As plataformas digitais usadas por crianças e adolescentes, ou com acesso provável por esse público, precisam oferecer supervisão parental e proteção máxima por padrão. A regra vem da Lei 15.211/2025, o ECA Digital, em vigor desde 17 de março de 2026, e alcança redes sociais, jogos, lojas de aplicativos e sistemas operacionais. O Decreto 12.880/2026 detalha as obrigações. A regulamentação e a fiscalização cabem à Agência Nacional de Proteção de Dados (ANPD).
A quem o ECA Digital se aplica e o que é acesso provável
A lei vale para todo produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes no país. Também vale para os produtos e serviços de acesso provável por eles. O local de desenvolvimento, fabricação, oferta ou operação do serviço não afasta a regra.
A lei define produto ou serviço de tecnologia da informação como aquele fornecido a distância, por meio eletrônico, a pedido individual do usuário. Os exemplos citados são aplicações de internet, programas de computador, sistemas operacionais, lojas de aplicações e jogos eletrônicos conectados. Ficam de fora as funcionalidades essenciais ao funcionamento da internet, como os protocolos e os padrões técnicos abertos que interligam as redes. Os conceitos de criança e de adolescente seguem o Estatuto da Criança e do Adolescente, a Lei 8.069/1990.
Um serviço não precisa ser feito para crianças para entrar na lei. Basta que se enquadre como de acesso provável. A lei descreve três situações:
- a probabilidade suficiente de uso do serviço por crianças e adolescentes e a atratividade dele para esse público;
- a considerável facilidade de acesso e de uso por eles;
- o grau significativo de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial desse público.
A terceira situação vale em especial para serviços de interação social e de compartilhamento de informações em larga escala.
As empresas também precisam manter representante legal no Brasil. Esse representante recebe citações e notificações e responde perante o Executivo, o Judiciário e o Ministério Público. Reportagem especial do Superior Tribunal de Justiça (STJ) descreve a lei como criada para impor regras rígidas a redes sociais, jogos e plataformas digitais.
Quais obrigações de supervisão parental a lei impõe às plataformas
A lei define mecanismo de supervisão parental como o conjunto de configurações, ferramentas e salvaguardas tecnológicas integradas ao serviço. Esse conjunto permite aos pais ou responsáveis supervisionar, limitar e gerenciar o uso, o conteúdo acessado e o tratamento de dados pessoais.
Os fornecedores devem oferecer configurações acessíveis e fáceis de usar. Devem informar os pais, em local de fácil acesso, sobre as ferramentas existentes. Precisam exibir aviso claro quando a supervisão estiver ativa e mostrar quais controles foram aplicados. Também devem permitir limitar e monitorar o tempo de uso.
As configurações-padrão devem adotar o mais alto nível de proteção disponível. A lei fixa um mínimo:
- restringir a comunicação de usuários não autorizados com crianças e adolescentes;
- limitar recursos que prolongam o uso artificialmente, como reprodução automática, recompensas por tempo de uso e notificações;
- oferecer ferramentas de acompanhamento e interfaces que mostrem e limitem o tempo de uso;
- dar controle sobre sistemas de recomendação personalizados, com opção de desativação;
- restringir o compartilhamento da geolocalização e avisar previamente sobre o rastreamento;
- promover a educação digital e midiática;
- revisar regularmente as ferramentas de inteligência artificial e permitir desabilitar funções não essenciais;
- conectar o usuário a serviços de suporte emocional e de bem-estar, quando tecnicamente viável.
A autoridade competente vai fixar por regulamento os padrões mínimos desses mecanismos. O fornecedor pode submeter suas ferramentas à apreciação da autoridade. Essa análise não é pré-requisito para lançar o produto. A lei também atribui aos pais o cuidado ativo e contínuo, com ferramentas de supervisão adequadas à idade. De forma geral, os fornecedores devem proporcionar experiências adequadas à idade e respeitar a autonomia progressiva do usuário.
Como o Decreto 12.880/2026 distingue aferição, verificação e autodeclaração de idade
O decreto, de 18 de março de 2026, separa quatro conceitos.
Aferição de idade é o termo geral. Abrange os procedimentos para verificar, estimar ou inferir a idade ou a faixa etária do usuário. Inclui análise documental, biométrica e de padrões de uso, entre outros meios tecnicamente idôneos.
Verificação de idade é um tipo específico de aferição, com alto grau de confiabilidade, nos termos que a ANPD estabelecer. Ela confere a veracidade da idade declarada por mecanismos técnicos ou documentais.
Sinal de idade é uma informação ou credencial que atesta a idade ou a faixa etária do usuário ao fornecedor. O sinal não revela outros dados pessoais.
Autodeclaração de idade é o método em que o próprio usuário informa a idade, sem evidência adicional que confirme a informação ou quem a forneceu.
A ANPD vai disciplinar a certificação das soluções técnicas de aferição de idade. A agência pode fazer isso diretamente ou reconhecer entidades acreditadoras. Material informativo de tribunal estadual resume a mudança assim: antes bastava clicar em "tenho mais de 18 anos", e agora a lei exige mecanismos eficazes de comprovação de idade. Outro tribunal informa que a exigência de verificação alcança também lojas de aplicativos e sistemas operacionais.
Conteúdo impróprio, publicidade e violações graves: o que o decreto veda
O decreto chama de impróprio o conteúdo, produto ou serviço que possa trazer risco à privacidade, à segurança, ao desenvolvimento psicossocial, à saúde e ao bem-estar do público infantojuvenil. Esse conceito considera a classificação indicativa, quando aplicável. Conteúdo proibido é diferente: é aquele que uma lei específica veda expressamente para crianças e adolescentes.
O conteúdo impróprio pode ser oferecido, mas só se o fornecedor cumprir três condições ao mesmo tempo. A primeira é seguir a classificação indicativa, quando ela se aplicar. A segunda é adotar segurança por padrão desde a concepção, proporcional aos riscos da faixa etária. A terceira é oferecer ferramentas efetivas de supervisão parental, com bloqueios configuráveis pelos responsáveis. A ANPD pode exigir medidas adicionais se identificar riscos relevantes.
No campo da publicidade, o decreto proíbe veicular, monetizar ou impulsionar conteúdos que exponham crianças ou adolescentes a situações violadoras, vexatórias ou degradantes. A lei define monetização como a remuneração do usuário pela publicação ou distribuição de conteúdo. Essa remuneração inclui visualizações, assinaturas, doações, patrocínios e publicidade. Impulsionamento é a ampliação artificial do alcance ou da visibilidade de um conteúdo mediante pagamento. Tribunal estadual informa também que a lei limita a publicidade direcionada ao público infantojuvenil.
O decreto trata ainda das violações graves contra crianças e adolescentes. O fornecedor que descumpre as obrigações do art. 27 da lei fica sujeito às penalidades do art. 35 quando há falha reincidente na moderação de conteúdo. Falha reincidente é a negligência ou a insuficiência dos mecanismos de resposta a essas violações. A falha isolada ou residual, inerente ao estado da técnica e à natureza da operação, não gera penalidade.
Quem fiscaliza e quais sanções preveem as fontes oficiais
A ANPD regulamenta e fiscaliza o ECA Digital. Os demais órgãos do sistema de garantia de direitos da criança e do adolescente vítima ou testemunha de violência mantêm suas competências. Esse sistema está previsto na Lei 13.431/2017.
O decreto também institui uma política nacional sobre o tema e autoriza a criação do Centro Nacional de Triagem de Notificações. A ANPD vai habilitar entidades de defesa de crianças e adolescentes para enviar notificações. Essas entidades devem cumprir quatro requisitos ao mesmo tempo. Precisam ter experiência comprovada, ser independentes dos fornecedores, garantir a qualidade das notificações e não ter fins lucrativos. A lista das entidades habilitadas ficará no site da agência. A ANPD pode desabilitar a entidade que enviar notificações abusivas.
Quanto às sanções, o decreto remete ao art. 35 da lei e aos critérios de proporcionalidade e razoabilidade do mesmo artigo. Informativo de tribunal estadual descreve as penalidades possíveis: advertência, multa de até 10% do faturamento no Brasil, limitada a R$ 50 milhões por infração, ou suspensão das atividades no país. Cartilha de outro tribunal informa que a Polícia Federal apoia a fiscalização com um centro especializado em denúncias de crimes digitais contra crianças e adolescentes.
O que muda na prática
- Plataformas e desenvolvedores: o serviço que se enquadra como de acesso provável deve trazer supervisão parental e configurações-padrão no nível mais alto de proteção.
- Empresas estrangeiras: a lei vale independentemente do local de operação e exige representante legal no Brasil.
- Lojas de aplicativos e sistemas operacionais: ambos aparecem na definição legal de produto ou serviço de tecnologia da informação. Informativo de tribunal os inclui entre os obrigados à verificação de idade.
- Criadores de conteúdo e anunciantes: fica vedado monetizar ou impulsionar conteúdo que exponha crianças a situações violadoras, vexatórias ou degradantes.
- Pais e responsáveis: a lei lhes atribui o cuidado ativo, com ferramentas de supervisão adequadas à idade. As plataformas devem informar quais controles estão ativos.
- Entidades de defesa da infância: podem pedir habilitação à ANPD para enviar notificações, se cumprirem os requisitos do decreto.