O ECA Digital vale para a minha empresa?

14 de julho de 2026LGPD de Todos13 min de leitura

O ECA Digital se aplica à sua empresa se ela fornece produto ou serviço de tecnologia da informação, e não porque ela atende criança. Quem não fornece um produto assim não entra pelo Art. 1º, por mais crianças que atenda no balcão, na sala de aula ou no consultório. E as palavras escola, escolar e ensino não aparecem uma única vez no texto.

A Lei nº 15.211, de 17 de setembro de 2025, o Estatuto Digital da Criança e do Adolescente, está em vigor desde 17 de março de 2026, e no dia seguinte veio o Decreto nº 12.880, de 18 de março de 2026, que detalhou as disposições sobre proteção de crianças e adolescentes no ambiente digital e instituiu a Política Nacional de Proteção dos Direitos da Criança e do Adolescente no Ambiente Digital. Ela vai aparecer em proposta comercial nos próximos meses, e vai aparecer do jeito mais assustador possível, porque assustar vende. Vale ler o texto que diz a quem ela se aplica antes de comprar qualquer coisa.

1. O gatilho é o produto, não o público

O Art. 1º define o alcance em uma frase só. A Lei "aplica-se a todo produto ou serviço de tecnologia da informação direcionado a crianças e a adolescentes no País ou de acesso provável por eles, independentemente de sua localização, desenvolvimento, fabricação, oferta, comercialização e operação".

Leia procurando o sujeito. Não é "toda empresa que atende crianças", nem "todo estabelecimento frequentado por menores". É todo produto ou serviço de tecnologia da informação. Quem não fornece um produto desses não entra por esse artigo.

E o Art. 2º, I diz o que é esse produto: "produto ou serviço fornecido a distância, por meio eletrônico e provido em virtude de requisição individual, tais como aplicações de internet, programas de computador, softwares, sistemas operacionais de terminais, lojas de aplicações de internet e jogos eletrônicos ou similares conectados à internet ou a outra rede de comunicações".

Três características, então: fornecido a distância, por meio eletrônico, e provido mediante requisição individual. Uma consulta presencial não é isso. Uma aula não é isso. Um brinquedo de loja não é isso. Um aplicativo é.

2. O que "acesso provável" amplia

Muita gente vai ler "acesso provável" e concluir que a lei pegou todo mundo. Ela amplia bastante, mas amplia quais produtos digitais são alcançados, e não quem é obrigado.

O parágrafo único do Art. 1º define três situações de acesso provável: "suficiente probabilidade de uso e atratividade do produto ou serviço de tecnologia da informação por crianças e adolescentes"; "considerável facilidade ao acesso e utilização do produto ou serviço de tecnologia da informação por crianças e adolescentes"; e "significativo grau de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial de crianças e de adolescentes, especialmente no caso de produtos ou serviços que tenham por finalidade permitir a interação social e o compartilhamento de informações em larga escala entre usuários em ambiente digital".

Repare que as três frases falam do produto o tempo inteiro. E que a terceira aponta para onde a lei tem a mira: interação social e compartilhamento em larga escala entre usuários.

3. A palavra escola não está na lei

Procuramos, e não aparece. As palavras escola, escolar e ensino não constam uma única vez no texto da Lei nº 15.211/2025. Ela não cria dever para instituição de ensino por ela ser instituição de ensino.

O que existe são menções a educação digital e a educadores, sempre como conteúdo que o fornecedor precisa oferecer, e nunca como obrigação de uma escola. O Art. 4º, VIII fala em "promoção da educação digital, com foco no desenvolvimento da cidadania e do senso crítico para o uso seguro e responsável da tecnologia". O Art. 6º, § 2º menciona programas educativos direcionados a "crianças, adolescentes, pais, educadores, funcionários e equipes de suporte", e o dever ali é do fornecedor do produto, não da escola.

Isso não significa que uma escola nunca entre. Significa que ela entra pela mesma porta que todo mundo: se oferecer um produto digital próprio, como um aplicativo ou um portal usado pelos alunos, o teste do Art. 1º passa a incidir sobre aquele produto. Um site institucional é uma aplicação de internet, mas dificilmente atende às condições de acesso provável desenhadas no parágrafo único, que miram interação e compartilhamento entre usuários.

E o que continua valendo para toda escola, com ou sem aplicativo, é o Art. 14 da LGPD, que trata dos dados de crianças e adolescentes e tem seis parágrafos que quase ninguém cumpre por inteiro.

4. Se você está dentro, o que muda

Os deveres são pesados, e não se resolvem com um documento novo. Vale conhecer os principais antes de contratar qualquer adequação.

• Verificação de idade, e autodeclaração não vale. O Art. 9º, § 1º exige "mecanismos confiáveis de verificação de idade a cada acesso do usuário ao conteúdo, produto ou serviço", e é expresso ao dizer "vedada a autodeclaração"
• Conta de menor vinculada à do responsável. O Art. 24 manda garantir que contas "de crianças e de adolescentes de até 16 (dezesseis) anos de idade estejam vinculados ao usuário ou à conta de um de seus responsáveis legais"
• Configuração mais protetiva por padrão. O Art. 7º exige garantir, "desde a concepção", "por padrão, a configuração no modelo mais protetivo disponível em relação à privacidade e à proteção de dados pessoais"
• Publicidade sem perfilamento. O Art. 22 veda "a utilização de técnicas de perfilamento para direcionamento de publicidade comercial a crianças e a adolescentes", e o Art. 26 veda a criação de perfis comportamentais desse público para esse fim
• Retirada de conteúdo sem ordem judicial. Pelo Art. 29, o fornecedor retira conteúdo que viola direitos de menores assim que comunicado do caráter ofensivo, "independentemente de ordem judicial"
• Informação a pais e responsáveis. O Art. 16 manda disponibilizar informações sobre riscos e medidas de segurança "com acesso de forma independente da aquisição do produto"

Há ainda um dever de relatório, mas ele tem corte quantitativo: pelo Art. 31, só quem tiver "mais de 1.000.000 (um milhão) de usuários nessa faixa etária registrados" precisa publicar relatórios semestrais no próprio site.

5. Porte conta, mas menos do que parece

Não existe dispensa por porte nesta lei. As expressões pequeno porte, microempresa e MEI não aparecem no texto. O que existe é modulação, e ela tem endereço e limite.

O Art. 39 diz que as obrigações "dos arts. 6º, 17, 18, 19, 20, 27, 28, 29, 31, 32 e 40 desta Lei aplicar-se-ão conforme as características e as funcionalidades do produto ou serviço de tecnologia da informação, moduladas de acordo com o grau de interferência do fornecedor do produto ou serviço sobre os conteúdos veiculados disponibilizados, o número de usuários e o porte do fornecedor".

Conte quantos artigos estão nessa lista: onze. Todos os outros ficam de fora da modulação, inclusive a verificação de idade do Art. 9º, a configuração protetiva por padrão do Art. 7º e a vinculação de conta do Art. 24. Ou seja, ser pequeno alivia parte das obrigações e não alivia justamente as mais estruturais.

O § 2º acrescenta que a aplicação é proporcional "à capacidade do fornecedor de influenciar, de moderar ou de intervir na disponibilização, na circulação ou no alcance dos conteúdos", e o § 3º manda que "a regulamentação definirá critérios objetivos para a aferição do grau de intervenção e para a aplicação proporcional das obrigações".

6. As sanções, e quem aplica cada uma

O Art. 35 traz quatro penalidades, e a primeira delas é advertência com prazo para corrigir. Vale ler os números com atenção, porque eles são diferentes dos da LGPD.

Duas observações que mudam a leitura. A primeira é sobre quem aplica: pelo § 5º, a advertência e a multa ficam com a autoridade administrativa, enquanto a suspensão e a proibição "serão aplicadas pelo Poder Judiciário". A segunda é sobre gradação: o § 1º manda observar a gravidade, a reincidência, "a capacidade econômica do infrator, no caso de aplicação da sanção de multa" e a finalidade social do fornecedor.

Repare no percentual: são 10% do faturamento, e não os 2% da LGPD, ainda que o teto de R$ 50 milhões por infração seja o mesmo número. Se você quer entender como esse tipo de conta funciona na prática, o raciocínio está em qual a multa da LGPD.

7. O que fazer agora, conforme o seu caso

Para a maioria das empresas, a resposta é continuar fazendo o que a LGPD já pede. Para quem oferece produto digital, a resposta é olhar agora, porque a lei já está em vigor.

Se você não fornece produto ou serviço de tecnologia da informação, como escritório de contabilidade, clínica presencial, comércio de rua ou escola sem plataforma própria: nada muda por causa desta lei. O que vale continua sendo o Art. 14 da LGPD, e ele já pede coisas que raramente são cumpridas por inteiro, como manter pública a informação sobre os dados de crianças que você trata.

Se você fornece, e ele é direcionado a menores ou provavelmente acessado por eles: comece pelo enquadramento, escrito e datado, dizendo por que o seu produto entra ou não no Art. 1º. Depois olhe verificação de idade, configuração por padrão e vinculação de conta, que são as obrigações que o Art. 39 não moduliza por porte.

E, em qualquer caso, desconfie de proposta que venda "adequação ao ECA Digital" sem antes fazer esse enquadramento. Quem começa oferecendo o remédio sem examinar o paciente está vendendo medo.

8. Perguntas frequentes

O ECA Digital se aplica a qualquer empresa que atenda crianças?

Não. O Art. 1º diz que a Lei se aplica a todo produto ou serviço de tecnologia da informação direcionado a crianças e a adolescentes no País ou de acesso provável por eles. O gatilho é fornecer um produto ou serviço assim, e não atender crianças. O Art. 2º, I define esse produto como o fornecido a distância, por meio eletrônico e provido em virtude de requisição individual, dando como exemplos aplicações de internet, programas de computador, sistemas operacionais, lojas de aplicativos e jogos eletrônicos.

A minha escola precisa se adequar ao ECA Digital?

As palavras escola, escolar e ensino não aparecem uma única vez no texto da Lei. Ela não cria dever para instituição de ensino por ela ser instituição de ensino. O que pode alcançar uma escola é oferecer um produto digital próprio, como um aplicativo ou um portal usado pelos alunos, porque aí o teste do Art. 1º passa a ser sobre aquele produto. Continua valendo, para todo mundo, o Art. 14 da LGPD sobre dados de crianças e adolescentes.

Ser pequeno dispensa do ECA Digital?

Não existe dispensa por porte. As expressões pequeno porte, microempresa e MEI não aparecem no texto. O que existe é modulação: o Art. 39 diz que as obrigações de onze artigos serão aplicadas conforme as características do produto, moduladas pelo grau de interferência sobre os conteúdos, o número de usuários e o porte do fornecedor. Os demais artigos não entram nessa modulação, e o Art. 39, § 3º remete à regulamentação para definir critérios objetivos.

Quais são as multas do ECA Digital?

O Art. 35 prevê advertência com prazo de até 30 dias para corrigir, multa de até 10% do faturamento do grupo econômico no Brasil, ou de R$ 10 a R$ 1.000 por usuário cadastrado quando não houver faturamento, limitada a R$ 50 milhões por infração, além de suspensão temporária e proibição de atividades. As duas primeiras são aplicadas pela autoridade administrativa; a suspensão e a proibição, pelo Poder Judiciário.

Quem fiscaliza o ECA Digital?

A Lei não nomeia nenhum órgão. Ela fala em autoridade administrativa autônoma de proteção dos direitos de crianças e de adolescentes no ambiente digital, descrita pelos atributos no Art. 2º, X, e atribui a ela a fiscalização no Art. 34. Quem recebeu essa competência foi a ANPD, pelo Decreto nº 12.622, de 17 de setembro de 2025, e é na página dela que estão as orientações preliminares sobre aferição de idade. Depois disso, a Lei nº 15.352, de 25 de fevereiro de 2026, transformou a ANPD em agência reguladora.

Quando o ECA Digital entrou em vigor?

Em 17 de março de 2026, seis meses depois da publicação da Lei nº 15.211, de 17 de setembro de 2025, e no dia seguinte veio o Decreto nº 12.880, que a regulamentou. Não há regime de transição por porte: quem fornece produto ou serviço de tecnologia da informação a criança ou adolescente já está sujeito à lei desde essa data, com a fiscalização a cargo da ANPD, que recebeu a competência pelo Decreto nº 12.622/2025.

Fontes: Lei nº 15.211, de 17 de setembro de 2025 (ECA Digital), Arts. 1º, 2º, 7º, 9º, 16, 20, 22, 24, 26, 29, 31, 34, 35, 39 e 41-A · Lei nº 13.709/2018 (LGPD), Art. 14 · Decreto nº 12.880, de 18 de março de 2026 · Decreto nº 12.622, de 17 de setembro de 2025 · Lei nº 15.352, de 25 de fevereiro de 2026 · ANPD, página sobre o ECA Digital · Despacho Decisório nº 27/2026/CGS/SFI, DOU de 25 de agosto de 2026 · Despacho Decisório PR/ANPD nº 37/2026, DOU de 25 de agosto de 2026

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.