As plataformas digitais, redes sociais e distribuidoras de jogos eletrônicos operam sob regras estritas de proteção a menores de 18 anos desde 17 de março de 2026. Nessa data entrou em vigor o Estatuto Digital da Criança e do Adolescente, instituído pela Lei nº 15.211, sancionada em 17 de setembro de 2025 pelo presidente da República, Luiz Inácio Lula da Silva. Conhecida como ECA Digital, a legislação estabelece deveres de segurança e privacidade para empresas de tecnologia que oferecem serviços ou produtos direcionados a crianças e adolescentes ou com acesso provável por essa faixa etária.

O alcance da norma engloba aplicativos de internet, programas de computador, sistemas operacionais de terminais, lojas de aplicativos, plataformas de vídeo e jogos conectados à rede. As obrigações valem para qualquer fornecedor cujos serviços sejam acessíveis pelo público infantojuvenil no país, independentemente do país onde a empresa tenha sede ou onde o software tenha sido desenvolvido, fabricado ou operado.

Regulamentação da ANPD e exigência de segurança desde a concepção

Um dia após o início da vigência do estatuto, o Decreto nº 12.880, de 18 de março de 2026, regulamentou os dispositivos da lei e instituiu a Política Nacional de Proteção dos Direitos da Criança e do Adolescente no Ambiente Digital. A fiscalização e a garantia do cumprimento das normas em todo o território nacional ficaram a cargo da Agência Nacional de Proteção de Dados (ANPD), órgão que havia recebido a atribuição pelo Decreto nº 12.622, de 17 de setembro de 2025, e foi transformado em agência reguladora pela Lei nº 15.352, de 25 de fevereiro de 2026. A estrutura de acompanhamento conta ainda com o Centro Nacional de Proteção à Criança e ao Adolescente.

A diretriz estrutural da Lei nº 15.211 determina que a proteção aos menores de idade seja incorporada desde a fase de concepção e desenvolvimento dos produtos tecnológicos, mantendo-se ativa durante todo o ciclo de operação da ferramenta. Na prática, os provedores têm a obrigação legal de adotar medidas preventivas para mitigar riscos de violência digital, assédio, intimidação sistemática (cyberbullying), aliciamento, exploração e abuso sexual, além de barrar o acesso a material pornográfico e a serviços que prejudiquem a saúde física ou mental dos jovens.

Para padronizar a prestação de contas das empresas submetidas à nova legislação, a ANPD publicou em 11 de agosto de 2026 o Despacho Decisório CD/ANPD nº 122/2026, detalhando os prazos dos relatórios semestrais de transparência previstos no artigo 31 da lei e no artigo 45 do decreto regulamentador. O primeiro documento teve entrega fixada até 17 de setembro de 2026, cobrindo os dados de notificações e moderação do primeiro semestre do ano ou o intervalo a partir de 17 de março de 2026. Para os ciclos subsequentes, a agência determinou duas datas anuais de publicação: até 1º de agosto, referente aos seis primeiros meses do ano civil, e até 1º de fevereiro, relativo ao segundo semestre.

Entre as obrigações permanentes impostas às empresas de tecnologia pelo estatuto estão:

• Aferição técnica e obrigatória de faixa etária a cada tentativa de acesso a conteúdos restritos para menores de 18 anos.
• Ativação do nível mais alto de privacidade como configuração de fábrica para contas de usuários jovens.
• Oferta gratuita de painéis de supervisão parental com comandos em linguagem clara para pais e responsáveis.
• Vedação ao direcionamento de publicidade comercial baseada em perfilamento comportamental ou análise emocional.
• Proibição da venda ou oferta de caixas de recompensa aleatórias (loot boxes) em jogos voltados ou acessíveis a menores.
• Remoção imediata e comunicação às autoridades de conteúdos ligados a abuso, exploração sexual ou sequestro infantil.
• Divulgação semestral de relatórios de transparência sobre denúncias recebidas e medidas de moderação adotadas.
• Sujeição a multas e sanções administrativas aplicadas pela autoridade reguladora em casos de descumprimento.

Aferição técnica de idade e vínculo obrigatório até os 16 anos

O acesso a qualquer produto, serviço ou conteúdo classificado como impróprio ou proibido para menores de 18 anos exige que a plataforma execute procedimentos técnicos de confirmação de idade a cada novo acesso. O texto legal proíbe o modelo de autodeclaração, no qual o próprio internauta apenas digita uma data de nascimento ou marca uma caixa confirmando ser maior de idade sem comprovação adicional. Todas as informações coletadas pelas empresas durante esse procedimento de checagem etária têm uso restrito e não podem ser reaproveitadas para nenhuma outra finalidade, em cumprimento à Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709, de 2018.

A responsabilidade pela aferição etária estende-se aos fabricantes de sistemas operacionais e às lojas de aplicativos, que precisam implementar métodos proporcionais, seguros e passíveis de auditoria para identificar a faixa etária de quem utiliza o aparelho. Nas redes sociais, a regra exige um passo específico: perfis pertencentes a crianças e adolescentes

No campo do tratamento de dados, todo serviço digital acessado por esse público precisa operar, por padrão, na configuração mais restritiva e protetiva existente na plataforma. Caso o aplicativo ofereça ajustes menos rigorosos de privacidade, a empresa deve apresentar avisos objetivos sobre os riscos envolvidos, garantindo que os responsáveis legais tenham informações completas antes de autorizar qualquer alteração.

Continue lendo: Discord bloqueia transmissões ao vivo no Brasil por determinação da ANPD após investigação

Controles de supervisão familiar e bloqueio de anúncios comportamentais

Para viabilizar o acompanhamento familiar previsto no artigo 17 da lei, os fornecedores devem entregar ferramentas de supervisão parental acessíveis e simples de operar. Esses painéis precisam permitir que os adultos gerenciem as configurações de privacidade da conta do menor, bloqueiem compras online e transações financeiras, verifiquem a lista de perfis de adultos com os quais o jovem mantém contato e consultem o tempo total gasto dentro do aplicativo, podendo ligar ou desligar travas de segurança a qualquer momento.

Esses recursos de supervisão também saem de fábrica ajustados no grau máximo de restrição. O pacote padrão bloqueia o envio e o recebimento de mensagens de pessoas não autorizadas, limita a atuação de algoritmos de recomendação personalizada e impede o compartilhamento da localização geográfica do dispositivo. As plataformas devem fornecer ainda cronômetros e travas para limitar a jornada diária de conexão.

Com o objetivo de conter o uso compulsivo de telas, o ECA Digital obriga os serviços a desativar ou restringir mecanismos desenhados para reter a atenção do usuário indefinidamente. As medidas incluem a contenção do início automático de vídeos em sequência, a proibição de oferecer prêmios ou vantagens vinculadas à quantidade de horas conectado e a redução do envio de notificações que incentivem o retorno constante ao aplicativo.

Na esfera comercial, a lei proíbe que empresas utilizem técnicas de perfilamento para exibir anúncios direcionados a crianças e adolescentes. Fica vedado o cruzamento de dados pessoais — inclusive os fornecidos na etapa de verificação de idade — para montar perfis de comportamento e consumo de menores, bem como o emprego de softwares de leitura emocional ou de recursos de realidade aumentada, estendida e virtual com propósito publicitário.

Proibição de loot boxes em jogos e canal de remoção de abusos

A indústria de jogos eletrônicos passou a ter restrições diretas sobre o seu modelo de monetização. As chamadas caixas de recompensa (loot boxes), mecânicas em que o jogador paga com dinheiro real ou moedas virtuais para receber itens ou vantagens sorteadas de maneira aleatória, estão proibidas em todos os jogos direcionados a menores de 18 anos ou que apresentem probabilidade de acesso por esse grupo.

Nos jogos online que oferecem canais de conversa entre participantes por texto, voz, vídeo ou troca de arquivos, as desenvolvedoras são obrigadas a manter sistemas de moderação ativa e barreiras contra contatos abusivos. Por padrão de fábrica, todas as ferramentas de bate-papo e interação entre usuários permanecem bloqueadas para contas de menores, e a liberação do recurso depende de autorização expressa concedida pelos pais ou responsáveis legais dentro do painel de supervisão.

Quando identificarem conteúdos que indiquem exploração, abuso sexual, aliciamento ou sequestro de crianças e adolescentes, os provedores têm o dever legal de retirar o material do ar imediatamente e notificar as autoridades competentes. As plataformas também precisam manter botões de denúncia visíveis para que qualquer usuário comunique violações de direitos infantojuvenis e são obrigadas a remover publicações ofensivas sempre que notificadas diretamente pela vítima, por seus representantes legais, pelo Ministério Público ou por organizações de defesa dos direitos da infância.