A primeira providência não é instalar uma ferramenta de verificação de idade, mas descobrir quais obrigações realmente incidem sobre a operação.
A entrada em vigor da Lei nº 15.211/2025, conhecida como ECA Digital, criou uma dúvida recorrente entre empresas, escolas, plataformas, desenvolvedores, organizações sociais e órgãos públicos: afinal, quais produtos e serviços precisam se adequar?
A resposta não depende apenas do público declarado pela organização. Um aplicativo não precisa ter sido desenvolvido especialmente para crianças para estar sujeito à lei. Da mesma forma, a simples possibilidade de um adolescente acessar determinado site não significa, automaticamente, que todas as obrigações do ECA Digital deverão ser implementadas da mesma maneira.
A análise exige considerar as características do produto ou serviço, suas funcionalidades, o público efetivamente alcançado, a facilidade de acesso, a atratividade para crianças e adolescentes e os riscos gerados para sua privacidade, segurança, saúde e desenvolvimento.
Por isso, a primeira etapa de um programa de adequação não deve ser a compra de uma tecnologia de verificação de idade nem a elaboração de uma nova política de privacidade. O ponto de partida deve ser um diagnóstico jurídico de aplicabilidade.
O ECA Digital não se aplica apenas a serviços criados para crianças
A Lei nº 15.211/2025 aplica-se aos produtos e serviços de tecnologia da informação direcionados a crianças e adolescentes no Brasil ou de acesso provável por esse público.
Esse conceito pode alcançar aplicativos, plataformas educacionais, jogos eletrônicos, redes sociais, serviços de streaming, marketplaces, comunidades digitais, programas de fidelidade, sistemas de inteligência artificial, softwares, lojas de aplicativos, sistemas operacionais e outros serviços prestados por meio eletrônico.
Uma empresa que afirma atender somente adultos não está, apenas por essa declaração, fora do alcance da lei. Será necessário verificar se crianças e adolescentes utilizam o serviço, se conseguem criar contas, se interagem com outros usuários, se visualizam ou compartilham conteúdo, se recebem publicidade ou recomendações personalizadas e se estão expostos a riscos relevantes.
O contrário também é verdadeiro. Nem todo site institucional, página informativa ou ambiente com acesso aberto precisará implementar todos os mecanismos previstos na legislação. A lei determina que as obrigações sejam aplicadas conforme as características e funcionalidades do serviço, o porte do fornecedor, o número de usuários e seu grau de interferência sobre o conteúdo disponibilizado.
O Decreto nº 12.880/2026 estabelece uma hipótese específica para a aferição de idade: provedores de conteúdos jornalísticos e esportivos que não estejam sujeitos à classificação indicativa e que sejam submetidos a controle editorial ficam dispensados dessa medida. A dispensa não alcança automaticamente qualquer site de notícias, blog ou portal. É necessário verificar a natureza do serviço, a existência efetiva de controle editorial e as demais funcionalidades oferecidas.
A conclusão, portanto, não pode ser baseada em uma pergunta genérica como “menores conseguem entrar no meu site?”. É necessário compreender o serviço e a experiência digital oferecida.
Acesso provável precisa ser avaliado de maneira documentada
O ECA Digital considera elementos como a probabilidade de utilização do serviço por crianças e adolescentes, sua atratividade, a facilidade de acesso e o grau de risco à privacidade, à segurança e ao desenvolvimento biopsicossocial.
Essa avaliação deve observar o que acontece na prática. A classificação interna do público-alvo, isoladamente, pode não ser suficiente se os dados de utilização, o conteúdo, a linguagem, as campanhas ou as próprias funcionalidades demonstrarem presença relevante de usuários menores de idade.
Também devem ser considerados os caminhos indiretos de acesso. Uma empresa pode oferecer uma solução para escolas, clínicas, organizações sociais ou outras empresas e, mesmo sem contratar diretamente com crianças ou adolescentes, participar da estrutura que viabiliza a experiência digital desse público.
O diagnóstico deve identificar qual é o papel de cada organização. Uma escola que contrata uma plataforma educacional, por exemplo, não ocupa necessariamente a mesma posição jurídica da empresa que desenvolve e opera o sistema. Ainda assim, precisa avaliar os fornecedores escolhidos, os dados tratados, os recursos disponibilizados aos alunos e os riscos decorrentes da utilização da tecnologia.
O mesmo raciocínio vale para órgãos públicos, instituições de saúde, associações, projetos sociais e empresas que utilizam soluções digitais desenvolvidas por terceiros. Antes de aplicar um checklist uniforme, é preciso delimitar responsabilidades.
Toda empresa precisa verificar a idade dos usuários?
Não necessariamente.
A legislação distingue situações de acordo com o conteúdo, as funcionalidades e os riscos do serviço. Quando o fornecedor disponibiliza conteúdo, produto ou serviço impróprio, inadequado ou proibido para menores de 18 anos, deve adotar medidas efetivas para impedir o acesso, não sendo suficiente solicitar que o usuário apenas declare sua idade.
Nos demais produtos e serviços direcionados a crianças e adolescentes ou de acesso provável por eles, a lei exige mecanismos capazes de proporcionar uma experiência adequada à idade. A medida concretamente necessária dependerá do risco e das características da operação. Pode ser necessário reconhecer a faixa etária do usuário, receber um sinal de idade fornecido por sistema operacional, loja de aplicativos ou outro serviço digital, adotar configurações mais protetivas por padrão ou restringir determinadas funcionalidades.
Isso não significa que toda plataforma possa dispensar a aferição de idade apenas porque configurou seu serviço de maneira mais protetiva. A organização precisa demonstrar que a solução escolhida é proporcional aos riscos e efetiva para cumprir as obrigações aplicáveis. Quando houver conteúdo proibido, impróprio ou inadequado, as exigências de restrição e verificação são mais rigorosas.
Verificação de idade não autoriza a criação de um banco de documentos
A implementação de mecanismos de aferição de idade não autoriza a coleta indiscriminada de documentos ou dados biométricos.
O art. 24, § 3º, do Decreto nº 12.880/2026 estabelece que, quando houver coleta de documentos, o tratamento deverá limitar-se ao dado relativo à idade ou à confirmação da faixa etária. A imagem, a cópia do documento e as demais informações utilizadas na captura devem ser eliminadas de maneira imediata e irreversível após a obtenção do dado necessário.
Portanto, a criação de um banco de cópias de documentos de identidade para comprovar a idade dos usuários, quando realizada com essa finalidade, contraria diretamente o decreto. Além de representar coleta excessiva, essa retenção aumenta a exposição dos titulares a vazamentos, fraudes documentais e outros incidentes de segurança.
A organização também precisa examinar o fornecedor da solução, a finalidade do tratamento, os dados efetivamente acessados, o período de retenção, as medidas de segurança, a possibilidade de contestação e a existência de métodos alternativos menos invasivos.
Adequação ao ECA Digital não se resume à LGPD
A existência de um programa de proteção de dados ajuda, mas não significa que a organização já esteja adequada ao ECA Digital.
A LGPD oferece uma base importante para o mapeamento de dados, definição de responsabilidades, gestão de fornecedores, segurança da informação e elaboração de relatórios de impacto. O ECA Digital, porém, acrescenta uma análise específica sobre a experiência digital de crianças e adolescentes.
Essa análise alcança o próprio desenho do produto.
Configurações de privacidade, sistemas de recomendação, reprodução automática de conteúdo, rolagem contínua, notificações excessivas, recompensas por tempo de uso e caminhos que dificultem a desativação de salvaguardas podem precisar ser revistos.
Também entram nessa avaliação a classificação indicativa, a comunicação entre usuários, os riscos de contato com adultos, a publicidade, a monetização, o perfilamento, a geolocalização, os controles parentais, os mecanismos de denúncia, os recursos de contestação e a atuação diante de conteúdos que violem direitos de crianças e adolescentes.
Nos serviços que utilizam inteligência artificial generativa ou agentes conversacionais, o Decreto nº 12.880/2026 ainda exige transparência sobre o caráter automatizado da interação, prevenção da manipulação comportamental, avaliação de riscos algorítmicos e salvaguardas para o desenvolvimento físico, mental e psicossocial dos usuários menores de idade.
Uma política de privacidade bem redigida não corrige, sozinha, uma funcionalidade que estimula uso compulsivo, um sistema de publicidade baseado em perfilamento ou um canal de denúncia que não funciona.
Como estruturar um programa de compliance para o ECA Digital
Um programa consistente pode ser organizado em quatro movimentos: diagnóstico, gestão de riscos, implementação e governança.
O diagnóstico começa pela definição do escopo. A organização precisa identificar quais produtos e serviços digitais opera, quais públicos alcança, quais funcionalidades disponibiliza e qual é sua capacidade de interferir na experiência dos usuários. A partir desses elementos, é possível concluir se o ECA Digital se aplica e quais obrigações incidem sobre cada operação.
Confirmada a aplicabilidade, inicia-se a avaliação de conformidade e riscos. Nessa etapa são examinados dados pessoais, jornadas de usuários, faixas etárias, cadastros, conteúdos, interações, publicidade, perfilamento, mecanismos de recomendação, aferição de idade, controles parentais, fornecedores, denúncias, moderação e resposta a situações de risco. O resultado deve ser uma matriz que apresente as lacunas encontradas, sua gravidade, as medidas recomendadas e as prioridades de tratamento.
A implementação transforma esse diagnóstico em providências concretas. Isso pode envolver a revisão de termos, contratos, avisos de privacidade, políticas internas, procedimentos de denúncia, regras de publicidade, critérios de moderação, mecanismos de contestação, processos de consentimento e orientações destinadas às equipes de produto e tecnologia. Quando forem necessárias alterações no aplicativo, na plataforma ou no serviço, os requisitos jurídicos precisam ser traduzidos em especificações que possam ser executadas e posteriormente verificadas. Nesta fase também ocorre a estruturação dos canais de denúncia e dos respectivos fluxos de atendimento.
Por fim, a governança organiza as evidências produzidas, define responsabilidades e estabelece como os riscos serão acompanhados. Também compreende a manutenção dos fluxos de atendimento e denúncia, a revisão de novas funcionalidades e o monitoramento de alterações regulatórias. A conformidade, portanto, não termina com a publicação de uma política.
A organização precisa conseguir demonstrar o que fez
O ECA Digital adota uma lógica de prevenção, proporcionalidade e prestação de contas. Isso significa que não basta afirmar que a proteção de crianças e adolescentes é uma prioridade institucional.
A organização precisa demonstrar como avaliou a aplicabilidade da lei, quais riscos identificou, por que escolheu determinadas medidas e como verifica sua efetividade.
Essa documentação pode incluir o parecer de aplicabilidade, a matriz de obrigações, o registro de riscos, as decisões sobre aferição de idade, as avaliações de fornecedores, os procedimentos de denúncia, os treinamentos realizados, as alterações implementadas e os registros de acompanhamento.
Essa preocupação é ainda mais importante diante da atuação da ANPD. A Agência já abriu um canal específico para denúncias relacionadas ao ECA Digital, iniciou ações de monitoramento e incluiu em sua agenda regulatória temas como aferição de idade, escopo de aplicação, obrigações gerais, fiscalização e sanções.
As penalidades do ECA Digital
O descumprimento do ECA Digital pode resultar em advertência, com prazo de até 30 dias para adoção de medidas corretivas, e multa de até 10% do faturamento do grupo econômico no Brasil no último exercício.
Quando não houver faturamento disponível, a multa poderá variar de R$ 10 a R$ 1.000 por usuário cadastrado, limitada a R$ 50 milhões por infração. A lei também prevê suspensão temporária e proibição do exercício das atividades. Advertências e multas são aplicadas pela ANPD, enquanto a suspensão e a proibição de atividades dependem de decisão judicial.
A atuação regulatória já produz consequências concretas.
Em agosto de 2026, a ANPD aplicou multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, em decisão administrativa sujeita a recurso, por irregularidades no tratamento de dados de crianças e adolescentes. Essa multa foi fundamentada na LGPD, e não nas penalidades do ECA Digital, mas o caso é relevante porque revela a expectativa da autoridade: não basta anunciar mecanismos de proteção; a empresa precisa apresentar evidências concretas de sua implementação e efetividade.
Além da multa e da determinação de eliminação dos dados coletados irregularmente, o TikTok deverá cumprir um plano de conformidade. Entre as medidas estão configurações mais restritivas para menores de 16 anos, reforço da supervisão parental, filtros de conteúdo, suspensão de anúncios na experiência sem cadastro e redução do tratamento de dados.
Também em agosto de 2026, a ANPD determinou preventivamente que o Discord suspendesse sua funcionalidade de transmissões ao vivo no Brasil. A medida foi baseada no ECA Digital e deverá permanecer até que a plataforma demonstre a adoção e a efetividade de medidas técnicas, de segurança e de governança adequadas aos riscos identificados.
A plataforma como um todo não foi bloqueada e ainda não houve aplicação de sanção definitiva nesse processo. A medida atingiu especificamente as transmissões ao vivo e recursos equivalentes, que, segundo a ANPD, apresentavam riscos graves para crianças e adolescentes e não contavam com mecanismos preventivos suficientemente demonstrados.
Os dois casos mostram que políticas, termos de uso e declarações institucionais não bastam. A autoridade está examinando o funcionamento real dos produtos, a efetividade dos controles e as evidências mantidas pelas organizações.
Por que contratar uma consultoria para adequação ao ECA Digital?
O ECA Digital contém conceitos abertos, obrigações proporcionais ao risco e exigências que variam conforme o público, o conteúdo, as funcionalidades e o modelo de negócio. Por isso, copiar um checklist ou instalar isoladamente uma ferramenta de verificação de idade não garante conformidade.
Uma consultoria especializada começa pela definição do enquadramento. É necessário identificar quais produtos e serviços estão sujeitos à lei, quais obrigações realmente incidem e quais medidas seriam excessivas, insuficientes ou incompatíveis com a privacidade dos usuários.
Em seguida, a consultoria transforma as exigências legais em providências que possam ser executadas pelas áreas responsáveis. Isso envolve gestão de riscos, revisão de documentos e contratos, definição de procedimentos, orientação às equipes de produto, marketing, atendimento e tecnologia e acompanhamento das medidas adotadas.
O trabalho também permite organizar as evidências de conformidade. Em uma fiscalização, não basta a organização afirmar que protege crianças e adolescentes. Ela precisa demonstrar quais riscos avaliou, por que escolheu determinada solução, como implementou os controles e de que maneira acompanha sua efetividade.
A regulamentação ainda está em desenvolvimento e novas orientações da ANPD poderão exigir revisões. A adequação, portanto, não deve ser tratada como uma entrega documental isolada, mas como um programa proporcional às características da operação e capaz de acompanhar suas mudanças.
Uma consultoria especializada reduz dois riscos opostos: deixar de implementar uma medida obrigatória ou adotar controles excessivos, caros e invasivos que não eram necessários para aquela operação. O trabalho permite definir o enquadramento, priorizar riscos, transformar a lei em providências executáveis e produzir evidências capazes de demonstrar a diligência da organização.
O José Milagre Advogados atua no diagnóstico de aplicabilidade do ECA Digital, na avaliação de riscos, na elaboração e revisão de políticas, contratos e procedimentos, no acompanhamento da implementação e na estruturação da governança necessária à continuidade do programa.
Sua organização ainda não sabe se o ECA Digital se aplica aos seus produtos ou serviços? Precisa revisar uma plataforma, aplicativo ou operação digital já existente? Entre em contato com o José Milagre Advogados e solicite uma avaliação especializada.
