Chave Móvel Digital e bloqueio de conteúdos: O que as PMEs precisam de saber

Imagine-se, numa tarde de terça-feira quando o Tiago Mendes (nome fictício), fundador de uma plataforma onde alunos trocam manuais usados, recebeu um e-mail da sua advogada. “Tiago, tens de ler isto.” Em anexo, o Projeto de Lei n.º 398/XVII/1ª, que fixa os 16 anos como idade mínima digital e obriga plataformas a implementar verificação de idade via Chave Móvel Digital e bloqueio automático de mensagens com conteúdos sensíveis.
— “Mas eu não tenho uma rede social, tenho um fórum para trocar livros!”, protestou Tiago.
— “Tens uma plataforma com interação entre menores. Cai no artigo 2.º”, respondeu a advogada. “E não tens orçamento para isto.”
Tiago não é caso único. Dezenas de PMEs portuguesas, desde lojas online com áreas de comunidade até fóruns de nicho, acordaram abrangidas por uma lei pensada para o Facebook, mas aplicada ao café da esquina digital. E a pergunta que ninguém faz em voz alta é,quem vai conseguir cumprir?

Quem cai na rede, e quem escapa?

À primeira vista, o artigo 2.º do projeto de lei parece claro,aplica-se a “plataformas de redes sociais, apostas, jogos em linha, serviços de partilha de imagens e vídeos, aplicações de comunicação”. Mas a verdade é que, na prática, a fronteira é difusa. O que conta, afinal, como uma “plataforma de rede social”? Quem decide se um fórum de discussão, uma loja com área de comentários ou uma app comunitária entra nesta categoria?

Quem decide? A lei não diz. Na prática, a decisão recairá sobre a ANACOM, caso a caso, ou sobre o próprio prestador, sob risco de coima. Isto é insegurança jurídica. Pequenas e médias empresas portuguesas, muitas vezes sem departamentos jurídicos ou técnicos robustos, podem descobrir-se, da noite para o dia, abrangidas por uma lei que não foi pensada para elas. Exemplos concretos? São muitos. Uma academia online de programação para adolescentes, que tem um fórum onde os alunos discutem projetos, cai na rede. Uma marca de skate portuguesa, que vende equipamento e permite que os clientes criem perfis e comentem produtos, também. Uma plataforma de trocas de livros infantis entre escolas, onde pais e professores interagem, idem. Até um fórum temático para pais de crianças com necessidades especiais, onde se partilham experiências e conselhos, pode estar incluído.

O que todos estes casos têm em comum? São espaços digitais de interação, muitas vezes criados com pouco ou nenhum apoio técnico ou jurídico, e que agora se veem perante um dilema,cumprir uma lei complexa e dispendiosa ou arriscar o fechamento. E, no meio disto tudo, fica uma pergunta incómoda,se a intenção era proteger as crianças, não estaremos, sem querer, a silenciá-las nos poucos espaços onde ainda podiam falar sem a interferência dos algoritmos das grandes plataformas?

O custo da Chave Móvel Digital,um luxo ou um pesadelo?

A lei não deixa margem para dúvidas,exige verificação de idade “com elevado grau de fiabilidade”. E a solução apresentada como padrão é a Chave Móvel Digital (CMD). À primeira vista, parece uma resposta simples e segura. Mas, para as pequenas e médias empresas, a realidade é bem diferente. Porque, além do discurso oficial, há uma série de custos ocultos que podem transformar esta obrigação num verdadeiro pesadelo financeiro e logístico.

Comecemos pela integração técnica. Não é tão simples como carregar num botão. Uma PME que queira implementar a CMD precisa, quase sempre, de contratar um desenvolvedor, ou desviar a equipa técnica de outras tarefas urgentes. O tempo estimado? Duas a quatro semanas de trabalho só para integrar uma API básica. Para uma startup ou um pequeno negócio, isso pode significar parar outros projetos ou assumir custos extra que não estavam previstos.

Depois, há as taxas por verificação. Aqui, a surpresa é ainda maior. Embora a CMD seja gratuita para o cidadão, as empresas pagam por cada autenticação. E quanto custa, afinal? Essa é uma pergunta que muitos empreendedores ainda não têm resposta. Será necessário contactar a AMA (Agência para a Modernização Administrativa) ou empresas que já utilizem a CMD em serviços privados para perceber os valores exatos. Mas uma coisa é certa,cada verificação tem um custo, e, quando multiplicado por centenas ou milhares de utilizadores, pode tornar-se um encargo significativo.

Por fim, não podemos esquecer a manutenção. A integração da CMD não é um processo pontual. Exige atualizações regulares, suporte técnico contínuo e, eventualmente, auditorias para garantir que tudo está a funcionar conforme a lei. Ou seja, mais despesas, mais tempo e mais recursos que muitas PMEs simplesmente não têm.

No fundo, o que parece uma solução técnica elegante revela-se, para muitos pequenos negócios, um fardo financeiro e operacional. E a pergunta que fica no ar é inevitável,se a lei foi feita para proteger as crianças, não deveria, pelo menos, garantir que as empresas que as servem conseguem cumprir as regras sem falir?

O que um hacker ético recomendaria, e a lei teima em ignorar

Se me contratassem para desmontar esta lei antes da votação final, não falaria em emendas cosméticas. Falaria em falhas de sistema. Porque, tal como está, este projeto não só falha na proteção das crianças como abre portas a abusos, cria falsas seguranças e esmaga quem não tem escala para se defender. E, pior que tudo, ignora como a internet realmente funciona.

Primeiro, não centralizem tudo na Chave Móvel Digital. Um sistema único, controlado pelo Estado, é um alvo tentador para ataques e um ponto único de falha. Em vez disso, criem um ecossistema descentralizado, com múltiplos emitidores de credenciais certificados, universidades, associações profissionais, até mesmo empresas privadas credenciadas, desde que cumpram padrões rigorosos de privacidade e segurança. Assim, não há ovos todos no mesmo cesto, e as PMEs podem escolher a solução que melhor se adapta ao seu orçamento. A CMD pode ser uma opção, mas não a única. Monopólios, mesmo estatais, são sempre maus para a inovação.

Segundo, parem com a ilusão do bloqueio automático de mensagens. Esta medida não só é técnicamente falível (qualquer sistema automático tem falsos positivos e negativos) como é juridicamente perigosa. Bloquear conteúdos em tempo real viola o sigilo de correspondência, sim, mesmo no digital, e cria um vetor de ataque massivo. Imaginem um grupo de trolls a inundar uma plataforma com mensagens projetadas para disparar bloqueios automáticos, paralisando serviços legítimos. Em vez de exigir censura algorítmica, a lei devia obrigar a transparência, relatórios públicos de risco, auditorias independentes aos sistemas de moderação, e canais claros de recurso para utilizadores cujos conteúdos sejam removidos por engano. Moderação sim, mas com responsabilidade, e humanos no loop.

Terceiro, definam os termos técnicos na lei, não em regulamentos futuros. Palavras como “design aditivo”, “conteúdo violento” ou “sistema idóneo” não podem ficar ao critério de um regulamento posterior. Isso é delegar poder sem accountability. O que conta como “violento”? Um debate sobre bullying? Um jogo de estratégia com batalhas? E “design aditivo”, inclui notificações, cores vibrantes, ou só mecanismos como infinite scroll? Se a lei não define, abre espaço para interpretações arbitrárias, e, pior, para multas baseadas em critérios subjetivos. As regras têm de estar escritas a preto e branco, não deixadas ao sabor de portarias que podem mudar com o governo.

Quarto, testem os sistemas antes de os impôr. O prazo de 60 dias para a ANACOM definir o referencial técnico é uma piada de mau gosto. Sistemas de verificação de idade e moderação automática precisam de ser testados por peritos independentes, não só em condições ideais, mas sob ataque, com utilizadores a tentarem burlar as regras. Sem testes de stress, sem red teaming, isto vai falhar. E quem paga o preço? As PMEs, claro, com multas por incumprimento de uma lei que nem sequer foi devidamente pilotada.

Quinto, e mais grave, preparem-se para a evasão em massa. Os adolescentes não vão desaparecer da internet só porque uma lei em Portugal diz que têm de ter 16 anos. Vão usar VPNs, identidades falsas, ou simplesmente migrar para plataformas não abrangidas (como servidores Discord privados ou apps estrangeiras). A lei ignora completamente este facto, como se os miúdos fossem obedecer pacificamente a uma restrição que não é aplicada de forma coerente. Proibir sem alternativas só empurra os problemas para a sombra, onde não há proteção nenhuma.

No fundo, a pergunta que fica é esta:
Se esta lei fosse mesmo sobre proteger crianças, porque é que não ouve quem percebe de segurança digital? Porque é que não dá alternativas às PMEs? Porque é que assume que o Estado pode controlar a internet, quando a história nos mostra, uma e outra vez, que a rede sempre encontra um caminho?

Proteger crianças não pode ser sinónimo de criar um sistema frágil, caro e injusto. Se não corrigirem isto agora, daqui a um ano vamos estar a discutir não a proteção dos miúdos, mas o fechamento de dezenas de pequenos negócios, e a pergunta será, valeu a pena?

As big tech ganham. E as PMEs, onde ficam?

Quando olhamos para esta lei, há uma verdade incómoda que salta à vista, as grandes plataformas já estão preparadas. Meta, Google, TikTok, estas empresas já cumprem regras como estas há anos, não por bondade, mas porque têm os recursos para o fazer. Têm equipas dedicadas a compliance, com dezenas de advogados e especialistas a trabalhar em tempo integral para garantir que tudo está dentro da lei. Têm ferramentas avançadas de moderação automática, desenvolvidas internamente ou compradas a peso de ouro, capazes de analisar milhões de mensagens por segundo. E, acima de tudo, têm orçamentos que absorvem coimas milionárias sem sequer piscar os olhos. Para elas, esta lei não é um obstáculo, é, no máximo, mais um conjunto de caixas para marcar.

Mas e as PMEs portuguesas? Onde é que ficam elas nesta equação? Imaginemos, por um momento, um empreendedor em Braga que queira lançar uma rede social para escolas, um espaço seguro onde alunos e professores possam partilhar recursos e discutir projetos. Ou um músico em Lisboa que sonha com um fórum para jovens artistas, onde possam trocar ideias e colaborar. Ou até uma mãe no Algarve que cria uma app de trocas de brinquedos, para que as crianças possam reutilizar brinquedos em vez de os deitar fora. Todos estes projetos têm algo em comum, são pequenas iniciativas, com orçamentos apertados, equipas reduzidas e, acima de tudo, a vontade de fazer algo útil.

Mas agora, de repente, têm de competir com as mesmas regras que o Facebook. Têm de implementar sistemas de verificação de idade caros, moderar conteúdos em tempo real, e estar preparadas para multas que podem facilmente destruir o negócio. Não têm equipas de compliance, nem ferramentas de moderação automática, nem orçamentos para pagar coimas de €50.000. Têm, isso sim, a escolha entre cumprir a lei e falir, ou ignorá-la e arriscar.

E é aqui que a ironia se torna amarga. Uma lei feita para proteger as crianças pode acabar por silenciá-las nos únicos espaços onde ainda podiam ser ouvidas, aqueles que não são controlados pelos algoritmos das grandes plataformas. Enquanto isso, as big tech continuam a dominar, agora com ainda menos concorrência, porque só elas conseguem pagar o bilhete de entrada neste novo mundo regulado.

No fundo, a pergunta que fica é esta, quando o Estado impõe regras que só os gigantes conseguem cumprir, não está, sem querer, a escolher os vencedores antes mesmo de a corrida começar? E, mais importante ainda, que futuro queremos para a internet em Portugal, um onde só os de sempre têm voz, ou um onde ainda há espaço para sonhar?