ECA Digital inaugura marco histórico de proteção de crianças e adolescentes no ambiente online

"A liberdade de expressão é um valor inegociável, mas não pode servir de desculpa para a prática de crimes no mundo digital (....) esse equívoco já custou a vida de várias crianças e adolescentes", declarou o presidente Luiz Inácio Lula da Silva, ao sancionar a lei federal 15.211/25, mais conhecida como ECA - Estatuto da Criança e do Adolescente Digital. Impulsionada pelo vídeo-denúncia publicado pelo influenciador Felipe Pereira (Felca) sobre a exploração e adultização precoce de menores de idade nas redes sociais, a lei marca um passo decisivo no país para a garantia da proteção de crianças e adolescentes em ambientes digitais. 

Em comparação com normativas internacionais como o COPRA - Children's Online Privacy Protection Act dos Estados Unidos, o AADC - Age Appropriate Design Code e o Online Safety Act do Reino Unido, a legislação brasileira é considerada uma das mais rigorosas iniciativas legislativas para a proteção infantojuvenil em plataformas digitais, com impactos multifacetados às empresas que estão no ambiente online. 

De plano, o ECA Digital adota um conceito expansivo de escopo de aplicação, incluindo não apenas produtos e serviços de tecnologia da informação direcionados a crianças e adolescentes, como também aqueles com "acesso provável" pelo público infantojuvenil. Naturalmente, essa definição amplia a aplicabilidade da lei para além das plataformas usuais, como redes sociais, plataformas de vídeos e jogos online, impactando praticamente todo o ecossistema digital, como plataformas de e-commerce, portais de notícias etc. Dentre as novidades trazidas pela legislação, cabe destacar as principais abaixo. 

Privacidade no centro: LGPD como pilar 

O ECA Digital eleva os princípios da LGPD a um novo patamar no contexto infantojuvenil. Não é novidade que a LGPD destinou cautela adicional ao tratamento de dados pessoais de crianças e adolescentes, devendo sempre prevalecer o melhor interesse destes. Contudo, pela primeira vez, o ECA Digital torna mandatória a aplicação dos conceitos de privacy by design e privacy by default no fornecimento de produtos ou serviços a crianças e adolescentes. 

O objetivo é garantir que as plataformas digitais adotem, desde a concepção e ao longo de suas atividades, medidas razoáveis para mitigar riscos de acesso, exposição, recomendação ou facilitação a conteúdos considerados impróprios ou inadequados (pornografia, publicidade enganosa, jogos de azar, etc.), bem como para prevenir o uso excessivo e compulsivo e oferecer o nível mais elevado de proteção à privacidade e aos dados pessoais de menores. 

Nos casos em que o tratamento de dados for realizado para fins não estritamente necessários para a operação do produto ou serviço, a lei exige que seja elaborado relatório de impacto, de monitoramento e de avaliação da proteção de dados pessoais, a ser compartilhado sob requisição da autoridade administrativa competente.   

Fim da autodeclaração de idade 

A disposição que mais pode trazer impactos e desafios às plataformas digitais é a vedação à autodeclaração de idade. O modelo atualmente predominante na internet, baseado na autodeclaração do usuário a respeito de sua idade, é proibido de forma expressa. A partir de agora, as plataformas terão que adotar mecanismos confiáveis de verificação de idade a cada acesso do usuário ao conteúdo, sempre respeitando o princípio da minimização de dados.  

São diversos os possíveis novos métodos de validação de idade, incluindo, até mesmo, mecanismos de biometria facial e identidade digital. Embora de extrema importância para barrar o acesso de crianças e adolescentes a conteúdos impróprios, essa rigorosa exigência traz consigo um desafio relevante: equilibrar a robustez da lei com ferramentas que, ao mesmo tempo que observam ao princípio da minimização de dados, oferecerem confiabilidade para a efetiva verificação da idade do titular. 

Publicidade, jogos e engajamento sob novas regras 

A legislação adotou medidas que atacam e visam cessar práticas de monetização que exploravam a vulnerabilidade psicológica do público jovem. Entre elas, está a proibição total da publicidade comercial baseada em perfilamento de crianças e adolescentes, o banimento das loot boxes (caixas de recompensas) em jogos eletrônicos direcionados ou de acesso provável por menores e a vedação do uso de tecnologias imersivas (como realidade aumentada, estendida e virtual) e da análise emocional para direcionamento de anúncios. 

Supervisão parental e redes sociais 

As plataformas deverão disponibilizar aos responsáveis legais ferramentas eficazes de controle e supervisão parental, incluindo métricas de tempo de uso, restrição de compras e transações financeiras, gestão de geolocalização, monitoramento de interações e controle de recomendações.  

Para redes sociais, a legislação também prevê que as plataformas deverão garantir que usuários de até 16 anos de idade estejam vinculados à conta de um de seus responsáveis legais, de modo a facilitar a supervisão e o acompanhamento parental. Além disso, devem ser adotadas medidas adequadas para informar quando os respectivos serviços não são apropriados, monitorar e restringir a exibição de conteúdos que visem atrair crianças e adolescentes e aprimorar, de maneira contínua, os mecanismos de verificação de idade.  

A autorização para downloads de aplicativos por crianças e adolescentes também dependerá de consentimento livre e informado dos pais ou responsáveis legais, o que impactará significativamente provedores de lojas de aplicativos e de sistemas operacionais.  

Fiscalização, sanções e reflexos penais 

A ANPD - Autoridade Nacional de Proteção de Dados - agora transformada em Agência Nacional de Proteção de Dados - foi designada como autoridade responsável pela fiscalização do cumprimento da nova legislação por parte das empresas de tecnologias digitais. As sanções previstas são severas: desde advertências à suspensão ou proibição de atividades, além de multas que podem chegar a R$ 50 milhões por infração, funcionando como estratégia para compelir as plataformas a adotar uma postura proativa de moderação e proteção, e não apenas reativa.  

Da perspectiva criminal, o ordenamento jurídico brasileiro prevê a responsabilização penal de pessoas jurídicas apenas em caso de crimes ambientais. Apesar disso, ainda que não tenha caráter criminal, o regime de sanções previsto no ECA Digital remete às penalidades já consolidadas na legislação ambiental (lei 9.605/1998), a qual também estabelece sanções de multa, suspensão parcial das atividades e interdição temporária do estabelecimento, entre outras.  

Do ponto de vista da responsabilização penal de pessoas físicas, a legislação não estabelece novos crimes. Apesar disso, é necessário lembrar que o ECA (lei 8.069/1990) conta, desde 2008, com norma penal direcionada a responsáveis legais de empresas que prestam serviços relacionados ao acesso, compartilhamento e armazenamento de conteúdos na internet. Em seu art. 241-A, a lei criminaliza a divulgação de conteúdos com cena de sexo explícito ou pornográfica envolvendo criança ou adolescente e responsabiliza quem assegura os meios ou serviços para o armazenamento ou acesso a esse tipo de conteúdo. Especificamente em seu § 2º, a norma penal é direcionada ao responsável legal pela prestação do serviço, o qual será punido com pena de 3 a 6 anos quando, oficialmente notificado, deixar de desabilitar o acesso ao material ilícito.  

As novas previsões trazidas pelo ECA Digital, em uma primeira análise, não têm o condão de ampliar o objeto de aplicação da norma penal. Por outro lado, o seu art. 29, que traz o dever de remoção de conteúdo violador a partir de comunicações feitas pela vítima, pelo Ministério Público ou por entidades representativas, independentemente de ordem judicial, pode instaurar novo debate sobre as hipóteses de configuração da omissão penalmente relevante: se somente após a comunicação por órgãos oficiais (como judiciário ou Ministério Público), ou se a notificação por particulares já seria suficiente para caracterizar a responsabilidade penal do responsável legal do provedor por crime omissivo. 

Remoção de conteúdo e prestação de contas  

Como referido acima, para garantir a proteção integral da criança e do adolescente, é dever das plataformas digitais remover conteúdo que viole direitos de crianças e adolescentes assim que forem comunicados da publicação pela vítima, por seus representantes, pelo Ministério Público ou por entidades de defesa, independentemente de ordem judicial.  

Na mesma linha, para assegurar a transparência com os usuários, os provedores de aplicação também deverão elaborar e publicar, em seus respectivos sites, relatórios semestrais e em língua portuguesa, detalhando suas atividades de proteção, incluindo: os canais de denúncia disponíveis, a quantidade de denúncias e moderação de conteúdos recebidas, as medidas adotadas para identificação de contas infantis, os aprimoramentos técnicos para aferir consentimento parental e proteger os dados pessoais, e o detalhamento dos métodos utilizados para gerenciamento de riscos. Além disso, os fornecedores deverão manter um representante legal no país.   

Prazo para adequação 

De acordo com a MP 1.319/25, as empresas terão um prazo de 6 (seis) meses para se adequarem às obrigações estabelecidas pela nova lei, com término previsto para 17 de março de 2026, impondo um calendário desafiador para as plataformas. Embora tenha efeito imediato, a MP ainda precisará ser votada e depende de aprovação pelo Congresso Nacional para vigorar em definitivo.  

Um novo pacto digital

Mais do que impor restrições, o ECA Digital possui um aspecto multifacetado e redefine a relação entre empresas de tecnologia e a presença de crianças e adolescentes na internet. É uma verdadeira mudança cultural, que coloca o melhor interesse da criança e do adolescente no centro das decisões, buscando equilibrar inovação com responsabilidade social. 

Para as organizações que se adequarem de forma genuína, pode surgir uma oportunidade estratégica: transformar a conformidade em um diferencial competitivo, fortalecendo a confiança de pais e responsáveis. Por isso, é importante que as empresas afetadas se atentem ao prazo para que possam realizar as adaptações necessárias em seus procedimentos.