Tribunal em Utah: geolocalização por IP não é precisa

Em 24 de setembro de 2026, o juiz federal em Utah, David Barlow, suspendeu a parte da lei SB 73 que exigia que os sites identificassem a localização real do visitante, mesmo por meio de VPN ou proxy. O principal argumento do tribunal foi formulado de maneira quase técnica: a geolocalização perfeita por IP não existe atualmente, enquanto a lei exigia exatamente isso. No final de outubro, o Ofcom britânico deve publicar suas recomendações sobre a identificação de VPN. Abaixo, analisamos o que o tribunal decidiu, como isso difere da posição do Reino Unido e o que muda para aqueles que trabalham com serviços dependentes de geolocalização, scraping e proxies.

O que decidiu o tribunal em Utah

A ação foi movida pela Aylo (proprietária do Pornhub e de outros sites para adultos), caso Aylo Freesites Ltd v. Utah, nº 2:26-cv-00340. Uma norma específica foi alvo da ação: a seção 78B-3-1002(3), adicionada pelas emendas de 2026. Ela considerava um visitante fisicamente presente em Utah como residente do estado, mesmo que sua localização estivesse oculta por VPN ou proxy. O site era responsável por esse usuário.

O tribunal emitiu uma liminar (preliminary injunction). Os principais argumentos foram:

A norma não contém uma cláusula de "esforços razoáveis". Formalmente, o site é responsável por cada usuário perdido, ou seja, deve geolocalizar todos sem erros. Ambas as partes concordaram que a geolocalização perfeita é impossível.
Carga sobre o comércio fora do estado. Como não é possível distinguir com precisão um residente de Utah por meio de VPN de um residente de Seattle ou Xangai, o site teria que verificar a idade de todos os visitantes do mundo. A decisão menciona um número: a Aylo teria que verificar 28 milhões de usuários. O tribunal considerou que isso provavelmente viola a chamada cláusula de comércio "dormiente" da Constituição dos EUA (dormant Commerce Clause).
O estado possui meios menos onerosos para proteger os menores.

Utah argumentou que a lei não exige perfeição, mas sim medidas razoáveis: o uso provável de VPN pode ser detectado, e a localização pode ser inferida a partir das configurações do dispositivo e da atividade da conta. O tribunal respondeu que analisa o texto da lei aprovado pela legislatura, e não como o procurador geral propõe aplicá-la.

O que permanece em vigor

A principal obrigação dos sites para adultos de verificar a idade "por métodos razoáveis" permanece.
A proibição para esses sites de informar como contornar a verificação via VPN não foi contestada pela Aylo e também permanece.
As regras de execução R152-78B, publicadas em 1º de setembro e que poderiam entrar em vigor em 8 de outubro, não podem ser aplicadas enquanto a liminar do tribunal estiver em vigor.
As partes concordaram em adiar o processo até o final da sessão legislativa de Utah em 2027: espera-se que a lei seja reescrita.

Contexto: leis sobre verificação de idade para conteúdo adulto foram aprovadas em 27 estados dos EUA (até agosto de 2026), mas apenas Utah tentou obrigar diretamente os sites a identificar usuários por meio de VPN. Como essa norma se apresentava antes do tribunal e por que ela levava os sites a bloquear IPs em massa, discutimos no artigo sobre o SCREEN Act e Utah SB 73.

Por que o IP não indica onde a pessoa está

A conclusão do tribunal é tecnicamente correta e vai muito além dos sites para adultos. A geolocalização por IP é uma estimativa probabilística baseada em um banco de dados, e não uma medição exata. O site vê apenas o endereço de onde o pedido foi feito. Se o tráfego passa por uma VPN ou proxy, esse é o endereço de um servidor intermediário ou de um dispositivo de outra pessoa.

Mesmo sem VPN, a precisão é baixa. De acordo com a própria MaxMind (um dos maiores bancos de dados geográficos), para os EUA, em um raio de 50 km, cerca de 60% dos endereços IP são corretamente identificados, outros 33% estão vinculados a uma cidade, mas erram mais de 50 km, e para 7% dos dados, não há informações ao nível da cidade. A empresa ressalta que não garante precisão no futuro.

O erro se acumula em várias camadas:

Vinculação de blocos à região de registro. O provedor pode registrar uma sub-rede em uma cidade, mas distribuí-la a assinantes em outra.
NAT móvel. Os operadores móveis têm muitos assinantes atrás de um único IP público, e a conexão à internet muitas vezes passa por um nó em outra região.
Redes corporativas e nuvens. Um funcionário em Utah com uma VPN corporativa parece um usuário da sede na Califórnia ou de um data center.
Atraso na atualização dos bancos de dados. Sub-redes mudam entre provedores e países, e os bancos de dados demoram semanas para se atualizar.

Portanto, qualquer exigência de "definir com precisão" esbarra na física da rede. O tribunal de Utah foi, na verdade, o primeiro a registrar isso em uma decisão sobre VPN.

O Reino Unido segue um caminho diferente

No Reino Unido, a verificação de idade pela Lei de Segurança Online está em vigor desde 25 de julho de 2025, com multas que podem chegar a £18 milhões ou 10% da receita global. A reação dos usuários foi imediata: as inscrições no Proton VPN do Reino Unido aumentaram em 1400% no dia em que as regras entraram em vigor, e o aplicativo superou temporariamente o ChatGPT na App Store britânica.

A posição das autoridades, no entanto, é mais cautelosa do que a americana:

Em 15 de julho de 2026, a ministra da tecnologia, Liz Kendall, declarou no parlamento que o governo não proibirá VPN e não introduzirá verificação de idade para elas.
O Ofcom afirma claramente que a lei não lhe dá o direito de exigir o bloqueio de VPN.
No relatório de julho de 2026, o regulador reconheceu que nenhum método de verificação de idade elimina completamente a possibilidade de contorno e recomenda uma abordagem em múltiplas camadas, envolvendo lojas de aplicativos e controle a nível de dispositivo.
Além disso, o Ofcom foi encarregado de publicar recomendações até o final de outubro de 2026 sobre o que os serviços podem fazer para identificar e prevenir o uso de VPN.

Assim, o modelo britânico não é "geolocalize perfeitamente sob pena de multa", mas "tome medidas razoáveis". Análises do setor já descrevem para os serviços um esquema de três estados: usuário claramente do Reino Unido (aplique os requisitos), claramente não do Reino Unido (fora da lei) e "localização não verificável" — uma decisão separada sobre o risco, como verificar a idade de todos nesse grupo.

Como os sites identificarão VPN e proxies

Nem o tribunal americano, nem o regulador britânico anulam o fato de que os sites continuarão a marcar tráfego suspeito. Um conjunto típico de sinais:

ASN de hospedagem. Endereços de faixas de nuvens e data centers (AWS, Hetzner, OVH, M247 e similares) são marcados primeiro: usuários domésticos comuns não acessam a partir deles.
Listas de servidores VPN. Muitos VPN publicam os endereços de seus servidores, os outros são fáceis de coletar ao se conectar ao serviço.
Densidade de usuários por IP. Centenas de contas diferentes a partir de um único endereço em um curto período de tempo indicam um nó de saída.
Incompatibilidades. O fuso horário do navegador, o idioma do sistema, o layout, a localidade do cartão de pagamento em comparação com o país do IP.
Sinais comportamentais e de conta — exatamente o que Utah mencionou no tribunal.

É importante notar que todos esses métodos fornecem probabilidade, e não prova. Falsos positivos são inevitáveis: funcionários com VPN corporativa, assinantes de operadoras móveis, viajantes e sistemas automatizados que precisam de geolocalização para negócios podem ser afetados.

O que isso significa para os negócios que trabalham com geolocalização

A decisão diz respeito a sites para adultos, mas as consequências são mais amplas. A geolocalização por IP é utilizada em formação de preços, licenciamento de conteúdo, antifraude, verificação de anúncios e monitoramento de resultados. Algumas conclusões práticas.

Se você é proprietário de um serviço

Não baseie a conformidade em um único banco de dados geográfico. Mesmo sem VPN, cada terceiro endereço nos EUA pode estar vinculado a uma cidade incorreta. Para decisões com consequências legais, é necessário registrar quais "medidas razoáveis" você tomou.
Inclua um terceiro estado "não sei". O binário "nossa região / não nossa" funciona mal em tráfego móvel e corporativo.
Verifique várias fontes. Diferentes bancos de dados podem divergir sobre o mesmo endereço. Como IPQS, Scamalytics, IPinfo e outros verificadores diferem, nós comparamos em endereços reais.

Se você coleta dados ou verifica anúncios por regiões

Endereços de data centers serão os primeiros a serem bloqueados. A onda de leis sobre verificação de idade e recomendações de reguladores está levando os sites a bloquear ASN de hospedagem completamente. Para tarefas onde é necessário ver o site pelos olhos de um usuário local, proxies residenciais com escolha de país e cidade são adequados: o endereço pertence ao provedor doméstico da região desejada.
Endereços móveis são mais resistentes a bloqueios, mas têm precisão inferior em relação à cidade. Devido ao NAT do operador, o site vê um único endereço para muitos assinantes, portanto, bloqueá-lo é caro. Se a região é importante, e não a cidade exata, proxies móveis são uma opção confiável.
Verifique onde seu IP "está" em vários bancos de dados. O site pode estar usando um banco de dados diferente do seu verificador e ver uma região diferente. Antes de coletar em grande escala, execute consultas de teste e compare qual versão local o site alvo está retornando.
Mantenha a impressão do navegador em conformidade com o IP. O fuso horário, o idioma e a localidade devem corresponder ao país de saída: incompatibilidades são detectadas com mais frequência do que o próprio IP.

O que vem a seguir

Os próximos eventos a serem observados:

Final de outubro de 2026 — recomendações do Ofcom sobre a identificação de VPN. A principal questão: surgirão métodos técnicos específicos ou permanecerá a fórmula de "medidas razoáveis".
Sessão legislativa de Utah em 2027 — a lei provavelmente será reescrita com uma cláusula sobre esforços razoáveis. Então, a disputa mudará de "é possível exigir o ideal" para "o que considerar razoável".
Outros estados — a EFF já declarou que contestará iniciativas semelhantes, mas as leis sobre verificação de idade continuam a se expandir, incluindo redes sociais.

Conclusão

O tribunal em Utah confirmou o que os engenheiros de rede já sabiam há muito tempo: o IP é uma dica sobre a localização, e não uma prova. Os legisladores podem exigir que os sites tomem medidas razoáveis, mas não uma geolocalização perfeita. Para os negócios, isso significa duas coisas. Os proprietários de serviços devem construir a lógica de geolocalização com uma margem para erro e um terceiro estado de "não sei". E aqueles que precisam de acesso honesto aos resultados locais terão que monitorar ainda mais a qualidade dos endereços: sob pressão dos reguladores, os sites bloquearão mais frequentemente data centers e confiarão, em primeiro lugar, em IPs residenciais e móveis.