A proteção de dados pessoais de crianças no meio digital

PUBLICAÇÕES SÉRVULO 28 Fev 2023

Como resulta do considerando n.º 38 do Regulamento Geral sobre a Proteção de Dados (“RGPD”)[1], «as crianças merecem proteção especial quanto aos seus dados pessoais, uma vez que podem estar menos cientes dos riscos, consequências e garantias em questão e dos seus direitos relacionados com o tratamento dos dados pessoais». Com base nesta premissa, o RGPD contém diferentes normas que respeitam especificamente à recolha e tratamento de dados de crianças. Em concreto, em relação aos serviços da sociedade de informação[2], o artigo 8.º, n.º 1, do RGPD estatui que o tratamento de dados de crianças menores de 16 anos com base no consentimento[3] só será lícito se - e na medida em que – o respetivo consentimento seja dado pelos seus representantes legais, ainda que preveja também este Regulamento que os Estados-Membros da União Europeia (“UE”) têm liberdade para optar por uma idade mínima menor, desde que não anteceda os 13 anos. O artigo 8.º, n.º 2, do RGPD prevê ainda que o responsável pela recolha e tratamento de dados de crianças deve aplicar «todos os esforços adequados para verificar que o consentimento foi dado ou autorizado pelo titular das responsabilidades parentais da criança, tendo em conta a tecnologia disponível». Por sua vez, o artigo 12.º, n.º 1, do RGDP determina que devem os responsáveis assegurar que as crianças e os seus representantes legais são devidamente informados quanto ao tratamento de dados de «forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples».

Em Portugal, a Lei de proteção de dados pessoais (“LPDP”)[4], que assegura o cumprimento das disposições constantes no RGDP, veio consagrar, no seu artigo 16.º, sob a epígrafe «Consentimento de menores», os 13 anos[5] como a idade mínima para o consentimento digital, i.e., a idade a partir da qual é possível proceder à recolha e tratamento de dados pessoais com base consentimento das próprias crianças, sendo somente exigível a recolha do consentimento dos seus representantes legais, «de preferência com recurso a meios de autenticação segura», das crianças com idade inferior a 13 anos. Quanto aos referidos meios de autenticação, a LPDP dá preferência a meios como o Cartão de Cidadão ou a Chave Móvel Digital, sendo ainda desejável que tal autenticação seja feita com recurso a «tecnologias de minimização dos dados, como provas de conhecimento-zero, para verificar se o utilizador atingiu uma determinada idade»[6].

A opção legislativa nacional tem vindo a ser alvo de crítica, porquanto está «aparentemente em contradição com o RGPD»[7], ao conferir uma menor proteção às crianças no que respeita ao tratamento seus dados pessoais no meio digital. A Comissão Nacional de Proteção de Dados (“CNPD”) veio inclusive afirmar, em referência à proposta de lei que antecedeu a aprovação da atual LPDP, que «seria (…) expectável que na Proposta se tomasse por referência o critério fixado no Código Penal, no artigo 38.º, n.º 3, quanto ao consentimento como causa de exclusão da ilicitude penal: 16 anos»[8]. Contudo, não se poderá também ignorar que a solução adotada se aproxima «mais próxima da prática e da realidade da vida, tanto mais que é conhecido que crianças com idade muito inferior a 13 anos, navegam com bastante intensidade no ciberespaço»[9].

Ana Mira Cordeiro | ami@servulo.com

Inês Pereira Lopes | ipl@servulo.com