em cima do ombro de adulto, e responsabiliza quem deve ser responsabilizado, os quais são o pai e a mãe da criança.
O Estado entra onde o Estado precisa entrar, que é em educar pais sobre como usar essas ferramentas, em obrigar fabricantes a deixar o controle parental ativado por padrão em conta criada para menor, em fiscalizar abusos quando há denúncia, e em punir produção e distribuição de conteúdo criminoso, como pornografia infantil, que é crime gravíssimo já tipificado no Código Penal e tratado pela Polícia Federal. Tudo o que está fora desse perímetro é Estado se metendo onde não foi chamado.
A hipocrisia que atravessa o espectro
Esse PL veio do MDB. Poderia ter vindo do PT, do PL, do PSOL ou de qualquer outra sigla. A captura institucional silenciosa em nome da proteção é pauta que atravessa o espectro político inteiro. Foi assim com o ECA Digital, aprovado por direita e esquerda em coro, e está sendo assim agora.
Vale lembrar o ponto. O mesmo Congresso que está aqui preocupadíssimo com a exposição de crianças a conteúdo adulto é o Congresso que assistiu, sem reação, à explosão de patrocínio de bets em jogo de futebol transmitido em horário nobre. É o Congresso que tem deputado postando vídeo no Instagram com camiseta de aposta esportiva, enquanto bilhões saem do bolso de famílias pobres em direção a casas de apostas registradas em paraíso fiscal. Se a preocupação fosse genuína com proteção de crianças e adolescentes em ambiente digital, o eixo central da pauta legislativa seria regulação rigorosa de bets, e não autorização estatal para adulto ver pornografia.
A diferença entre os dois temas é desconfortável. Bets dão dinheiro para campanha. Token de maioridade digital dá narrativa para campanha. Em ano eleitoral, virou commodity.
A posição do canal
O PL 2201/2026 deveria ser arquivado. A motivação eleitoreira é evidente, o desenho técnico é insuficiente, a centralização de metadados sensíveis em sistema estatal recém-questionado por vazamento de massa é irresponsável, e a responsabilidade pela proteção infantil é dos pais com apoio de ferramentas que já existem, não de Brasília legislando sobre o que adulto pode ver em casa.
Não é papel do Estado saber em que hora, em que dia, com que frequência, cidadãos acessam conteúdo legal. Esse é o tipo de poder que, uma vez concedido, não se devolve. E é o tipo de poder que, em governo errado, vira ferramenta de chantagem, de cooptação e de controle social. Não é teoria conspiratória. É a história do século XX inteiro, da Stasi alemã ao FBI de Hoover, contada em livro didático.
O que o Brasil precisa nesse ponto é o oposto. É lei rígida de proteção de dados pessoais aplicada com mão pesada, é ANPD com dente para multar gigante e governo, é cultura de minimização de dado em vez de centralização.
Você concorda que o controle desse tipo de acesso é responsabilidade dos pais, não de Brasília? Ou acha que o Estado tem papel nessa fiscalização? Comente aqui embaixo.
Fontes consultadas: Tecnoblog, Tecmundo, Hardware.com.br, Jornal de Brasília, O Tempo e Portal da Câmara dos Deputados.
