Nos Estados Unidos, a legislação sobre a proteção de dados de crianças regulamenta-se principalmente pela Chidren’s Online Privacy Protection Act – COPPA – que determina que o operador de site ou de serviço on-line direcionado para crianças deve receber o consentimento verificável dos seus pais antes de realizar qualquer coleta ou de divulgar quaisquer informações[1].

A legislação norte-americana determina como criança a pessoa abaixo de 13 anos, e afirma que o operador deve promover todos os esforços adequados para garantir o consentimento e usar a tecnologia disponível, como o RGPD[2] (Regulamento Geral de Proteção de Dados da União Europeia).

Então, para orientar o controlador a respeito de como colocar em prática as determinações da lei, para assegurar que o consentimento tenha sido entregue efetivamente pelos pais ou pelo responsável legal da criança, destacam-se as sugestões trazidas no COPPA.

Essa lei objetiva estruturar meios de obtenção do consentimento verificável, definido como o fato de o controlador realizar qualquer esforço, dentro da tecnologia disponibilizada, a fim de garantir que, antes do processamento de dados pessoais de crianças, um dos pais seja notificado sobre as práticas de tratamento e que seja autorizada por ele.

Interessante mencionar que, sobre os esforços razoáveis e o uso de tecnologia disponível, esses termos vieram da RGPD (lei de proteção de dados da Europa) e da LGPD (lei de proteção de dados do Brasil). Assim, preveem-se metodologias para receber o consentimento verificável dos pais, como meios legítimos de o controlador analisar a sua identidade.

Estes são os meios indicados:

“(i) fornecer um formulário de consentimento a ser assinado pelos pais e devolvido à operadora por correio postal, fax ou de forma eletrônica;

(ii) exigir dos pais, em conexão com uma transação monetária, que use um cartão de crédito, cartão de débito ou outro sistema de pagamento online que forneça notificação de cada transação, ao titular da conta principal;

(iii) ter acesso a um dos pais para ligar para um número de telefone gratuito com uma equipe treinada;

(iv) fazer com que um dos pais ligue para um número de telefone gratuito ou faça uma videoconferência com a equipe ou se conecte por videoconferência a uma equipe treinada;

(v) verificar a identidade de um dos pais comparando uma forma de identificação emitida pelo governo em bancos de dados de tais informações, onde a identificação dos pais é excluída pelo operador de seus registros imediatamente após a verificação ser concluída; ou

(vi) desde que um operador que não divulgue informações pessoais de crianças, pode usar um e-mail juntamente com etapas adicionais para fornecer garantias de que a pessoa que fornece o consentimento é o pai.

Há etapas adicionais como enviar um e-mail de confirmação para os pais após o recebimento do consentimento, ou obter um endereço postal ou número de telefone dos pais e confirmar o consentimento dos pais por carta ou telefonema. Um operador que usa esse método deve avisar que os pais podem revogar qualquer consentimento dado em resposta ao e-mail anterior”[3].

Por fim, o que se percebe é que essas ferramentas trazidas pelo COPPA para se obter um verificável consentimento parental não acontece no RGPD europeu, tampouco na Lei Geral de Proteção de Dados (LGPD) brasileira, que deixaram como responsabilidades para as Autoridades Reguladoras (Comitê Europeu para a Proteção de Dados, na União Europeia, e a Agência Nacional de Proteção de Dados, no Brasil).

Portanto, nesse aspecto, a legislação norte-americana poderá servir de auxílio à regulação dessas situações na Europa e no Brasil.

[1] “§312.5 - Parental consent. (a) General requirements. (1) An operator is required to obtain verifiable parental consent before any collection, use, or disclosure of personal information from children, including consent to any material change in the collection, use, or disclosure practices to which the parent has previously consented. (2) [...]. (b)  Methods for verifiable parental consent.  (1) An operator must make reasonable efforts to obtain verifiable parental consent, taking into consideration available technology. Any method to obtain verifiable parental consent must be reasonably calculated, in light of available technology, to ensure that the person providing consent is the child’s parent”. Disponível em: https://www.ecfr.gov/cgi-bin/text-idx?SID=4939e77c77a1a1a08c1cbf905fc4b409&node=16%3A1.0.1.3.36&rgn=div5#- se16.1.312_14.

[2] “§312.2 - Definitions. Child means an individual under the age of 13”. Disponível em: https://www.ecfr.gov/cgi--bin/text-idx?SID=4939e77c77a1a1a08c1cbf905fc4b409&node=16%3A1.0.1.3.36&rgn=- div5#se16.1.312_14.

[3] Tradução livre do texto original: “§312.5 Parental consent. (b) Methods for verifiable parental consent. (1) An operator must make reasonable efforts to obtain verifiable parental consent, taking into consideration available technology. Any method to obtain verifiable parental consent must be reasonably calculated, in light of available technology, to ensure that the person providing consent is the child’s parent. (2) Existing methods to obtain verifiable parental consent that satisfy the requirements of this paragraph include: (i) Providing a consent form to be signed by the parent and returned to the operator by postal mail, facsimile, or electronic scan; (ii) Requiring a parent, in connection with a monetary transaction, to use a credit card, debit card, or other online payment system that provides notification of each discrete transaction to the primary account holder; (iii) Having a parent call a toll-free telephone number staffed by trained personnel; (iv) Having a parent connect to trained personnel via video-conference; (v) Verifying a parent’s identity by checking a form of government-issued identification against databases of such information, where the parent’s identification is deleted by the operator from its records promptly after such verification is complete; or (vi)  Provided that, an operator that does not “disclose” (as defined by §312.2) children’s personal information, may use an email coupled with additional steps to provide assurances that the person providing the consent is the parent. Such additional steps include: Sending a confirmatory email to the parent following receipt of consent, or obtaining a postal address or telephone number from the parent and confirming the parent’s consent by letter or telephone call. An operator that uses this method must provide notice that the parent can revoke any consent given in response to the earlier email”.

Disponível em: https://www.ecfr.gov/cgi-bin/text-idx?SID=4939e77c77a1a1a08c1cbf905fc4b409&node=16%3A1.0.1.3.36&rgn=div5#- se16.1.312_14.