ANPD publica guia orientativo sobre escopo e obrigações gerais do ECA Digital

A Agência Nacional de Proteção de Dados (ANPD) publicou, em 28 de outubro de 2026, o guia orientativo “Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital”, que orienta a aplicação da Lei nº 15.211/2025  (Estatuto Digital da Criança e do Adolescente – ECA Digital). O documento foi aperfeiçoado a partir das contribuições recebidas na tomada de subsídios realizada entre abril e junho de 2026 e reúne exemplos práticos, tabelas explicativas e um fluxograma para auxiliar na identificação do acesso provável.

O guia busca responder a duas questões centrais: a quem se aplica o ECA Digital; e quais são o significado e as implicações do dever de prevenção para os agentes regulados. Embora não analise em detalhe obrigações específicas, como aferição de idade, supervisão parental e moderação de conteúdo, a ANPD entende que o dever de prevenção é o fundamento central para sua interpretação e aplicação.

Destacamos, a seguir, os principais pontos:

Escopo de aplicação: fornecedores de produtos ou serviços de tecnologia da informação

O conceito de produto ou serviço de tecnologia da informação é definido a partir de três características, avaliadas com base na oferta concreta e no modo de uso:

• Fornecimento à distância: sem a presença simultânea das partes;
• Meio eletrônico: uso de equipamentos e redes para processamento ou transmissão, especialmente por aplicações de internet; e
• Requisição individual: ativação ou uso a partir de solicitação do usuário.

Além das obrigações gerais aplicáveis a todos os fornecedores, o guia detalha espécies de fornecedores sujeitas a obrigações específicas:

• Redes sociais: voltadas à interação social aberta e à ampla circulação de conteúdos publicados pelos próprios usuários;
• Lojas de aplicações e sistemas operacionais: exercem papel estrutural na implementação da Lei, como pontos centrais de conexão entre desenvolvedores e usuários, com deveres como fornecimento de sinais etários e mecanismos de supervisão parental. Sistemas operacionais de software livre, de uso majoritário em comunidades técnicas, ou embarcados em dispositivos de Internet das Coisas podem ter obrigações moduladas; e
• Serviços com controle editorial e de conteúdos protegidos por direitos autorais previamente licenciados (ex.: streaming com catálogo curado): podem ser dispensados de parte das obrigações (como a retirada de conteúdo violador de direitos de crianças e adolescentes após notificação), desde que observadas garantias como classificação indicativa e mediação parental, sem afastar a configuração mais protetiva por padrão.

Acesso provável por crianças e adolescentes

O ECA Digital alcança não apenas serviços direcionados a crianças e adolescentes, mas também aqueles de acesso provável por esse público. Para tanto, devem estar presentes, de forma cumulativa, três requisitos, sempre interpretados à luz do princípio do melhor interesse da criança e do adolescente:

• Probabilidade de uso e atratividade: considera design, linguagem, conteúdos, recompensas, gamificação e outras estratégias de apresentação, ainda que o serviço não seja formalmente concebido a esse público;
• Considerável facilidade de acesso e utilização: condições técnicas, operacionais e contextuais que reduzem barreiras de entrada e uso; e
• Significativo grau de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial, com presunção legal de risco para serviços que permitem interação social e compartilhamento de informações em larga escala. Não basta qualquer risco ordinário inerente ao uso de tecnologias.

Entre os esclarecimentos relevantes do guia, destacam-se:

• A autoavaliação do fornecedor sobre o público-alvo não vincula a ANPD: a análise considera as características reais e as condições de uso do produto ou serviço;
• Mecanismos de aferição de idade e outras medidas de mitigação não afastam o enquadramento como acesso provável, pois constituem cumprimento de obrigação legal posterior à definição de incidência da lei;
• Algumas categorias, como redes sociais, lojas de aplicativos e sistemas operacionais, são presumidas como direcionadas ou de acesso provável, ressalvadas as particularidades de cada caso; e
• A presença isolada de um ou dois requisitos não atrai a lei, mas essa leitura não pode ser usada para restringir injustificadamente sua incidência quando houver riscos significativos.

Dever de prevenção

O dever de prevenção é definido como a obrigação de atuar de forma proativa e diligente, com medidas adequadas, proporcionais e eficazes ao longo de todo o ciclo de vida dos produtos e serviços. O guia o organiza em quatro dimensões complementares:

• Prevenção em sentido estrito: identificar, avaliar, evitar e mitigar riscos, incluindo gerenciamento de riscos de funcionalidades, recursos e sistemas e avaliação de impacto à segurança e à saúde de crianças (art. 47 do Decreto nº 12.880/2026);
• Proteção: assegurar a proteção integral, especial e prioritária, inclusive contra a exploração comercial, como a vedação ao perfilamento para publicidade direcionada;
• Informação: fornecer informações simples, claras e acessíveis, de forma prospectiva (funcionamento, tratamento de dados, riscos e medidas de segurança) e retrospectiva (relatórios semestrais de transparência); e
• Segurança: evitar situações acidentais ou ilícitas que impactem a integridade de crianças e adolescentes ou impliquem tratamento inadequado de seus dados pessoais.

Para operacionalizar o dever de prevenção em sentido estrito, o guia propõe um fluxo de gerenciamento de riscos em quatro etapas:

• Identificar riscos nas funcionalidades, recursos e sistemas do produto ou serviço;
• Avaliar a probabilidade e a gravidade do impacto, recomendando-se indicar o nível de risco (baixo, médio ou elevado);
• Adotar medidas e salvaguardas adequadas para prevenir e mitigar os riscos; e
• Documentar e demonstrar a eficácia das medidas, com testes, dados e métricas de monitoramento contínuo.

Proporcionalidade e modulação das obrigações

As obrigações do ECA Digital devem ser moduladas conforme os seguintes fatores:

• Natureza, risco e modelo de negócios do serviço;
• Grau de interferência do fornecedor sobre os conteúdos disponibilizados; e
• Número de usuários e porte do fornecedor.

Segundo o guia, a proporcionalidade não reduz a responsabilidade do fornecedor, mas orienta a forma e a extensão das medidas esperadas, devendo a análise ser feita sempre no caso concreto.

Para mais informações sobre o tema, conheça a prática de Tecnologia do Mattos Filho.