ECA Digital (Lei nº 15.211/2025): guia de adequação

O que é o ECA Digital e quem precisa se adequar?

O ECA Digital (Lei nº 15.211/2025) é a lei que estende a proteção do Estatuto da Criança e do Adolescente ao ambiente digital. Ela alcança produtos e serviços de tecnologia direcionados ao público infantojuvenil ou com probabilidade de serem acessados por ele: redes sociais, jogos eletrônicos, aplicativos, plataformas de vídeo e serviços com cadastro aberto.

Na prática, isso significa que a obrigação não recai apenas sobre as grandes big techs. Se o seu sistema permite criação de conta, publicação de conteúdo, interação entre usuários ou exibe conteúdo sensível, ele precisa demonstrar que trata usuários menores de idade de forma diferenciada — desde o cadastro até a forma como os dados são armazenados e utilizados.

Por que o checkbox de autodeclaração não basta mais?

A lei exige mecanismos confiáveis de verificação de idade. A simples autodeclaração — aquele checkbox "tenho mais de 18 anos" validado apenas no front-end — não é considerada suficiente para conteúdos e funcionalidades restritos a adultos. A checagem precisa ser proporcional ao risco e implementada no backend, onde não pode ser contornada pela edição do formulário.

Entre as abordagens técnicas adotadas pelo mercado estão:

• Validação documental ou por sistemas de identidade digital, para serviços de maior risco;
• Estimativa e análise de sinais de uso como camada complementar de detecção de contas infantis;
• Vinculação da conta do menor à conta de um responsável, com ferramentas de supervisão parental;
• Regras aplicadas no servidor, com registro auditável — nunca somente em JavaScript no navegador.

Importante: a própria verificação precisa respeitar a minimização de dados — coletar o mínimo necessário, descartar documentos após a checagem e registrar apenas o resultado auditável. Uma verificação mal desenhada, que cria um novo repositório de dados sensíveis de menores, apenas troca um risco jurídico por outro — e cria um alvo valioso caso o site seja invadido.

Quais são os riscos de sanção para quem descumprir?

O descumprimento do ECA Digital sujeita a empresa a um regime de sanções progressivas, que vai de advertência com prazo para correção a multa proporcional ao porte econômico da operação — podendo alcançar valores milionários por infração — além de suspensão temporária das atividades e, nos casos mais graves, proibição do exercício da atividade no país.

E o risco não termina aí: o tratamento de dados de crianças e adolescentes continua submetido também à LGPD, que impõe o princípio do melhor interesse do menor e pode gerar sanções próprias, aplicadas pela ANPD, em caso de tratamento irregular ou vazamento — detalhamos esse regime no artigo sobre as multas da LGPD e o custo real de ignorar a segurança.

Verificação de idade não é um checkbox: é um requisito de arquitetura, que envolve backend, banco de dados, privacidade por padrão e experiência do usuário.

Adequação técnica: o que implementar na prática

A adequação começa por um diagnóstico do fluxo de cadastro e do ciclo de vida dos dados — trabalho que conduzimos em projetos de desenvolvimento web sob medida, sem precisar refazer a plataforma do zero. A partir daí, o checklist técnico essencial inclui:

• Verificação de idade robusta no backend, com trilha de auditoria, em vez de validação apenas visual;
• Controle parental funcional: vinculação de contas, limites de uso e relatórios para responsáveis;
• Privacidade por padrão: perfis de menores com as configurações mais protetivas já ativadas;
• Minimização de dados de menores: coletar apenas o necessário, com criptografia e retenção limitada;
• Sem perfilamento comercial de crianças: bloqueio de publicidade direcionada baseada em dados de menores;
• Segurança de aplicação (OWASP): proteção das rotas e APIs que expõem dados de contas infantojuvenis, validada com testes de intrusão (pentest).

Conclusão

O ECA Digital transformou a proteção de menores em requisito de engenharia: quem depende de autodeclaração no front-end está exposto a sanções e a danos de reputação difíceis de reverter. A boa notícia é que a adequação é um projeto técnico bem delimitado — e pode ser conduzida por etapas, priorizando os fluxos de maior risco. Conheça nosso serviço de Cibersegurança ou agende um diagnóstico gratuito para avaliar o nível de conformidade do seu sistema.