Nesta quarta-feira (28), a Agência Nacional de Proteção de Dados (ANPD) publicou o Guia Orientativo “Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital”, que estabelece as diretrizes interpretativas sobre a aplicação da Lei nº 15.211/2025 (Estatuto Digital da Criança e do Adolescente – ECA Digital) e sobre o conteúdo dos deveres de prevenção, proteção, informação e segurança. O guia foi aperfeiçoado a partir de tomada de subsídios realizada entre abril e junho de 2026 e traz exemplos práticos, tabelas-resumo e um fluxograma para o teste de acesso provável.
Quem está sujeito ao ECA Digital
O ECA Digital aplica-se a fornecedores de produtos ou serviços de tecnologia da informação direcionados a crianças e adolescentes ou de acesso provável por eles, independentemente da localização do fornecedor. Basta que a aplicação esteja disponível e seja de acesso provável no Brasil, ainda que o fornecedor seja estrangeiro.
Conforme orienta o guia, o produto ou serviço deve reunir, cumulativamente, três elementos: (i) fornecimento a distância; (ii) por meio eletrônico; e (iii) mediante requisição individual do usuário, ainda que o uso seja compartilhado. Ficam fora do conceito, em regra, atividades prestadas com presença física simultânea, telemarketing e radiodifusão. A gratuidade aparente não afasta a incidência da Lei: serviços remunerados por publicidade ou monetização indireta também estão abrangidos.
O conceito é funcional e tecnologicamente neutro, alcançando, também, fornecedores não mencionados expressamente, como marketplaces, serviços de mensageria e dispositivos conectados.
Acesso provável
O acesso provável exige a presença cumulativa dos três requisitos do artigo 1º, parágrafo único, do ECA Digital, sempre à luz do princípio do melhor interesse da criança e do adolescente:
- probabilidade de uso e atratividade, avaliadas por elementos como, linguagem, estética, personagens, recompensas, gamificação, influenciadores e mecanismos de engajamento;
- facilidade de acesso e utilização, como cadastros simplificados e compatibilidade com dispositivos de uso corrente; e
- significativo grau de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial, presumido em serviços de interação social e compartilhamento em larga escala.
Há presunção legal de acesso provável para redes sociais, lojas de aplicações, sistemas operacionais, serviços com controle editorial, jogos eletrônicos, provedores de conteúdo adulto, sistemas de IA generativa e plataformas de comércio eletrônico que intermedeiem produtos proibidos a esse público. A presunção só pode ser afastada de forma motivada.
Dois pontos merecem destaque: (i) a autoavaliação do fornecedor não vincula a ANPD, que pode concluir em sentido diverso com base nas características concretas do serviço; e (ii) medidas adotadas para cumprir a Lei, como a aferição de idade ou a mitigação de riscos, não afastam o enquadramento como acesso provável, pois pressupõem a incidência da norma.
Categorias com obrigações específicas
O guia detalha as subcategorias de fornecedores previstas na Lei. Lojas de aplicações e sistemas operacionais têm papel estrutural, inclusive no fornecimento de sinal de idade aos provedores de aplicações; as lojas devem, ainda, viabilizar o consentimento parental para downloads. Sistemas operacionais de código aberto com uso predominantemente técnico ou embarcados em dispositivos de Internet das Coisas podem receber tratamento modulado. Serviços com controle editorial e provedores de conteúdos licenciados, como streaming, ficam dispensados de parte das obrigações, inclusive da aferição de idade, desde que ofereçam perfis infantis e supervisão parental, mantida a configuração mais protetiva por padrão.
Dever de prevenção
O dever de prevenção (artigo 5º) desdobra-se em quatro dimensões complementares:
- Prevenção em sentido estrito: identificar riscos de funcionalidades, recursos e sistemas, avaliar sua probabilidade e gravidade (recomenda-se classificá-los como baixo, médio ou elevado), adotar salvaguardas e documentar sua eficácia com testes, dados e métricas;
- Proteção: assegurar proteção integral e prioritária, inclusive contra exploração comercial e perfilamento para publicidade;
- Informação: fornecer informações claras e adequadas à faixa etária, vedadas interfaces manipulativas, e publicar relatórios semestrais de transparência, quando houver mais de um milhão de usuários crianças e adolescentes; e
- Segurança: manter controles técnicos e organizacionais contínuos, cuja intensidade cresça com o alcance e a capacidade de interferência do fornecedor.
As obrigações são moduladas conforme o grau de interferência sobre conteúdos, número de usuários e porte do fornecedor, mas a proporcionalidade não reduz a responsabilidade, apenas orienta a forma e a extensão das medidas esperadas.
Implicações práticas
Fornecedores de serviços digitais, inclusive os que se declaram voltados exclusivamente a adultos, devem documentar a análise de acesso provável com base no funcionamento real do produto, revisar avaliações de impacto e de riscos, configurações-padrão e fluxos de informação e manter evidências da eficácia das medidas adotadas, considerando que a ANPD poderá revisar o enquadramento a qualquer tempo.
O time de Proteção de Dados está acompanhando de perto o desenvolvimento do tema e permanece à disposição para prestar quaisquer esclarecimentos.
