ECA Digital: ANPD esclarece quais empresas devem cumprir a lei e quais são suas obrigações

A Agência Nacional de Proteção de Dados (ANPD) publicou, em 28 de outubro de 2026, o Guia Orientativo “Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital”.

O documento esclarece quais empresas e serviços digitais estão sujeitos ao ECA Digital – Lei nº 15.211/2025 e quais medidas devem adotar para proteger crianças e adolescentes no ambiente digital.

A principal mensagem da ANPD é importante para empresas de tecnologia: não basta declarar que um aplicativo ou plataforma não é destinado a crianças e adolescentes para afastar a aplicação da legislação. É necessário avaliar como o produto funciona, quem provavelmente o utiliza e quais riscos ele cria.

O que significa “acesso provável” por crianças e adolescentes?

O ECA Digital alcança tanto produtos direcionados diretamente ao público infantojuvenil quanto aqueles cujo acesso por crianças e adolescentes seja considerado provável.

O guia da ANPD para o ECA Digital estabelece que essa análise deve considerar conjuntamente três elementos:

• a atratividade e a probabilidade de utilização por crianças e adolescentes;
• a facilidade de acesso e uso;
• a existência de riscos significativos à privacidade, à segurança ou ao desenvolvimento físico, psicológico e social.

Portanto, uma empresa não pode se basear apenas em termos de uso que declarem o serviço como “18+”. Se as características concretas da aplicação atraem adolescentes e o acesso é simples, a ANPD poderá concluir pela incidência da legislação.

Redes sociais, lojas de aplicativos e sistemas operacionais, por exemplo, estão entre as categorias consideradas, em regra, de acesso provável, ressalvadas as características específicas de cada serviço.

Quais empresas precisam prestar atenção?

O conceito de fornecedor utilizado pelo ECA Digital é amplo.

Pode alcançar:

• redes sociais;
• aplicativos e jogos eletrônicos;
• plataformas de conteúdo;
• serviços e apps de trocas de mensagens;
• marketplaces e comércio eletrônico;
• EdTechs e soluções para o mercado educacional;
• SaaS e outros serviços digitais.

O tamanho da empresa não elimina automaticamente suas responsabilidades. A legislação e o guia trabalham com uma lógica de proporcionalidade, considerando natureza da atividade, funcionalidades, quantidade de usuários, capacidade de intervenção e riscos do produto.

Isso é especialmente relevante para startups: crescer primeiro e tratar proteção infantil depois pode criar dívida regulatória e tecnológica difícil de corrigir.

Quais são as principais obrigações do ECA Digital?

A ANPD organiza as responsabilidades dos fornecedores em quatro grandes dimensões: prevenção, proteção, informação e segurança.

O ECA Digital exige uma atuação preventiva. A empresa não deve esperar um incidente ou uma violação de direitos para agir. Deve identificar riscos, avaliar seus impactos e implementar medidas destinadas a preveni-los ou mitigá-los.

Entre essas medidas estão:

• configurações de privacidade mais protetivas por padrão (Privacy by Design e Privacy by Default);
• mecanismos de aferição de idade;
• supervisão parental;
• moderação e canais de denúncia;
• medidas contra uso compulsivo;
• gerenciamento de riscos;
• proteção contra conteúdos prejudiciais;
• transparência e informações adequadas ao público;
• monitoramento da efetividade dos controles.

A lei determina ainda que produtos abrangidos adotem, desde sua concepção, o nível mais elevado disponível de proteção à privacidade e aos dados pessoais por padrão. Essa lógica se aproxima diretamente dos conceitos de Privacy by Design e Privacy by Default.

ECA Digital e LGPD: onde as duas legislações convergem?

Essa é uma das questões mais importantes para empresas.

O ECA Digital não substitui a LGPD. Pelo contrário: ele complementa e aprofunda a proteção de dados de crianças e adolescentes dentro do ambiente digital.

A própria Lei nº 15.211/2025 determina que os produtos abrangidos garantam elevado nível de privacidade e proteção de dados nos termos da LGPD e estabelece expressamente que o tratamento deve observar os princípios previstos no artigo 6º da Lei Geral de Proteção de Dados.

Na prática, isso significa que controles de ECA Digital e LGPD devem ser estruturados conjuntamente.

Melhor interesse como princípio central

A LGPD já determina, em seu artigo 14, que o tratamento de dados pessoais de crianças e adolescentes seja realizado em seu melhor interesse (do menor).

O ECA Digital amplia essa lógica para a própria arquitetura e operação dos produtos digitais. O melhor interesse passa a orientar não apenas o tratamento dos dados, mas também funcionalidades, segurança, publicidade, recomendação de conteúdo, interação entre usuários e mecanismos de supervisão parental.

Uma empresa pode, portanto, ter uma base legal aparentemente adequada sob a LGPD e ainda assim precisar avaliar se a forma como o produto utiliza esses dados está alinhada ao melhor interesse do menor.

Minimização e aferição de idade

A aferição de idade ilustra bem essa convergência. Para cumprir o ECA Digital, empresas podem precisar verificar a idade ou faixa etária dos usuários. Mas essa verificação cria um novo tratamento de dados pessoais. O ECA Digital determina que os dados utilizados na verificação de idade sejam usados exclusivamente para essa finalidade, reforçando diretamente os princípios de finalidade e necessidade previstos na LGPD.

Isso significa que uma empresa não deveria coletar documentos, biometria ou outras informações excessivas simplesmente porque precisa estimar a idade do usuário.

A solução deve buscar o equilíbrio entre efetividade da aferição e minimização de dados pessoais.

Privacy by Design deixa de ser apenas boa prática

O ECA Digital exige que medidas razoáveis de proteção sejam incorporadas desde a concepção e durante toda a operação da aplicação.

Na prática, isso transforma conceitos de Privacy by Design e Security by Design em elementos centrais da conformidade.

O produto deve nascer já considerando questões como:

• quais dados realmente são necessários;
• quais funcionalidades devem estar habilitadas por padrão;
• quem pode interagir com menores;
• como funcionam sistemas de recomendação;
• que controles os responsáveis possuem;
• como comportamentos abusivos são identificados;
• quais riscos precisam ser monitorados.

RIPD e gestão de riscos ganham ainda mais relevância

Outro ponto de convergência está na gestão de riscos. O ECA Digital determina que, quando houver tratamento de dados de crianças e adolescentes, especialmente para finalidades além das estritamente necessárias à operação do serviço, o controlador deverá mapear riscos e elaborar relatório de impacto, disponibilizando-o à autoridade quando solicitado.

Isso aproxima diretamente a implementação do ECA Digital de instrumentos tradicionais de governança da LGPD, como:

• Data Mapping;
• ROPA;
• RIPD/DPIA;
• gestão de fornecedores;
• políticas de retenção;
• análise de riscos;
• controles técnicos e organizacionais.

A Macher Tecnologia aborda esses elementos em seus projetos de consultoria e adequação à LGPD, que incluem mapeamento de dados/sistemas/processos de negócio, ROPA, RIPD, DPA e LIA.

Publicidade e perfilamento: atenção redobrada

O ECA Digital proíbe o uso de técnicas de perfilamento para direcionamento de publicidade comercial a crianças e adolescentes.

Também proíbe o uso de análise emocional, realidade aumentada, realidade virtual e tecnologias similares com essa finalidade.

Isso irá afetar diretamente empresas e Startups que atuam nos mercados de AdTechs, redes sociais e aplicativos que monetizam dados comportamentais.

Empresas precisam saber não apenas quem são seus usuários, mas também como dados e inferências são utilizados nos modelos de publicidade e recomendação.

O papel do DPO na convergência entre LGPD e ECA Digital

O DPO pode assumir uma importantíssima responsabilidade na integração entre as duas legislações.

Entre suas atividades estão identificar tratamentos envolvendo menores de idade, revisar bases legais, acompanhar a documentação de riscos, apoiar a execução dos RIPDs e identificar conjuntamente as medidas de mitigação de riscos, revisar contratos com fornecedores e orientar áreas internas sobre novas exigências regulatórias.

Também pode apoiar a organização na interação com a ANPD, no atendimento aos titulares e na produção de evidências de accountability.

Para empresas que não possuem estrutura própria dedicada, o modelo de DPO-as-a-Service da Macher Tecnologia permite combinar competências jurídicas e tecnológicas de forma contínua.

Por que uma equipe multidisciplinar é necessária?

A implementação do ECA Digital não pode ficar restrita ao Jurídico ou ao time de Tecnologia.

O time de produto precisa compreender como funcionalidades propostas afetam menores e quais salvaguardas devem ser implementadas para reduzir eventuais impactos negativos. Desenvolvimento e arquitetura precisam implementar controles. Cybersecurity deve avaliar riscos técnicos. UX precisa garantir informação adequada à idade. Marketing deve revisar práticas de publicidade. E o Jurídico precisa avaliar obrigações e responsabilidades.

Por isso, a convergência entre a LGPD e o ECA Digital exige que times de privacidade, jurídico, tecnologia, produto e negócio estejam trabalhando conjuntamente. Essa abordagem ajuda a transformar requisitos regulatórios em valor palpável ao negócio e à sociedade em que está inserida.

Como a Macher Tecnologia pode ajudar?

A Macher Tecnologia apoia organizações na avaliação conjunta dos requisitos da LGPD e do ECA Digital.

Nossos projetos podem incluir:

• diagnóstico de aplicabilidade do ECA Digital;
• mapeamento de dados e processos;
• ROPA e RIPD;
• avaliação de acesso provável por menores;
• análise de riscos;
• revisão de fornecedores;
• adequação de sistemas e aplicações;
• políticas e procedimentos;
• cybersecurity;
• treinamento das equipes;
• DPO-as-a-Service.

Também podemos apoiar empresas na revisão de sua exposição regulatória diante das novas regras propostas pela ANPD para multas e sanções, especialmente em aplicações acessíveis por crianças e adolescentes.

A principal mensagem do novo guia da ANPD é clara: LGPD e ECA Digital precisam ser tratadas como partes de uma mesma estratégia de proteção digital quando crianças e adolescentes estão envolvidos.

Não basta atualizar termos de uso. É necessário revisar a arquitetura, os dados, os processos e os riscos do produto.

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!