Verificação de idade não é detalhe de implementação. É arquitetura.

O Conselho Constitucional francês derrubou, em agosto de 2026, o Artigo 1º de uma lei que proibia menores de quinze anos de acessar redes sociais. O Conselho não rejeitou o objetivo. Rejeitou o instrumento.

O Conselho reconheceu expressamente a legitimidade constitucional de proteger menores de dependência, isolamento, pornografia, assédio e fraude. O que derrubou foi uma proibição genérica aplicada a todos os serviços de mídia social sem distinguir funcionalidades, perfis de risco ou salvaguardas existentes. A proibição incidia identicamente sobre toda criança com menos de quinze anos, sem espaço para a autoridade parental e sem mecanismo para considerar a idade, maturidade ou circunstâncias de cada criança. O problema constitucional não era a ambição. Era a brutalidade do instrumento.

O problema de privacidade derivou diretamente dessa brutalidade. Uma proibição para menores exige, necessariamente, saber quem é menor. Na prática, isso significa que todo usuário, inclusive adultos, deve provar sua idade antes de acessar os serviços. A legislação não definiu as condições nem os limites dessa verificação. O Conselho concluiu que a lei havia falhado em fornecer as salvaguardas legais exigidas para proteger a privacidade.

Verificação de idade não é detalhe de implementação. É arquitetura estrutural. No momento em que uma legislatura faz da idade uma condição de acesso, ela cria um problema de governança de dados que vai muito além da população protegida: quem verifica, o que é divulgado, a quem, e por quanto tempo. Uma intervenção estrutural construída sem a arquitetura para sustentá-la não falha na implementação. Falha por design.

O Brasil já articula o requisito regulatório de forma diferente. O Radar Tecnológico nº 5 da ANPD distingue entre provas de conhecimento zero — um método criptográfico que permite a um serviço confirmar que um usuário atende a um limiar etário sem revelar identidade, data de nascimento exata ou qualquer outro atributo — e modelos de duplo anonimato, uma arquitetura de confiança em que nem o emissor da credencial etária nem o serviço receptor têm acesso à identidade um do outro. O ECA Digital, em vigor desde março de 2026, vai além: estabelece que dados coletados para verificação de idade só podem ser usados para essa finalidade, com qualquer outro uso expressamente proibido.

A objeção constitucional levantada pelo Conselho não é um argumento contra controles de acesso baseados em idade. É um argumento para construí-los adequadamente.

Para organizações que operam em mercados digitais com usuários de diferentes idades, a pergunta deixou de ser "como cumprimos a proibição" e passou a ser "qual arquitetura de verificação sustenta a finalidade sem criar exposição desproporcional para todos os demais". Essa é precisamente a análise que um programa de privacidade bem estruturado precisa antecipar.

France's Constitutional Council struck down, in August 2026, Article 1 of a law that would have banned children under fifteen from accessing social media. The Council did not reject the objective. It rejected the instrument.

The Council expressly recognised the constitutional legitimacy of protecting minors from addiction, isolation, pornography, harassment and fraud. What it struck down was a blanket prohibition applied across all social media services without distinguishing between their functionalities, risk profiles or existing safeguards. It applied identically to every child under fifteen, with no room for parental authority and no mechanism to account for a child's age, maturity or circumstances. The constitutional problem was not the ambition. It was the bluntness of the instrument.

The privacy problem followed directly from that bluntness. A ban on minors necessarily requires establishing who is a minor. In practice, that means every user, including adults, must prove their age before accessing the services concerned. The legislation did not define the conditions or limits governing that verification. The Council found that it had failed to provide the legal safeguards required to protect privacy.

Age assurance is not an implementation detail. It is load-bearing architecture. The moment a legislature makes age a condition of access, it creates a data governance problem that extends well beyond the protected population: who verifies, what is disclosed, to whom, and for how long. A structural intervention built without the architecture to sustain it does not fail at implementation. It fails by design.

Brazil is already articulating the regulatory requirement differently. The ANPD's Technology Radar No. 5 distinguishes between zero-knowledge proofs — a cryptographic method that allows a service to confirm that a user meets an age threshold without learning their identity, exact date of birth, or any other personal attribute — and double-blind models, a trust architecture in which neither the issuer of the age credential nor the receiving service has access to each other's identity. The Children's Digital Statute, in force since March 2026, goes further: it establishes that data collected for age verification may be used solely for that purpose, with any other use expressly prohibited.

The constitutional objection the Council raised is not an argument against age-based access controls. It is an argument for building them properly.

For organisations operating in digital markets with users across age groups, the question has shifted from "how do we comply with the prohibition" to "what verification architecture sustains the purpose without creating disproportionate exposure for everyone else." That is precisely the analysis a well-structured privacy programme needs to anticipate.

El Consejo Constitucional francés anuló, en agosto de 2026, el Artículo 1 de una ley que habría prohibido a los menores de quince años acceder a las redes sociales. El Consejo no rechazó el objetivo. Rechazó el instrumento.

El Consejo reconoció expresamente la legitimidad constitucional de proteger a los menores de la adicción, el aislamiento, la pornografía, el acoso y el fraude. Lo que anuló fue una prohibición genérica aplicada a todos los servicios de redes sociales sin distinguir entre sus funcionalidades, perfiles de riesgo o salvaguardas existentes. Se aplicaba de forma idéntica a todos los menores de quince años, sin margen para la autoridad parental y sin mecanismo para tener en cuenta la edad, madurez o circunstancias de cada niño. El problema constitucional no era la ambición. Era la contundencia del instrumento.

El problema de privacidad derivó directamente de esa contundencia. Una prohibición para menores requiere, necesariamente, saber quién es menor. En la práctica, esto significa que todos los usuarios, incluidos los adultos, deben demostrar su edad antes de acceder a los servicios. La legislación no definió las condiciones ni los límites de esa verificación. El Consejo concluyó que la ley no había proporcionado las salvaguardas legales necesarias para proteger la privacidad.

La verificación de edad no es un detalle de implementación. Es arquitectura estructural. En el momento en que un legislador convierte la edad en condición de acceso, crea un problema de gobernanza de datos que va mucho más allá de la población protegida: quién verifica, qué se divulga, a quién y por cuánto tiempo. Una intervención estructural construida sin la arquitectura para sustentarla no falla en la implementación. Falla por diseño.

Brasil ya articula el requisito regulatorio de forma diferente. El Radar Tecnológico nº 5 de la ANPD distingue entre pruebas de conocimiento cero — un método criptográfico que permite a un servicio confirmar que un usuario cumple un umbral de edad sin revelar su identidad — y modelos de doble anonimato. El Estatuto Digital del Niño, en vigor desde marzo de 2026, establece que los datos recopilados para la verificación de edad solo pueden utilizarse para ese fin.

La objeción constitucional planteada por el Consejo no es un argumento contra los controles de acceso basados en la edad. Es un argumento para construirlos adecuadamente.

Il Consiglio Costituzionale francese ha annullato, nell'agosto 2026, l'articolo 1 di una legge che avrebbe vietato ai minori di quindici anni l'accesso ai social media. Il Consiglio non ha rifiutato l'obiettivo. Ha rifiutato lo strumento.

Il Consiglio ha riconosciuto espressamente la legittimità costituzionale di proteggere i minori da dipendenza, isolamento, pornografia, molestie e frode. Ciò che ha annullato è stato un divieto generico applicato a tutti i servizi di social media senza distinguere tra funzionalità, profili di rischio o salvaguardie esistenti. Si applicava identicamente a ogni minore di quindici anni, senza spazio per l'autorità genitoriale e senza meccanismi per tenere conto dell'età, della maturità o delle circostanze di ogni bambino. Il problema costituzionale non era l'ambizione. Era la brutalità dello strumento.

Il problema della privacy derivò direttamente da quella brutalità. Un divieto per i minori richiede necessariamente di stabilire chi è minore. In pratica, ciò significa che ogni utente, inclusi gli adulti, deve dimostrare la propria età prima di accedere ai servizi. La legislazione non ha definito le condizioni né i limiti di tale verifica. Il Consiglio ha concluso che la legge non aveva fornito le garanzie legali necessarie per proteggere la privacy.

La verifica dell'età non è un dettaglio implementativo. È architettura portante. Nel momento in cui un legislatore rende l'età una condizione di accesso, crea un problema di governance dei dati che va ben oltre la popolazione protetta: chi verifica, cosa viene divulgato, a chi e per quanto tempo. Un intervento strutturale costruito senza l'architettura per sostenerlo non fallisce nell'implementazione. Fallisce per design.

Il Brasile sta già articolando il requisito regolatorio in modo diverso. Il Radar Tecnologico n. 5 dell'ANPD distingue tra prove a conoscenza zero — un metodo crittografico che consente a un servizio di confermare che un utente soddisfa una soglia di età senza rivelare la sua identità — e modelli a doppio anonimato. Lo Statuto Digitale dell'Infanzia, in vigore dal marzo 2026, stabilisce che i dati raccolti per la verifica dell'età possono essere utilizzati esclusivamente per tale scopo.

L'obiezione costituzionale sollevata dal Consiglio non è un argomento contro i controlli di accesso basati sull'età. È un argomento per costruirli correttamente.