Como o ECA Digital muda a responsabilidade de plataformas e apps

Quais jornadas precisam de controles de proteção?

O ECA Digital alcança produtos e serviços de tecnologia da informação direcionados a crianças e adolescentes no Brasil ou de acesso provável por eles, conforme o artigo 1º da Lei nº 15.211/2025. Para plataformas e apps enquadrados, a revisão deve alcançar cadastro, aferição de idade, privacidade padrão, publicidade, interação e resposta a denúncias. As obrigações variam conforme o serviço e as condições legais; possibilidade abstrata de acesso não substitui essa análise.

O alcance não depende apenas de a marca se apresentar como infantil.

A Lei nº 15.211/2025 entrou em vigor em 17 de março de 2026. Seu artigo 1º considera probabilidade de uso e atratividade, facilidade de acesso e utilização e riscos à privacidade, à segurança ou ao desenvolvimento de crianças e adolescentes. A empresa precisa justificar o enquadramento do produto, não apenas rotulá-lo como adulto ou alegar que não é uma grande plataforma.

Na prática, isso significa que a responsabilidade de plataformas e apps deixa de ficar concentrada em termos de uso, políticas genéricas e respostas reativas. Ela passa a alcançar o produto, a coleta de dados, a publicidade, a moderação, a governança e a capacidade de responder rapidamente a riscos e violações.

O que o ECA Digital muda de verdade

O ECA Digital não surge do zero. Ele conversa com princípios que já estavam no ECA, na LGPD e no Marco Civil da Internet. A diferença é que agora esses princípios ganham mais densidade operacional para o ambiente digital.

Isso importa porque o problema das empresas nunca foi apenas “saber que precisam proteger menores”. O problema sempre esteve em transformar essa obrigação em prática de produto, rotina de governança e critério de decisão.

O novo marco deixa mais claro que plataformas e aplicativos precisam:

• adotar mecanismos confiáveis de verificação de idade em contextos de risco
• oferecer ferramentas de supervisão parental quando aplicável
• estruturar respostas rápidas para crimes e violações graves
• restringir práticas de publicidade e perfilamento de menores
• operar com privacidade e segurança por padrão
• documentar critérios, medidas adotadas e responsabilidades internas

Ou seja, a régua sobe. E sobe de um jeito que atinge desde grandes plataformas até operações digitais que antes se viam fora desse radar.

A responsabilidade não vale só para big tech

Esse é um dos pontos que mais merecem atenção.

A lei e a comunicação oficial do governo deixam claro que o alcance não se limita a redes sociais globais. O ECA Digital se aplica a produtos e serviços digitais direcionados a crianças e adolescentes ou de acesso provável por esse público, conforme os critérios do artigo 1º, independentemente de onde a empresa esteja sediada.

Na prática, isso pode alcançar:

• aplicativos com cadastro aberto
• plataformas de conteúdo
• marketplaces
• jogos online
• edtechs
• serviços de vídeo e streaming
• apps com recursos de comunidade
• produtos com gamificação
• plataformas com anúncios segmentados
• serviços com conteúdo ou funcionalidades impróprias para menores

A pergunta relevante deixou de ser “meu negócio é feito para crianças?” e passou a ser “há acesso provável, impacto provável ou tratamento de dados de menores na minha operação digital?”.

Se a resposta for sim, ainda que parcialmente, o tema já é seu.

1. Verificação de idade deixa de ser detalhe cosmético

Um dos sinais mais visíveis da mudança é a verificação de idade.

Para fornecedores que disponibilizam conteúdo, produto ou serviço cuja oferta ou acesso seja impróprio, inadequado ou proibido para menores de 18 anos, o artigo 9º da lei exige mecanismos confiáveis de verificação de idade a cada acesso e veda a autodeclaração. Não se trata apenas de o botão “tenho 18 anos” perder força. Fora desse recorte, a análise dos mecanismos deve observar as demais disposições aplicáveis, sem presumir a mesma solução para toda jornada.

Mas esse ponto precisa ser lido com maturidade.

O ECA Digital não deveria ser interpretado como autorização para coletar documentos de todo mundo indiscriminadamente. A exigência é por mecanismos confiáveis, proporcionais e compatíveis com privacidade e minimização de dados.

Na prática, plataformas e apps precisam responder perguntas como:

• em quais jornadas a idade realmente importa?
• qual é o risco do serviço ou conteúdo?
• qual verificação é adequada para esse risco?
• quais dados são estritamente necessários?
• como evitar criar uma nova exposição de dados no processo de proteção?

Isso desloca a responsabilidade da área jurídica isolada para uma mesa mais ampla, com produto, engenharia, privacidade e segurança participando juntos.

2. Produto passa a ser parte central da conformidade

Outra mudança importante é que a responsabilidade deixa de ser apenas documental.

O ECA Digital reforça a lógica de proteção desde a concepção do produto. Em outras palavras, não basta ter uma política bonita se a experiência continua empurrando o risco para o usuário ou para a família.

Plataformas e apps passam a ter de olhar para escolhas concretas de design e operação, como:

• configurações padrão de privacidade
• exposição pública de perfis
• sistemas de recomendação
• compras in-app e microtransações
• mecanismos de interação entre usuários
• geolocalização e compartilhamento de contato
• estímulos de uso excessivo
• fluxos de cadastro e consentimento
• linguagem da interface em contextos sensíveis

Isso muda bastante a responsabilidade porque o debate sai do campo do “texto legal” e entra no centro do produto.

Se a arquitetura da experiência favorece exposição indevida, hiperengajamento, contato inseguro, incentivo ao consumo ou acesso inadequado, a discussão regulatória tende a ir além da política de privacidade.

3. Publicidade e monetização entram em zona sensível

O ECA Digital também pressiona plataformas, anunciantes e apps a reverem como usam dados e estratégias de crescimento quando há presença de crianças e adolescentes na jornada.

Há proibições expressas, não apenas maior escrutínio: os artigos 22 e 26 da lei vedam o uso de perfilamento para direcionar publicidade comercial a crianças e adolescentes. O artigo 13 restringe os dados coletados para verificação de idade a essa finalidade. A área de marketing não pode reutilizar esses dados para segmentação publicitária.

Isso toca diretamente áreas de marketing, growth e receita.

Na prática, vale revisar:

• campanhas dirigidas a público infantojuvenil
• perfilamento comportamental de menores
• uso de dados para recomendação de anúncios
• conteúdos patrocinados com participação recorrente de menores
• mecânicas gamificadas que pressionem consumo
• monetização apoiada em impulsos, repetição e recompensas aleatórias

Em muitos negócios, essa revisão não será apenas jurídica. Ela pode mexer no próprio modelo de conversão, retenção e aquisição.

4. Moderação e resposta rápida viram obrigação operacional

Outro ponto importante é que a responsabilidade das plataformas fica mais concreta diante de crimes e violações graves.

A lei diferencia situações e deveres. O artigo 27 trata da remoção e comunicação às autoridades competentes de conteúdos de aparente exploração, abuso sexual, sequestro e aliciamento detectados no serviço, na forma do regulamento. Outras situações exigem enquadramento próprio; a lista abaixo é um mapa de riscos para triagem, não um único prazo ou procedimento legal para todos os casos:

• aliciamento
• assédio
• exploração sexual
• disseminação de conteúdos ilícitos
• violência
• estímulo à autolesão ou ao suicídio
• exposição indevida de crianças e adolescentes

Isso significa que empresas com produtos interativos precisam demonstrar que possuem processo, responsáveis, critérios de escalonamento e capacidade de agir.

Não basta ter um canal de denúncia escondido no rodapé.

É preciso saber:

• como denúncias entram
• quem analisa casos críticos
• quando bloquear, remover ou preservar evidências
• quando reportar autoridades
• como integrar atendimento, trust & safety, jurídico, segurança e privacidade

Sem esse desenho, a empresa só descobre sua fragilidade no meio da crise.

5. Privacidade de menores sobe de patamar

A LGPD já exigia cuidado especial com dados de crianças e adolescentes. O ECA Digital reforça essa exigência ao conectá-la ao funcionamento prático de plataformas e apps.

Na prática, a empresa passa a ser cobrada não apenas por ter base legal ou cláusulas em política, mas por mostrar que:

• coleta o mínimo necessário
• justifica a finalidade com clareza
• evita rastreamento excessivo
• restringe perfilamento inadequado
• protege dados desde a configuração padrão
• avalia compartilhamentos com terceiros
• revisa fornecedores envolvidos na operação

Esse é um ponto crítico porque muitas soluções digitais usam SDKs, ferramentas de analytics, adtechs, parceiros de mídia, integrações e camadas de rastreamento sem reavaliar o impacto específico sobre menores.

Com o ECA Digital, essa revisão tende a ficar mais urgente.

6. A empresa precisa provar o que fez

Talvez a mudança mais importante seja esta: preocupação abstrata deixa de bastar.

Assim como aconteceu com a LGPD, o mercado entra em uma fase em que será necessário demonstrar esforço concreto de adequação. Isso envolve prestação de contas, documentação e governança.

As empresas precisam estar preparadas para mostrar, por exemplo:

• mapa de riscos
• critérios de adequação etária
• decisões sobre verificação de idade
• revisão de jornadas e funcionalidades críticas
• políticas e procedimentos internos
• papéis e responsabilidades definidos
• controles implementados
• cronograma de evolução
• trilha de decisões e justificativas

Na prática, responsabilidade regulatória passa a ser também responsabilidade de gestão.

O que plataformas e apps deveriam fazer agora

Para não transformar o ECA Digital em um tema só reativo, vale organizar a resposta em frentes objetivas.

1. Mapear o risco real da operação

Entender onde há acesso provável de menores, tratamento de dados, exposição a conteúdo sensível, publicidade dirigida, interação entre usuários ou monetização mais delicada.

2. Revisar jornadas e desenho de produto

Olhar para cadastro, idade, privacidade padrão, moderação, recomendação, compras, comunicação e controles parentais.

3. Reavaliar dados e terceiros

Checar analytics, pixels, SDKs, adtechs, compartilhamentos, retenção e minimização de dados com foco específico em menores.

4. Estruturar governança interna

Definir responsáveis, fluxos de resposta, critérios de escalonamento e documentação de decisões.

5. Construir um plano de adequação progressivo

A priorização interna deve registrar risco, responsável, controle e evidência de teste. Ela não autoriza adiar obrigação vigente nem afastar prazo aplicável. Onde houver exposição indevida, avalie contenção ou suspensão da funcionalidade enquanto a correção é executada.

Exemplo hipotético de jornada: um app bloqueia o envio de localização a um SDK publicitário em contas de menores. Produto define a restrição, engenharia testa os fluxos com e sem permissão de localização, e privacidade confere a finalidade. A evidência de aceite é o registro de que o SDK não recebe esses dados nas jornadas testadas; uma configuração apenas declarada no painel não comprova o bloqueio. Trata-se de um modelo de teste recomendado, não de formulário oficial.

Para o enquadramento geral, consulte ECA Digital e adequação de empresas. Este guia se concentra na execução dos controles por jornada.

O erro mais comum agora

O erro mais comum é tratar o ECA Digital como se fosse apenas uma atualização legal para o jurídico acompanhar.

Não é.

Ele altera expectativa regulatória, pressiona o desenho do produto, mexe na estratégia de dados, atravessa publicidade e exige capacidade operacional. Em muitos casos, o impacto real estará menos na política publicada e mais no que a empresa efetivamente entrega no produto.

Outro erro recorrente é buscar uma solução genérica e única para todas as situações. O tema exige proporcionalidade. Há serviços de alto risco, serviços com acesso provável de menores, operações com baixa exposição e modelos híbridos. A maturidade está em avaliar contexto, justificar escolhas e revisar continuamente.

Como a TOGETHER enxerga esse movimento

Para a TOGETHER, o ECA Digital acelera uma mudança que já vinha acontecendo: a responsabilidade digital deixa de ser uma pauta periférica e passa a ser parte da governança do negócio.

Empresas que operam plataformas e apps precisarão conectar privacidade, produto, marketing, segurança, compliance e liderança em torno de uma agenda mais prática. Quem fizer isso agora tende a reduzir risco, ganhar previsibilidade e responder melhor a reguladores, famílias, parceiros e mercado.

Quem adiar pode acabar reagindo sob pressão, em cenário de incidente, denúncia ou fiscalização.

Conclusão

O ECA Digital muda a responsabilidade de plataformas e apps porque transforma proteção de crianças e adolescentes em obrigação mais concreta de arquitetura, operação, publicidade, moderação e governança.

A pergunta já não é mais se sua empresa “se preocupa” com o tema. A pergunta é se ela consegue demonstrar, com clareza, que desenhou controles e decisões compatíveis com o risco do seu serviço.

No ambiente digital atual, isso é proteção regulatória, proteção reputacional e proteção de negócio.

Se sua empresa precisa traduzir o ECA Digital em decisões práticas de produto, dados e governança, a TOGETHER pode ajudar.

Fale com a TOGETHER para transformar exigências regulatórias em processos, governança e adequação prática no seu produto digital.

---

Fontes consultadas

• Lei nº 15.211/2025 (ECA Digital): texto oficial
• Governo do Brasil / Planalto — regulamentação do ECA Digital em março de 2026
• Ministério da Justiça e Segurança Pública — página oficial do ECA Digital
• Migalhas — análise sobre a nova fase da responsabilidade das plataformas
• Lacaz Martins — análise sobre novas obrigações para plataformas até março de 2026

Conteúdo da TOGETHER. Atualização editorial em 3 de outubro de 2026.