Quem mais tem acesso ao álbum do seu filho no seu celular

Quase toda conversa sobre privacidade de foto de criança começa pela publicação: postar ou não postar. Só que a maior parte das fotos do seu filho nunca foi publicada em lugar nenhum, e mesmo assim não está tão fechada quanto parece. Ela está numa galeria que dezenas de aplicativos podem ler, dentro de álbuns compartilhados que ninguém revisa, num celular que às vezes vai parar na mão da criança, do técnico da assistência ou de quem pediu emprestado para fazer uma ligação. Este guia faz o caminho inverso do habitual: em vez de perguntar o que você publica, pergunta quem já alcança o que está aí dentro, porta por porta, com o passo a passo de como fechar cada uma delas.

Vale marcar a fronteira com os textos vizinhos, porque os três se completam. Como compartilhar fotos de criança com segurança trata do envio. Reconhecimento facial: o que os apps de foto fazem com o rosto do seu filho trata da indexação por rosto. Aqui o assunto é o aparelho e as permissões: quem tem a chave da porta.

Quantas portas existem, afinal?

São seis, e a maioria das pessoas fechou no máximo duas.

1. Aplicativos com acesso à galeria. Aquele "permitir acesso às suas fotos" que você tocou sem ler.
2. Álbuns compartilhados esquecidos. Criados para uma ocasião, nunca encerrados.
3. Contas ligadas ao mesmo serviço. O iCloud da família, o backup no Google da conta que também está no tablet antigo.
4. O aparelho em outras mãos. A criança brincando, o conserto, o empréstimo rápido.
5. A cópia que já saiu. O que você enviou por conversa e continua no aparelho da outra pessoa.
6. A lixeira que ainda não esvaziou. O que você apagou e continua lá por 30 dias.

Porta 1: os aplicativos que podem ler a sua galeria inteira

Esta é a porta mais larga e a menos percebida. Quando um aplicativo pede acesso às fotos e você toca em permitir, o padrão histórico foi conceder acesso total e permanente, inclusive às fotos que você ainda vai tirar. O app pediu para você anexar uma imagem no suporte, e recebeu a chave do armário inteiro.

Os dois sistemas evoluíram, e vale conhecer a diferença porque ela muda tudo:

A regra prática é curta: acesso total é para app de galeria e de backup, e para mais nada. Mensageiro, rede social, banco, jogo, aplicativo de entrega e editor de imagem funcionam perfeitamente com foto selecionada ou com o seletor do sistema.

Isso não é preciosismo teórico. Em fevereiro de 2025, a Kaspersky publicou a análise de uma campanha apelidada de SparkCat, encontrada em aplicativos publicados na App Store e no Google Play. Os aplicativos infectados pediam acesso à galeria com uma justificativa que parecia razoável, a de anexar imagem ao abrir o chat de suporte, e usavam um módulo de reconhecimento de texto em imagem, com a biblioteca de aprendizado de máquina do Google, para ler o que estava escrito nas fotos da galeria e localizar frases de recuperação de carteira de criptomoeda. Segundo o relatório, os apps envolvidos no Google Play somavam mais de 242 mil downloads na data da publicação. O alvo era dinheiro, não criança, mas o mecanismo é o que interessa aqui: uma permissão concedida por um motivo virou leitura automática de tudo o que existe na galeria. Em 2026 a mesma família de malware voltou a aparecer em apps das duas lojas.

O que fazer hoje. No iPhone, vá em Ajustes, Privacidade e Segurança, Fotos, e percorra a lista inteira, trocando para Fotos Selecionadas ou Nenhum tudo o que não for galeria ou backup. No Android, vá em Configurações, Apps, escolha o aplicativo, Permissões, e faça o mesmo em Fotos e vídeos. Reserve dez minutos: a lista costuma ser longa e a primeira faxina é reveladora.

Porta 2: os álbuns compartilhados que ninguém encerrou

O álbum compartilhado é uma ferramenta ótima e um passivo silencioso. Ele foi criado para a viagem de 2022, para o aniversário de um ano, para o grupo da maternidade, e continua ativo, com participantes que podem ver, baixar e, dependendo da configuração, adicionar outras pessoas.

O problema não é técnico, é de manutenção: ninguém revisa lista de convidado de álbum. Vale abrir agora a aba de compartilhados do seu aplicativo de fotos e responder três perguntas por álbum: este álbum ainda serve para alguma coisa? Eu reconheço todos os participantes? Existe foto de criança aqui que eu não colocaria hoje? Álbum que falha em qualquer uma das três se resolve de duas formas: remover os participantes que sobraram ou encerrar o álbum.

Um detalhe que pega muita gente: em vários serviços, o link de álbum compartilhado funciona para qualquer pessoa que tenha o endereço, mesmo sem conta. Se o link foi para um grupo de WhatsApp em 2023, ele foi para todo mundo que estava naquele grupo, e para quem quer que tenha recebido o reencaminhamento.

Porta 3: as contas ligadas ao mesmo acervo

Sua galeria provavelmente não vive só no seu celular. Ela está no backup da conta, e o backup costuma levar bem mais coisa do que você imagina, como detalhamos em backup automático de fotos: o que sobe sem você escolher. Essa conta, por sua vez, está conectada em outros lugares: o tablet que a criança usa, o notebook antigo, a TV da sala, o computador do trabalho onde você entrou "só para ver uma coisa" e nunca saiu, o celular velho que foi para a gaveta sem ter a conta removida.

O roteiro aqui é simples: abra a página de segurança da sua conta principal, procure a lista de dispositivos conectados e remova tudo o que você não usa mais. Faça o mesmo no aparelho que foi doado, vendido ou passado adiante. Aparelho antigo com conta ativa é o jeito mais comum de o acervo inteiro estar acessível numa gaveta que você esqueceu. Se o aparelho em questão é o celular corporativo, o risco muda de natureza, porque a empresa pode apagar tudo a distância: explicamos em fotos pessoais no celular da empresa.

Porta 4: o celular na mão de outra pessoa

Três situações repetem, e as três têm solução de trinta segundos.

• A criança brincando. O toque acidental que sai do jogo, abre a galeria e envia uma foto para uma conversa é um clássico. No iPhone, ative o Acesso Guiado (Ajustes, Acessibilidade, Acesso Guiado) e prenda o aparelho num aplicativo só, com senha para sair. No Android, ative a Fixação de Tela nas configurações de segurança, com a exigência de senha para desafixar.
• O empréstimo rápido. Alguém pede para fazer uma ligação ou ver uma foto. Abra você mesmo o que a pessoa precisa, e mantenha o hábito de não entregar o aparelho desbloqueado sem contexto.
• A assistência técnica. Antes de deixar o aparelho, faça backup e saia das contas principais, ou leve o aparelho com o mínimo de dados. Se não der, saiba que você está confiando o acervo inteiro a um desconhecido, e escolha bem a assistência.

Para o dia a dia, vale também ocultar o que não precisa estar visível. No iPhone, o álbum Oculto vem bloqueado por padrão desde o iOS 16 e exige Face ID, Touch ID ou senha para abrir, assim como o álbum Apagados Recentemente. No Google Fotos, a Pasta Trancada guarda itens que, segundo a ajuda oficial, não aparecem na grade do app, nas recordações, na pesquisa nem nos álbuns, protegidos pelo bloqueio de tela do aparelho ou pela senha da conta.

Duas ressalvas honestas sobre a Pasta Trancada, ambas na documentação oficial: você perde os itens que não têm backup se desinstalar o app, redefinir o aparelho ou limpar os dados; e os itens com backup contam na cota de armazenamento da sua conta. Ocultar é proteção contra olhar casual, não contra quem tem a sua senha.

Porta 5: a cópia que já saiu

Esta é a única porta que não fecha, e por isso é a mais importante de entender. Toda foto enviada vira uma cópia no aparelho da outra pessoa. Apagar do seu celular, apagar da conversa, apagar da nuvem: nada disso alcança o arquivo que já foi baixado do outro lado. A partir do envio, a foto passa a depender do cuidado, do backup e da higiene digital de outra pessoa.

Isso não é motivo para não enviar nada, é motivo para escolher melhor o que e para onde. Foto de banho, de fralda e de praia sem roupa é o material que mais circula fora de contexto e o mais difícil de recolher. Grupo grande multiplica cópias por dezenas de uma vez. O critério útil, antes de tocar em enviar, é perguntar quantos aparelhos essa imagem vai passar a existir e se você conhece todos eles.

Porta 6: a lixeira que ainda não esvaziou

Apagar não apaga na hora, e isso é bom, porque evita perda por acidente. No iPhone, as fotos apagadas ficam em Apagados Recentemente por 30 dias antes de serem removidas em definitivo do aparelho, do iCloud e dos outros dispositivos ligados à conta. O Google Fotos mantém lixeira com prazo semelhante. Se você apagou uma foto por privacidade, e não por engano, o serviço não terminou: entre na lixeira e apague em definitivo.

A auditoria de vinte minutos

Faça hoje, e repita a cada seis meses. Marque o que já estiver resolvido.

• Abrir a lista de apps com acesso às fotos e trocar tudo o que não for galeria ou backup para acesso limitado ou nenhum.
• Remover a permissão de apps que você não usa mais, e desinstalar o que estiver parado no aparelho há meses.
• Revisar cada álbum compartilhado, conferindo participantes e encerrando os que já cumpriram a função.
• Checar se algum álbum foi compartilhado por link público e desligar o link.
• Abrir a lista de dispositivos conectados à sua conta e remover aparelhos antigos, vendidos ou doados.
• Conferir a câmera que fica ligada dentro de casa, se existir uma. A babá eletrônica de wi-fi é uma porta que ninguém audita, e o que checar nela está em babá eletrônica é segura?.
• Ativar Acesso Guiado ou Fixação de Tela antes da próxima vez que o celular for parar na mão da criança.
• Conferir se o álbum oculto está bloqueado por biometria, e mover para lá o que não precisa ficar visível.
• Esvaziar a lixeira do que foi apagado por privacidade.
• Confirmar que existe backup do que importa antes de qualquer faxina. A ordem certa está em backup de fotos do bebê.

Onde o Memmora entra nisso

A raiz do problema é que a galeria do celular é um lugar de passagem: ela guarda o recibo, o print da conversa, a foto do documento (que merece um lugar próprio, fora da galeria) e as memórias do seu filho no mesmo balde, e é justamente por ser um balde único que tanta gente e tanto aplicativo precisa de acesso a ela.

No Memmora, as memórias do seu filho não moram no meio disso. Cada registro entra numa linha do tempo privada, com data e idade, e o acesso é por convite nominal: você escolhe quem entra e o que cada pessoa vê, sem link solto, sem álbum esquecido e sem aplicativo de terceiro lendo o acervo por tabela. Se a auditoria acima mostrou mais portas abertas do que você esperava, crie sua conta e comece movendo para lá as fotos deste mês.

O que levar deste texto

A foto do seu filho não precisa ser publicada para estar acessível. Aplicativos com acesso total leem a galeria inteira, hoje e no futuro, e o caso SparkCat, documentado pela Kaspersky em fevereiro de 2025 em apps com mais de 242 mil downloads no Google Play, mostrou que essa permissão pode virar leitura automática do conteúdo das imagens. Álbuns compartilhados esquecidos e contas ligadas a aparelhos antigos são portas abertas que ninguém revisa. Acesso Guiado no iPhone e Fixação de Tela no Android resolvem o celular na mão da criança, o álbum Oculto vem bloqueado por biometria desde o iOS 16 e a Pasta Trancada do Google Fotos esconde itens da grade, das recordações, da pesquisa e dos álbuns, com a ressalva de que o que não tem backup se perde ao desinstalar o app. Duas coisas não voltam: a cópia que já foi enviada e o que você não apagou da lixeira. Vinte minutos hoje fecham cinco das seis portas.