O ECA Digital – Lei n.º 15.211, de 17 de setembro de 2025, em vigor desde 17 de março de 2026 – é compreendido, na maior parte das análises disponíveis, como regulação de plataformas de consumo digital: redes sociais, aplicativos de entretenimento, jogos eletrônicos, serviços de streaming.

Entretanto, o artigo 1.º da lei fixa um critério de enquadramento que alcança todo produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes no Brasil ou de acesso provável por eles, independentemente da natureza, do setor ou do modelo de negócio do fornecedor. Para empresas fora do ecossistema de tecnologia de consumo, o ECA Digital cria obrigações de compliance que a maioria dos programas de integridade ainda não mapeou.

Organizações de médio e grande porte com operação digital – portais corporativos, plataformas de treinamento, sistemas de relacionamento com clientes, aplicativos de gestão de cadeia produtiva – precisam avaliar sua exposição ao regime criado pela lei antes que a ANPD amplie o monitoramento, previsto para agosto de 2026, para setores fora do ecossistema de tecnologia de consumo.

Este artigo examina o conceito legal de acesso provável, identifica as categorias de operação digital que configuram enquadramento independentemente do setor de atuação, descreve o calendário de fiscalização da ANPD e indica como integrar o ECA Digital ao programa de compliance com a profundidade que o regime sancionatório da lei exige.

Acesso provável: o conceito que amplia o perímetro regulatório além do óbvio

O ECA Digital — Lei n.º 15.211/2025 — obriga qualquer fornecedor de produto ou serviço de tecnologia da informação com acesso provável de menores no Brasil a adotar mecanismos de proteção, verificação de idade e governança de dados, independentemente do setor de atuação ou da intenção de atingir o público infantojuvenil.

O parágrafo único do artigo 1.º da Lei n.º 15.211/2025 define acesso provável por três situações configuradoras, cada uma suficiente de forma isolada para determinar o enquadramento: suficiente probabilidade de uso e atratividade do produto ou serviço por crianças e adolescentes (inciso I); considerável facilidade de acesso e utilização por esse público (inciso II); e significativo grau de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial de crianças e adolescentes, especialmente em produtos ou serviços com finalidade de interação social e compartilhamento de informações em larga escala (inciso III).

A ANPD ainda não publicou critérios objetivos que delimitem cada um desses parâmetros, e o posicionamento prudente, enquanto a regulamentação complementar permanece pendente, é tratar qualquer um dos três incisos como suficiente para configurar o enquadramento.

O artigo 2.º, inciso I, define produto ou serviço de tecnologia da informação como todo produto ou serviço fornecido a distância, por meio eletrônico e provido em virtude de requisição individual, com exemplos que incluem aplicações de internet, programas de computador, softwares, sistemas operacionais de terminais, lojas de aplicações de internet e jogos eletrônicos ou similares conectados à internet ou a outra rede de comunicações.

A definição abrange, com igual precisão, sistemas corporativos de uso interno: plataformas de treinamento acessadas por jovens aprendizes, portais de relacionamento com fornecedores utilizados em dispositivos domésticos compartilhados, aplicativos de gestão de cadeia produtiva distribuídos a colaboradores sem controle de faixa etária e canais de atendimento ao consumidor com interação digital aberta.

A questão técnica que cada organização precisa responder é objetiva: algum desses sistemas é acessado por usuários menores de dezoito anos com suficiente probabilidade, considerável facilidade ou significativo grau de risco para a privacidade ou o desenvolvimento desse público?

O artigo 5.º impõe aos fornecedores enquadrados o dever de observar, desde a concepção dos produtos e serviços, as obrigações de prevenção, proteção, informação e segurança estabelecidas pela lei, em conformidade com o princípio do melhor interesse da criança e do adolescente.

O parágrafo 1.º do mesmo dispositivo exige a adoção de medidas técnicas adequadas que possibilitem à família e aos responsáveis legais prevenir o acesso e o uso inadequado por crianças e adolescentes.

A obrigação incide sobre o fornecedor do produto ou serviço independentemente de o acesso por menores decorrer de autorização expressa ou de utilização espontânea. O artigo 15 da lei reforça que o cumprimento das obrigações pelos provedores de lojas de aplicativos e sistemas operacionais não exime os demais agentes da cadeia digital de suas responsabilidades legais, cabendo a todos garantir de forma solidária a proteção integral de crianças e adolescentes.

Exposição não declarada: por que qualquer operação digital com acesso incidental de menores entra no perímetro da lei

A amplitude do conceito de acesso provável tem consequências diretas para organizações cujo modelo de negócio central nada tem de digital no sentido convencional do termo.

O artigo 39 da Lei n.º 15.211/2025 esclarece que as obrigações dos artigos 6.º, 17, 18, 19, 20, 27, 28, 29, 31, 32 e 40 se aplicam conforme as características e funcionalidades do produto ou serviço, moduladas pelo grau de interferência do fornecedor sobre os conteúdos disponibilizados, pelo número de usuários e pelo porte do fornecedor.

A proporcionalidade na aplicação das obrigações é uma calibragem interna ao perímetro regulatório – o grau de exigência varia, a sujeição à lei permanece.

Organizações que mantêm programas de jovens aprendizes com acesso a sistemas digitais corporativos processam dados pessoais de menores de dezoito anos em ambientes tecnológicos sem, em geral, qualquer mecanismo de verificação de faixa etária ou configuração diferenciada de conteúdo – condição que preenche ao menos o inciso II do parágrafo único do artigo 1.º.

Programas de fidelidade ou relacionamento com cadastro de menores, canais de atendimento ao consumidor com interação digital aberta e campanhas publicitárias com perfilamento comportamental sem filtro etário situam-se no mesmo enquadramento, com o agravante de que o artigo 22 da lei veda expressamente a utilização de técnicas de perfilamento para direcionamento de publicidade comercial a crianças e adolescentes. Sistemas de rastreabilidade com interfaces acessadas em dispositivos domésticos compartilhados, portais de distribuidores utilizados em contexto familiar e intranets com perfis ativos de aprendizes apresentam o critério de acesso provável pela facilidade de uso por menores que convivem com os usuários adultos titulares das credenciais.

O artigo 16, parágrafo único, da Lei n.º 15.211/2025 exige que o controlador, quando realiza tratamento de dados de crianças e adolescentes para fins além dos estritamente necessários à operação do produto ou serviço, mapeie os riscos associados, adote esforços de mitigação e elabore relatório de impacto, monitoramento e avaliação da proteção de dados, disponível à ANPD sob requisição.

A obrigação de documentar e de manter o relatório atualizado recai sobre o controlador dos dados, o que, nos termos da LGPD, alcança a organização que determina as finalidades e os meios do tratamento, independentemente de quem executa operacionalmente o processamento.

ECA Digital e ANPD: a segunda fase de agosto de 2026 e a urgência do diagnóstico

Atualização junho de 2026: a ANPD publicou em maio de 2026 o Guia de Mecanismos Confiáveis de Aferição de Idade, com orientações preliminares para a primeira fase do monitoramento. O documento não delimita objetivamente os critérios de acesso provável — o que reforça a postura prudente de tratar qualquer um dos três incisos do parágrafo único do artigo 1.º como suficiente para o enquadramento.

A ANPD estruturou a implementação do ECA Digital em três etapas sequenciais. A primeira, inaugurada em março de 2026 com a publicação das orientações preliminares e do Guia de Mecanismos Confiáveis de Aferição de Idade, concentrou o monitoramento em lojas de aplicativos e sistemas operacionais proprietários.

A segunda etapa, prevista para agosto de 2026, amplia o escopo de monitoramento para outros setores e grupos de fornecedores, a partir das informações coletadas na fase inicial e dos critérios de risco estabelecidos pelo Decreto n.º 12.880/2026, regulamentador da lei.

A terceira etapa, programada para janeiro de 2027, inaugura ciclos formais de fiscalização com os parâmetros regulatórios definitivos sobre mecanismos de verificação de idade consolidados.

A estrutura temporal do cronograma define uma janela específica para o compliance preventivo: o período entre a data atual e agosto de 2026, em que o diagnóstico interno ainda precede o monitoramento regulatório ativo sobre setores fora do ecossistema de tecnologia de consumo.

O parágrafo 2.º do artigo 34 da lei determina que a ANPD adote abordagem responsiva, assegurando tratamento diferenciado e proporcional a serviços de natureza, risco e modelo de negócio distintos.

A aplicação da abordagem responsiva, contudo, pressupõe que o fornecedor tenha adotado medidas razoáveis antes da fiscalização, e a evidência de que o tema foi reconhecido, mapeado e tratado de forma documentada é o que diferencia, operacionalmente, o sujeito que será tratado com proporcionalidade daquele que será tratado com rigor sancionatório pleno.

Organizações que chegarem à terceira etapa do cronograma, em janeiro de 2027, com inventário de sistemas concluído, avaliação de impacto elaborada e política documentada sobre proteção de dados de menores terão condições de demonstrar conformidade ativa perante a agência.

O diagnóstico que antecede o monitoramento regulatório tem custo de implementação substancialmente menor, porque é feito em ambiente de planejamento, com margens para ajuste gradual de sistemas e contratos, sem a pressão de prazos impostos por autuação ou por processo administrativo em curso.

Como integrar o ECA Digital ao programa de compliance sem reduzir o tema a uma tarefa de TI

O ECA Digital impõe obrigações de governança com responsabilidade da alta administração, documentação auditável e ciclo contínuo de monitoramento.

O artigo 8.º, inciso I, exige gerenciamento de riscos dos recursos, funcionalidades e sistemas quanto aos impactos à segurança e à saúde de crianças e adolescentes.

O artigo 16, parágrafo único, determina que o controlador mapeie os riscos, adote esforços de mitigação e elabore relatório de impacto e avaliação da proteção de dados pessoais de crianças e adolescentes.

Essas obrigações têm dimensão técnica, que demanda participação de TI, e de governança que exige decisão, aprovação e monitoramento pela alta administração, integrando o escopo do programa de integridade.

O ponto de entrada para a integração ao programa de compliance é o inventário de sistemas com potencial de acesso provável de menores. O mapeamento deve cobrir todos os canais, plataformas e produtos digitais da organização, identificando em quais há coleta ou processamento de dados de usuários sem controle verificável de faixa etária e em quais o conteúdo disponível configura risco à privacidade, à segurança ou ao desenvolvimento de crianças e adolescentes.

O inventário alimenta a avaliação de impacto à proteção de dados, instrumento já previsto na LGPD para o tratamento de dados sensíveis e de crianças, que no contexto da Lei n.º 15.211/2025 adquire escopo autônomo e documentação específica, exigível pela ANPD a qualquer tempo.

A revisão de contratos com fornecedores de tecnologia que processam dados em nome da organização é etapa de urgência imediata, dada a responsabilidade solidária prevista no artigo 15 da lei.

Fornecedores que operam como operadores de dados em sistemas com acesso provável de menores precisam de cláusulas contratuais que reflitam as obrigações da Lei n.º 15.211/2025 e que preservem a cadeia de evidências da organização contratante diante de uma fiscalização da ANPD. A ausência de cláusulas específicas mantém a responsabilidade integralmente na organização contratante, titular da decisão sobre finalidades e meios do tratamento.

A matriz de riscos do programa de integridade precisa incorporar o ECA Digital como categoria autônoma, com indicadores de monitoramento próprios e periodicidade de revisão compatível com o ritmo de publicação de normas complementares pela ANPD, cujo cronograma regulatório permanece aberto para 2026 e 2027.

A subseção do tema à categoria de risco de privacidade ou de LGPD subestima a autonomia do regime sancionatório criado pela Lei n.º 15.211/2025 e compromete a legibilidade da matriz perante auditores internos e externos.

Sanções, continuidade operacional e o custo de tratar a lei como problema alheio

O artigo 35 da Lei n.º 15.211/2025 estabelece quatro modalidades sancionatórias aplicáveis ao descumprimento das obrigações da lei: advertência com prazo de até trinta dias para adoção de medidas corretivas; multa simples de até 10% do faturamento do grupo econômico no Brasil no último exercício fiscal, limitada a R$ 50 milhões por infração, ou de R$ 10 a R$ 1.000 por usuário cadastrado na ausência de faturamento apurado, com o mesmo teto; suspensão temporária das atividades; e proibição do exercício das atividades.

O parágrafo 5.º atribui à ANPD a competência para aplicar a advertência e a multa, e ao Poder Judiciário a suspensão e a proibição.

O parágrafo 6.º, por sua vez, prevê que a suspensão ou proibição de atividades, quando descumprida pelo infrator, será executada por ordem de bloqueio dirigida às prestadoras de serviços de telecomunicações, entidades gestoras de pontos de troca de tráfego de internet e prestadores de serviços de resolução de nomes de domínio.

O mecanismo de execução previsto no parágrafo 6.º tem relevância operacional específica para organizações cujas cadeias produtivas, sistemas de distribuição, canais de relacionamento com clientes ou processos de controle de qualidade dependem de conectividade digital.

Uma ordem de bloqueio judicial, mesmo de caráter provisório e objeto de contestação, pode comprometer contratos, fluxos de caixa e relações comerciais em dimensão que o valor nominal de qualquer multa não representa.

O risco de continuidade operacional criado pelos incisos III e IV do artigo 35 merece avaliação própria na matriz de riscos do programa de integridade, com probabilidade e impacto calculados a partir da dependência digital efetiva da organização.

O ECA Digital tem visibilidade pública elevada, porque o tema central é a proteção de crianças e adolescentes – categoria de risco para a qual a tolerância regulatória e social é baixa e os ciclos de crise reputacional são rápidos.

Uma autuação da ANPD nessa matéria tende a repercutir com intensidade desproporcional à natureza técnica da irregularidade, especialmente em organizações com base de consumidores ampla ou com exposição pública relevante.

O gerenciamento simultâneo de um processo administrativo perante a ANPD e de uma crise de imagem associada ao descumprimento de normas de proteção infantojuvenil representa cenário de risco composto que programas de compliance estruturados são desenhados precisamente para prevenir.

Conclusão

A Lei n.º 15.211/2025 cria um regime de obrigações para qualquer fornecedor de produto ou serviço de tecnologia da informação com acesso provável de menores no Brasil, regime cujo perímetro é definido pelos três critérios do parágrafo único do artigo 1.º, cuja responsabilidade é solidária entre os agentes da cadeia digital por força do artigo 15 e cujas sanções alcançam, nos incisos III e IV do artigo 35, a suspensão e a proibição de atividades executáveis por bloqueio de conectividade.

O enquadramento prescinde de qualquer intenção de atingir o público infantojuvenil: decorre da configuração do produto ou serviço e das condições objetivas de acesso.

A segunda fase do cronograma da ANPD, prevista para agosto de 2026, marca o momento em que setores fora do ecossistema de tecnologia de consumo passam a integrar o monitoramento ativo da agência.

O intervalo disponível é suficiente para a realização de diagnóstico estruturado, inventário de sistemas com potencial de acesso provável, avaliação de impacto documentada, revisão de cláusulas contratuais com fornecedores de tecnologia e atualização da matriz de riscos.

O compliance com a Lei n.º 15.211/2025 construído antes do monitoramento regulatório tem custo e complexidade operacional menores, porque é executado em ambiente de planejamento, com margens para ajustes graduais. Lado outro, o compliance construído em resposta a uma autuação ou a um processo administrativo carrega, além dos custos de adequação, os custos do processo e os riscos reputacionais associados ao tema.

FAQ