“ECA Digital”: Novo Marco de Proteção On-line para Crianças e Adolescentes

Em resumo

Foi sancionada em 17/09/2025 a Lei nº 15.211, denominada Estatuto Digital da Criança e do Adolescente (“ECA Digital”). A Lei, que em muitos de seus aspectos ainda estará sujeita à regulamentação pelo Executivo, estabelece um marco regulatório abrangente para a proteção de crianças e adolescentes em ambientes digitais, aplicando-se a produtos e serviços de tecnologia da informação direcionados ou com acesso provável por esse público, independentemente da localização ou natureza da operação.

A Quem se Aplica

A Lei abrange aplicações de internet (destacando regras específicas para redes sociais), programas de computador, jogos eletrônicos, sistemas operacionais e lojas de aplicativos, quando direcionadas ou acesso provável a menores. Funcionalidades essenciais, como protocolos e padrões técnicos abertos, estão excluídas.

Proteção Desde a Concepção

Os produtos e serviços devem adotar, por padrão, o modelo mais protetivo de privacidade, segurança e proteção de dados, com base no melhor interesse do menor. É vedado o tratamento de dados pessoais que viole direitos ou facilite riscos à privacidade.

Considera-se como expressão do melhor interesse da criança e do adolescente a proteção de sua privacidade, segurança, saúde mental e física, acesso à informação, liberdade de participação na sociedade, acesso significativo às tecnologias digitais e bem-estar.

Medidas de Proteção

Os fornecedores devem prevenir e mitigar riscos relacionados à exposição, recomendação ou contato com conteúdo relacionado à exploração e abuso sexual, violência, assédio, cyberbullying, automutilação, suicídio, dependência de determinados produtos, apostas e práticas publicitárias predatórias e lesivas, e conteúdo pornográfico. Também devem avaliar o conteúdo disponibilizado a menores de acordo com a faixa etária aplicável.

Devem ainda operar com configurações protetivas por padrão, oferecer informações claras para escolhas informadas, realizar gestão de riscos, classificar conteúdo por faixa etária, impedir acesso a conteúdo ilegal e informar claramente a faixa etária indicada.

Para conteúdo, produtos ou serviços impróprios ou proibidos a menores de 18 anos, exige-se verificação de idade confiável a cada acesso, vedada a autodeclaração como método para tanto. Os dados coletados para tal fim não deverão ser utilizados de outras maneiras. Além disso, provedores de conteúdo pornográfico devem impedir criação de contas por menores.

Requisitos para Lojas de Aplicativos e Sistemas Operacionais

Lojas de aplicativos e sistemas operacionais devem aferir a idade/faixa etária por meios proporcionais e auditáveis, permitir configuração de supervisão parental e sinalizar a idade aos aplicativos via API com minimização de dados.

A Lei determina que ato do Poder Executivo regulamentará os requisitos mínimos de transparência, segurança e interoperabilidade para os mecanismos de aferição de idade e supervisão parental adotados pelos sistemas operacionais e lojas de aplicativos. Já os fornecedores de serviços devem adotar medidas técnicas e organizacionais para garantir o recebimento das informações acerca da idade e impedir o acesso indevido de crianças e adolescentes. Além disso, a despeito das informações recebidas por lojas de aplicativos e sistemas operacionais, devem implementar mecanismos próprios para prevenir que menores tenham acesso a conteúdo impróprio de acordo com a faixa etária aplicável. O download por menores depende de consentimento livre e informado dos responsáveis.

Na hipótese de fundada suspeita de que determinada conta está sendo utilizada por um menor de forma indevida, deverão ser tomadas medidas para verificação, e possível suspensão da conta.

Supervisão Parental

Fornecedores devem disponibilizar ferramentas de supervisão parental acessíveis, com aviso claro quando ativadas, e funcionalidades para limitar e monitorar tempo de uso, comunicação, conteúdo e transações. Quando o tratamento dos dados pessoais relacionados não for estritamente necessário, exige-se mapeamento de riscos e relatório de impacto compartilhável com a autoridade.

Dentre outras medidas, os fornecedores deverão: (i) disponibilizar em local de fácil acesso, informações aos pais ou responsáveis legais sobre as ferramentas existentes para o exercício da supervisão parental; (ii) exibir aviso claro e visível quando as ferramentas de supervisão parental estiverem em vigor e sobre quais configurações ou controles foram aplicados; e (iii) oferecer funcionalidades que permitam limitar e monitorar o tempo de uso do produto ou serviço.

As configurações padrões dos mecanismos de supervisão parental deverão ser as mais protetivas o possível, incluindo a restrição de comunicação entre menores e usuários não autorizados, limitações às ferramentas que aumentem artificialmente o tempo de uso do produto, controle sobre sistemas de recomendação personalizada de conteúdo, dentre outros.

Monitoramento Infantil

Os produtos de monitoramento infantil devem garantir inviolabilidade das informações e informar crianças e adolescentes, em linguagem apropriada, sobre o monitoramento. Além disso, os produtos ou serviços deverão conter mecanismos que informem as crianças e os adolescentes, em linguagem apropriada, acerca da realização do monitoramento.

Caixas de Recompensas (Loot Boxes)

As loot boxes são proibidas em jogos eletrônicos direcionados ou de possível acesso por crianças e adolescentes, nos termos da respectiva classificação indicativa.

Publicidade e Monetização

É vedado o uso de perfilamento e análise emocional, realidade aumentada ou virtual para direcionamento de publicidade comercial a menores. Proíbe-se monetização e o impulsionamento de conteúdos que “adultizem” crianças e adolescentes. Em redes sociais, contas de até 16 anos devem ser vinculadas a um responsável. Se o serviço for inadequado a menores, deve-se informar de modo destacado. Havendo indícios de operação irregular, a conta deve ser suspensa com recurso célere.

Obrigação de Reportar Conteúdo às Autoridades

Fornecedores devem remover e reportar conteúdo de aparente exploração, abuso sexual, sequestro e aliciamento identificado em seus produtos ou serviços às autoridades nacionais e internacionais. Deverão também reter, no mínimo por 6 meses, os seguintes dados: conteúdo gerado ou compartilhado por qualquer usuário relacionado ao reporte, bem como metadados, e os dados do usuário responsável e seus metadados. Os requisitos de tais reportes estarão sujeitos à regulamentação futura.

Os provedores também deverão oferecer mecanismo de notificação e a remoção do conteúdo que viole direitos de menores quando comunicados por vítima, representantes, MP ou entidades, sem a necessidade de ordem judicial, observando determinados requisitos formais. Além disso, deverão tomar uma série de precauções para evitar o uso abusivo de tais canais por terceiros mal-intencionados.

Direitos Procedimentais para Usuários

A Lei também determina que na hipótese de remoção de conteúdo após denúncias, devem ser assegurados direitos procedimentais aos usuários envolvidos, dentre os quais: o de ser notificado sobre a remoção, incluindo as razões e justificativas para tanto. Devem também ser informados: se a identificação do conteúdo se deu por uma ação humana ou automatizada, a possibilidade de recurso, e os prazos para recorrer e resposta ao recurso.

Transparência e Prestação de Contas

Provedores com mais de 1.000.000 de usuários menores no Brasil devem publicar relatórios semestrais, no sítio eletrônico do provedor, que contenha, dentre outros: (i) os canais disponíveis para recebimento de denúncias e os sistemas e processos de apuração; (ii) a quantidade de denúncias recebidas; (iii) a quantidade de moderação de conteúdo ou de contas, por tipo; (iv) medidas adotadas para identificação de contas infantis em redes sociais.

Modulação das Obrigações Conforme o Porte e Grau de Interferência

Segundo a Lei, diversas obrigações de proteção digital à criança e ao adolescente serão aplicadas de forma proporcional, levando em conta o tipo de serviço, o grau de intervenção do fornecedor, o número de usuários e o porte da empresa. Serviços com controle editorial e conteúdos protegidos por direitos autorais licenciados podem ser dispensados dessas obrigações, desde que adotem medidas de classificação etária, transparência, mediação parental e canais de denúncia. A aplicação das obrigações será proporcional à capacidade de influência do fornecedor sobre o conteúdo. Regulamentação futura detalhará os critérios para essa proporcionalidade.

Autoridade

A nova lei estabelece que a Autoridade Nacional de Proteção de Dados (ANPD) será responsável por implementar, fiscalizar e regulamentar o Estatuto Digital da Criança e do Adolescente. Essa atribuição foi formalizada posteriormente pelo Decreto nº 12.622/2025, que reconhece a ANPD como autoridade administrativa autônoma para essa finalidade. A legislação também exige que os fornecedores mantenham um representante legal no Brasil, com poderes para atuar em nome da empresa estrangeira perante as autoridades nacionais.

Sanções

A lei prevê diversas penalidades, dividindo-as entre aquelas que podem ser aplicadas pela Autoridade e pelo Judiciário. As penalidades incluem advertência, multa (teto de R$ 50 milhões por infração), suspensão temporária de atividades e proibição temporária de atividades.

Para fixação e gradação de eventuais sanções, deverão ser observadas, além do rito previsto no ECA, os princípios da proporcionalidade e da razoabilidade, a gravidade da infração, considerados os seus motivos e a extensão do dano nas esferas individual e coletiva, eventual existência de reincidência, a capacidade econômica do infrator, no caso de aplicação da sanção de multa; e a finalidade social do fornecedor e o impacto sobre a coletividade.

Vetos da Presidência

A Presidência da República fez três vetos principais: retirou a ampliação dos poderes da Anatel para bloquear conteúdos digitais, alegando vício de iniciativa e mantendo a atuação tradicional do órgão; excluiu a vinculação definitiva das multas ao Fundo Nacional para a Criança e o Adolescente, atendendo à exigência de limitação temporal prevista na Lei de Diretrizes Orçamentárias; e suprimiu a previsão de um ano para a entrada em vigor da norma, fixando, pela Medida Provisória nº 1.319/2025, o prazo de 180 dias para que as plataformas digitais se adequem.

Entrada em Vigor

A lei entra em vigor em até 180 dias após sua publicação oficial.