ECA Digital — Estatuto Digital da Criança e do Adolescente

Normas

Legislação principal

• Lei nº 15.211, de 17 de setembro de 2025 — dispõe sobre a proteção de crianças e adolescentes em ambientes digitais (Estatuto Digital da Criança e do Adolescente). Publicada no DOU de 17/09/2025 (Edição Extra) e em vigor desde 17 de março de 2026.
• Constituição Federal de 1988, especialmente os arts. 227 (proteção integral e prioridade absoluta); 5º, X e LXXIX; e 220, § 2º (vedação à censura).
• Lei nº 8.069, de 13 de julho de 1990 (ECA) — fonte dos conceitos de criança e adolescente (art. 2º, § 1º), do rito de apuração de infrações administrativas e imposição de penalidades (art. 35, § 3º) e de deveres expressamente remetidos pelos arts. 3º e 5º.

Alterações e vetos

• Vetos presidenciais (Mensagem nº 1.307/2025): o art. 36 do PL (vinculação das receitas das multas, por incompatibilidade com a LDO) e o art. 41 do PL (vacatio legis de 1 ano, por incompatibilidade com a urgência da proteção).
• Medida Provisória nº 1.318, de 17 de setembro de 2025 — acrescentou o art. 36-A: as multas aplicadas com base na Lei são destinadas ao Fundo Nacional para a Criança e o Adolescente (FNCA), pelo prazo de 5 anos, necessariamente em políticas e projetos de proteção de crianças e adolescentes.
• Medida Provisória nº 1.319, de 17 de setembro de 2025 — acrescentou o art. 41-A, recompondo a vacatio suprimida pelo veto e fixando a vigência em seis meses após a publicação.
• Lei nº 15.352, de 25 de fevereiro de 2026 — conversão da MP nº 1.317/2025; deu a redação atual ao art. 41-A (“Esta Lei entra em vigor em 17 de março de 2026”) e transformou a ANPD em agência reguladora.

Regulamentos e atos aplicáveis

• Decreto nº 12.622, de 17 de setembro de 2025 — designou a ANPD como a autoridade administrativa autônoma de proteção dos direitos de crianças e adolescentes no ambiente digital a que se refere o art. 2º, X, da Lei.
• Decreto nº 12.880, de 18 de março de 2026 — regulamenta a Lei nº 15.211/2025, institui a Política Nacional de Promoção e Proteção dos Direitos da Criança e do Adolescente no Ambiente Digital e autoriza a criação do Centro Nacional de Triagem de Notificações. Revogou o Decreto nº 9.856/2019.
• Decreto nº 12.881, de 18 de março de 2026 — estrutura regimental da ANPD, adequando-a às novas competências.
• Decreto nº 12.882, de 18 de março de 2026 — institui, na estrutura da Polícia Federal, o Centro Nacional de Proteção à Criança e ao Adolescente, para centralizar o recebimento de reportes de crimes praticados contra crianças e adolescentes no ambiente digital.
• Portaria Sedigi/MJSP nº 1, de 1º de abril de 2026 — institui o Comitê Interinstitucional sobre Trabalho Artístico de Crianças e Adolescentes em Plataformas Digitais, encarregado de elaborar diretrizes para os alvarás judiciais de que trata o art. 34 do Decreto nº 12.880/2026.
• Portaria MDHC nº 807, de 6 de maio de 2026 — institui o Comitê Intersetorial da Política Nacional (art. 7º do Decreto nº 12.880/2026), integrado por MDHC, MJSP, Saúde, Educação, MCTI, MGI, Secom/PR, ANPD, Conanda e Comitê de Participação de Adolescentes.
• Orientações Preliminares sobre Mecanismos Confiáveis de Aferição de Idade (ANPD, 20/03/2026) — parâmetros iniciais, sem natureza de norma definitiva, publicados junto com o cronograma de implementação.
• Guias orientativos em consulta pública (2026): “Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital” (contribuições até 15/06/2026) e “Mecanismos de Aferição de Idade” (até 09/07/2026). Orientações definitivas previstas para agosto de 2026.
• Atos ainda não editados (situação em julho de 2026). Da ANPD:
  • requisitos mínimos de segurança por padrão e repressão a práticas manipulativas (Decreto nº 12.880/2026, art. 10);
  • IA generativa, agentes conversacionais e interfaces similares (Decreto nº 12.880/2026, art. 11, parágrafo único);
  • requisitos mínimos de transparência, segurança e interoperabilidade da aferição de idade (Lei, art. 12, § 3º; Decreto nº 12.880/2026, art. 24, § 2º);
  • diretrizes e padrões mínimos de supervisão parental e procedimento de submissão voluntária de mecanismos (Lei, art. 17, §§ 1º e 3º);
  • avaliação da efetividade dos mecanismos de verificação de idade das redes sociais e procedimento célere de apelação (Lei, art. 24, §§ 2º e 4º);
  • certificação de soluções técnicas de aferição de idade, direta ou por entidades acreditadoras (Decreto nº 12.880/2026, art. 30);
  • formas e requisitos mínimos de prevenção à exposição publicitária a produtos proibidos (Decreto nº 12.880/2026, art. 32);
  • credenciamento, supervisão e descredenciamento de entidades notificantes (Decreto nº 12.880/2026, art. 44, § 1º) — até lá, vale a habilitação provisória do art. 52;
  • conteúdo mínimo, periodicidade e condições da avaliação de impacto à segurança e à saúde (Decreto nº 12.880/2026, art. 47, § 2º);
  • edital de habilitação de instituições acadêmicas, científicas, tecnológicas, de inovação ou jornalísticas para acesso a dados (Decreto nº 12.880/2026, art. 48);
  • exibição do aviso nas embalagens de equipamentos eletrônicos (Lei, art. 38; Decreto nº 12.880/2026, art. 50, § 3º) — até lá, vale a redação transitória do art. 50, § 1º;
  • guias definitivos sobre escopo e obrigações gerais e sobre aferição de idade, e atualização dos Regulamentos de Fiscalização e de Aplicação de Sanções Administrativas, previstos no cronograma a partir de agosto de 2026.
• Atos ainda não editados por outros órgãos:
  • MJSP — forma de apresentação da faixa etária (Decreto nº 12.880/2026, art. 12, § 3º); Comitê de Acompanhamento pela Sociedade Civil para a Classificação Indicativa (art. 13); funcionamento do Centro Nacional de Triagem de Notificações, protocolos, fluxos, requisitos e prazos dos relatórios de notificação (arts. 37, § 4º, e 39, §§ 1º e 2º); e normas sobre os alvarás de atividade artística, em articulação com CNJ e CNMP (art. 34, § 3º);
  • MGI — implementação e uso da solução de vinculação de crianças e adolescentes a responsáveis legais (Decreto nº 12.880/2026, art. 20, II) e das soluções públicas de verificação de idade (art. 28);
  • Poder Executivo — critérios objetivos de aferição do grau de intervenção do fornecedor, para a aplicação proporcional do art. 39 (Lei, art. 39, § 3º).

Normas correlatas

• Lei nº 13.709 - Lei Geral de Proteção de Dados Pessoais (LGPD) — remetida expressamente nos arts. 3º (nível elevado de privacidade e proteção de dados), 7º, § 2º, e 12, I (princípios do art. 6º da LGPD), 16 (art. 14 da LGPD), 31, VI (consentimento parental do art. 14, § 1º), 34, § 1º, e 37, parágrafo único.
• Lei nº 12.965 - Marco Civil da Internet — conceitos de internet, aplicações de internet e terminal (art. 2º, § 1º) e prazos de guarda de registros (art. 27, § 2º).
• Lei nº 8.078/1990 - Código de Defesa do Consumidor — deveres de segurança e informação (art. 5º) e publicidade abusiva (art. 37, § 2º).
• Lei nº 14.852/2024 — marco legal da indústria de jogos eletrônicos; art. 16 (salvaguardas de interação) incorporado pelo art. 21.
• Lei nº 13.431/2017 — sistema de garantia de direitos da criança e do adolescente vítima ou testemunha de violência.
• Lei nº 14.811/2024 — Política Nacional de Prevenção e Combate ao Abuso e Exploração Sexual da Criança e do Adolescente.
• Lei nº 13.848/2019 — Capítulo I aplicável ao processo decisório da autoridade (art. 2º, X).
• Também referidas: Lei nº 13.146/2015 (Estatuto da Pessoa com Deficiência), Lei nº 14.533/2023 (Política Nacional de Educação Digital), Lei nº 14.790/2023 (apostas de quota fixa), Lei nº 8.242/1991 (Conanda e FNCA) e Decreto nº 12.002/2024 (classificação indicativa).

Fundamentos

“É dever da família, da sociedade e do Estado assegurar à criança, ao adolescente e ao jovem, com absoluta prioridade, o direito à vida, à saúde, à alimentação, à educação, ao lazer, à profissionalização, à cultura, à dignidade, ao respeito, à liberdade e à convivência familiar e comunitária, além de colocá-los a salvo de toda forma de negligência, discriminação, exploração, violência, crueldade e opressão” (CF, art. 227, caput)

Os produtos e serviços devem garantir proteção prioritária, ter como parâmetro o melhor interesse e adotar medidas adequadas e proporcionais para nível elevado de privacidade, proteção de dados e segurança, nos termos do ECA e da LGPD (art. 3º).

Pais e responsáveis legais mantêm o dever de cuidado ativo e contínuo, com uso de ferramentas de supervisão parental adequadas à idade e ao estágio de desenvolvimento (art. 3º, parágrafo único). A lógica é de responsabilidade compartilhada entre Poder Público, famílias, sociedade civil e fornecedores (Decreto nº 12.880/2026, art. 4º, IV).

Fundamentos da utilização por crianças e adolescentes (art. 4º)

• Proteção integral (inciso I)
• Prevalência absoluta de seus interesses (inciso II)
• Condição peculiar de pessoa em desenvolvimento biopsicossocial (inciso III)
• Segurança contra intimidação, exploração, abuso, ameaça e outras formas de violência (inciso IV)
• Respeito à autonomia e ao desenvolvimento progressivo do indivíduo (inciso V)
• Proteção contra a exploração comercial (inciso VI)
• Observância dos princípios do Estatuto da Pessoa com Deficiência (inciso VII)
• Promoção da educação digital, com foco em cidadania e senso crítico (inciso VIII)
• Transparência e responsabilidade no tratamento de dados pessoais (inciso IX)

Melhor interesse (art. 5º, § 2º)

Para os fins da Lei, considera-se como expressão do melhor interesse da criança e do adolescente a proteção de sua privacidade, segurança, saúde mental e física, acesso à informação, liberdade de participação na sociedade, acesso significativo às tecnologias digitais e bem-estar.

Origem normativa. O princípio vem do art. 3.1 da Convenção sobre os Direitos da Criança (1989), promulgada no Brasil pelo Decreto nº 99.710/1990, segundo o qual o interesse superior da criança deve ser consideração primordial em todas as ações que lhe digam respeito — fórmula que, como registra o próprio Comentário Geral nº 14 (§ 2º), já constava da Declaração dos Direitos da Criança de 1959. Internamente, articula-se com o art. 227 da Constituição e com o art. 4º do ECA (prioridade absoluta), compondo a doutrina da proteção integral, que substituiu a doutrina da situação irregular do Código de Menores (Lei nº 6.697/1979): a criança deixa de ser objeto de tutela e passa a sujeito de direitos.

Conteúdo. No Comentário Geral nº 14 (2013), o Comitê dos Direitos da Criança da ONU descreve o interesse superior como conceito de natureza tríplice (§ 6º):

• direito substantivo — a criança tem direito a que seu interesse seja avaliado e tomado como consideração primordial quando diferentes interesses estejam em jogo;
• princípio jurídico interpretativo — havendo mais de uma interpretação possível de uma norma, prevalece a que melhor atenda ao interesse da criança; e
• regra de procedimento — o processo decisório deve incluir avaliação do impacto da decisão sobre a criança, e a fundamentação deve explicitar o que se considerou ser seu interesse superior, em que critérios se baseou e como foi ponderado em face das demais considerações (§§ 6º e 97).

O Comitê o trata como conceito dinâmico e flexível, de avaliação casuística (§ 32), e propõe lista não exaustiva e não hierarquizada de elementos a considerar (§§ 50 e 52). Para o ambiente digital, o parâmetro específico é o Comentário Geral nº 25 (2021), sobre os direitos da criança em relação ao ambiente digital.

Risco de manipulação. A objeção da indeterminação é reconhecida pelo próprio Comitê: a flexibilidade do conceito abre espaço para manipulação, e o interesse superior já foi invocado abusivamente por governos para justificar políticas racistas, por pais em disputas de guarda e por profissionais que o tratam como irrelevante (§ 34). O Comitê registra também que o entendimento de um adulto sobre o que é o interesse superior de uma criança não pode prevalecer sobre o respeito a todos os seus direitos na Convenção (§ 4º). Daí a articulação necessária com o direito de ser ouvido (art. 12 da Convenção): o art. 3.1 não se aplica corretamente sem que os requisitos do art. 12 sejam cumpridos (§§ 43 a 45).

Como o ECA Digital opera com o conceito. O art. 5º, § 2º, adota a via da concretização, convertendo o princípio em rol de bens jurídicos verificáveis. O art. 4º, V, coloca ao lado dele a autonomia e o desenvolvimento progressivo, e o art. 7º exige que a configuração mais protetiva seja “justificada” pelo melhor interesse. O art. 17, § 2º, submete o desenho das próprias ferramentas de supervisão parental ao melhor interesse e ao desenvolvimento progressivo das capacidades — de modo que o instrumento de controle parental também encontra nele um limite. O Decreto nº 12.880/2026, art. 4º, VIII, incorpora à Política Nacional o direito de participação de crianças e adolescentes nas decisões que os afetem, remetendo ao art. 12 da Convenção.

Aplicação (art. 1º)

A Lei aplica-se a todo produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes no País ou de acesso provável por eles, independentemente de localização, desenvolvimento, fabricação, oferta, comercialização e operação.

Considera-se acesso provável (art. 1º, parágrafo único):

• I — suficiente probabilidade de uso e atratividade do produto ou serviço de tecnologia da informação por crianças e adolescentes;
• II — considerável facilidade ao acesso e utilização do produto ou serviço de tecnologia da informação por crianças e adolescentes; e
• III — significativo grau de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial de crianças e de adolescentes, especialmente no caso de produtos ou serviços que tenham por finalidade permitir a interação social e o compartilhamento de informações em larga escala entre usuários em ambiente digital.

Pelo caput do art. 1º, a Lei alcança tanto o produto ou serviço direcionado a crianças e adolescentes quanto o de acesso provável por eles.

Não aplicação e dispensas

• Funcionalidades essenciais da internet — protocolos e padrões técnicos abertos e comuns de interconexão não são produtos ou serviços de tecnologia da informação (art. 2º, § 2º).
• Modulação proporcional (art. 39): as obrigações a seguir aplicam-se conforme as características e funcionalidades do produto, o grau de interferência do fornecedor sobre os conteúdos, o número de usuários e o porte, cabendo à regulamentação definir critérios objetivos de aferição do grau de intervenção (art. 39, § 3º):
  • art. 6º — prevenção e mitigação de riscos de acesso, exposição, recomendação ou contato com conteúdos nocivos;
  • art. 17 — deveres do fornecedor quanto às ferramentas de supervisão parental;
  • art. 18 — funcionalidades que as ferramentas de supervisão parental devem oferecer aos responsáveis legais;
  • art. 19 — produtos e serviços de monitoramento infantil;
  • art. 20 — vedação das caixas de recompensa (loot boxes);
  • art. 27 — remoção e comunicação às autoridades de conteúdo de exploração, abuso sexual, sequestro e aliciamento;
  • art. 28 — mecanismos de notificação de violações pelos usuários;
  • art. 29 — retirada de conteúdo violador mediante notificação, independentemente de ordem judicial;
  • art. 31 — relatórios semestrais de transparência e acesso de pesquisadores aos dados;
  • art. 32 — identificação do uso abusivo dos instrumentos de denúncia; e
  • art. 40 — manutenção de representante legal no País.
• Serviços com controle editorial e provedores de conteúdo previamente licenciado ficam dispensados daquelas obrigações desde que observem classificação indicativa, transparência etária, mediação parental e canais de denúncia (art. 39, § 1º).
• Dispensa de aferição de idade (Decreto nº 12.880/2026, art. 22): serviços com controle editorial, conteúdo licenciado, musical ou literário, desde que ofereçam contas ou perfis infantis e supervisão parental. O parágrafo único do mesmo artigo dispensa de aferição de idade os provedores de conteúdos jornalísticos e esportivos não sujeitos à classificação indicativa e submetidos a controle editorial.
• Retirada de conteúdo: conteúdos jornalísticos e submetidos a controle editorial não se sujeitam ao procedimento do art. 29 (art. 29, § 4º).

Definições

Sujeitos e serviços (art. 2º)

• Produto ou serviço de tecnologia da informação: produto ou serviço fornecido a distância, por meio eletrônico e provido em virtude de requisição individual, tais como aplicações de internet, programas de computador, softwares, sistemas operacionais de terminais, lojas de aplicações de internet e jogos eletrônicos ou similares conectados à internet ou a outra rede de comunicações (inciso I).
• Produto ou serviço de monitoramento infantil: produto ou serviço de tecnologia da informação destinado ao acompanhamento, por pais ou responsáveis legais, das ações executadas por crianças e adolescentes em ambientes digitais, a partir do registro ou da transmissão de imagens, de sons, de informações de localização, de atividade ou de outros dados (inciso II).
• Rede social: aplicação de internet que tem como principal finalidade o compartilhamento e a disseminação, pelos usuários, de opiniões e informações veiculadas por textos ou arquivos de imagens, sonoros ou audiovisuais, em uma única plataforma, por meio de contas conectadas ou acessíveis de forma articulada, permitida a conexão entre usuários (inciso III).
• Loja de aplicações de internet: aplicação de internet que distribui e facilita o download, para usuários de terminais, de aplicações de internet disponibilizadas ou tornadas acessíveis por meio de sua plataforma (inciso VI).
• Sistema operacional: software de sistema que controla as funções básicas de um hardware ou software e permite que aplicações de internet, programas de computador, aplicativos ou outros softwares sejam executados por meio dele (inciso VII).
• Serviço com controle editorial: aplicação de internet que tem como finalidade principal a disponibilização de conteúdos previamente selecionados, sem o uso de meios automatizados de seleção, por agente econômico responsável (inciso IX).
• Autoridade administrativa autônoma de proteção dos direitos de crianças e de adolescentes no ambiente digital: entidade da administração pública criada por lei, responsável por zelar pela aplicação desta Lei e fiscalizar o seu cumprimento em todo o território nacional e por editar regulamentos e procedimentos para sua execução, a qual deve observar no processo decisório as normas previstas no Capítulo I da Lei nº 13.848, de 25 de junho de 2019 (inciso X) — papel atribuído à ANPD pelo Decreto nº 12.622/2025.

Aplicam-se ainda os conceitos de criança e adolescente do art. 2º do ECA e os de internet, aplicações de internet e terminal do art. 5º do Marco Civil da Internet (art. 2º, § 1º).

Conteúdos, produtos e serviços impróprios ou proibidos (Decreto nº 12.880/2026, art. 2º)

• Conteúdo, produto ou serviço impróprio ou inadequado: aquele que possa apresentar risco à privacidade, à segurança, ao desenvolvimento psicossocial, à saúde mental e física e ao bem-estar da criança e do adolescente, nos termos estabelecidos na classificação indicativa, quando aplicável (inciso I). A Lei, por sua vez, considera impróprios ou inadequados os produtos, serviços ou conteúdos de tecnologia da informação que contenham material pornográfico, ou quaisquer outros vedados pela legislação vigente (art. 9º, § 2º).
• Conteúdo, produto ou serviço proibido para crianças e adolescentes: aquele cujo acesso, cuja disponibilização, cuja aquisição ou cujo consumo seja expressamente vedado para crianças e adolescentes por determinação legal específica (inciso II) — o rol está no art. 15, § 1º, do mesmo Decreto.
• Conteúdo pornográfico: aquele cuja finalidade predominante seja a representação de atos sexualmente explícitos ou a exibição de nudez com conotação ou finalidade sexual, observadas as especificações e as exceções previstas no art. 16 (inciso III).

Aferição de idade (Decreto nº 12.880/2026, art. 2º)

• Aferição de idade: termo geral referente aos procedimentos destinados a verificar, estimar ou inferir, direta ou indiretamente, a idade ou a faixa etária de um usuário, por meio de um conjunto de métodos, tecnologias e processos, incluídos análise documental, biométrica e de padrões de uso, e outros meios tecnicamente idôneos (inciso IV).
• Verificação de idade: procedimento específico de aferição de idade de alto grau de confiabilidade, nos termos estabelecidos pela ANPD, baseado na conferência da veracidade do atributo etário, com a finalidade de comprovar a exatidão da idade declarada ou a faixa etária, mediante o emprego de mecanismos técnicos ou documentais (inciso V).
• Sinal de idade: informação ou credencial indicativa que atesta a idade ou a faixa etária de um usuário aos fornecedores de produtos ou serviços de tecnologia da informação direcionados a crianças e adolescentes ou de acesso provável por eles, sem revelar dados pessoais adicionais (inciso VI).
• Autodeclaração de idade: método limitado à indicação da idade, da faixa etária ou de outro dado pessoal fornecido pelo próprio usuário, sem evidências adicionais para confirmar a veracidade ou a titularidade da informação (inciso VII) — vedada como mecanismo de verificação (Lei, art. 9º, § 1º).

Práticas e funcionalidades

• Caixa de recompensa: funcionalidade disponível em certos jogos eletrônicos que permite a aquisição, mediante pagamento, pelo jogador, de itens virtuais consumíveis ou de vantagens aleatórias, resgatáveis pelo jogador ou usuário, sem conhecimento prévio de seu conteúdo ou garantia de sua efetiva utilidade (art. 2º, IV).
• Perfilamento: qualquer forma de tratamento de dados pessoais, automatizada ou não, para avaliar certos aspectos de uma pessoa natural, com o objetivo de classificá-la em grupo ou perfil de modo a fazer inferências sobre seu comportamento, situação econômica, saúde, preferências pessoais, interesses, desejos de consumo, localização geográfica, deslocamentos, posições políticas ou outras características assemelhadas (art. 2º, V).
• Mecanismo de supervisão parental: conjunto de configurações, de ferramentas e de salvaguardas tecnológicas integradas a produtos ou serviços de tecnologia da informação direcionados a crianças e a adolescentes ou de acesso provável por eles que possibilitem aos pais ou responsáveis legais supervisionar, limitar e gerenciar o uso do serviço, o conteúdo acessado e o tratamento de dados pessoais realizado (art. 2º, VIII).
• Monetização: remuneração direta ou indireta de usuário de aplicação de internet pela publicação, pela postagem, pela exibição, pela disponibilização, pela transmissão, pela divulgação ou pela distribuição de conteúdo, incluída receita por visualizações, assinaturas, doações, patrocínios, publicidade ou venda de produtos e serviços vinculados (art. 2º, XI).
• Impulsionamento: ampliação artificial do alcance, da visibilidade ou da priorização de conteúdo mediante pagamento pecuniário ou valor estimável em dinheiro (art. 2º, XII).
• Mecanismos de incentivo ao uso excessivo, problemático ou compulsivo (Decreto nº 12.880/2026, art. 9º, parágrafo único): a ocultação de pontos naturais de parada; o acionamento de novos conteúdos sem solicitação; a oferta de recompensas pelo tempo de uso; e o aparecimento de notificações excessivas.
• Práticas manipulativas, enganosas ou coercitivas (Decreto nº 12.880/2026, art. 10, parágrafo único): quaisquer arquiteturas de escolha, fluxos de interação ou funcionalidades que tenham por objetivo ou efeito empregar táticas que interfiram na autonomia decisória do usuário ou que explorem as suas vulnerabilidades, em particular as cognitivas e etárias, incluídas as práticas de:
  • obstrução, ao dificultar ou impedir o fluxo de tarefas do usuário, de modo a dissuadi-lo de realizar determinada ação, inclusive a interrupção do uso, o cancelamento de serviços ou a modificação de preferências, por meio de caminhos excessivamente complexos, confusos ou desproporcionais;
  • exploração de vulnerabilidades cognitivas, ao utilizar pressões emocionais, urgências fabricadas, escolhas enviesadas, inferências emocionais ou estímulos inadequados à idade para induzir decisões contrárias ao melhor interesse da criança ou do adolescente; ou
  • prejuízo ao exercício de direitos, ao ocultar, fragmentar ou dificultar o acesso a controles de privacidade, supervisão parental, consentimento ou revogação de permissões.

Deveres e vedações essenciais

• Não permitir autodeclaração de idade como mecanismo de verificação para conteúdo impróprio, inadequado ou proibido (art. 9º, § 1º).
• Não usar dados coletados para aferição de idade em qualquer outra finalidade, inclusive perfis comportamentais (art. 13; Decreto nº 12.880/2026, art. 24, III e § 1º).
• Não operar, por padrão, em configuração menos protetiva que a máxima disponível (arts. 7º e 17, § 4º).
• Não empregar perfilamento, análise emocional, realidade aumentada, estendida ou virtual para direcionar publicidade a crianças e adolescentes (art. 22).
• Não criar perfis comportamentais de crianças e adolescentes para publicidade comercial (art. 26).
• Não monetizar ou impulsionar conteúdo que retrate crianças e adolescentes de forma erotizada, sexualmente sugestiva ou em contexto sexual adulto (art. 23), nem em situações violadoras, vexatórias ou degradantes (Decreto nº 12.880/2026, art. 35).
• Não oferecer caixas de recompensa em jogos direcionados a crianças e adolescentes ou de acesso provável (art. 20).
• Não manipular interfaces para enfraquecer salvaguardas ou ferramentas de supervisão parental (art. 18, § 2º).
• Não deixar de remover e comunicar conteúdos de exploração, abuso sexual, sequestro e aliciamento às autoridades (art. 27).
• Não operar no País sem representante legal com poderes de recebimento de citações e de resposta perante Executivo, Judiciário e Ministério Público (art. 40).
• Vedação dirigida ao regulador: a regulamentação não pode impor, autorizar ou resultar em vigilância massiva, genérica ou indiscriminada, nem comprometer liberdade de expressão e privacidade (arts. 34, § 1º, e 37, parágrafo único).

Deveres gerais de prevenção e design (arts. 5º a 8º)

Prevenção e mitigação de riscos (art. 6º)

Medidas razoáveis desde a concepção e ao longo da operação para prevenir e mitigar riscos de acesso, exposição, recomendação ou facilitação de contato com:

• I — exploração e abuso sexual;
• II — violência física, intimidação sistemática virtual (cyberbullying) e assédio;
• III — indução, incitação ou auxílio a comportamentos danosos à saúde física ou mental (violência, substâncias que causem dependência, autodiagnóstico e automedicação, automutilação e suicídio);
• IV — promoção e comercialização de jogos de azar, apostas de quota fixa, loterias, tabaco, bebidas alcoólicas, narcóticos e produtos de comercialização proibida;
• V — práticas publicitárias predatórias, injustas ou enganosas e outras que causem danos financeiros; e
• VI — conteúdo pornográfico.

Incluem-se políticas de prevenção à intimidação sistemática virtual, mecanismos de apoio às vítimas e programas educativos de conscientização (art. 6º, § 2º).

Proteção por padrão (art. 7º)

Configuração, por padrão e desde a concepção, no modelo mais protetivo disponível de privacidade e proteção de dados. Informações claras e acessíveis são obrigatórias para que criança, adolescente e responsáveis façam escolhas informadas quanto à adoção de configurações menos protetivas. Aplicam-se os princípios do art. 6º da LGPD.

Obrigações operacionais (art. 8º)

• I — gerenciamento de riscos de recursos, funcionalidades e sistemas quanto a segurança e saúde;
• II — avaliação do conteúdo por faixa etária, compatível com a classificação indicativa;
• III — sistemas e processos para impedir o encontro de conteúdos ilegais, pornográficos e manifestamente inadequados;
• IV — configurações que evitem o uso compulsivo; e
• V — informação extensiva sobre a faixa etária indicada no momento do acesso.

Uso excessivo, problemático ou compulsivo (Decreto nº 12.880/2026, arts. 9º a 11)

Obrigação de implementar mecanismos que evitem esse uso, com a ANPD regulamentando os requisitos mínimos de segurança por padrão e coibindo práticas manipulativas.

O art. 11 do Decreto nº 12.880/2026 endereça IA generativa e agentes conversacionais: transparência quanto ao caráter sintético e automatizado da interação; prevenção de manipulação comportamental; avaliação do risco algorítmico à segurança e à saúde; e salvaguardas ao desenvolvimento físico, mental e psicossocial. A ANPD regulamentará e fiscalizará o dispositivo.

Vedação de acesso a conteúdos e serviços impróprios (art. 9º; Decreto nº 12.880/2026, arts. 14 a 23)

Quem disponibiliza conteúdo, produto ou serviço impróprio, inadequado ou proibido para menores de 18 anos deve adotar medidas eficazes para impedir o acesso, com mecanismos confiáveis de verificação de idade a cada acesso, vedada a autodeclaração. Provedores de conteúdo pornográfico devem impedir a criação de contas ou perfis por crianças e adolescentes (art. 9º, § 3º).

São considerados proibidos (Decreto nº 12.880/2026, art. 15, § 1º): armas, munições e explosivos; bebidas alcoólicas; produtos fumígenos, inclusive DEF; produtos que causem dependência; fogos de estampido e artifício; jogos de azar, apostas e loterias; caixas de recompensa; conteúdo pornográfico; serviços de acompanhantes; e aplicações voltadas a encontros ou relacionamentos de cunho sexual.

Pontos relevantes do Decreto nº 12.880/2026:

• Conteúdo pornográfico (art. 16) é definido pela finalidade, funcionalidade ou modelo de negócio; ficam excluídos contextos educativo, artístico, informativo ou jornalístico, educação em saúde, livros e áudio. Equipara-se a conteúdo pornográfico a interação com sistemas que permitam diálogos, produção ou troca de vídeos e imagens de teor sexualmente explícito de forma artificial ou automatizada.
• Exibição por padrão (art. 17): ocultar, desfocar ou não exibir conteúdo pornográfico a usuário não cadastrado ou não verificado, ou exigir verificação para desbloqueio.
• Comércio eletrônico (art. 18): bloqueio por padrão no cadastro ou impedimento na aquisição.
• Redes sociais (art. 19): criar versões sem o conteúdo proibido — hipótese em que fica dispensada a verificação — ou adotar verificação efetiva.
• Enquadramento (arts. 16, § 3º, e 19, § 2º): a ANPD pode, a qualquer tempo, determinar enquadramento diverso do autoatribuído pelo fornecedor.
• Lojas e sistemas operacionais (art. 21) devem impedir a disponibilização de aplicações de loterias e apostas não autorizadas ou sem solução de verificação de idade.
• Classificação indicativa (arts. 12 e 13): competência do MJSP, agora considerando riscos de conteúdo, privacidade, segurança e saúde mental, com sinalização de interação entre usuários, loot boxes, estímulo ao uso problemático, microtransações e práticas manipulativas.

Mecanismos de aferição de idade (arts. 10 a 15; Decreto nº 12.880/2026, arts. 24 a 30)

O art. 11 autoriza o poder público a atuar como regulador, certificador ou promotor de soluções técnicas, assegurada a participação social por consulta pública.

Requisitos da aferição de idade (Decreto nº 12.880/2026, art. 24):

• I — a proporcionalidade entre a solução adotada e o nível de risco associado ao serviço;
• II — a acurácia, a robustez e a confiabilidade;
• III — a vedação de uso, para finalidade diversa, de dados coletados para fins de aferição de idade (art. 13 da Lei);
• IV — a minimização de dados, entendida como a restrição do tratamento ao mínimo necessário para fins de aferição de idade;
• V — a proteção da privacidade dos usuários;
• VI — a vedação ao compartilhamento contínuo, automatizado e irrestrito de dados pessoais;
• VII — a segurança dos dados coletados;
• VIII — a vedação à rastreabilidade da identidade e do histórico de acessos, solicitações e verificações realizadas pelos cidadãos;
• IX — a interoperabilidade entre sistemas e soluções públicas e privadas;
• X — a inclusão e a não discriminação; e
• XI — a transparência e a auditabilidade.

A vedação do inciso III alcança o tratamento para criação de perfis comportamentais (§ 1º). O tratamento decorrente de coleta documental limita-se ao dado relativo à idade ou à confirmação da faixa etária, vedados armazenamento, retenção ou qualquer conservação da imagem ou da cópia do documento, que deve ser eliminada de modo imediato e irreversível após a captura da informação necessária (§ 3º).

Obrigações das lojas de aplicações e dos sistemas operacionais (art. 12; Decreto nº 12.880/2026, art. 25):

• medidas proporcionais, auditáveis e tecnicamente seguras de aferição (inciso I);
• oferta de supervisão parental configurável pelos responsáveis (inciso II);
• fornecimento gratuito de sinal de idade por API segura, limitado ao mínimo necessário — vedado o envio de data de nascimento exata, identidade civil ou dados de perfilamento (inciso III e § 1º);
• aferição por método confiável, preferencialmente com credenciais verificáveis;
• contestação e retificação da classificação etária mediante evidência adicional;
• medidas contra múltiplas contas e artifícios de burla; e
• solicitação de autorização dos responsáveis para download e instalação, vedada a presunção de autorização pelo silêncio (art. 12, § 2º).

Do lado do fornecedor (arts. 14 e 15; Decreto nº 12.880/2026, arts. 26 e 27):

• adotar medidas técnicas e organizacionais para garantir o recebimento das informações de idade de que trata o art. 12 e adequar a experiência do produto ou serviço (art. 14; Decreto, art. 26, caput e § 1º);
• independentemente das medidas adotadas pelos sistemas operacionais e pelas lojas de aplicações, implementar mecanismos próprios para impedir o acesso indevido a conteúdos inadequados à faixa etária (art. 14, parágrafo único);
• fornecedores acessíveis por navegador devem aferir a idade, podendo utilizar sinais disponibilizados pelo sistema operacional, pela loja ou por outro fornecedor (Decreto, art. 26, § 2º);
• havendo divergência entre a aferição própria e o sinal recebido, adotar as medidas correspondentes à alternativa mais protetiva (Decreto, art. 25, § 4º);
• o recebimento do sinal não isenta a responsabilidade do fornecedor pela efetividade da adequação etária e das medidas de proteção adotadas (Decreto, art. 26, § 3º); e
• possibilitar ao usuário meio adequado para contestar a idade ou faixa etária aferida (Decreto, art. 27).

Dupla camada de verificação. O desenho normativo não desloca a aferição para um único ponto da cadeia: ela é exigida cumulativamente na camada do dispositivo (lojas de aplicações e sistemas operacionais, art. 12) e na camada do serviço (fornecedor, art. 14, parágrafo único), com resolução de conflito pela alternativa mais protetiva e sem que o sinal recebido opere como excludente de responsabilidade. Fecha o arranjo o art. 15: o cumprimento das obrigações do Capítulo IV não exime os demais agentes da cadeia digital de suas responsabilidades legais, cabendo a todos os envolvidos garantir de forma solidária a proteção integral de crianças e de adolescentes.

O ponto de comparação mais próximo são as App Store Accountability Acts norte-americanas — Utah, Texas (SB 2420, em vigor desde janeiro de 2026 após decisão do Quinto Circuito) e Louisiana —, que também distribuem obrigações entre loja e desenvolvedor, mas em lógica inversa quanto à responsabilidade: as três preveem porto seguro (safe harbor) para o desenvolvedor que atue de boa-fé confiando nos dados de idade e de consentimento recebidos da loja. A Digital Age Assurance Act da Califórnia concentra o dever de emissão do sinal etário nos provedores de sistema operacional. Já Reino Unido (dever de highly effective age assurance do serviço regulado, sob o Online Safety Act) e Austrália (Social Media Minimum Age, Parte 4A do Online Safety Act 2021, com dever de reasonable steps da plataforma desde dezembro de 2025) alocam a obrigação à camada do serviço, sem dever equivalente para lojas e sistemas operacionais. A combinação brasileira — dever em ambas as camadas, vedação expressa de exoneração pelo sinal recebido e solidariedade — não encontra correspondência direta nesses regimes.

Papel do Estado: o MGI poderá disponibilizar solução tecnológica pública e gratuita para verificação de idade e para confirmar a vinculação de crianças e adolescentes a responsáveis legais (Decreto nº 12.880/2026, arts. 20 e 28). A ANPD disciplinará a certificação das soluções, diretamente ou por entidades acreditadoras (art. 30), e poderá determinar medidas técnicas adicionais para impedir ou dificultar mecanismos tecnológicos que visem a contornar ou burlar as regras de aferição de idade e de vedação de acesso (art. 29).

Supervisão parental (arts. 16 a 18)

Dever de disponibilizar, com acesso independente da aquisição do produto, informações sobre riscos e medidas de segurança, em conformidade com o art. 14 da LGPD. No tratamento de dados de crianças e adolescentes para fins não estritamente necessários, o controlador deve mapear e mitigar riscos e elaborar relatório de impacto, de monitoramento e de avaliação, compartilhável sob requisição da ANPD (art. 16, parágrafo único).

Ferramentas exigidas (art. 17): configurações acessíveis e fáceis de usar; informação em local de fácil acesso; aviso claro e visível quando a supervisão estiver ativa; e limitação e monitoramento do tempo de uso.

Configurações-padrão no mais alto nível de proteção (art. 17, § 4º), assegurando no mínimo: restrição de comunicação por usuários não autorizados; limitação de recursos que estendam artificialmente o uso (reprodução automática, recompensas por tempo, notificações); ferramentas de acompanhamento do uso saudável; visualização e limitação imediata do tempo de uso; controle e desativação de sistemas de recomendação personalizados; restrição ao compartilhamento de geolocalização com aviso prévio; educação digital midiática; revisão regular das ferramentas de IA com possibilidade de desabilitar funcionalidades não essenciais; e conexões a serviços de suporte emocional e bem-estar.

Poderes dos responsáveis (art. 18): gerenciar conta e privacidade; restringir compras e transações; identificar perfis de adultos com quem há comunicação; acessar métricas consolidadas de tempo de uso; ativar e desativar salvaguardas; e dispor de informações e controles em língua portuguesa.

A ANPD estabelecerá diretrizes e padrões mínimos por regulamento (art. 17, § 1º), e a submissão voluntária de mecanismos à sua apreciação não é pré-requisito para operar (§ 3º).

Produtos de monitoramento infantil (art. 19)

Devem garantir a inviolabilidade das imagens, sons e informações captadas, armazenadas e transmitidas aos responsáveis; informar crianças e adolescentes, em linguagem apropriada, sobre a realização do monitoramento (§ 1º); e orientar-se pelo melhor interesse e pelo pleno desenvolvimento de suas capacidades (§ 2º).

Jogos eletrônicos (arts. 20 e 21)

• Vedação das caixas de recompensa em jogos direcionados a crianças e adolescentes ou de acesso provável, conforme a classificação indicativa. O Decreto nº 12.880/2026 (art. 23) admite duas saídas: oferecer versões sem loot boxes ou restringir totalmente a funcionalidade por padrão — casos em que a verificação de idade é dispensada; caso contrário, verificação obrigatória.
• Jogos com interação entre usuários devem observar integralmente as salvaguardas do art. 16 da Lei nº 14.852/2024 (moderação, proteção contra contatos prejudiciais, atuação parental) e limitar, por padrão, as funcionalidades de interação, assegurando o consentimento dos responsáveis (art. 21, parágrafo único).

Publicidade em meio digital (arts. 22 e 23; Decreto nº 12.880/2026, arts. 31 a 35)

• Vedado o perfilamento para direcionamento de publicidade comercial a crianças e adolescentes, bem como análise emocional, realidade aumentada, estendida e virtual para esse fim (art. 22).
• Vedados monetização e impulsionamento de conteúdos que retratem crianças e adolescentes de forma erotizada, sexualmente sugestiva ou em contexto sexual adulto (art. 23).
• É abusiva, nos termos do art. 37, § 2º, do CDC, toda publicidade que se aproveite da deficiência de julgamento e experiência da criança (Decreto nº 12.880/2026, art. 31).
• A ANPD regulamentará formas e requisitos mínimos para prevenir exposição de crianças e adolescentes à promoção de apostas, tabaco, álcool e demais produtos proibidos (Decreto nº 12.880/2026, art. 32).
• Atividade artística de crianças e adolescentes (Decreto nº 12.880/2026, art. 34): conteúdo monetizado ou impulsionado que explore de forma habitual a imagem ou a rotina de criança ou adolescente exige autorização judicial (art. 149 do ECA); verificada a ausência, o fornecedor deve retirar o conteúdo imediatamente. A obrigação alcança conteúdos cuja monetização se inicie após 90 dias da publicação do Decreto nº 12.880/2026.

Redes sociais (arts. 24 a 26)

• Vinculação obrigatória: contas de usuários de até 16 anos devem estar vinculadas à conta de um responsável legal (art. 24).
• Serviços impróprios devem informar claramente a inadequação, monitorar e restringir conteúdos que evidentemente atraiam crianças e adolescentes, e aprimorar continuamente os mecanismos de verificação de idade — cuja efetividade e progresso serão avaliados pela ANPD (art. 24, § 1º e § 2º).
• Diante de fundados indícios de conta operada por criança ou adolescente em desconformidade, o provedor deve suspender o acesso e instaurar procedimento célere e acessível de apelação pelo responsável legal (art. 24, § 4º).
• Na ausência de conta de responsável, é vedado reduzir o nível de proteção das configurações de supervisão parental (art. 24, § 5º).
• Regras específicas, concretas e documentadas para o tratamento de dados desse público (art. 25) e vedação de perfis comportamentais para publicidade, inclusive a partir de dados obtidos na verificação de idade e de dados grupais e coletivos (art. 26).

Prevenção e combate a violações graves (art. 27; Decreto nº 12.880/2026, arts. 36 a 40)

Fornecedores disponíveis no território nacional devem remover e comunicar conteúdos de aparente exploração, abuso sexual, sequestro e aliciamento às autoridades nacionais e internacionais competentes, retendo os dados associados pelo prazo do art. 15 do Marco Civil (art. 27, § 2º).

• A Polícia Federal é a autoridade competente para recebimento centralizado, processamento, triagem e gerenciamento dos relatórios (Decreto nº 12.880/2026, art. 36).
• Fica autorizada a criação do Centro Nacional de Triagem de Notificações, no âmbito da PF, com competência para receber, validar, triar e distribuir os relatórios às polícias judiciárias e publicar relatórios estatísticos periódicos por fornecedor (art. 37).
• Fornecedores que já enviem notificações idênticas a centrais estrangeiras acessíveis às autoridades brasileiras ficam dispensados do envio duplicado, e esses relatórios se equiparam, para todos os fins jurídicos e probatórios, aos apresentados diretamente (art. 37, §§ 2º e 3º).
• Hipóteses de comunicação obrigatória (art. 39): exploração, abuso ou aliciamento sexual; sequestro e cárcere privado; e aliciamento ou cooptação para práticas com risco crível, iminente ou em andamento de lesão grave ou morte, incluído o tráfico e atos preparatórios de violência extrema contra comunidade escolar.
• Após remoção imediata e confirmação de recebimento, o material deve ser excluído dos servidores, preservados demais dados da conta e metadados (art. 39, §§ 1º e 2º).
• Sanção por falha reincidente (art. 40): o descumprimento sujeita às penalidades do art. 35 quando houver falha reincidente — negligência ou insuficiência dos mecanismos de resposta —, não se aplicando a falhas isoladas ou residuais inerentes ao estado da técnica.

Reporte de violações e retirada de conteúdo (arts. 28 a 30; Decreto nº 12.880/2026, arts. 41 a 46)

Dever de disponibilizar mecanismos de notificação acessíveis, gratuitos, efetivos e amplamente divulgados (art. 28).

Retirada sem ordem judicial (art. 29): o fornecedor deve retirar conteúdo violador de direitos de crianças e adolescentes assim que comunicado do caráter ofensivo pela vítima ou seus representantes, pelo Ministério Público, por autoridades policiais (Decreto nº 12.880/2026, art. 43, III) ou por entidades representativas de defesa desses direitos. São violadores os conteúdos do art. 6º, nos termos da classificação indicativa (art. 29, § 1º). A notificação exige identificação técnica específica do conteúdo e do notificante, vedada a denúncia anônima, sob pena de nulidade (art. 29, § 2º).

• Conselhos tutelares devem provocar o Ministério Público para que este notifique os fornecedores (Decreto nº 12.880/2026, art. 43, parágrafo único).
• Compete à ANPD habilitar as entidades representativas, exigidos experiência demonstrada, independência em relação aos fornecedores, procedimentos internos de qualidade e imparcialidade e ausência de fins lucrativos; a lista é publicada no sítio da Agência, cabendo desabilitação em caso de desvio de atuação ou envio abusivo de notificações (art. 44). Até a regulamentação, admite-se habilitação provisória de entidades do Conanda ou da Comissão Intersetorial (art. 52).
• Devido processo na moderação (art. 30): notificação da retirada; motivo e fundamentação, com indicação se a identificação foi humana ou automatizada; possibilidade e fácil acesso ao recurso; e prazos procedimentais definidos.

Transparência e prestação de contas (art. 31; Decreto nº 12.880/2026, arts. 47 e 48)

Provedores com mais de 1 milhão de usuários registrados nessa faixa etária no território nacional devem publicar relatórios semestrais em português contendo canais de denúncia e processos de apuração; quantidade de denúncias; quantidade de moderação por tipo; medidas de identificação de contas infantis e de atos ilícitos; aprimoramentos técnicos de proteção de dados e de aferição do consentimento parental (art. 14, § 1º, da LGPD); e detalhamento das avaliações de impacto e gerenciamento de riscos.

• Avaliação de impacto à segurança e à saúde (Decreto nº 12.880/2026, art. 47): identificação e análise de riscos, avaliação de probabilidade e gravidade, tratamento e mitigação e acompanhamento contínuo da efetividade, com publicidade de versão resumida em linguagem clara. Ato da ANPD poderá definir conteúdo mínimo, periodicidade e condições.
• Acesso de pesquisadores (art. 31, parágrafo único): acesso gratuito a dados para pesquisa por instituições acadêmicas, científicas, tecnológicas, de inovação ou jornalísticas, vedado uso comercial. A ANPD habilitará essas instituições por edital público (Decreto nº 12.880/2026, art. 48).

Uso abusivo dos instrumentos de denúncia (arts. 32 e 33)

Os provedores devem adotar mecanismos eficazes para identificar o uso abusivo dos instrumentos de denúncia, coibindo sua utilização para censura, perseguição ou outras práticas ilícitas. Devem informar as hipóteses de uso indevido e as sanções cabíveis (suspensão temporária, cancelamento em caso de reincidência ou abuso grave e comunicação às autoridades) (art. 33, § 1º), com critérios técnicos objetivos, notificação, recurso, prazos definidos (§ 2º) e manutenção de registros detalhados (§ 3º).

Governança (art. 34)

A autoridade fiscaliza o cumprimento em todo o território nacional e pode editar normas complementares. Dois limites expressos:

• § 1º — a regulamentação não pode autorizar ou resultar em vigilância massiva, genérica ou indiscriminada, nem em práticas contrárias à liberdade de expressão, à privacidade, à proteção integral e ao tratamento diferenciado de dados de crianças e adolescentes.
• § 2º — dever de observar assimetrias regulatórias e adotar abordagem responsiva, com tratamento diferenciado e proporcional conforme natureza, risco e modelo de negócio.

Sanções (art. 35; art. 36-A)

Sem prejuízo das sanções cíveis, criminais e administrativas, assegurados devido processo legal, ampla defesa e contraditório:

• advertência, com prazo de até 30 dias para medidas corretivas;
• multa simples de até 10% do faturamento do grupo econômico no Brasil no último exercício ou, ausente faturamento, de R$ 10,00 a R$ 1.000,00 por usuário cadastrado, limitada a R$ 50 milhões por infração e atualizada anualmente pelo IPCA (§ 4º);
• suspensão temporária das atividades; e
• proibição do exercício das atividades.

Circunstâncias de dosimetria (§ 1º): gravidade da infração e extensão do dano individual e coletivo; reincidência; capacidade econômica; e finalidade social do fornecedor e impacto sobre a coletividade quanto ao fluxo de informações.

• Competência dividida (§ 5º): advertência e multa cabem à ANPD; suspensão e proibição, ao Poder Judiciário.
• Execução do bloqueio (§ 6º): ordem dirigida a prestadoras de conexão, gestoras de pontos de troca de tráfego (PTT), provedores de DNS e demais agentes que viabilizam a conexão.
• Solidariedade (§ 2º): filial, sucursal, escritório ou estabelecimento no País responde solidariamente pela multa de empresa estrangeira.
• Rito (§ 3º): o processo de apuração das infrações e de aplicação das sanções rege-se pelas disposições do ECA sobre apuração de infração administrativa às normas de proteção à criança e ao adolescente — arts. 194 a 197 da Lei nº 8.069/1990:
  • início — por representação do Ministério Público ou do Conselho Tutelar, ou por auto de infração elaborado por servidor efetivo ou voluntário credenciado e assinado por duas testemunhas, se possível; no procedimento iniciado com o auto podem ser usadas fórmulas impressas, especificando-se a natureza e as circunstâncias da infração, e à verificação segue-se, sempre que possível, a lavratura do auto, certificando-se, em caso contrário, os motivos do retardamento (art. 194 e §§ 1º e 2º);
  • defesa — prazo de 10 dias, contado da intimação, que se faz pelo autuante no próprio auto (quando lavrado na presença do requerido), por oficial de justiça ou funcionário legalmente habilitado, por via postal com aviso de recebimento ou por edital com prazo de 30 dias, se incerto o paradeiro (art. 195);
  • ausência de defesa — vista dos autos ao Ministério Público por 5 dias, decidindo a autoridade judiciária em igual prazo (art. 196);
  • instrução — apresentada a defesa, decide-se na forma do art. 196 ou, sendo necessário, designa-se audiência de instrução e julgamento; colhida a prova oral, manifestam-se sucessivamente o Ministério Público e o procurador do requerido, por 20 minutos cada, prorrogáveis por mais 10 a critério da autoridade judiciária, que em seguida profere sentença (art. 197 e parágrafo único).
• Destinação (art. 36-A): as multas vão ao FNCA, por 5 anos, para políticas e projetos de proteção de crianças e adolescentes.

O rito dos arts. 194 a 197 do ECA é conduzido pela autoridade judiciária, enquanto o art. 35, § 5º, atribui a advertência e a multa à ANPD. O cronograma da Agência prevê, a partir de agosto de 2026, a atualização dos Regulamentos de Fiscalização e de Aplicação de Sanções Administrativas, que estabelecerão os procedimentos de apuração de infrações e os critérios de aplicação de penalidades.

Comparação com a LGPD: o teto de R$ 50 milhões por infração é o mesmo, mas o percentual sobe de 2% para 10% e a base passa a ser o faturamento do grupo econômico; surge a multa por usuário cadastrado; e as sanções mais graves ficam sob reserva de jurisdição, ao contrário do art. 52 da LGPD, cuja aplicação é integralmente da ANPD.

Disposições finais (arts. 37 a 40)

• Regulamentação pelo Poder Executivo, com a mesma vedação a vigilância massiva (art. 37).
• Adesivo em embalagens de equipamentos eletrônicos de uso pessoal com acesso à internet (art. 38). Até regulamentação específica da ANPD, o Decreto nº 12.880/2026 (art. 50) fixou prazo de 30 dias e a redação: “Este produto permite acesso à internet. Conteúdos da internet podem apresentar riscos a crianças e adolescentes. O uso do produto requer supervisão parental.” Não se aplica a equipamentos fabricados ou importados antes da publicação.
• Modulação proporcional das obrigações (art. 39).
• Representante legal no País com poderes plenos de recebimento e resposta (art. 40).

Política Nacional e arranjo institucional (Decreto nº 12.880/2026, arts. 3º a 8º)

Instituída a Política Nacional de Promoção e Proteção dos Direitos da Criança e do Adolescente no Ambiente Digital, com princípios que incluem proteção integral e prioridade absoluta, autonomia progressiva, responsabilidade compartilhada, educação digital e midiática, direito à participação de crianças e adolescentes nas decisões que os afetem (art. 12 da Convenção sobre os Direitos da Criança) e redução de desigualdades estruturais.

• Instrumentos: plano trienal; atuação integrada com a política da Lei nº 14.811/2024; articulação com a Política Nacional de Educação Digital; Estratégia Brasileira de Educação Midiática; e publicação periódica de guias e materiais educativos.
• Comitê intersetorial permanente, instituído por ato do MDHC, com representação garantida de MJSP, Saúde, Educação, MCTI, MGI, Secom, ANPD e Conanda (art. 7º). O comitê pode articular-se, com a ANPD, com o Ministério Público, o Judiciário e a sociedade civil e, com o MRE, com organismos internacionais (art. 8º).

Divisão de trabalho relevante: a ANPD regula e fiscaliza o ECA Digital (Decreto nº 12.880/2026, art. 1º, parágrafo único); o MDHC coordena a Política Nacional; o MJSP responde pela classificação indicativa e pelo funcionamento do Centro Nacional de Triagem; a PF opera a triagem; e o MGI pode ofertar soluções tecnológicas públicas.

Implementação e cronograma da ANPD

Cronograma publicado em 20/03/2026, junto com as Orientações Preliminares e o Mapa de Temas Prioritários da Fiscalização 2026-2027:

• Etapa 1 (a partir de março de 2026) — atuação preventiva e de levantamento de informações, priorizando lojas de aplicativos e sistemas operacionais proprietários, pelo papel estruturante e pela concentração de mercado. O monitoramento efetivo desses agentes teve início em junho de 2026, com foco nos mecanismos de aferição de idade e de transmissão do sinal de idade. A ANPD acompanha as iniciativas de cerca de 37 empresas e abriu canal específico para denúncias.
• Consultas públicas (2026) — guias sobre escopo e obrigações gerais (contribuições até 15/06) e sobre mecanismos de aferição de idade (até 09/07).
• Etapa 2 (a partir de agosto de 2026) — publicação das orientações definitivas e dos parâmetros normativos sobre aferição de idade; ampliação do monitoramento a outros setores conforme o nível de risco; período de adaptação de agosto a novembro de 2026; e atualização dos Regulamentos de Fiscalização e de Aplicação de Sanções Administrativas.
• Etapa 3 (a partir de janeiro de 2027) — início dos ciclos de fiscalização, com possibilidade de aplicação sistemática das sanções.

O art. 49 do Decreto nº 12.880/2026 ancora esse faseamento: cabe à ANPD definir as etapas de implementação das soluções de aferição de idade, com abordagem responsiva, emissão de recomendações e definição de prioridades de monitoramento conforme o nível de risco.