ECA Digital (Lei nº 15.211/2025): guia de adequação

O que é o ECA Digital e quem precisa se adequar?

O ECA Digital (Lei nº 15.211/2025) é a lei que estende a proteção do Estatuto da Criança e do Adolescente ao ambiente digital. Ela alcança produtos e serviços de tecnologia direcionados ao público infantojuvenil ou com probabilidade de serem acessados por ele: redes sociais, jogos eletrônicos, aplicativos, plataformas de vídeo e serviços com cadastro aberto.

Na prática, isso significa que a obrigação não recai apenas sobre as grandes big techs. Se o seu sistema permite criação de conta, publicação de conteúdo, interação entre usuários ou exibe conteúdo sensível, ele precisa demonstrar que trata usuários menores de idade de forma diferenciada — desde o cadastro até a forma como os dados são armazenados e utilizados.

Por que o checkbox de autodeclaração não basta mais?

A lei exige mecanismos confiáveis de verificação de idade. A simples autodeclaração — aquele checkbox "tenho mais de 18 anos" validado apenas no front-end — não é considerada suficiente para conteúdos e funcionalidades restritos a adultos. A checagem precisa ser proporcional ao risco e implementada no backend, onde não pode ser contornada pela edição do formulário.

Entre as abordagens técnicas adotadas pelo mercado estão:

• Validação documental ou por sistemas de identidade digital, para serviços de maior risco;
• Estimativa e análise de sinais de uso como camada complementar de detecção de contas infantis;
• Vinculação da conta do menor à conta de um responsável, com ferramentas de supervisão parental;
• Regras aplicadas no servidor, com registro auditável — nunca somente em JavaScript no navegador.

Importante: a própria verificação precisa respeitar a minimização de dados — coletar o mínimo necessário, descartar documentos após a checagem e registrar apenas o resultado auditável. Uma verificação mal desenhada, que cria um novo repositório de dados sensíveis de menores, apenas troca um risco jurídico por outro.

Quais são os riscos de sanção para quem descumprir?

O descumprimento do ECA Digital sujeita a empresa a um regime de sanções progressivas, que vai de advertência com prazo para correção a multa proporcional ao porte econômico da operação — podendo alcançar valores milionários por infração — além de suspensão temporária das atividades e, nos casos mais graves, proibição do exercício da atividade no país.

E o risco não termina aí: o tratamento de dados de crianças e adolescentes continua submetido também à LGPD, que impõe o princípio do melhor interesse do menor e pode gerar sanções próprias, aplicadas pela ANPD, em caso de tratamento irregular ou vazamento — detalhamos esse regime no artigo sobre as multas da LGPD e o custo real de ignorar a segurança.

Verificação de idade não é um checkbox: é um requisito de arquitetura, que envolve backend, banco de dados, privacidade por padrão e experiência do usuário.

Adequação técnica: o que implementar na prática

A adequação começa por um diagnóstico do fluxo de cadastro e do ciclo de vida dos dados — trabalho que conduzimos em projetos de desenvolvimento web sob medida, sem precisar refazer a plataforma do zero. A partir daí, o checklist técnico essencial inclui:

• Verificação de idade robusta no backend, com trilha de auditoria, em vez de validação apenas visual;
• Controle parental funcional: vinculação de contas, limites de uso e relatórios para responsáveis;
• Privacidade por padrão: perfis de menores com as configurações mais protetivas já ativadas;
• Minimização de dados de menores: coletar apenas o necessário, com criptografia e retenção limitada;
• Sem perfilamento comercial de crianças: bloqueio de publicidade direcionada baseada em dados de menores;
• Segurança de aplicação (OWASP): proteção das rotas e APIs que expõem dados de contas infantojuvenis.

Conclusão

O ECA Digital transformou a proteção de menores em requisito de engenharia: quem depende de autodeclaração no front-end está exposto a sanções e a danos de reputação difíceis de reverter. A boa notícia é que a adequação é um projeto técnico bem delimitado — e pode ser conduzida por etapas, priorizando os fluxos de maior risco. Conheça nosso serviço de Cibersegurança ou agende um diagnóstico gratuito para avaliar o nível de conformidade do seu sistema.