← Leis & regulação

Online Safety Act

O Reino Unido seguiu um caminho diferente do da UE. Em vez de escrever regras para as maiores plataformas, criou deveres para quase todo serviço em que as pessoas podem publicar umas para as outras — e entregou esses deveres a um único regulador com poder de multar.

Como ler esta página. Toque em qualquer palavra sublinhada para ver o termo jurídico exato e uma definição curta. Abra qualquer caixa "Mais a fundo" para ver os detalhes e os pontos contestados. O texto principal se sustenta sozinho — você pode pular as duas coisas e ainda assim acompanhar o argumento inteiro.

O que é a lei

A Online Safety Act 2023 recebeu a sanção real em 26 de outubro de 2023. Seu título longo é modesto: uma lei “para estabelecer disposições sobre a regulação, pela OFCOM, de certos serviços de internet, e disposições relacionadas”. O que ela muda é a pergunta que se faz. Antes dela, a principal exposição jurídica de um serviço no Reino Unido era por itens individuais de conteúdo, depois de ter sido avisado sobre eles. A lei, em vez disso, impõe um dever de cuidado ao próprio serviço — aos seus sistemas, aos seus processos e ao seu design. O Ofcom, o regulador das comunicações, redige os códigos de conduta e cuida para que sejam cumpridos.

Ela alcança mais longe do que se esperaria de uma lei britânica. Pela seção 4, um serviço é regulado se “tem vínculos com o Reino Unido” — um número significativo de usuários no Reino Unido, o Reino Unido como um de seus mercados-alvo ou simplesmente poder ser usado no Reino Unido quando há motivos razoáveis para acreditar que ele apresenta um risco material de dano significativo. O lugar onde a empresa está registrada não é o que decide.

O que ela exige

Três camadas, que chegaram uma depois da outra.

Conteúdo ilegal. Todo serviço regulado de usuário para usuário (user-to-user) e todo serviço de busca regulado precisa avaliar o risco de seus usuários encontrarem conteúdo ilegal — uma lista que vai de terrorismo e material de abuso sexual infantil a fraude e conteúdo que incentive ou ajude o suicídio — e usar sistemas proporcionais para impedir esse conteúdo, limitar o tempo que ele fica no ar e removê-lo assim que o serviço souber dele. O Ofcom publicou esses códigos em 16 de dezembro de 2024; as avaliações de risco deviam ser feitas até 16 de março de 2025, e os deveres entraram em vigor em 17 de março de 2025.

Segurança das crianças. Um serviço que provavelmente será acessado por crianças precisa fazer uma avaliação de risco própria para crianças e tomar medidas proporcionais contra o “conteúdo de prioridade primária” (primary priority content) — pornografia e conteúdo que incentive o suicídio, a automutilação ou transtornos alimentares. O Ofcom publicou os códigos para crianças em 24 de abril de 2025, com mais de 40 medidas; as avaliações deviam ser feitas até 24 de julho de 2025, e os deveres entraram em vigor em 25 de julho de 2025.

Verificação de idade (age verification). A seção 12(4) exige que o provedor use verificação ou estimativa de idade para impedir que crianças de qualquer idade tenham acesso ao conteúdo de prioridade primária, e a seção 12(6) diz que ela deve ser “altamente eficaz em determinar corretamente se um usuário específico é ou não uma criança”. É dessa expressão da lei que veio o verão britânico de 2025: é por causa dela que usuários de sites de pornografia no Reino Unido, e de plataformas comuns com o mesmo material, deram de cara com uma verificação de idade.

O teto das multas é fixado pelo Anexo 13 (Schedule 13): o que for maior entre £18 milhões e 10% da receita mundial qualificada do provedor. O Ofcom também afirma que, “em casos muito graves, podemos pedir uma ordem judicial para bloquear um site no Reino Unido”.

O que aconteceu desde o início da fiscalização

A primeira investigação do Ofcom com base na lei, aberta em 2025, foi sobre um fórum online de suicídio. Em 13 de maio de 2026, o Ofcom multou o provedor em £950.000, concluindo que ele deixou de fazer “uma avaliação de risco de conteúdo ilegal adequada e suficiente”, de usar medidas proporcionais contra conteúdo ilegal prioritário e de remover esse conteúdo com rapidez. O Ofcom decidiu não identificar o fórum nem seu provedor, e deu a ele dez dias úteis para se adequar.

A primeira multa com base na lei veio antes, e foi menor. Em 13 de outubro de 2025, o Ofcom multou o 4chan em £20.000, mais £100 por dia, por não responder a pedidos de informação previstos em lei; a mesma atualização registrava cinco programas de fiscalização e 21 investigações sobre os provedores de 69 sites e aplicativos. Em 19 de março de 2026, o Ofcom aplicou ao 4chan mais três penalidades, que somavam £520.000 — £450.000 pela falta de verificação de idade, £50.000 pela falta de avaliação de risco de conteúdo ilegal e £20.000 pelos seus termos de serviço —, com multas diárias atreladas a um prazo em 2 de abril.

A maior parte das penalidades até agora tratou da verificação de idade em sites de pornografia. Em 20 de novembro de 2025, o Ofcom multou a Itai Tech Ltd em £50.000, mais £5.000 por um pedido de informação não respondido, por causa do site de “nudificação” Undress.cc — um serviço que gera imagens falsas de pessoas reais nuas. O boletim do setor de junho de 2026 do Ofcom registra outras penalidades na mesma linha, entre elas £600.000 contra a Youngtek Solutions Ltd e £80.000 contra a First Time Videos LLC.

A verificação de idade, e o que veio depois

A partir de 25 de julho de 2025, as verificações tinham de estar funcionando. O que veio depois pode ser medido; o que isso significa não está resolvido. A diretora-executiva do Ofcom, Dame Melanie Dawes, disse a duas comissões parlamentares em 8 de outubro de 2025 que, depois do prazo, “os usuários ativos diários de aplicativos de VPN no Reino Unido dobraram temporariamente, chegando a cerca de 1,5 milhão”, e que o uso “já voltou a cair para cerca de 1 milhão no fim de setembro” — um padrão que, segundo ela, também se seguiu à verificação de idade em outros países e em estados dos EUA. Uma VPN esconde onde o usuário está, então é uma das formas de contornar uma verificação; é também uma ferramenta comum de privacidade, e os números não dizem qual desses usos provocou o pico. A questão que o Ofcom diz estar acompanhando, “embora seja difícil de medir”, é se o uso de VPN está crescendo entre crianças; dados da Internet Matters coletados antes de julho sugeriam que “cerca de um em cada dez menores de 18 anos usava VPN”, com mais peso entre os adolescentes mais velhos.

A oposição não foi só técnica. Uma petição no site do Parlamento britânico pedindo a revogação da lei reuniu 550.136 assinaturas; o governo respondeu em 28 de julho de 2025, e os deputados a debateram em 15 de dezembro de 2025.

O que ela faz, e o que não faz, sobre o design movido a engagement

A lei chega, sim, ao feed, em dois pontos. Uma avaliação de risco para crianças precisa levar em conta “os algoritmos usados pelo serviço e com que facilidade, rapidez e amplitude o conteúdo pode ser disseminado”, e como o design do serviço, em especial suas funcionalidades, afeta o nível de risco. E os deveres de segurança valem “para todas as áreas de um serviço, incluindo a forma como ele é projetado, operado e usado”, e incluem o “design de funcionalidades, algoritmos e outros recursos” entre as áreas em que o provedor precisa agir, se for proporcional fazê-lo. O Ofcom transformou isso numa medida concreta: qualquer provedor que opere um sistema de recomendação (recommender system) que a sua avaliação de risco classifique como de risco médio ou alto “deve configurar seus algoritmos para filtrar o conteúdo nocivo dos feeds das crianças”.

O que a lei não faz é perguntar para que o feed está otimizado. Nada nela exige que um serviço deixe de ordenar por engagement, revele o que o seu sistema de recomendação maximiza ou ofereça a um adulto um feed que não seja personalizado. Os deveres se prendem a categorias de conteúdo — ilegal, ou nocivo para crianças. Um feed pode ser tão envolvente quanto seus criadores conseguirem torná-lo, desde que o que passa por ele fique fora das duas listas. Nesse ponto, a UE foi um passo além: o artigo 38 do Digital Services Act exige que as maiores plataformas ofereçam, para cada sistema de recomendação, pelo menos uma opção “que não se baseie na definição de perfis”.

Três apostas diferentes

Lado a lado, os três regimes que este site descreve apostam em coisas diferentes. O Digital Services Act aposta na escala: os deveres mais pesados recaem sobre algumas dezenas de plataformas muito grandes, supervisionadas pela Comissão Europeia, e a obrigação central é avaliar e mitigar o risco sistêmico (systemic risk) gerado pelo design de seus próprios sistemas. A Online Safety Act aposta na abrangência: deveres comparáveis valem para um número muito grande de serviços de todos os tamanhos, supervisionados pelo Ofcom, e a obrigação central diz respeito a categorias definidas de conteúdo. A lei de idade mínima da Austrália aposta no acesso: nenhuma conta para menores de 16 anos, e pouca coisa sobre design ou modelo de negócio. Nenhum dos três está em vigor há tempo suficiente para ser avaliado em comparação com os outros.

As críticas

Para as organizações de direitos digitais, a objeção é que a lei compra uma proteção fácil de contornar ao preço da privacidade de todos, e que deveres formulados em torno de conteúdo “nocivo” levam os serviços a remover discurso lícito. A Electronic Frontier Foundation, o Open Rights Group, o Big Brother Watch e o Index on Censorship apresentaram esse argumento a políticos britânicos em dezembro de 2025, pedindo que a lei fosse reformada ou revogada.

Um segundo questionamento veio de uma direção inesperada. A Wikimedia Foundation e um editor da Wikipédia contestaram as normas que definem quais serviços entram na “Categoria 1”, o nível com os deveres mais pesados, argumentando que a Wikipédia poderia acabar enquadrada ao lado de plataformas sociais comerciais e que exigências de identificação exporiam seus voluntários. Em 11 de agosto de 2025, a High Court inglesa rejeitou os quatro fundamentos; o juiz Johnson entendeu que a questão dependia do que o Ofcom de fato decidisse, e observou que os autores poderiam entrar com uma nova ação se o Ofcom classificasse a Wikipédia dessa forma. A Fundação diz que o Ofcom a notificou em 10 de julho de 2026 de que a Wikipédia não é, por ora, um serviço da Categoria 1, mas continua em uma “lista de observação” de plataformas que poderão passar a sê-lo mais tarde.

Dos Estados Unidos, a objeção é sobre alcance. O relatório provisório da equipe da Comissão de Justiça da Câmara dos Representantes, de 3 de fevereiro de 2026, chama a lei de “talvez a mais notável tentativa estrangeira de imitar o Digital Services Act” e trata as duas como uma ameaça estrangeira à liberdade de expressão nos Estados Unidos. Como a seção 4 liga os deveres aos usuários no Reino Unido, e não ao lugar onde a empresa está, um serviço americano com usuários no Reino Unido fica dentro do regime — que é justamente o fato em discussão, e que cada lado lê de um jeito.

Como sabemos — o que está estabelecido aqui, e o que não está +

Estabelecido. Os deveres, as datas, os códigos e o teto das multas estão na lei e nos códigos publicados pelo Ofcom, e cada decisão de fiscalização citada acima é uma decisão publicada do Ofcom. São documentos, não estimativas.

Não estabelecido. Se alguma dessas coisas melhora a situação das crianças. Os códigos para crianças só estão em vigor desde julho de 2025, e ainda não existe nenhuma avaliação independente publicada sobre o efeito deles. O próprio Ofcom descreve o problema de medição sem rodeios — se o uso de VPN por crianças está crescendo é “difícil de medir” — e seus números sobre VPN contam todos os usuários do Reino Unido, então, sozinhos, não dizem nada sobre o grupo para o qual os deveres existem.

Com dois lados de verdade. Se deveres formulados em torno de “conteúdo nocivo” podem ser aplicados sem atingir discurso lícito é uma questão contestada pelos dois lados, e a decisão sobre a Wikimedia mostra por quê: o tribunal não quis decidir a questão em abstrato, porque a resposta depende de como o regulador aplica as regras caso a caso. O dilema da verificação de idade — uma checagem forte o bastante para funcionar em geral precisa identificar todo mundo — é o mesmo problema não resolvido apresentado em Restrições de idade, e o padrão “altamente eficaz” da lei não o resolve, porque especifica um resultado, não um método.

Digital Services Act →
Restrições de idade →
Liberdade de expressão →