O que é o ECA Digital e quais empresas precisam observá-lo?

Resposta direta

O ECA Digital é a Lei nº 15.211/2025, oficialmente denominada Estatuto Digital da Criança e do Adolescente. A norma está em vigor desde 17 de março de 2026 e estabelece deveres de proteção para fornecedores de produtos e serviços de tecnologia da informação direcionados a crianças e adolescentes no Brasil ou de acesso provável por esse público. Ela não se limita a redes sociais, aplicativos infantis ou grandes plataformas.

Isso também não significa que toda empresa com um site esteja sujeita a todas as obrigações da lei. O enquadramento depende do produto ou serviço, do público real e provável, das funcionalidades, dos riscos, do papel exercido na cadeia digital e, em diversos pontos, do porte e do número de usuários. A primeira providência, portanto, é determinar se há incidência da lei e quais deveres correspondem à atuação concreta da empresa.

O que o ECA Digital acrescenta ao sistema de proteção

O ECA Digital não substitui o Estatuto da Criança e do Adolescente, a LGPD, o Código de Defesa do Consumidor ou o Marco Civil da Internet. Ele se soma a esse conjunto e detalha medidas próprias para ambientes digitais.

O ponto de partida continua sendo a proteção integral e o melhor interesse da criança e do adolescente. No ambiente digital, esses princípios se traduzem em deveres como prevenir riscos previsíveis, oferecer experiências adequadas à idade, adotar configurações protetivas por padrão, reduzir a exposição a conteúdos impróprios ou proibidos e prestar informações compreensíveis.

A lei também distribui responsabilidades entre diferentes participantes da cadeia tecnológica. Uma loja de aplicativos não exerce a mesma função de uma rede social; um sistema operacional não controla os mesmos elementos que uma plataforma de vídeos; uma empresa que apenas mantém um site institucional não se confunde com um serviço que recomenda conteúdo, permite criação de perfis ou monetiza publicações. Essa diferença é essencial para evitar tanto a omissão quanto a aplicação mecânica de obrigações que pertencem a outro agente.

A quais empresas a lei pode se aplicar

A Lei nº 15.211/2025 alcança produtos e serviços de tecnologia da informação que sejam direcionados a crianças ou adolescentes ou cujo acesso por eles seja provável. O critério não depende apenas da declaração do fornecedor sobre seu público-alvo.

Podem exigir análise, entre outros exemplos:

• redes sociais, plataformas de vídeo, áudio, transmissão ao vivo e compartilhamento de conteúdo;
• jogos eletrônicos, lojas de jogos, aplicativos e serviços com recursos de interação;
• lojas de aplicativos e fornecedores de sistemas operacionais;
• plataformas educacionais, recreativas ou de comunicação usadas por menores de idade;
• marketplaces, comunidades, fóruns e serviços que permitam contas, mensagens ou conteúdo gerado por usuários;
• serviços de publicidade, recomendação, impulsionamento ou monetização de conteúdo;
• produtos conectados ou experiências digitais capazes de tratar dados ou apresentar conteúdo a esse público.

A lista não é automática nem exaustiva. Uma solução empresarial B2B com acesso restrito pode apresentar baixo potencial de uso por menores, enquanto um aplicativo descrito como “para maiores” pode, pela linguagem, facilidade de cadastro, conteúdo ou popularidade, ter acesso provável por crianças ou adolescentes.

A lei também possui alcance extraterritorial. Um fornecedor sediado fora do Brasil pode estar sujeito às regras quando oferecer ou operar produto ou serviço abrangido para o público brasileiro. Em certas hipóteses, a norma ainda exige representante legal no País.

Como identificar o acesso provável por crianças e adolescentes

“Acesso provável” não equivale a qualquer possibilidade abstrata de visita. A lei orienta a análise por elementos como probabilidade de uso, atratividade do produto, facilidade de acesso e risco significativo à privacidade, à segurança, ao desenvolvimento ou ao bem-estar.

Na prática, a empresa deve observar dados e características reais, por exemplo:

• linguagem, temas, personagens e estética do serviço;
• classificação indicativa e natureza dos conteúdos disponíveis;
• idade informada ou aferida na criação de contas;
• facilidade de contornar restrições etárias;
• métricas agregadas e pesquisas sobre o público, quando lícitas e disponíveis;
• presença de jogos, recompensas, desafios, chats ou recursos sociais atraentes para menores;
• campanhas de divulgação e canais em que o produto é promovido;
• histórico de denúncias, incidentes e sinais de uso por crianças ou adolescentes;
• gravidade do dano possível mesmo quando o número de usuários menores seja reduzido.

A autodeclaração de idade, isoladamente, não resolve toda a análise. Em situações para as quais a lei exige mecanismo confiável — especialmente acesso a conteúdo, produto ou serviço impróprio, inadequado ou proibido para menores de 18 anos — uma simples caixa “sou maior de idade” não atende à exigência legal.

Quais são os principais grupos de obrigações

Segurança, privacidade e prevenção desde a concepção

Fornecedores abrangidos devem considerar os riscos a crianças e adolescentes desde o desenho do produto. Isso inclui configurações protetivas por padrão, coleta limitada de dados, controles coerentes com a faixa etária, prevenção de contatos nocivos e medidas para reduzir exposição a exploração, violência, assédio, dependência ou práticas comerciais abusivas.

O dever não se resume a publicar um aviso. A lei exige medidas concretas e compatíveis com as funcionalidades e os riscos sobre os quais o fornecedor tenha capacidade de interferência.

Aferição de idade e experiências adequadas

O ECA Digital distribui tarefas entre lojas de aplicativos, sistemas operacionais e fornecedores de aplicações. Há previsão de sinais de idade, mecanismos próprios em situações determinadas e proteção da privacidade durante a aferição.

Isso não autoriza coleta excessiva de documentos ou criação indiscriminada de bancos de dados de identidade. A solução deve ser confiável, proporcional ao risco, segura e limitada à finalidade. A regulamentação técnica da ANPD segue sendo atualizada, razão pela qual implementações devem acompanhar os atos oficiais vigentes, e não apenas versões submetidas a consulta pública.

Supervisão parental e autonomia progressiva

A supervisão parental é uma salvaguarda, não uma autorização para vigilância ilimitada. Os mecanismos devem respeitar o desenvolvimento gradual da autonomia, informar de modo acessível o que está sendo controlado e evitar práticas que criem novos riscos de privacidade ou segurança.

Além disso, consentimento ou supervisão dos responsáveis não afastam o melhor interesse nem validam funcionalidades proibidas. A criança e o adolescente permanecem sujeitos de direitos próprios.

Publicidade, perfilamento e monetização

A lei proíbe o uso de perfilamento para publicidade direcionada a crianças e adolescentes e restringe técnicas como análise emocional e recursos imersivos utilizados para esse fim. O Decreto nº 12.880/2026 também reforça que publicidade que explore a deficiência de julgamento e experiência da criança é abusiva.

Existem regras específicas para conteúdo monetizado ou impulsionado que explore habitualmente a imagem ou a rotina de criança ou adolescente. Esse tema exige análise conjunta do Decreto, do ECA, das normas de consumo e da Resolução CNJ nº 687/2026, abordada em detalhe no artigo sobre crianças em vídeos de influenciadores.

Contas, conteúdo e mecanismos de denúncia

Redes sociais e serviços com conteúdo gerado por usuários precisam observar regras próprias sobre contas de menores, vinculação a responsáveis em hipóteses legais, comunicação acessível, denúncia e tratamento de conteúdo violador.

Remoção não deve ser confundida com censura automática ou sem procedimento. A lei especifica legitimados, hipóteses, deveres de informação e mecanismos de contestação. O desenho do fluxo deve considerar simultaneamente proteção urgente, liberdade de expressão e devido processo.

Transparência e prestação de contas

Algumas obrigações de relatório dependem do tipo de provedor e do volume de usuários crianças e adolescentes. A exigência de relatório periódico aplicável a grandes serviços não deve ser generalizada para qualquer pequena empresa.

Mesmo quando um relatório público específico não seja exigido, registros internos podem ser necessários para demonstrar análise de risco, decisões de produto, respostas a incidentes, tratamento de denúncias e conformidade com LGPD, consumo e demais normas aplicáveis.

Checklist inicial de enquadramento e adequação

Este checklist organiza a investigação, mas não substitui a análise do produto e da operação:

• Descrever cada produto, serviço, funcionalidade e fluxo de dados disponível no Brasil.
• Identificar o público declarado e reunir evidências sobre o público real ou provável.
• Avaliar atratividade, facilidade de acesso e riscos relevantes para menores de idade.
• Definir o papel da empresa: aplicação, plataforma, loja, sistema operacional, anunciante, intermediário ou outro fornecedor.
• Mapear criação de contas, perfis, mensagens, recomendações, compras, publicidade e monetização.
• Separar conteúdos permitidos, inadequados e legalmente proibidos para cada faixa etária.
• Revisar aferição de idade sem depender apenas de autodeclaração quando a lei exigir mecanismo confiável.
• Testar configurações protetivas por padrão e mecanismos de supervisão parental.
• Mapear dados de crianças e adolescentes, bases legais, necessidade, retenção, segurança e transparência.
• Revisar publicidade, perfilamento, impulsionamento, recompensas e técnicas de engajamento.
• Criar fluxo acessível de denúncia, resposta, remoção e contestação.
• Documentar responsáveis internos, decisões, riscos, controles, incidentes e revisões periódicas.
• Verificar obrigações de representação no Brasil, relatórios e comunicação com autoridades.
• Acompanhar atos da ANPD e atualizar controles quando a regulamentação técnica mudar.

O que a empresa não deve concluir de forma automática

Não é correto presumir que a lei se aplica apenas a negócios “infantis”. Também não é correto presumir que toda empresa digital está submetida ao mesmo conjunto de deveres.

Porte reduzido não gera isenção geral. Por outro lado, a própria lei admite modulação conforme características do serviço, capacidade de interferência, número de usuários e dimensão do fornecedor. Proporcionalidade não significa ausência de responsabilidade; significa identificar o dever certo para o agente certo.

Da mesma forma, inserir idade mínima nos termos de uso não demonstra, por si só, que o acesso de menores seja improvável. Obter autorização dos pais tampouco legitima publicidade abusiva, tratamento desnecessário de dados, exposição degradante ou acesso a conteúdo proibido.

A regulamentação da ANPD e o cuidado com materiais preliminares

A ANPD é a autoridade responsável pela regulamentação e fiscalização administrativa do ECA Digital, sem excluir competências de outros órgãos do sistema de garantia de direitos.

Em agosto de 2026, a Agência mantém cronograma de implementação, orientações preliminares e processos regulatórios sobre aferição de idade, escopo e fiscalização. Esses materiais são úteis para planejamento, mas uma minuta em tomada de subsídios não deve ser citada como se fosse resolução vigente.

A empresa deve separar três camadas: o que já decorre diretamente da lei e do decreto; o que já foi formalmente regulamentado; e o que permanece em orientação preliminar ou processo de regulamentação. O acompanhamento precisa ser contínuo.

Perguntas frequentes sobre o ECA Digital

1. O ECA Digital já está em vigor?

Sim. A Lei nº 15.211/2025 entrou em vigor em 17 de março de 2026. O fato de parte da regulamentação técnica continuar em desenvolvimento não suspende as obrigações já definidas na lei e no Decreto nº 12.880/2026.

2. O ECA Digital substituiu o ECA tradicional?

Não. Ele complementa a proteção prevista no Estatuto da Criança e do Adolescente e deve ser interpretado em conjunto com Constituição, LGPD, CDC, Marco Civil e normas setoriais.

3. Toda empresa que possui um site precisa cumprir todas as regras?

Não. É necessário avaliar se há produto ou serviço de tecnologia direcionado a menores ou de acesso provável por eles e, depois, identificar as obrigações correspondentes ao papel e às funcionalidades da empresa.

4. A lei vale apenas para redes sociais?

Não. Ela alcança diferentes produtos e serviços de tecnologia da informação. Redes sociais possuem deveres específicos, mas jogos, lojas de aplicativos, sistemas operacionais e outros serviços também podem ser abrangidos.

5. Uma empresa estrangeira pode estar sujeita à lei?

Sim. A localização fora do Brasil não exclui a incidência quando o produto ou serviço se enquadra nos critérios legais em relação ao público brasileiro.

6. Informar idade mínima nos termos de uso é suficiente?

Não necessariamente. A empresa precisa avaliar o acesso provável e cumprir mecanismos de aferição ou restrição exigidos para cada situação. Uma cláusula não substitui medidas técnicas e operacionais aplicáveis.

7. A autodeclaração de idade sempre é válida?

Não. Para acesso a conteúdo, produto ou serviço impróprio, inadequado ou proibido a menores de 18 anos, a lei exige mecanismo confiável e veda depender apenas de autodeclaração.

8. Consentimento dos pais resolve todas as obrigações?

Não. Consentimento não afasta melhor interesse, necessidade, segurança, regras de publicidade, proteção contra exploração ou proibições de conteúdo. Também não é a única base legal prevista na LGPD.

9. Pequenas empresas estão isentas?

Não há isenção geral apenas pelo porte. Algumas obrigações e formas de cumprimento podem ser moduladas, mas o enquadramento depende do serviço, do risco e das regras específicas.

10. Qual deve ser o primeiro passo de adequação?

Mapear produtos, público, funcionalidades, dados, conteúdo, publicidade e agentes da cadeia. Sem esse diagnóstico, a empresa corre o risco de aplicar controles genéricos ou deixar de tratar uma obrigação relevante.

Conteúdos e serviço relacionados

Para aprofundar a análise operacional, consulte crianças em vídeos de influenciadores: quais são os limites legais? e quais documentos jurídicos uma empresa digital precisa manter.

Conheça também a página de assessoria em ECA Digital para empresas, com informações sobre escopo, documentos e limites da atuação jurídica.

Avaliação jurídica do caso concreto

O enquadramento no ECA Digital depende de fatos técnicos e operacionais que não podem ser resolvidos apenas com um modelo de política ou checklist. Para solicitar uma avaliação individualizada do produto, dos fluxos e das obrigações potencialmente aplicáveis, acesse a página de contato. Este conteúdo é informativo e não substitui a análise jurídica do caso concreto.