O Supremo Tribunal da Índia ordena a criação de uma base de dados partilhada para remover material de abuso sexual de crianças e rejeita proibições gerais de acesso à Internet

Um sistema partilhado de deteção, sem impedir o acesso das crianças à Internet

O Supremo Tribunal da Índia ordenou ao Governo da União que crie uma Base de Dados Nacional de Hashes e URLs para ajudar as plataformas a identificar e remover, em vários serviços, material confirmado de exploração e abuso sexual de crianças. Cada entrada terá de ser avaliada de forma independente por, pelo menos, três analistas humanos com formação, e a base de dados guardará identificadores digitais e endereços da Internet, em vez das próprias imagens ou vídeos abusivos.

A decisão, com 136 páginas e datada de 15 de outubro de 2026, estabelece também prazos para as empresas de redes sociais comunicarem casos, exige sistemas de reclamação acessíveis e prevê educação para a segurança digital nas escolas. O Governo terá de apresentar uma declaração juramentada sobre os progressos da implementação até à próxima audiência, marcada para 10 de dezembro de 2026.

Os juízes J. B. Pardiwala e K. Vinod Chandran emitiram estas determinações no processo Just Rights for Children Alliance & Anr. v. S. Harish & Ors., na sequência de requerimentos que alegavam incumprimento da decisão do tribunal de 23 de setembro de 2024.

O coletivo de juízes combinou o reforço das obrigações das empresas tecnológicas com uma conclusão de natureza constitucional: as crianças têm o direito fundamental de aceder à Internet e de a utilizar. Recusou apoiar restrições gerais baseadas na idade, privilegiando a orientação parental, definições de conta mais seguras e medidas contra quem cria, divulga ou obtém lucro com material abusivo.

Porque são insuficientes as remoções isoladas pelas plataformas

O tribunal identificou uma fragilidade prática no sistema atual. Quando uma empresa deteta e remove material abusivo, outra plataforma pode continuar a alojar a mesma imagem, vídeo ou ligação por não a ter identificado de forma independente.

A Regra 4(4) das Regras das Tecnologias da Informação (Orientações para Intermediários e Código de Ética dos Meios de Comunicação Digitais), de 2021, refere conteúdos previamente removidos dos recursos informáticos do próprio intermediário. O coletivo considerou que esta abordagem é demasiado restrita para permitir uma deteção coordenada entre serviços.

Os requerimentos chamaram também a atenção para alegadas promoções pagas que encaminhavam os utilizadores para material abusivo através de ligações e sites externos. Dos 84 anúncios examinados na Índia, 55 foram comunicados através do sistema de denúncia de uma plataforma. Destes 55, 43 foram considerados conformes com as normas publicitárias da plataforma, cerca de 78 por cento dos anúncios denunciados.

Para o tribunal, o problema abrangia tanto a repetição de carregamentos como os meios pelos quais os utilizadores eram encaminhados para situações de exploração. O quadro de medidas abrange, por isso, a identificação de material conhecido, a verificação de endereços externos, a comunicação às autoridades policiais e a análise das receitas obtidas com a distribuição.

Como funcionaria a base de dados nacional

A Base de Dados Nacional de Hashes e URLs poderá funcionar no Portal Sahyog do Centro de Coordenação de Cibercrime da Índia, conhecido como I4C, ou como repositório separado. Atualmente, o Sahyog encaminha reclamações e notificações de remoção; a base de dados proposta acrescentaria um sistema de referência partilhado para detetar material abusivo confirmado.

Um hash é um identificador digital gerado a partir de um ficheiro, comparável a uma impressão digital. As plataformas podem comparar identificadores para reconhecer material já identificado noutros locais. O hashing percetual vai mais longe, ajudando a detetar imagens ou vídeos semelhantes após alterações como redimensionamento ou reformatação.

Um URL é um endereço da Internet. A inclusão destes endereços permite às plataformas agir contra ligações que encaminham os utilizadores para locais conhecidos por alojarem material abusivo, incluindo quando esse material está armazenado fora da plataforma onde se encontra a ligação.

O Governo terá de elaborar orientações ou procedimentos operacionais normalizados para que os intermediários de redes sociais de grande dimensão utilizem a correspondência por hash percetual e a listagem de URLs. O tribunal privilegiou orientações que possam ser revistas periodicamente à medida que a tecnologia evolui.

As plataformas verificariam os seus serviços face às entradas da base de dados, enquanto as autoridades responsáveis pela aplicação da lei utilizariam os identificadores partilhados para localizar material correspondente noutros pontos da Internet. Uma confirmação poderia, assim, permitir agir em vários serviços, em vez de iniciar um novo processo de deteção em cada empresa.

Três avaliações humanas antes da aceitação de uma entrada

O tribunal exigiu várias fases de verificação antes de o material poder ser incluído na base de dados. O software pode fazer uma análise preliminar, mas pelo menos três analistas humanos com formação terão de avaliar, cada um de forma independente, se o material constitui exploração e abuso sexual de crianças, ou CSEAM.

As entradas terão de ser submetidas através de canais encriptados. O repositório deverá guardar apenas os hashes e URLs pertinentes, bem como os registos das avaliações, os registos de acesso e as auditorias independentes. As entradas incorretas terão de ser removidas rapidamente.

As pessoas afetadas por remoções baseadas em entradas da base de dados terão de poder recorrer a um processo de reclamação. As notificações de remoção deverão explicar os fundamentos da decisão, para que a pessoa saiba se deve contactar a plataforma ou o organismo responsável pela base de dados.

Estas salvaguardas associam um poderoso sistema de deteção partilhado a um mecanismo de correção de erros. Como uma entrada pode desencadear medidas em várias plataformas, a exatidão da avaliação inicial é importante para todas as remoções subsequentes.

Que medidas estão sujeitas a um prazo de comunicação de duas horas?

O tribunal estabeleceu procedimentos diferentes para material identificado pela primeira vez e para material já incluído na base de dados nacional. Neste quadro, material de origem desconhecida significa conteúdo que está a ser avaliado através do sistema próprio de deteção ou de reclamações de uma plataforma. Material conhecido é conteúdo que corresponde a uma entrada confirmada na base de dados.

• Quando uma plataforma deteta e remove, por iniciativa própria, material de origem desconhecida, tem de comunicar a remoção no prazo de duas horas.
• Quando a remoção decorre de uma reclamação, a plataforma tem de a comunicar imediatamente após a resolução da reclamação e, em qualquer caso, no prazo máximo de duas horas após essa resolução.
• Quando o conteúdo corresponde a uma entrada existente na base de dados, a plataforma tem de o desativar e remover imediatamente e apresentar semanalmente um relatório consolidado dessas remoções.

As plataformas terão de verificar o material recém-identificado antes de o removerem e comunicarem através deste processo. Terão de informar as autoridades designadas pela lei indiana, incluindo a Unidade Especial de Polícia Juvenil, a polícia local ou o portal de cibercrime, conforme aplicável ao abrigo da Regra 11 das Regras de Proteção das Crianças contra Crimes Sexuais, de 2020. O organismo designado para a base de dados também terá de ser informado, caso seja uma autoridade distinta.

Os prazos de duas horas dizem respeito à comunicação após a remoção ou a resolução de uma reclamação. O procedimento de comunicação semanal aplica-se a correspondências com material já confirmado na base de dados, além da obrigação de remoção imediata.

A decisão de setembro de 2024 já tinha associado os deveres de comunicação ao artigo 79.º da Lei das Tecnologias da Informação, de 2000. Esse artigo prevê proteção condicional, frequentemente designada por regime de porto seguro, contra a responsabilidade por material publicado pelos utilizadores. O tribunal considerou que, para beneficiarem dessa proteção, os intermediários têm de cumprir o dever de diligência e as obrigações de comunicação previstas na lei de proteção das crianças.

As reclamações têm de ser analisadas por uma pessoa com formação

As plataformas terão de disponibilizar uma categoria específica de denúncia de CSEAM, com uma designação clara e acessível em dois passos. A denúncia deverá permitir o anonimato, sem exigir dados pessoais, e as informações sobre o responsável pela análise de reclamações terão de ser fáceis de encontrar nos sites e nas aplicações.

Cada reclamação terá de ser confirmada no prazo de 24 horas e receber um número de referência. Um responsável pela análise de reclamações com formação terá de a avaliar, e o reclamante deverá receber a decisão e os respetivos fundamentos. As ferramentas automatizadas podem ajudar na análise preliminar, mas a revisão da reclamação continuará a ser da responsabilidade de um profissional com formação.

O tribunal pediu também relatórios num formato uniforme, passível de tratamento informático. Uma comunicação consistente permitiria às autoridades receber informações num formato utilizável, sem terem de conciliar os diferentes formatos das empresas.

O Governo da União foi instado a alargar os requisitos de responsabilização a todos os intermediários, através de alterações adequadas às Regras das TI. Para os utilizadores, a mudança pretendida é concreta: um canal de denúncia acessível, uma reclamação rastreável e uma decisão que explique as medidas tomadas.

Publicidade e receitas de subscrições sob escrutínio

O coletivo determinou que os intermediários impeçam a disponibilização, o alojamento, o carregamento, a promoção ou a circulação de CSEAM e de outro material nocivo proibido através de sistemas de acesso pago ou subscrições, direta ou indiretamente. Um acesso pago é uma barreira que obriga os utilizadores a pagar para aceder a conteúdos.

O tribunal afirmou que as receitas obtidas com a distribuição de material proibido através desses serviços deverão ser confiscadas e entregues às autoridades. Pediu ao Governo que desenvolva o quadro necessário e pondere sanções pecuniárias exemplares por incumprimento das obrigações previstas na Lei das TI e respetivas regras.

O montante das sanções deverá refletir a gravidade, a duração e a repetição do incumprimento, bem como a dimensão e o volume de negócios da empresa. Assim, a resposta poderá ter em conta tanto o caráter reiterado de uma falha como a escala da empresa responsável.

A decisão abrange também material eletrónico que facilite a exploração, incluindo anúncios de ferramentas que transformam imagens em material abusivo ou encaminham os utilizadores para esse tipo de conteúdo. O tribunal considerou que o âmbito de aplicação da Lei das TI e das respetivas regras vai além das representações visuais, referindo o artigo 67B(d) e a Regra 3(1)(b).

Antes da decisão, o Ministério da Eletrónica e das Tecnologias da Informação informou o tribunal de que, em julho de 2026, tinha enviado uma notificação ao responsável pela conformidade da Meta devido a anúncios pagos que promoviam CSEAM. Esses procedimentos ainda estavam em curso. O relato do Governo descreveu também conversações após as quais a Google e a Meta concordaram em comunicar casos diretamente às autoridades indianas responsáveis pela aplicação da lei.

Porque rejeitou o tribunal uma proibição geral do acesso à Internet para crianças

O coletivo reconheceu o acesso à Internet e a sua utilização como um direito fundamental ao abrigo do artigo 21.º, que protege o direito à vida e à liberdade pessoal, lido em conjunto com o artigo 19(1)(a), que protege a liberdade de expressão. Afirmou que as crianças gozam destes direitos independentemente da idade.

Na decisão, os juízes Pardiwala e Chandran explicaram a relação entre proteção e acesso:

A segurança e a liberdade das nossas crianças não são incompatíveis. As nossas crianças têm direito a ambas.

O tribunal considerou que as crianças poderão continuar a utilizar a Internet em segredo após uma proibição, recorrendo a serviços menos regulados. Uma criança sujeita a ameaças ou manipulação poderá então hesitar em pedir ajuda por recear ser castigada por estar online.

O coletivo levantou também preocupações com a privacidade de sistemas que exigem que todos os utilizadores comprovem a idade através da recolha e monitorização extensivas de informações sensíveis. Em alternativa, sugeriu consentimento, orientação e supervisão parentais, além de um modo especificamente concebido para crianças.

As possíveis definições incluem contas privadas por defeito, limites ao contacto por adultos desconhecidos e controlos sobre publicidade e conteúdos. Para crianças que ainda não chegaram à adolescência, o tribunal sugeriu formas proporcionais de verificar o consentimento parental. Deixou os pormenores ao Governo da União e admitiu restrições direcionadas a serviços intrinsecamente nocivos, incluindo sites de conteúdos para adultos.

As escolas fazem parte do plano de proteção

O tribunal determinou que a educação para a segurança digital e a educação sexual adequada a cada idade façam parte do currículo nuclear. As aulas deverão abordar o consentimento, o toque seguro e inseguro, as relações saudáveis, a proteção dos dados pessoais, a exploração online e as formas de denunciar abusos.

O Conselho Nacional de Investigação e Formação Educativa e os Conselhos Estaduais de Investigação e Formação Educativa deverão elaborar os conteúdos com psicólogos infantis, educadores e especialistas em parentalidade. O tribunal pediu também que os números das linhas de apoio sejam afixados nas escolas e que os programas de sensibilização comecem no ensino primário.

Para as crianças, isto significa aprender a reconhecer o perigo e a falar com um adulto de confiança, em paralelo com as medidas técnicas que se espera que as empresas adotem. A componente educativa aborda situações em que uma criança se depara com manipulação ou ameaças antes de uma plataforma ter identificado qualquer imagem ou ligação.

A terminologia do tribunal reflete também este enfoque nos danos. Na decisão de setembro de 2024, pediu ao Parlamento que ponderasse substituir a expressão «pornografia infantil» na Lei POCSO por uma formulação que descreva material de exploração e abuso sexual de crianças, para refletir com maior precisão a natureza dos crimes.

O que o Governo tem de fazer até 10 de dezembro

Os Ministérios da Eletrónica e das Tecnologias da Informação e da Justiça e Direito terão de tomar medidas para implementar o quadro através de orientações, procedimentos operacionais normalizados e alterações adequadas às Regras das TI e, se necessário, à própria Lei das TI. A declaração juramentada do Governo terá de descrever os progressos, incluindo as ferramentas tecnológicas atualmente utilizadas pelos intermediários.

O MeitY já tinha apresentado um projeto de procedimento elaborado com o Ministério do Desenvolvimento da Mulher e da Criança, o Ministério dos Assuntos Internos, o Departamento de Telecomunicações e outras partes interessadas. O procurador-geral Tushar Mehta pediu mais tempo para o finalizar.

O processo desenvolveu-se ao longo de várias fases:

• 23 de setembro de 2024: O Supremo Tribunal proferiu a decisão anterior sobre CSEAM, incluindo os deveres de comunicação dos intermediários.
• Fevereiro de 2026: O Governo alterou as regras aplicáveis aos intermediários, acrescentando obrigações específicas de diligência relativas a CSEAM.
• Julho de 2026: O MeitY notificou o responsável pela conformidade da Meta devido a anúncios pagos que promoviam este tipo de material.
• 14 de agosto de 2026: O tribunal manifestou preocupação com graves falhas de conformidade.
• 15 de outubro de 2026: O coletivo estabeleceu o quadro relativo à base de dados, à comunicação de casos, à educação e à responsabilização.
• 10 de dezembro de 2026: Está prevista nova audiência, até à qual o Governo terá de apresentar a declaração juramentada sobre os progressos.

A decisão não fixa uma data de lançamento para a base de dados nem os montantes finais das sanções pecuniárias. Na audiência de dezembro, o Governo terá de explicar as medidas tomadas para promover a deteção partilhada, a comunicação fiável de casos e um acesso mais seguro à Internet para as crianças.

Pontos principais

• Uma base de dados nacional guardará hashes e URLs de material confirmado de exploração e abuso sexual de crianças, em vez do próprio material.
• Pelo menos três analistas humanos com formação terão de avaliar de forma independente cada entrada proposta.
• As remoções especificadas terão de ser comunicadas no prazo de duas horas; as correspondências com entradas já existentes na base de dados exigem remoção imediata e relatórios semanais.
• As plataformas terão de confirmar a receção das reclamações no prazo de 24 horas e garantir a sua análise por profissionais com formação.
• O tribunal proibiu a distribuição através de sistemas de acesso pago e subscrições e pediu um quadro que trate das sanções e das receitas provenientes de material proibido.
• As crianças mantêm o direito fundamental de aceder à Internet, devendo privilegiar-se salvaguardas específicas em vez de proibições gerais.
• O Governo terá de comunicar os progressos da implementação até à audiência de 10 de dezembro de 2026.