Suprema Corte da Índia ordena banco de dados compartilhado para remover material de abuso sexual infantil e rejeita proibições gerais de acesso à internet

Um sistema compartilhado de detecção, com crianças ainda autorizadas a acessar a internet

A Suprema Corte da Índia ordenou que o governo central crie um Banco de Dados Nacional de Hashes e URLs para ajudar plataformas a identificar e remover, em diferentes serviços, material confirmado de exploração e abuso sexual infantil. Cada registro deverá passar por avaliação independente de pelo menos três analistas humanos treinados, e o banco de dados armazenará identificadores digitais e endereços da internet, não as próprias imagens ou vídeos abusivos.

A decisão de 136 páginas, datada de 15 de outubro de 2026, também estabelece prazos para que empresas de redes sociais façam denúncias, exige sistemas de reclamação acessíveis e pede educação sobre segurança digital nas escolas. O governo deverá apresentar uma declaração juramentada descrevendo o andamento da implementação até a próxima audiência, em 10 de dezembro de 2026.

Os ministros J. B. Pardiwala e K. Vinod Chandran emitiram as determinações no caso Just Rights for Children Alliance & Anr. v. S. Harish & Ors., após pedidos que alegavam descumprimento da decisão da corte de 23 de setembro de 2024.

A turma combinou obrigações mais rigorosas para empresas de tecnologia com uma conclusão constitucional: as crianças têm o direito fundamental de acessar e usar a internet. A corte não endossou restrições gerais baseadas na idade e deu preferência à orientação dos pais, a configurações de conta mais seguras e a medidas contra quem cria, divulga ou lucra com material abusivo.

Por que as remoções isoladas pelas plataformas não são suficientes

A corte identificou uma falha prática no sistema atual. Quando uma empresa detecta e remove material abusivo, outra plataforma pode continuar exibindo a mesma imagem, vídeo ou link por não o ter identificado de forma independente.

A Regra 4(4) das Regras de Tecnologia da Informação (Diretrizes para Intermediários e Código de Ética para Mídia Digital), de 2021, faz referência a conteúdo removido anteriormente nos próprios recursos computacionais do intermediário. A turma considerou essa abordagem restrita demais para permitir a detecção coordenada entre serviços.

Os pedidos também chamaram atenção para supostas promoções pagas que direcionavam usuários a material abusivo por meio de links e sites externos. Entre 84 anúncios analisados na Índia, 55 foram denunciados pelo sistema de uma plataforma. Desses 55, 43 foram considerados em conformidade com os padrões de publicidade da empresa, cerca de 78% dos anúncios denunciados.

Para a corte, o problema envolvia tanto o envio repetido de conteúdo quanto os caminhos pelos quais usuários eram direcionados à exploração. Por isso, sua estrutura abrange a identificação de material conhecido, a verificação de endereços externos, a comunicação à polícia e a apuração do dinheiro obtido com a distribuição.

Como funcionaria o banco de dados nacional

O Banco de Dados Nacional de Hashes e URLs poderá funcionar dentro do Portal Sahyog do Centro Indiano de Coordenação de Crimes Cibernéticos, conhecido como I4C, ou como um repositório separado. Atualmente, o Sahyog encaminha reclamações e notificações de remoção; o banco de dados proposto acrescentaria um sistema de referência compartilhado para detectar material abusivo confirmado.

Um hash é um identificador digital gerado a partir de um arquivo, comparável a uma impressão digital. As plataformas podem comparar identificadores para reconhecer material já identificado em outros lugares. O hashing perceptual vai além e ajuda a detectar imagens ou vídeos semelhantes mesmo após alterações como redimensionamento ou mudança de formato.

Uma URL é um endereço da internet. A inclusão desses endereços ajuda as plataformas a agir contra links que levam usuários a locais conhecidos por hospedar material abusivo, inclusive quando o material está armazenado fora da plataforma que contém o link.

O governo deverá elaborar diretrizes ou procedimentos operacionais padrão para que grandes intermediários de redes sociais usem a correspondência por hash perceptual e a listagem de URLs. A corte deu preferência a orientações que possam ser revisadas periodicamente conforme a tecnologia muda.

As plataformas verificariam seus serviços em relação aos registros do banco de dados, enquanto as forças de segurança usariam os identificadores compartilhados para localizar material correspondente em outros pontos da internet. Assim, uma identificação confirmada poderia embasar medidas em vários serviços, em vez de iniciar um novo processo de detecção em cada empresa.

Três avaliações humanas antes da inclusão de um registro

A corte exigiu várias etapas de verificação antes que um material possa ser registrado no banco de dados. Programas podem fazer uma triagem preliminar, mas pelo menos três analistas humanos treinados devem avaliar, cada um de forma independente, se o material constitui material de exploração e abuso sexual infantil, ou CSEAM.

Os registros devem ser enviados por canais criptografados. O repositório deve armazenar apenas os hashes e as URLs relevantes, além de registros das avaliações, logs de acesso e auditorias independentes. Registros incorretos devem ser removidos prontamente.

As pessoas afetadas por remoções baseadas em registros do banco de dados devem ter acesso a um processo de reclamação. As notificações de remoção devem explicar os motivos da medida, para que a pessoa saiba se deve recorrer à plataforma ou ao órgão responsável pela manutenção do banco de dados.

Essas salvaguardas conectam um sistema compartilhado de detecção, com grande alcance, a um caminho para corrigir erros. Como um registro pode gerar medidas em várias plataformas, a precisão da avaliação inicial é importante para todas as remoções posteriores.

Quais medidas têm prazo de denúncia de duas horas?

A corte estabeleceu procedimentos diferentes para material recém-identificado e para aquele que já consta do banco de dados nacional. Nesse contexto, material de origem desconhecida é conteúdo avaliado pelo processo próprio de detecção ou de reclamações de uma plataforma. Material conhecido é conteúdo que corresponde a um registro confirmado no banco de dados.

• Quando uma plataforma detecta e remove por conta própria material de origem desconhecida, deve comunicar a remoção em até duas horas.
• Quando a remoção decorre de uma reclamação, a plataforma deve fazer a comunicação imediatamente após resolver a reclamação e, no máximo, em até duas horas depois da resolução.
• Quando o conteúdo corresponde a um registro existente no banco de dados, a plataforma deve desativá-lo e removê-lo imediatamente e enviar, toda semana, um relatório consolidado dessas remoções.

As plataformas devem verificar o material recém-identificado antes de removê-lo e denunciá-lo por esse processo. Devem informar as autoridades designadas pela legislação indiana, incluindo a Unidade Especial de Polícia Juvenil, a polícia local ou o portal de crimes cibernéticos, conforme aplicável nos termos da Regra 11 das Regras da Lei de Proteção de Crianças contra Crimes Sexuais, de 2020. O órgão responsável pelo banco de dados também deverá ser informado quando for uma autoridade diferente.

Os prazos de duas horas dizem respeito à comunicação após a remoção ou a resolução da reclamação. O procedimento de relatórios semanais se aplica a correspondências com material já confirmado no banco de dados, além da exigência de remoção imediata.

A decisão de setembro de 2024 já havia vinculado as obrigações de comunicação ao Artigo 79 da Lei de Tecnologia da Informação, de 2000. Esse artigo prevê proteção condicional, muitas vezes chamada de salvo-conduto, contra a responsabilização por material publicado por usuários. A corte decidiu que, para reivindicar essa proteção, os intermediários devem cumprir o dever de diligência e as obrigações de comunicação previstas na lei de proteção à criança.

As reclamações devem ser analisadas por uma pessoa treinada

As plataformas devem oferecer uma categoria específica de denúncia de CSEAM, com nome claro e acessível em até duas etapas. A denúncia deve preservar o anonimato, sem exigir dados pessoais, e as informações do responsável por reclamações devem ser fáceis de encontrar em sites e aplicativos.

Cada reclamação deve receber uma confirmação de recebimento em até 24 horas e um número de referência. Um responsável por reclamações treinado deverá analisá-la, e o autor deverá receber a decisão e seus motivos. Ferramentas automatizadas podem ajudar na triagem preliminar, mas um profissional treinado continuará responsável pela análise da reclamação.

A corte também pediu relatórios em formato uniforme, que possa ser processado por sistemas computacionais. A padronização daria às autoridades informações utilizáveis, em vez de obrigá-las a conciliar formatos diferentes de cada empresa.

O governo central foi instado a estender os requisitos de responsabilização a todos os intermediários por meio de alterações apropriadas às Regras de Tecnologia da Informação. Para os usuários, a mudança pretendida é concreta: um canal de denúncia acessível, uma reclamação rastreável e uma decisão que explique quais medidas foram tomadas.

Receitas com publicidade e assinaturas serão fiscalizadas

A turma determinou que os intermediários impeçam que CSEAM e outros materiais nocivos proibidos sejam oferecidos, hospedados, enviados, promovidos ou distribuídos por meio de barreiras de pagamento ou assinaturas, direta ou indiretamente. Uma barreira de pagamento é uma exigência de pagamento que o usuário precisa superar para acessar o conteúdo.

A corte afirmou que a receita obtida com a distribuição de material proibido por meio desses serviços deve ser confiscada e entregue às autoridades. Pediu ao governo que desenvolva a estrutura necessária e considere multas financeiras exemplares por violações dos deveres previstos na Lei de Tecnologia da Informação e em suas regras.

O valor das multas deve levar em conta a gravidade, a duração e a repetição da infração, bem como o porte e o faturamento da empresa. Assim, a resposta poderá considerar tanto a repetição do descumprimento quanto a escala do negócio responsável.

A decisão também trata de material eletrônico que facilita a exploração, incluindo anúncios de ferramentas que manipulam imagens para transformá-las em material abusivo ou redirecionam usuários a esse conteúdo. A corte considerou que o alcance regulatório da Lei de Tecnologia da Informação e de suas regras vai além de representações visuais, citando o Artigo 67B(d) e a Regra 3(1)(b).

Antes da decisão, o Ministério de Eletrônica e Tecnologia da Informação informou à corte que havia enviado, em julho de 2026, uma notificação ao responsável pela conformidade da Meta por causa de anúncios pagos que promoviam CSEAM. Esses procedimentos ainda estavam em andamento. O relato do governo também descreveu conversas após as quais Google e Meta concordaram em comunicar casos diretamente às autoridades indianas de segurança pública.

Por que a corte rejeitou uma proibição geral para crianças

A turma reconheceu o acesso e o uso da internet como direitos fundamentais nos termos do Artigo 21, que protege a vida e a liberdade pessoal, em conjunto com o Artigo 19(1)(a), que protege a liberdade de expressão. A corte afirmou que as crianças têm esses direitos independentemente da idade.

Os ministros Pardiwala e Chandran explicaram a relação entre proteção e acesso na decisão:

A segurança e a liberdade de nossas crianças não são incompatíveis. Nossas crianças têm direito a ambas.

A corte considerou que, após uma proibição, as crianças podem continuar usando a internet em segredo e migrar para serviços menos regulamentados. Uma criança que enfrente ameaças ou manipulação pode então hesitar em pedir ajuda por temer ser punida por estar on-line.

A turma também levantou preocupações com a privacidade de sistemas que exigem que todos os usuários comprovem a idade por meio da coleta extensiva e do monitoramento de informações sensíveis. Em vez disso, sugeriu consentimento, orientação e supervisão dos pais, além de um modo específico para crianças.

Entre as possíveis configurações estão contas privadas por padrão, limites para contatos de adultos desconhecidos e controles sobre publicidade e conteúdo. Para crianças que ainda não chegaram à adolescência, a corte sugeriu formas proporcionais de verificar o consentimento dos pais. Deixou os detalhes a cargo do governo central e permitiu restrições direcionadas a serviços intrinsecamente nocivos, incluindo sites de conteúdo adulto.

As escolas fazem parte do plano de proteção

A corte determinou que a educação sobre segurança digital e sexualidade, adequada a cada faixa etária, faça parte do currículo básico. As aulas devem abordar consentimento, toques seguros e inseguros, relacionamentos saudáveis, proteção de informações pessoais, exploração on-line e formas de denunciar abusos.

O Conselho Nacional de Pesquisa e Formação Educacional e os Conselhos Estaduais de Pesquisa e Formação Educacional deverão elaborar o conteúdo com psicólogos infantis, educadores e especialistas em parentalidade. A corte também pediu que números de linhas de ajuda sejam exibidos nas escolas e que programas de conscientização comecem no ensino fundamental.

Para as crianças, isso significa aprender a reconhecer perigos e contar a um adulto de confiança, em paralelo às medidas técnicas que as empresas deverão adotar. O componente educacional aborda situações em que uma criança se depara com manipulação ou comportamento ameaçador antes que uma plataforma tenha identificado uma imagem ou um link.

A terminologia da corte também reflete essa preocupação com os danos. Na decisão de setembro de 2024, ela pediu ao Parlamento que considerasse substituir o termo "pornografia infantil" na Lei POCSO por uma expressão que descreva material de exploração e abuso sexual infantil, para representar com mais precisão a natureza dos crimes.

O que o governo precisa fazer até 10 de dezembro

Os Ministérios de Eletrônica e Tecnologia da Informação e de Direito e Justiça devem tomar medidas para implementar a estrutura por meio de diretrizes, procedimentos operacionais padrão e alterações apropriadas às Regras de Tecnologia da Informação e, quando necessário, à própria lei. A declaração juramentada do governo deverá descrever o andamento, incluindo as ferramentas tecnológicas que os intermediários usam atualmente.

O Ministério de Eletrônica e Tecnologia da Informação já havia apresentado um procedimento preliminar elaborado com o Ministério da Mulher e do Desenvolvimento Infantil, o Ministério do Interior, o Departamento de Telecomunicações e outras partes interessadas. O procurador-geral Tushar Mehta pediu mais tempo para finalizá-lo.

O processo avançou em várias etapas:

• 23 de setembro de 2024: A Suprema Corte proferiu sua decisão anterior sobre CSEAM, incluindo as obrigações de comunicação dos intermediários.
• Fevereiro de 2026: O governo alterou as regras para intermediários e acrescentou obrigações específicas de diligência relativas a CSEAM.
• Julho de 2026: O Ministério de Eletrônica e Tecnologia da Informação enviou uma notificação ao responsável pela conformidade da Meta por anúncios pagos que promoviam esse material.
• 14 de agosto de 2026: A corte registrou preocupação com graves falhas de conformidade.
• 15 de outubro de 2026: A turma estabeleceu a estrutura para o banco de dados, a comunicação de denúncias, a educação e a responsabilização.
• 10 de dezembro de 2026: Está prevista uma nova audiência, e o governo deverá apresentar até essa data sua declaração juramentada sobre o andamento da implementação.

A decisão não estabelece uma data de lançamento para o banco de dados nem define os valores finais das multas. Na audiência de dezembro, o governo terá de explicar as medidas tomadas para viabilizar a detecção compartilhada, a comunicação confiável de denúncias e um acesso mais seguro das crianças à internet.

Pontos principais

• Um banco de dados nacional armazenará hashes e URLs de material confirmado de exploração e abuso sexual infantil, não o material em si.
• Pelo menos três analistas humanos treinados deverão avaliar de forma independente cada registro proposto.
• Remoções especificadas exigem comunicação em até duas horas; correspondências com registros existentes no banco de dados exigem remoção imediata e relatórios semanais.
• As plataformas deverão confirmar o recebimento de reclamações em até 24 horas e oferecer análise humana por profissionais treinados.
• A corte proibiu a distribuição por meio de barreiras de pagamento e assinaturas e pediu uma estrutura para tratar de multas e receitas proibidas.
• As crianças mantêm o direito fundamental de acessar a internet, e a corte prefere salvaguardas direcionadas a proibições gerais.
• O governo deverá informar o andamento da implementação até a audiência de 10 de dezembro de 2026.