ECA Digital: o que muda para apps, sites e plataformas

O ECA Digital (Lei 15.211/2025) está em vigor desde 17 de março de 2026 e vale para todo produto ou serviço digital feito para crianças e adolescentes ou que tenha "acesso provável" por eles, mesmo que a empresa diga que o público é adulto. Ele exige privacidade no nível mais protetivo por padrão, gestão de riscos, supervisão parental e, para conteúdo proibido a menores de 18 anos, verificação de idade sem autodeclaração. A fiscalização é da ANPD, que prevê ações de fiscalização sobre aferição de idade a partir de janeiro de 2027.

Por que isso importa para empresas que não se veem como "infantis"

A maior mudança está no alcance. A lei não pergunta só para quem o produto foi pensado. Ela olha como o produto funciona na prática: se é atrativo para crianças e adolescentes, se é fácil de acessar e se traz risco relevante à privacidade, à segurança ou ao desenvolvimento deles (art. 1º, parágrafo único).

O guia orientativo publicado pela ANPD em outubro de 2026 reforça esse ponto: a declaração da empresa sobre a idade dos usuários não decide, sozinha, se a lei se aplica. A agência pode analisar as características reais do serviço.

As sanções também mudaram de patamar. Vão de advertência a multa de até 10% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração, além de suspensão ou proibição das atividades, estas aplicadas pelo Judiciário (art. 35).

Como funciona: os conceitos que você precisa dominar

• Fornecedor de produto ou serviço de tecnologia da informação. Qualquer serviço oferecido a distância, por meio eletrônico, a pedido do usuário: aplicativos, sites, jogos conectados, softwares, lojas de aplicativos e sistemas operacionais (art. 2º, I).
• Acesso provável. O serviço entra no escopo quando há probabilidade de uso e atratividade, facilidade de acesso e risco significativo ao público infantojuvenil. A ANPD orienta analisar os três critérios em conjunto.
• Segurança e privacidade por padrão. O produto deve nascer configurado no modelo mais protetivo disponível. O usuário pode escolher algo menos protetivo, desde que receba informação clara para decidir (art. 7º).
• Gerenciamento de riscos. A empresa precisa avaliar riscos dos recursos e funcionalidades, adequar o conteúdo à classificação indicativa e evitar configurações que estimulem uso compulsivo (art. 8º).
• Aferição de idade. Para conteúdo, produto ou serviço impróprio ou proibido a menores de 18 anos, a verificação precisa ser confiável e feita a cada acesso, vedada a autodeclaração (art. 9º). Os dados coletados para verificar idade só podem ser usados para isso (art. 13).
• Sinal de idade. Lojas de aplicativos e sistemas operacionais devem aferir a idade ou faixa etária e enviar um sinal de idade aos aplicativos por API segura (art. 12). Os aplicativos precisam ser capazes de receber esse sinal e, mesmo assim, manter mecanismos próprios (art. 14).
• Supervisão parental. Ferramentas acessíveis para pais e responsáveis configurarem privacidade, restringirem compras, verem com quais adultos a criança conversa e acompanharem o tempo de uso (arts. 17 e 18).
• Publicidade e perfilamento. É proibido usar perfilamento para direcionar publicidade comercial a crianças e adolescentes, inclusive com análise emocional ou realidade virtual e aumentada (arts. 22 e 26).
• Proporcionalidade. Várias obrigações são moduladas conforme as funcionalidades, o número de usuários, o porte e o grau de interferência do fornecedor sobre o conteúdo (art. 39).

O que muda conforme o tipo de serviço

Passo a passo para adequar sua empresa

1. Faça o teste de acesso provável. Liste cada produto, site e app. Para cada um, avalie atratividade, facilidade de acesso e risco. Use dados reais (perfil de usuários, reclamações, análise de uso), não apenas o público-alvo declarado. Um mapeamento de dados bem feito ajuda a responder quem usa o quê.
2. Registre a conclusão por escrito. Se o produto ficar fora do escopo, documente o raciocínio e a data. Se ficar dentro, ele entra no plano de adequação.
3. Mapeie funcionalidades de risco. Chat aberto, perfis públicos, geolocalização, reprodução automática, notificações, recompensas por tempo de uso, compras dentro do app e sistemas de recomendação.
4. Revise as configurações padrão. Coloque no nível mais protetivo: perfil privado, geolocalização desligada, contato restrito e recomendação personalizada com opção de desativar.
5. Escolha o mecanismo de aferição de idade. Defina o método conforme o risco de cada serviço, com o mínimo de dados possível. Acompanhe as orientações da ANPD, que ainda estão sendo consolidadas.
6. Implemente a supervisão parental. Ferramentas simples, em português, com aviso visível quando estiverem ativas.
7. Ajuste publicidade e dados. Desligue segmentação comportamental para usuários menores e revise o tratamento de dados com base na LGPD. Atualize o relatório de impacto quando houver tratamento além do estritamente necessário (art. 16, parágrafo único).
8. Crie os canais de notificação. Mecanismo público para denúncias, fluxo de retirada de conteúdo e direito de contestação do usuário que publicou (arts. 28 a 30).
9. Atualize documentos e equipe. Termos de uso, política de privacidade, contratos com fornecedores de tecnologia e treinamento do time de produto e atendimento.

Erros comuns

• Confiar no "não é para crianças". A ANPD avalia o funcionamento real do produto. Evite o problema fazendo e registrando o teste de acesso provável.
• Manter o botão "tenho mais de 18 anos". Para conteúdo proibido a menores, a autodeclaração é vedada. Troque por método confiável proporcional ao risco.
• Coletar dados demais para verificar idade. Os dados só podem servir à verificação. Exigir documentos sem necessidade cria um novo risco de LGPD. Prefira soluções que confirmem apenas a faixa etária.
• Tratar a lei como tarefa só do jurídico. As obrigações estão no desenho do produto. Sem produto, design e engenharia na mesa, o plano fica no papel.
• Esperar a fiscalização de 2027. O cronograma da ANPD prevê fiscalização sobre aferição de idade a partir de janeiro de 2027, mas a lei já vale e a agência pode agir a qualquer tempo a partir de denúncias.
• Esquecer contratos com fornecedores. Se a verificação de idade ou o chat são de terceiros, o contrato precisa prever responsabilidades, segurança e uso limitado dos dados.

Checklist

Perguntas frequentes

Quando o ECA Digital entrou em vigor? Em 17 de março de 2026. A data foi fixada pela Lei 15.352/2026, que incluiu o art. 41-A na Lei 15.211/2025 e revogou a medida provisória que antes tratava da vigência. Pelo cronograma da ANPD, há período de adaptação e monitoramento sobre aferição de idade entre agosto e novembro de 2026, e as ações de fiscalização desse tema estão previstas a partir de janeiro de 2027.

Quem fiscaliza o ECA Digital? A Agência Nacional de Proteção de Dados (ANPD), que hoje é agência reguladora e atua como autoridade administrativa autônoma de proteção de crianças e adolescentes no ambiente digital. Advertência e multa são aplicadas pela ANPD. Suspensão e proibição de atividades dependem do Judiciário.

Meu site de comércio eletrônico precisa verificar idade? Depende do que você vende. Se o produto ou conteúdo é proibido ou impróprio para menores de 18 anos, como bebida alcoólica ou apostas, a verificação precisa ser confiável e sem autodeclaração. Para os demais casos, o ponto de partida é o teste de acesso provável.

Empresa pequena tem as mesmas obrigações de uma grande plataforma? Não exatamente. A lei manda modular várias obrigações conforme porte, número de usuários, funcionalidades e grau de controle sobre o conteúdo. Mas a modulação não dispensa o básico: privacidade por padrão, análise de risco e cuidado com dados de menores.

O ECA Digital substitui a LGPD? Não. As duas leis se somam. A LGPD continua regendo o tratamento de dados de crianças e adolescentes, e o ECA Digital acrescenta deveres de desenho de produto, segurança e supervisão.

Próximo passo

O ECA Digital se apoia na mesma base de governança de dados da LGPD: saber quais dados você coleta, de quem e para quê. O guia LGPD na prática: o guia de adequação da empresa organiza esse mapeamento, e o artigo LGPD em pequenas empresas: por onde começar ajuda a dar os primeiros passos. Se a sua empresa ainda não tem documentação de privacidade, a solução Dados em Conformidade reúne mapeamento enxuto dos dados, política de privacidade, termos de uso e cláusulas de dados com prazo definido, uma base útil para revisar o produto à luz do ECA Digital. Veja também a área de LGPD e proteção de dados.

Fontes

• Lei 15.211/2025 (ECA Digital), arts. 1º, 2º, 7º, 8º, 9º, 12, 13, 14, 16, 17, 18, 20, 21, 22, 24, 26, 28 a 31, 35, 39 e 40 (texto compilado, com o art. 41-A).
• Lei 15.352/2026, art. 19 (inclui o art. 41-A na Lei 15.211/2025: vigência em 17/3/2026) e art. 20 (revoga a MP 1.319/2025).
• Congresso Nacional, tramitação da MP 1.319/2025 (revogada pela Lei 15.352/2026).
• ANPD, página oficial do ECA Digital: cronograma de implantação e fiscalização da aferição de idade e referência ao Decreto 12.880/2026.
• ANPD, Guia Orientativo "Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital" (outubro de 2026).
• Ministério da Justiça e Segurança Pública, página oficial do ECA Digital (data de vigência).

Conteúdo informativo. Não substitui consulta a um advogado.