Hoje, 6 de maio de 2026, Utah se torna o primeiro estado dos EUA a colocar usuários de VPN na mira jurídica de uma lei de verificação de idade. A Senate Bill 73 — formalmente intitulada Online Age Verification Amendments e sancionada pelo Governador Spencer Cox em 19 de março de 2026 — entra em vigor hoje, e sua Seção 14 muda de forma fundamental a relação entre os residentes de Utah, os provedores de VPN e os sites que esses residentes visitam.
Se você é residente de Utah e está lendo isto, a lei não torna seu VPN ilegal. Mas marca o momento em que legisladores nos Estados Unidos passaram a tratar os VPNs comerciais não como a ferramenta de privacidade padrão que vêm sendo há duas décadas — usada diariamente por empresas, jornalistas, estudantes em Wi-Fi público e qualquer pessoa que se conecta a um app de banco em uma cafeteria — mas como uma brecha regulatória a ser fechada.
Eis o que a SB 73 de fato faz, por que defensores dos direitos digitais, da Electronic Frontier Foundation à NordVPN, estão chamando-a de "armadilha de responsabilidade", por que ela quase certamente não vai atingir seu objetivo declarado e o que isso significa para a sua privacidade em 2026.
O que a SB 73 de Utah de fato faz
A maior parte da SB 73 trata de um imposto de 2% sobre as receitas de conteúdo adulto online (com vigência em outubro de 2026). As disposições que entram em vigor hoje são diferentes — elas alteram a Seção 78B-3-1002 do estatuto de verificação de idade online já existente em Utah e miram explicitamente no uso de VPN de duas formas:
- A localização segue o corpo, não o IP. Sob a nova lei, considera-se que um indivíduo está acessando um site a partir de Utah se ele estiver fisicamente localizado em Utah, independentemente de usar um VPN, um servidor proxy ou qualquer outra ferramenta para disfarçar sua localização geográfica. Em outras palavras, mesmo que seu IP indique que você está em Wyoming, o estatuto trata você como usuário de Utah no momento em que seu telefone está em Salt Lake City.
- Os sites ficam impedidos de falar sobre VPN. As entidades comerciais que hospedam "uma parte substancial de material prejudicial a menores" agora estão proibidas de facilitar ou incentivar o uso de um VPN para contornar verificações de idade. Isso inclui publicar instruções sobre como usar um VPN — uma redação ampla o bastante para que a EFF a aponte como um problema de First Amendment.
A lei não chega a proibir explicitamente o próprio uso de VPN. Não há multas para residentes individuais de Utah que se conectam por meio de um VPN comercial. A pressão jurídica recai diretamente sobre os sites — e é aí que começa o problema.
A "armadilha de responsabilidade" que preocupa os defensores da privacidade
A maior objeção dos grupos de direitos digitais é o que a EFF chama de armadilha de responsabilidade: sob a SB 73, um site é responsável por verificar a idade de cada usuário fisicamente localizado em Utah, mesmo que pareçam ao site estar em outro lugar. Como nenhum site comercial consegue detectar de forma confiável a verdadeira geolocalização de cada usuário de VPN, restam duas opções pouco atraentes:
- Bloquear todos os IPs de saída de VPN conhecidos. Manter uma blocklist em constante crescimento, aceitar os danos colaterais de falsos positivos (clientes legítimos que usam VPN e ficam de fora) e torcer para conseguir acompanhar as novas faixas de IP à medida que os provedores as rotacionam.
- Exigir verificação de idade de cada visitante globalmente. Tratar todo usuário como se fosse um residente de Utah em VPN e exigir comprovação de idade no nível de documento oficial de todo mundo — incluindo os milhões de pessoas que não vivem em Utah e não estão sujeitas à lei.
A equipe de políticas da NordVPN chamou exatamente disso — "uma armadilha de responsabilidade" — em declarações ao TechRadar. Ambas as opções ampliam o raio de impacto de uma lei estadual para um regime global de verificação de identidade, e ambas impõem custos reais a jornalistas, sobreviventes de abuso, viajantes a negócios e usuários comuns preocupados com a privacidade que dependem de VPNs comerciais para a segurança rotineira de seus dados.
O problema do First Amendment
A segunda disposição — a mordaça sobre os sites compartilharem informação sobre VPNs — é a parte com maior probabilidade de enfrentar uma contestação constitucional. A SB 73 não pede apenas que as plataformas cobertas apliquem barreiras de idade; ela proíbe que essas plataformas falem com seus usuários sobre um software perfeitamente legal que existe no mundo.
A EFF, o Cato Institute e defensores da liberdade de expressão observam que isso restringe um discurso verdadeiro e não enganoso sobre uma ferramenta legal de privacidade. Como colocou o Cato Institute: "Quando uma política de internet pode ser evitada por uma tecnologia relativamente comum que muitas vezes oferece benefícios significativos de privacidade e segurança, talvez o problema seja a política."
A SB 73 vai funcionar de fato? A realidade técnica
A resposta curta é não. A resposta longa é que mesmo um sucesso parcial exigiria um nível de fingerprinting em nível de rede que nenhum estado isolado pode impor e nenhum operador de site consegue entregar. Eis o que usuários motivados vão fazer — em horas após a lei entrar em vigor, não em meses:
- Migrar para proxies residenciais. Os proxies residenciais roteiam por IPs reais de ISPs domésticos que são indistinguíveis do tráfego comum de uma casa. Eles existem há anos para casos de uso legítimos como web scraping, verificação de anúncios e proteção de marca — e contornam blocklists de VPN comercial trivialmente, porque não estão nessas blocklists.
- Subir túneis privados na nuvem. Um VPS de US$ 5/mês na AWS, na DigitalOcean ou na Hetzner rodando WireGuard dá ao usuário com conhecimento técnico um IP de saída de VPN pessoal que nenhuma blocklist vai pegar — porque é um único IP que não existia ontem e nunca aparecerá em uma faixa comercial de VPN.
- Usar Tor ou Shadowsocks/V2Ray auto-hospedado. Ferramentas open-source de obfuscation desenvolvidas para residentes de países com controles rígidos de internet já derrotam detecções muito mais sofisticadas do que qualquer coisa que o projeto de Utah contemple.
O dano colateral cai sobre o residente comum de Utah que só quer que seu tráfego bancário seja criptografado no Wi-Fi de um hotel — não sobre o adolescente tecnicamente motivado de quem a lei pretensamente deveria proteger. Como observou a EFF, "essas disposições não vão deter um adolescente com conhecimento técnico, mas certamente vão impactar a privacidade de cada residente comum de Utah que só quer manter seus dados longe das mãos de brokers ou agentes maliciosos."
Utah não está sozinha — o panorama global em 2026
A SB 73 é o ponto mais alto nos EUA, mas faz parte de um padrão global de governos respondendo ao salto no uso de VPN que se segue a cada exigência de verificação de idade. A história se repetiu da mesma forma em mais de uma dezena de jurisdições nos últimos três anos:
- Estados dos EUA com leis de verificação de idade que impulsionaram picos no uso de VPN: Florida, Missouri, Texas, Utah (desde 2023), Louisiana, Mississippi, Virginia, Tennessee, North Carolina, Idaho e outros — Utah é agora o primeiro a retaliar contra o salto no uso de VPN mirando na própria ferramenta.
- Wisconsin: propôs uma redação semelhante mirando em VPNs; defensores conseguiram forçar sua remoção devido a preocupações constitucionais e técnicas. Utah seguiu adiante apesar das mesmas objeções.
- UK: a Children's Commissioner descreveu publicamente os VPNs como "uma brecha que precisa ser fechada" depois que o Online Safety Act provocou um salto enorme na adoção de VPN.
- France: o Minister Delegate for Artificial Intelligence and Digital Affairs apontou os VPNs como o "próximo tópico" da agenda regulatória depois que o país aprovou uma proibição de redes sociais para crianças com menos de 15 anos.
- Australia, Indonesia: ambas implementaram leis de verificação de idade que impulsionaram picos no uso de VPN, com discussões regulatórias adicionais em andamento.
O padrão é consistente: a política cria a demanda pela ferramenta e, em seguida, a política se volta contra a ferramenta. Saber se a SB 73 vai resistir a desafios legais ou se vai ser silenciosamente revertida como a versão de Wisconsin é uma das histórias mais importantes da política de internet dos EUA em 2026.
O que isso significa para os residentes de Utah
Se você mora em Utah e usa um VPN hoje pelos mesmos motivos que a maioria das pessoas usa — operações bancárias em Wi-Fi público, trabalho remoto em cafeterias, separação de contas profissionais e pessoais, proteção contra doxing ou simplesmente para que seu ISP não registre cada site que você visita — nada no seu uso cotidiano de VPN é ilegal sob a SB 73. A lei mira em sites, não em usuários.
O que muda é a experiência de usar um VPN para visitar certos sites:
- Alguns sites adultos podem agora bloquear todo o tráfego de VPN. Se um site decidir que o caminho mais seguro de conformidade é banir todo IP de VPN que conseguir identificar, você verá paredes de CAPTCHA ou bloqueios totais mesmo morando em Utah e usando o VPN por motivos legítimos.
- Alguns sites podem exigir verificação global de idade. Se em vez disso optarem pelo caminho de "verificar todo mundo", você verá pedidos de verificação de idade no nível de documento oficial que não existiam uma semana atrás — inclusive em sites que claramente não são de conteúdo adulto.
- Você verá menos informação sobre VPNs em plataformas cobertas. A disposição de mordaça significa que tutoriais, recomendações e até explicações básicas sobre VPNs podem desaparecer dos sites que operam sob a sombra de conformidade da SB 73.
Como proteger sua privacidade em 2026 (de forma legítima)
Qualquer que seja sua opinião sobre políticas de verificação de idade, a pergunta técnica — "como mantenho meu tráfego normal de internet privado e seguro em 2026" — tem a mesma resposta que tinha uma semana atrás. Escolha um VPN comercial confiável com estas qualidades:
- Política de no-logs verificada com relatórios de auditoria independentes que você pode ler.
- Suporte ao protocolo WireGuard (baixa latência, criptografia moderna).
- Servidores com obfuscation para que o próprio tráfego do VPN não seja fingerprintado.
- Kill switch para evitar que seu IP real vaze caso o túnel caia.
- Jurisdição fora da aliança de compartilhamento de inteligência 14 Eyes — Panamá, Ilhas Virgens Britânicas e Suíça são as mais comuns.
Para usuários que querem ir um passo além das faixas de pool de VPN comercial — em particular residentes de Utah que esperam ficar presos em blocklists de VPN comercial em sites que adotarem a conformidade mais estrita da SB 73 —, um plano de IP Residencial Dedicado de um provedor como o CometVPN dá a você um IP fixo de saída em um ISP real, que parece uma conexão doméstica comum e não vai aparecer em blocklists de VPN comercial. O CometVPN roda em WireGuard, inclui kill switch, oferece servidores com obfuscation, está sediado no Panamá e começa em US$ 1,89/mês no plano de dois anos, com o IP Residencial Dedicado disponível como add-on.
Power users que precisam de controle mais granular — por exemplo, automação de navegador, fluxos multi-conta ou scraping — também podem usar proxies residenciais da MarsProxies ou da IPRoyal, que entregam origem de IP em ISP real semelhante a um nível de VPN Residencial Dedicado, mas expõem roteamento por aplicação.
O panorama maior
Os VPNs são, em essência, as ferramentas que tornam possível a internet moderna preocupada com a privacidade. Atacá-los — seja pela armadilha de responsabilidade da mordaça de Utah, pelo enquadramento de "brecha" do UK ou pela agenda de "próximo tópico" da France — é fundamentalmente um ataque à arquitetura que protege jornalistas, viajantes a negócios, sobreviventes de abuso e usuários comuns que simplesmente não querem que seus dados sejam vendidos para o maior lance.
A SB 73 é a primeira lei estadual dos EUA a dar esse passo. Provavelmente não será a última. A pergunta regulatória para o resto de 2026 é se as contestações legais, as soluções técnicas e a reação pública serão suficientes para frear essa tendência — ou se a próxima rodada de projetos estaduais de verificação de idade vai copiar palavra por palavra a cartilha de Utah.
Por ora, 6 de maio de 2026 fica registrado como o dia em que os Estados Unidos cruzaram uma linha. Vamos ficar de olho no que vem a seguir.
Fontes: Electronic Frontier Foundation, Texto promulgado da SB 73 da Utah Legislature, TechRadar / NordVPN, Tom's Hardware, CyberInsider, Cato Institute.
