ECA Digital — Estatuto Digital da Criança e do Adolescente

Resumo geral

O ECA Digital é a primeira lei brasileira com regime abrangente de proteção de crianças e adolescentes no ambiente digital. Antes, o tema dependia de regras gerais do ECA, da LGPD e do Marco Civil da Internet. A Lei nº 15.211/2025 passou a tratar diretamente de redes sociais, jogos eletrônicos, IA generativa e outros serviços digitais, em meio ao debate sobre uso excessivo de telas, conteúdo impróprio, aliciamento e publicidade.

A lei cria deveres de prevenção e proteção por design (arts. 5º a 8º), aferição de idade (arts. 10 a 15), supervisão parental (arts. 16 a 18), restrições à publicidade (arts. 22 e 23) e regras para jogos eletrônicos (arts. 20 e 21). A ANPD foi designada autoridade administrativa pelo Decreto nº 12.622/2025. Desde 2026, a Agência acumula três mandatos: LGPD, ECA Digital e deveres dos provedores de aplicações no Marco Civil da Internet.

A Lei nº 15.211/2025 sofreu três vetos presidenciais: competência da Anatel para encaminhar ordens de bloqueio, vinculação das multas ao FNCA e vacatio legis de um ano. Medidas provisórias tentaram recompor esses pontos; a MP nº 1.318/2025 perdeu vigência. A data definitiva veio com a Lei nº 15.352/2026, conversão da MP nº 1.317/2025. O ECA Digital entrou em vigor em 17 de março de 2026; no dia seguinte, o Decreto nº 12.880/2026 regulamentou a Política Nacional.

Parte da regulamentação infralegal ainda está em elaboração, inclusive requisitos de segurança por padrão, aferição de idade e supervisão parental. Por isso, alguns deveres ainda dependem dos atos listados em “Regulamentos e atos aplicáveis”.

Fundamentos

“É dever da família, da sociedade e do Estado assegurar à criança, ao adolescente e ao jovem, com absoluta prioridade, o direito à vida, à saúde, à alimentação, à educação, ao lazer, à profissionalização, à cultura, à dignidade, ao respeito, à liberdade e à convivência familiar e comunitária, além de colocá-los a salvo de toda forma de negligência, discriminação, exploração, violência, crueldade e opressão” (CF, art. 227, caput)

Os produtos e serviços devem garantir proteção prioritária, ter como parâmetro o melhor interesse e adotar medidas adequadas e proporcionais para nível elevado de privacidade, proteção de dados e segurança, nos termos do ECA e da LGPD (art. 3º).

Pais e responsáveis legais mantêm o dever de cuidado ativo e contínuo, com uso de ferramentas de supervisão parental adequadas à idade e ao estágio de desenvolvimento (art. 3º, parágrafo único). A lógica é de responsabilidade compartilhada entre Poder Público, famílias, sociedade civil e fornecedores (Decreto nº 12.880/2026, art. 4º, IV).

O art. 5º, § 3º permite à autoridade emitir recomendações e orientações conforme assimetrias regulatórias, funcionalidades, risco, evolução tecnológica e padrões técnicos. O dispositivo fundamenta as Orientações Preliminares de março de 2026 e o faseamento do art. 49 do Decreto.

Fundamentos da utilização por crianças e adolescentes (art. 4º)

• Proteção integral (inciso I)
• Prevalência absoluta de seus interesses (inciso II)
• Condição peculiar de pessoa em desenvolvimento biopsicossocial (inciso III)
• Segurança contra intimidação, exploração, abuso, ameaça e outras formas de violência (inciso IV)
• Respeito à autonomia e ao desenvolvimento progressivo do indivíduo (inciso V)
• Proteção contra a exploração comercial (inciso VI)
• Observância dos princípios do Estatuto da Pessoa com Deficiência (inciso VII)
• Promoção da educação digital, com foco em cidadania e senso crítico (inciso VIII)
• Transparência e responsabilidade no tratamento de dados pessoais (inciso IX)

Melhor interesse (art. 5º, § 2º)

Para os fins da Lei, considera-se como expressão do melhor interesse da criança e do adolescente a proteção de sua privacidade, segurança, saúde mental e física, acesso à informação, liberdade de participação na sociedade, acesso significativo às tecnologias digitais e bem-estar.

Origem normativa. O art. 3.1 da Convenção sobre os Direitos da Criança (1989), promulgada pelo Decreto nº 99.710/1990, exige que o interesse superior seja consideração primordial nas ações relativas à criança. No Brasil, o princípio se articula com o art. 227 da Constituição e o art. 4º do ECA, dentro da doutrina da proteção integral. Essa doutrina substituiu a situação irregular do Código de Menores (Lei nº 6.697/1979) e reconhece crianças como sujeitos de direitos.

Conteúdo. No Comentário Geral nº 14 (2013), o Comitê dos Direitos da Criança da ONU descreve o interesse superior como conceito de natureza tríplice (§ 6º):

• direito substantivo — a criança tem direito a que seu interesse seja avaliado e tomado como consideração primordial quando diferentes interesses estejam em jogo;
• princípio jurídico interpretativo — havendo mais de uma interpretação possível de uma norma, prevalece a que melhor atenda ao interesse da criança; e
• regra de procedimento — o processo decisório deve incluir avaliação do impacto da decisão sobre a criança, e a fundamentação deve explicitar o que se considerou ser seu interesse superior, em que critérios se baseou e como foi ponderado em face das demais considerações (§§ 6º e 97).

O Comitê trata o melhor interesse como conceito dinâmico e flexível, avaliado caso a caso (§ 32), sem lista fechada ou hierarquizada de elementos (§§ 50 e 52). No ambiente digital, a referência específica é o Comentário Geral nº 25 (2021).

Risco de manipulação. O próprio Comitê reconhece que a flexibilidade do conceito pode ser usada de forma abusiva (§ 34). Um exemplo histórico são as Gerações Roubadas na Austrália: entre as décadas de 1910 e 1970, autoridades removeram crianças aborígenes e ilhéus do Estreito de Torres de suas famílias em nome de seu bem-estar. O inquérito oficial Bringing Them Home (1997) documentou a política e graves violações de direitos humanos. O Comitê também afirma que a visão do adulto sobre o melhor interesse não supera os demais direitos da Convenção (§ 4º), inclusive o direito de ser ouvido (art. 12; §§ 43 a 45).

Como o ECA Digital aplica o conceito. O art. 5º, § 2º o concretiza em bens verificáveis. O art. 4º, V acrescenta autonomia e desenvolvimento progressivo; o art. 7º exige justificar a configuração mais protetiva; e o art. 17, § 2º usa o melhor interesse também como limite da supervisão parental. O Decreto nº 12.880/2026 inclui a participação de crianças e adolescentes nas decisões que os afetem (art. 4º, VIII).

Aplicação (art. 1º)

A Lei alcança todo produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes no País ou de acesso provável por eles, independentemente do local de desenvolvimento, oferta ou operação. O art. 1º, parágrafo único combina três fatores para definir acesso provável: probabilidade de uso e atratividade, facilidade de acesso e risco à privacidade, segurança ou desenvolvimento biopsicossocial.

O guia da ANPD sobre escopo e obrigações gerais deve concretizar o conceito de acesso provável. Ele é relevante, por exemplo, para definir a incidência sobre serviços corporativos, ferramentas educacionais e aplicações de nicho.

Não aplicação e dispensas

• Funcionalidades essenciais da internet — protocolos e padrões técnicos abertos e comuns de interconexão não são produtos ou serviços de tecnologia da informação (art. 2º, § 2º).
• Modulação proporcional (art. 39): as obrigações a seguir aplicam-se conforme as características e funcionalidades do produto, o grau de interferência do fornecedor sobre os conteúdos, o número de usuários e o porte, cabendo à regulamentação definir critérios objetivos de aferição do grau de intervenção (art. 39, § 3º):
  • art. 6º — prevenção e mitigação de riscos de acesso, exposição, recomendação ou contato com conteúdos nocivos;
  • art. 17 — deveres do fornecedor quanto às ferramentas de supervisão parental;
  • art. 18 — funcionalidades que as ferramentas de supervisão parental devem oferecer aos responsáveis legais;
  • art. 19 — produtos e serviços de monitoramento infantil;
  • art. 20 — vedação das caixas de recompensa (loot boxes);
  • art. 27 — remoção e comunicação às autoridades de conteúdo de exploração, abuso sexual, sequestro e aliciamento;
  • art. 28 — mecanismos de notificação de violações pelos usuários;
  • art. 29 — retirada de conteúdo violador mediante notificação, independentemente de ordem judicial;
  • art. 31 — relatórios semestrais de transparência e acesso de pesquisadores aos dados;
  • art. 32 — identificação do uso abusivo dos instrumentos de denúncia; e
  • art. 40 — manutenção de representante legal no País.
• Serviços com controle editorial e provedores de conteúdo previamente licenciado ficam dispensados daquelas obrigações desde que observem classificação indicativa, transparência etária, mediação parental e canais de denúncia (art. 39, § 1º).
• Dispensa de aferição de idade (Decreto nº 12.880/2026, art. 22): serviços com controle editorial, conteúdo licenciado, musical ou literário, desde que ofereçam contas ou perfis infantis e supervisão parental. O parágrafo único do mesmo artigo dispensa de aferição de idade os provedores de conteúdos jornalísticos e esportivos não sujeitos à classificação indicativa e submetidos a controle editorial.
• Retirada de conteúdo: conteúdos jornalísticos e submetidos a controle editorial não se sujeitam ao procedimento do art. 29 (art. 29, § 4º).

Atenção ao alcance dessas dispensas: elas afastam obrigações específicas, não a incidência da Lei. Um serviço dispensado de aferir idade continua sujeito, por exemplo, aos deveres de design do art. 7º e à vedação de perfilamento publicitário do art. 22.

Deveres e vedações essenciais

Idade no meio digital: quem deve o quê

A Lei gradua deveres por idade. Os principais cortes são 18 anos (fim da proteção individual da Lei), 16 anos (vinculação obrigatória da conta a responsável legal, art. 24) e 12 anos (divisão entre criança e adolescente, com efeito também no consentimento da LGPD).

Para todos os menores de 18 anos (crianças e adolescentes, sem distinção de idade dentro dessa faixa):

• verificação de idade a cada acesso a conteúdo, produto ou serviço impróprio, inadequado ou proibido, vedada a autodeclaração (art. 9º e § 1º);
• prevenção e mitigação de riscos de exploração sexual, violência, indução a comportamentos danosos, jogos de azar, publicidade predatória e conteúdo pornográfico, desde a concepção do produto ou serviço (art. 6º);
• configuração por padrão no modelo mais protetivo de privacidade e proteção de dados (art. 7º);
• vedação de perfilamento, análise emocional e uso de realidade aumentada, estendida ou virtual para direcionar publicidade (art. 22), e de criação de perfis comportamentais para fins publicitários (art. 26);
• vedação de monetização ou impulsionamento de conteúdo que os retrate de forma erotizada ou sexualmente sugestiva (art. 23);
• vedação de caixas de recompensa (loot boxes) em jogos a eles direcionados ou de acesso provável (art. 20);
• direito a ferramentas de supervisão parental fáceis de encontrar e usar, com o essencial ativado por padrão (arts. 16 a 18);
• remoção e comunicação às autoridades de conteúdos de exploração, abuso sexual, sequestro e aliciamento (art. 27).

Até os 16 anos, soma-se um dever adicional e mais intrusivo:

• vinculação obrigatória da conta a um usuário ou conta de um responsável legal, no âmbito dos serviços do provedor (art. 24, caput);
• na ausência de conta ou usuário do responsável, é vedado rebaixar as configurações de supervisão parental abaixo do padrão dos arts. 3º e 7º (art. 24, § 5º);
• havendo fundados indícios de conta operada por criança ou adolescente em desconformidade com os requisitos de idade mínima previstos na legislação, o provedor de rede social deve suspender o acesso e garantir procedimento célere de apelação ao responsável (art. 24, § 4º).

Onde fica o corte de 16 anos. O texto diz “adolescentes de até 16 anos de idade”. A leitura literal inclui quem completou 16 e ainda não fez 17, pois o ECA usa “incompletos” quando quer excluir a idade mencionada. Também é possível ler o corte como encerrado no aniversário de 16 anos. Lei e decreto não resolvem a ambiguidade, e as fontes públicas citadas não registram posição da ANPD. Esta nota adota provisoriamente a leitura mais abrangente, à luz da proteção prioritária (art. 3º).

Para menores de 12 anos, a LGPD ainda exige consentimento específico e em destaque de ao menos um dos pais ou responsável legal para o tratamento de dados (art. 14, § 1º). Os provedores devem informar o aperfeiçoamento desse mecanismo nos relatórios semestrais (art. 31, VI).

Dos 16 aos 18 anos, permanecem os deveres gerais, mas não a vinculação obrigatória da conta do art. 24. A faixa recebe maior espaço para autonomia e desenvolvimento progressivo, inclusive na supervisão parental (art. 17, § 2º) e no download de aplicativos (Decreto nº 12.880/2026, art. 25, § 3º).

Escopo do art. 24. O caput menciona todos os produtos ou serviços direcionados a crianças e adolescentes ou de acesso provável, mas o capítulo e os §§ 1º a 4º tratam de redes sociais. Há, portanto, duas leituras: vinculação de contas em qualquer serviço abrangido ou apenas em redes sociais. O texto legal não resolve expressamente o ponto.

Principais vedações, em lista

• Não permitir autodeclaração de idade como mecanismo de verificação para conteúdo impróprio, inadequado ou proibido (art. 9º, § 1º).
• Não usar dados coletados para aferição de idade em qualquer outra finalidade, inclusive perfis comportamentais (art. 13; Decreto nº 12.880/2026, art. 24, III e § 1º).
• Não operar, por padrão, em configuração menos protetiva que a máxima disponível (arts. 7º e 17, § 4º).
• Não empregar perfilamento, análise emocional, realidade aumentada, estendida ou virtual para direcionar publicidade a crianças e adolescentes (art. 22; Decreto nº 12.880/2026, art. 33).
• Não criar perfis comportamentais de crianças e adolescentes para publicidade comercial (art. 26).
• Não monetizar ou impulsionar conteúdo que retrate crianças e adolescentes de forma erotizada, sexualmente sugestiva ou em contexto sexual adulto (art. 23), nem em situações violadoras, vexatórias ou degradantes (Decreto nº 12.880/2026, art. 35).
• Não oferecer caixas de recompensa em jogos direcionados a crianças e adolescentes ou de acesso provável (art. 20).
• Não manipular interfaces para enfraquecer salvaguardas ou ferramentas de supervisão parental (art. 18, § 2º).
• Não deixar de remover e comunicar conteúdos de exploração, abuso sexual, sequestro e aliciamento às autoridades (art. 27).
• Não operar no País sem representante legal com poderes de recebimento de citações e de resposta perante Executivo, Judiciário e Ministério Público (art. 40).
• Vedação dirigida ao regulador: a regulamentação não pode autorizar ou resultar em vigilância massiva, genérica ou indiscriminada, nem em práticas contrárias à liberdade de expressão e à privacidade (art. 34, § 1º); o art. 37, parágrafo único, dirigido ao Executivo, acrescenta o verbo “impor”.

Quem pode o quê: a divisão de competências normativas

O ECA Digital reparte competências de forma diferente da LGPD. A lei não nomeou a autoridade administrativa, dividiu as sanções entre a autoridade e o Judiciário e atribuiu parte da governança a outros ministérios.

Quem pode legislar

A base material é o art. 227 da Constituição — dever da família, da sociedade e do Estado de assegurar a crianças e adolescentes, com absoluta prioridade, um conjunto de direitos e de colocá-los a salvo de negligência, exploração e violência.

A competência legislativa é mista, e vale distinguir:

• proteção à infância e à juventude é competência concorrente da União, dos Estados e do Distrito Federal (CF, art. 24, XV), cabendo à União as normas gerais (CF, art. 24, § 1º) — foi nessa chave que se editou o próprio ECA;
• já o objeto que o ECA Digital regula — produtos e serviços de tecnologia da informação e tratamento de dados pessoais — recai em competência privativa da União (CF, art. 22, IV e XXX).

Daí a lei ser federal e a autoridade fiscalizar seu cumprimento “em todo o território nacional” (art. 34), sem que isso esvazie os órgãos locais do sistema de garantia de direitos: conselhos tutelares e Ministério Público, por exemplo, seguem com atribuições próprias (Decreto nº 12.880/2026, art. 1º, parágrafo único).

O que só a lei pode fazer (reserva legal)

Pela regra do art. 5º, II, da Constituição, os deveres impostos a fornecedores e as penalidades correspondentes precisam vir de lei. Estão nesse núcleo:

• os deveres e vedações substantivos — prevenção e design (arts. 5º a 8º), aferição de idade (arts. 9º a 15), supervisão parental (arts. 16 a 18), publicidade (arts. 22 e 23), redes sociais (arts. 24 a 26) e remoção de conteúdo (arts. 27 a 30);
• os tipos de sanção e seus limites — advertência, multa de até 10% do faturamento do grupo econômico no Brasil (ou de R$ 10 a R$ 1.000 por usuário cadastrado, na ausência de faturamento), limitada a R$ 50 milhões por infração, suspensão e proibição (art. 35);
• a repartição da competência sancionadora entre autoridade administrativa e Judiciário (art. 35, § 5º);
• a exigência de que a autoridade seja entidade criada por lei (art. 2º, X).

Três episódios do histórico da lei mostram essas fronteiras funcionando na prática:

• A competência da Anatel. O § 7º do art. 35 do projeto atribuía à agência o encaminhamento das ordens de bloqueio. Foi vetado por vício de iniciativa: definir atribuições de órgão da administração federal é iniciativa privativa do Presidente (CF, art. 61, § 1º, II, “e”); a organização administrativa pode ser feita por decreto, nos termos do art. 84, VI, “a”. Poucos dias depois, o mesmo conteúdo foi restabelecido pelo Decreto nº 12.622/2025 — que ainda acrescentou o CGI.br para o domínio “.br”. Não era o conteúdo que estava errado; era o veículo.
• A destinação das multas. O art. 36 do projeto, que vinculava a receita das multas ao FNCA, foi vetado por incompatibilidade com a LDO de 2025. A Medida Provisória nº 1.318/2025 tentou recompô-la, mas perdeu a eficácia em 25/2/2026 por não ter sido convertida em lei no prazo do art. 62, § 3º, da Constituição. Resultado: hoje não há destinação específica — contraste com a LGPD, cujo art. 52, § 5º manda o produto das multas ao Fundo de Defesa de Direitos Difusos.
• A vigência. O veto à vacatio legis e sua recomposição por medida provisória só se estabilizaram quando a MP nº 1.317/2025 virou a Lei nº 15.352/2026, que deu a redação atual ao art. 41-A e revogou a MP nº 1.319/2025. Nenhum decreto poderia ter feito isso.

A autoridade que a lei não nomeou

O art. 2º, X define a autoridade administrativa como entidade pública criada por lei, com poderes de fiscalização e regulamentação e processo decisório sujeito ao Capítulo I da Lei nº 13.848/2019.

A lei definiu o perfil da autoridade, mas não a identificou. O Decreto nº 12.622/2025 designou a ANPD, que já existia por lei. O decreto não poderia criar a autarquia, pois isso exige lei específica (CF, art. 37, XIX).

A Lei nº 15.352/2026 transformou a antiga Autoridade em Agência Nacional de Proteção de Dados e a incluiu na Lei nº 13.848/2019. O Decreto nº 12.881/2026 aprovou a nova estrutura regimental; desde 8 de abril de 2026, a Agência exerce plenamente suas atribuições.

A Resolução CD/ANPD nº 33/2026 distribui cargos e funções nessa estrutura. Seu Anexo II situa a Coordenação de Proteção à Criança e Adolescente no Ambiente Digital na Superintendência de Fiscalização (ver quadro).

Ao aplicar o ECA Digital, a ANPD atua com base no art. 34, e não no art. 55-J da LGPD. A Agência exerce três mandatos — LGPD, ECA Digital e, desde 2026, deveres dos provedores no Marco Civil — com bases legais e sanções próprias. O rito deliberativo comum segue o regimento interno.

O que a ANPD pode fazer, na letra do regulamento

O Decreto nº 12.881/2026 (Anexo I, art. 2º, incisos XXV a XXXVI) é hoje a lista mais concreta das competências da Agência sob o ECA Digital, e vale como mapa de leitura:

• zelar pela aplicação da Lei, editar normas complementares e fiscalizar seu cumprimento em todo o território nacional (XXV);
• estabelecer os processos e procedimentos administrativos para apurar infrações e aplicar advertência e multa (XXVI) — ponto decisivo, ver “Rito das sanções”, abaixo;
• atualizar anualmente os valores das multas pelo IPCA (XXVII);
• emitir recomendações e orientações sobre práticas relevantes (XXVIII);
• fixar diretrizes e padrões mínimos de supervisão parental (XXIX) e apreciar mecanismos submetidos voluntariamente pelos fornecedores (XXXIV);
• avaliar o grau de efetividade e o progresso dos mecanismos de verificação de idade das redes sociais (XXX);
• definir critérios e requisitos para o acesso de pesquisadores aos dados (XXXI);
• normatizar o processo de suspensão de acesso a redes sociais e a apelação do responsável legal (XXXII);
• requisitar relatórios de impacto, de monitoramento e de avaliação da proteção de dados (XXXIII);
• atuar como reguladora e promotora de soluções técnicas de verificação de idade, inclusive definindo requisitos mínimos de confiabilidade, eficácia, transparência, segurança e interoperabilidade (XXXV);
• definir os critérios de aferição do grau de intervenção e de aplicação proporcional das obrigações do art. 39, § 3º (XXXVI).

O mesmo Anexo repete, em seus §§ 9º e 10, os dois limites da Lei: nada de vigilância massiva e observância de assimetrias regulatórias com abordagem responsiva.

Duas trilhas de regulamentação: decreto e normas da ANPD

O ECA Digital abriu duas vias regulamentares distintas, e confundi-las é fonte comum de erro:

1. Decreto do Poder Executivo — o art. 37 determina que “o Poder Executivo regulamentará, no que couber, o disposto nesta Lei”. É a via do Decreto nº 12.880/2026, editado com fundamento no art. 84, IV e no art. 84, VI, “a” da Constituição, e tendo em vista o art. 227 da Constituição, dispositivos do ECA (inclusive o art. 149), o art. 37 do CDC, os arts. 15 a 17 da Lei nº 14.852/2024 e o art. 37 da própria Lei.
2. Normas complementares da autoridade — o art. 34 autoriza a ANPD a “editar normas complementares para regulamentar os seus dispositivos”. É a via das resoluções e dos guias, com os atos publicados e os temas previstos separados em “Regulamentos e atos aplicáveis”, abaixo.

As duas vias se cruzam quando o decreto delega à ANPD pontos atribuídos genericamente ao Executivo. Exemplo: os requisitos de transparência, segurança e interoperabilidade do art. 12, § 3º, remetidos à Agência pelo art. 24, § 2º, do Decreto.

Lei e decreto remetem à ANPD temas como segurança por padrão, IA generativa, aferição de idade, supervisão parental, avaliação de mecanismos, certificação de soluções, habilitação de entidades notificantes e acesso de pesquisadores aos dados.

Nas duas trilhas incidem os mesmos dois limites expressos, escritos em termos quase idênticos:

• vedação à vigilância massiva — a regulamentação não pode, “em nenhuma hipótese”, autorizar ou resultar em mecanismos de vigilância massiva, genérica ou indiscriminada, nem em práticas contrárias à liberdade de expressão, à privacidade, à proteção integral e ao tratamento diferenciado dos dados de crianças e adolescentes (art. 34, § 1º, dirigido à autoridade; art. 37, parágrafo único, dirigido ao Executivo, que acrescenta o verbo “impor”). É raro uma lei brasileira endereçar proibição tão direta a quem vai regulamentá-la;
• assimetria regulatória e abordagem responsiva — tratamento diferenciado e proporcional conforme natureza, risco e modelo de negócio (art. 34, § 2º), reforçado pela modulação do art. 39 e pela definição de etapas de implementação (dec. art. 49).

O que só o Judiciário pode fazer

No ECA Digital, a própria lei divide a competência sancionadora (art. 35, § 5º): advertência e multa cabem à ANPD; suspensão temporária e proibição de atividades, ao Judiciário. Na LGPD, as sanções administrativas ficam com a ANPD (art. 52).

Suspensão e proibição podem exigir ordens de bloqueio a prestadoras de conexão, pontos de troca de tráfego, provedores de DNS e outros agentes (art. 35, § 6º). Por atingir comunicações de terceiros, a lei reservou essas medidas ao Judiciário. Anatel e CGI.br participam da execução, conforme o Decreto nº 12.622/2025.

Também exige decisão judicial a autorização do art. 149 do ECA para conteúdo monetizado ou impulsionado que explore habitualmente a imagem ou a rotina de criança ou adolescente (Decreto nº 12.880/2026, art. 34). O MJSP atua em articulação com CNJ e CNMP; o Executivo não substitui os atos próprios do Judiciário e do Ministério Público.

Os outros órgãos

Ao contrário da LGPD, aqui a ANPD divide a competência com vários órgãos. A repartição, fixada sobretudo pelo Decreto nº 12.880/2026, é:

• MJSP — classificação indicativa (dec. arts. 12 e 13), estrutura e funcionamento do Centro Nacional de Triagem de Notificações e normas sobre os alvarás de atividade artística;
• Polícia Federal — recebimento centralizado, triagem e distribuição dos relatórios de violações graves (dec. arts. 36 e 37);
• MGI — soluções tecnológicas públicas de verificação de idade e de vinculação a responsáveis legais (dec. arts. 20 e 28);
• MDHC — coordenação da Política Nacional e do comitê intersetorial (dec. arts. 7º e 8º);
• Anatel e CGI.br — execução das ordens judiciais de bloqueio (Decreto nº 12.622/2025, art. 3º).

Essa divisão de trabalho está desenvolvida em “Política Nacional e arranjo institucional”, mais abaixo.

Deveres gerais de prevenção e design (arts. 5º a 8º)

Prevenção e mitigação de riscos (art. 6º)

Medidas razoáveis desde a concepção e ao longo da operação para prevenir e mitigar riscos de acesso, exposição, recomendação ou facilitação de contato com:

• I — exploração e abuso sexual;
• II — violência física, intimidação sistemática virtual (cyberbullying) e assédio;
• III — indução, incitação ou auxílio a comportamentos danosos à saúde física ou mental (violência, substâncias que causem dependência, autodiagnóstico e automedicação, automutilação e suicídio);
• IV — promoção e comercialização de jogos de azar, apostas de quota fixa, loterias, tabaco, bebidas alcoólicas, narcóticos e produtos de comercialização proibida;
• V — práticas publicitárias predatórias, injustas ou enganosas e outras que causem danos financeiros; e
• VI — conteúdo pornográfico.

Dever de prevenção

O art. 6º exige examinar continuamente como as funcionalidades do serviço criam ou ampliam riscos e adotar medidas desde o desenho até a operação. A análise cobre acesso, exposição, recomendação e facilitação de contato, inclusive em cadastro, busca, reprodução automática, notificações, mensagens, jogos, publicidade, monetização e agentes conversacionais.

Prevenção busca evitar o dano; mitigação reduz a probabilidade, o alcance, a duração ou a gravidade do risco restante. O art. 8º traduz essa lógica em gerenciamento de riscos. As medidas variam conforme risco, características do produto, capacidade de intervenção, evolução tecnológica e padrões técnicos (art. 5º, § 3º; art. 39, §§ 2º e 3º).

O dever se aproxima do dever de cuidado do Marco Civil, mas é mais amplo. O ECA Digital protege crianças e adolescentes desde a concepção do produto e abrange conteúdo nocivo, contato, uso compulsivo e exploração comercial. O Marco Civil concentra-se em provedores que intermedeiam conteúdo de terceiros e na circulação massiva das categorias de crimes graves do art. 16-B do Decreto nº 8.771/2016. Os dois regimes podem incidir sobre o mesmo serviço; o § 5º remete expressamente ao ECA Digital nos crimes graves contra crianças e adolescentes.

Os serviços e as medidas abaixo são fictícios e ilustram como a análise parte da funcionalidade:

A tabela é ilustrativa. A conformidade exige relacionar cada escolha de design ao risco correspondente, testar a efetividade da medida, acompanhar indicadores de alcance e reincidência e atualizar a mitigação quando as funcionalidades ou os padrões de uso mudarem.

O dever do fornecedor não exclui responsabilidades de pais, responsáveis, beneficiários financeiros da produção ou distribuição de imagens e autoridades (art. 6º, § 1º). A Lei também prevê políticas contra intimidação virtual, apoio às vítimas e educação (§ 2º).

Proteção por padrão (art. 7º)

Configuração, por padrão e desde a concepção, no modelo mais protetivo disponível de privacidade e proteção de dados. Informações claras e acessíveis são obrigatórias para que criança, adolescente e responsáveis façam escolhas informadas quanto à adoção de configurações menos protetivas. Aplicam-se os princípios do art. 6º da LGPD.

Obrigações operacionais (art. 8º)

• I — gerenciamento de riscos de recursos, funcionalidades e sistemas quanto a segurança e saúde;
• II — avaliação do conteúdo por faixa etária, compatível com a classificação indicativa;
• III — sistemas e processos para impedir o encontro de conteúdos ilegais, pornográficos e manifestamente inadequados;
• IV — configurações que evitem o uso compulsivo; e
• V — informação extensiva sobre a faixa etária indicada no momento do acesso.

Uso excessivo, problemático ou compulsivo (Decreto nº 12.880/2026, arts. 9º a 11)

Obrigação de implementar mecanismos que evitem esse uso, com a ANPD regulamentando os requisitos mínimos de segurança por padrão e coibindo práticas manipulativas.

Obrigações para serviços de IA generativa e agentes conversacionais (art. 11 do Decreto nº 12.880/2026)

• transparência quanto ao caráter sintético e automatizado da interação;
• prevenção de manipulação comportamental;
• avaliação do risco algorítmico à segurança e à saúde; e
• salvaguardas ao desenvolvimento físico, mental e psicossocial.

A ANPD regulamentará e fiscalizará o dispositivo. Vale ler esse artigo ao lado do art. 16, § 4º, que equipara a conteúdo pornográfico a interação com sistemas que produzam ou troquem, de forma automatizada, material sexualmente explícito — as duas normas juntas formam o regime aplicável a companheiros virtuais e geradores de imagem.

Vedação de acesso a conteúdos e serviços impróprios (art. 9º; Decreto nº 12.880/2026, arts. 14 a 23)

Conteúdo, produto ou serviço impróprio, inadequado ou proibido para menores de 18 anos exige medidas eficazes de bloqueio e verificação confiável de idade a cada acesso, sem autodeclaração. Provedores de conteúdo pornográfico também devem impedir contas de crianças e adolescentes (art. 9º, § 3º).

O Decreto separa dois regimes com consequências distintas:

• Impróprio ou inadequado (art. 14): a disponibilização fica condicionada, cumulativamente, à observância da classificação indicativa, à adoção de medidas de segurança por padrão desde a concepção e à oferta de ferramentas efetivas de supervisão parental com bloqueio configurável. O parágrafo único autoriza a ANPD a determinar medidas de proteção adicionais quando identificar riscos relevantes — é um poder de intervenção caso a caso, sem necessidade de nova norma.
• Proibido (art. 15): exige mecanismos eficazes de verificação de idade e impedimento efetivo do acesso, da fruição ou do consumo.

O Decreto considera proibidos (art. 15, § 1º): armas, munições e explosivos; álcool; produtos fumígenos; produtos que causem dependência; fogos; jogos de azar, apostas e loterias; loot boxes; pornografia; serviços de acompanhantes; aplicações de encontros sexuais; e outros itens legalmente vedados. Nos casos dos incisos VI a X, o fornecedor também deve impedir novas contas de crianças e adolescentes e remover as já existentes (§ 2º).

Outros pontos relevantes do Decreto nº 12.880/2026:

• Conteúdo pornográfico (art. 16) é definido pela finalidade, funcionalidade ou modelo de negócio; ficam excluídos contextos educativo, artístico, informativo ou jornalístico, educação em saúde, livros e áudio. Quem disponibiliza esse conteúdo, próprio ou de terceiros, deve adotar verificação própria que impeça o acesso inclusive a prévias, imagens, títulos e legendas (§ 1º). Equipara-se a conteúdo pornográfico a interação com sistemas que permitam diálogos, produção ou troca de vídeos e imagens de teor sexualmente explícito de forma artificial ou automatizada (§ 4º).
• Exibição por padrão (art. 17): ocultar, desfocar ou não exibir conteúdo pornográfico a usuário não cadastrado, não verificado ou identificado como criança ou adolescente, ou exigir verificação para desbloqueio.
• Comércio eletrônico (art. 18): bloqueio por padrão no cadastro ou impedimento na aquisição, para os produtos dos incisos I a VII.
• Redes sociais (art. 19): criar versões sem o conteúdo proibido — hipótese em que fica dispensada a verificação — ou adotar verificação efetiva.
• Enquadramento (arts. 16, § 3º, e 19, § 2º): a ANPD pode, a qualquer tempo, determinar enquadramento diverso do autoatribuído pelo fornecedor — inclusive para decidir se um serviço é ou não “rede social”.
• Lojas e sistemas operacionais (art. 21) devem impedir a disponibilização de aplicações de loterias e apostas não autorizadas ou sem solução de verificação de idade.
• Classificação indicativa (arts. 12 e 13): competência do MJSP, agora considerando riscos de conteúdo, privacidade, segurança e saúde mental, com sinalização de interação entre usuários, loot boxes, estímulo ao uso problemático, microtransações e práticas manipulativas.

Mecanismos de aferição de idade (arts. 10 a 15; Decreto nº 12.880/2026, arts. 24 a 30)

O art. 11 autoriza o poder público a atuar como regulador, certificador ou promotor de soluções técnicas, assegurada a participação social por consulta pública.

Requisitos da aferição de idade (Decreto nº 12.880/2026, art. 24):

• I — a proporcionalidade entre a solução adotada e o nível de risco associado ao serviço;
• II — a acurácia, a robustez e a confiabilidade;
• III — a vedação de uso, para finalidade diversa, de dados coletados para fins de aferição de idade (art. 13 da Lei);
• IV — a minimização de dados, entendida como a restrição do tratamento ao mínimo necessário para fins de aferição de idade;
• V — a proteção da privacidade dos usuários;
• VI — a vedação ao compartilhamento contínuo, automatizado e irrestrito de dados pessoais;
• VII — a segurança dos dados coletados;
• VIII — a vedação à rastreabilidade da identidade e do histórico de acessos, solicitações e verificações realizadas pelos cidadãos;
• IX — a interoperabilidade entre sistemas e soluções públicas e privadas;
• X — a inclusão e a não discriminação; e
• XI — a transparência e a auditabilidade.

O inciso III também proíbe usar esses dados para perfis comportamentais (§ 1º). Se houver coleta documental, só podem permanecer a idade ou a confirmação da faixa etária; imagem ou cópia do documento deve ser eliminada de forma imediata e irreversível (§ 3º).

O decreto combina minimização, limitação de finalidade, não rastreabilidade e eliminação do documento. Esse desenho se aproxima da double anonymity: o verificador não precisa saber o conteúdo acessado, nem o serviço precisa conhecer a identidade do usuário.

Obrigações das lojas de aplicações e dos sistemas operacionais (art. 12; Decreto nº 12.880/2026, art. 25):

• medidas proporcionais, auditáveis e tecnicamente seguras de aferição (inciso I);
• oferta de supervisão parental configurável pelos responsáveis (inciso II);
• fornecimento de sinal de idade por API segura, exclusivamente para as finalidades da Lei, observada a minimização de dados e vedado o compartilhamento contínuo, automatizado e irrestrito (inciso III e § 1º);
• esse fornecimento é gratuito e limitado ao estritamente necessário, vedado o envio de data de nascimento exata, identidade civil ou dados de perfilamento (Decreto, art. 25, caput e § 1º);
• solicitar a declaração de idade na criação da conta e, além dela, aferir a idade por método confiável, preferencialmente com credenciais verificáveis (Decreto, art. 25, § 2º, I e II);
• permitir contestação e retificação da classificação etária mediante evidência adicional, com decisão fundamentada (Decreto, art. 25, § 2º, III);
• adotar medidas contra múltiplas contas e artifícios de burla (Decreto, art. 25, § 2º, IV); e
• solicitar autorização dos responsáveis para download e instalação e informá-los da classificação indicativa antes da autorização, vedada a presunção de autorização pelo silêncio (art. 12, § 2º; Decreto, art. 25, § 3º).

Do lado do fornecedor (arts. 14 e 15; Decreto nº 12.880/2026, arts. 26 e 27):

• adotar medidas técnicas e organizacionais para garantir o recebimento das informações de idade de que trata o art. 12 (art. 14) e, recebidos os sinais, adequar a experiência do produto ou serviço (Decreto, art. 26, caput e § 1º);
• independentemente das medidas adotadas pelos sistemas operacionais e pelas lojas de aplicações, implementar mecanismos próprios para impedir o acesso indevido a conteúdos inadequados à faixa etária (art. 14, parágrafo único);
• fornecedores acessíveis por navegador devem aferir a idade, podendo utilizar sinais disponibilizados pelo sistema operacional, pela loja ou por outro fornecedor (Decreto, art. 26, § 2º);
• havendo divergência entre a aferição própria e o sinal recebido, adotar as medidas correspondentes à alternativa mais protetiva (Decreto, art. 25, § 4º);
• o recebimento do sinal não isenta a responsabilidade do fornecedor pela efetividade da adequação etária e das medidas de proteção adotadas (Decreto, art. 26, § 3º); e
• possibilitar ao usuário meio adequado para contestar a idade ou faixa etária aferida (Decreto, art. 27).

Papel do Estado: o MGI pode oferecer solução pública e gratuita de verificação de idade e de vínculo com responsáveis (Decreto nº 12.880/2026, arts. 20 e 28). A ANPD disciplinará a certificação (art. 30) e pode exigir medidas contra mecanismos de burla (art. 29), respeitados os limites do art. 34, §§ 1º e 2º, e o estado da técnica.

Dupla camada de verificação

O desenho normativo não desloca a aferição para um único ponto da cadeia: ela é exigida cumulativamente na camada do dispositivo (lojas de aplicações e sistemas operacionais, art. 12) e na camada do serviço (fornecedor, art. 14, parágrafo único).

Se as duas camadas divergirem, prevalece a opção mais protetiva. O sinal recebido não exclui responsabilidade. O art. 15 reforça que os demais agentes da cadeia continuam responsáveis e devem garantir solidariamente a proteção integral.

Comparação internacional

As App Store Accountability Acts de Utah, Texas e Louisiana também dividem deveres entre loja e desenvolvedor. A diferença é que preveem porto seguro (safe harbor) para o desenvolvedor que, de boa-fé, confia nos dados de idade e consentimento fornecidos pela loja.

No Texas, a vigência prevista para 1º de janeiro de 2026 foi suspensa por liminar federal. A lei passou a valer em 4 de junho de 2026, quando o Quinto Circuito suspendeu a liminar; em 6 de julho, a Suprema Corte negou pedidos de urgência contra essa suspensão. O mérito seguia pendente. Nos EUA, o litígio discute sobretudo a Primeira Emenda; no Brasil, a lei explicita a prioridade absoluta do art. 227 e veda vigilância massiva (art. 34, § 1º).

A Digital Age Assurance Act da Califórnia (AB 1043) concentra o dever de emissão do sinal etário nos provedores de sistema operacional.

O Reino Unido (Online Safety Act 2023) e a Austrália (Social Media Minimum Age) colocam a aferição principalmente na camada do serviço, sem dever equivalente para lojas e sistemas operacionais.

A combinação brasileira — dever em ambas as camadas, vedação expressa de exoneração pelo sinal recebido e solidariedade — não encontra correspondência direta nesses regimes.

O mapa técnico da ANPD: o Radar Tecnológico nº 5

Lei e decreto definem os resultados esperados da aferição, não a tecnologia. O Radar Tecnológico nº 5 (ANPD, outubro de 2025) mapeia métodos e riscos. É documento não normativo e não firma posição institucional; os atos aplicáveis estão em “Normas”.

Aferição é o guarda-chuva; verificação, estimativa e inferência são os métodos

O Radar usa aferição de idade como termo guarda-chuva, equivalente a age assurance da ISO/IEC 27566-1, publicada em dezembro de 2025. Sob esse conceito, organiza três métodos:

• Verificação — determina a idade com alto grau de acurácia, por prova documental ou por consulta a base oficial. Subdivide-se em verificação por documento (envio de imagem ou vídeo, leitura por OCR, comparação da selfie com a foto do documento); por cartão de crédito; por ato de terceiro (consentimento parental, conta familiar, reconhecimento social por usuários já verificados); e como serviço (verification as a service — VaaS), em que um terceiro confiável confronta os dados com bases oficiais e devolve um atestado, eventualmente na forma de token.
• Estimativa — calcula a idade provável, sem documento. Por biometria (face, voz), por análise de comportamento (histórico de navegação, cadência de digitação, tempo de resposta) ou por teste de capacidade (perguntas-desafio que situam o usuário numa faixa etária).
• Inferência — conclusão indireta a partir de informações já verificadas ou de sinais contextuais, sem pedir documento nem coletar biometria.

A autodeclaração pode acompanhar outro método, mas não basta sozinha. O Radar segue referências como Ofcom e ICO e a fiscalização brasileira descrita adiante. O art. 9º, § 1º tornou essa insuficiência uma vedação legal.

Como o mecanismo funciona por dentro

Qualquer que seja o método, o Radar descreve o funcionamento como uma sequência de cinco etapas — útil porque é nela que se localizam os pontos de risco que os requisitos do art. 24 do Decreto tentam endereçar:

1. Coleta — fotografia, vídeo, áudio, documento oficial ou sinais indiretos.
2. Pré-processamento — leitura por OCR, normalização de imagem ou áudio, extração das características relevantes.
3. Processamento principal — comparação com base oficial, estimativa algorítmica ou classificação em faixa (“menor de 13”, “18+”). É aqui que os desenhos mais recentes deixam de revelar identidade e passam a gerar apenas uma credencial de atributo etário.
4. Controles de integridade — prova de vivacidade (liveness), detecção de apresentações falsas como fotos estáticas e deepfakes, limitação de tentativas, revisão humana quando necessária.
5. Emissão da evidência — a prova final de que o critério etário foi cumprido, idealmente reduzida ao atributo essencial, com prazo de validade e proteção criptográfica.

Cinco gerações, da autodeclaração ao teste em ecossistema

O documento organiza a evolução das soluções em cinco gerações. A classificação é do próprio Radar, que ressalva a sobreposição entre elas: as gerações convivem, e a sequência serve para ver por que o desenho brasileiro chegou onde chegou:

Três peças da quarta geração operam em planos diferentes:

• O token de idade é a credencial: um atestado assinado por entidade de confiança que carrega apenas “maior de 18” ou “entre 16 e 18”, sem nome, CPF ou data de nascimento. Emitido após uma validação inicial robusta, guardado pelo usuário (carteira digital ou armazenamento local) e apresentado ao serviço, que o valida pela chave pública do emissor.
• O modelo duplo-cego (double-blind) é o protocolo que rege a circulação desse token: nem o emissor sabe em que serviço a credencial será apresentada, nem o serviço sabe quem está por trás dela. É essa separação que impede o rastreamento cruzado.
• As provas de conhecimento zero (zero-knowledge proofs) são a técnica criptográfica que permite demonstrar matematicamente o atendimento ao critério etário sem revelar o dado subjacente — a plataforma recebe “sim” ou “não”, nunca a data de nascimento. Podem ser combinadas com o duplo-cego: uma é método criptográfico, o outro é arranjo de confiança.

Credencial mínima, não vinculação e não rastreabilidade ajudam a concretizar os incisos VI e VIII do art. 24 do Decreto e o “sinal de idade” do art. 12, III. O Radar cita a EU Age Verification Solution, piloto europeu lançado em julho de 2025, e o possível uso do gov.br como emissor de atributo derivado, compatível com as soluções públicas previstas nos arts. 20 e 28.

O que cada método custa em dados pessoais

Verificar idade exige tratar dados pessoais, às vezes sensíveis. Nenhum método sai ileso:

Nenhum método é simultaneamente infalível e sem impacto sobre direitos. Em geral, maior acurácia exige mais dados. Se a verificação revelar identidade, também pode ligar a pessoa ao conteúdo acessado, afetar quem depende de anonimato e inibir usos legítimos. O art. 34, § 1º responde a esse risco com a vedação à vigilância massiva.

Os princípios em que os reguladores convergem

O Radar compara autoridades e organizações de várias jurisdições e identifica oito pontos recorrentes: privacidade e proteção de dados desde a concepção e por padrão; proporcionalidade; minimização e limitação da finalidade; transparência e responsabilização; gestão de riscos e segurança; inclusão e acessibilidade; direitos humanos, não discriminação e equidade; e interoperabilidade e robustez técnica.

Comparado a esse rol, o art. 24 do Decreto nº 12.880/2026 positiva, quase item a item, um consenso regulatório internacional já formado quando a norma brasileira foi escrita — com um acréscimo que os documentos estrangeiros tratam de passagem, a vedação à rastreabilidade do inciso VIII.

Dois marcos de 2025 ajudam a situar o Brasil. O ensaio australiano Age Assurance Technology Trial testou 48 fornecedores e concluiu pela viabilidade técnica da aferição; a Electronic Frontiers Australia contestou publicamente a avaliação de privacidade. O guia australiano também adotou validação sucessiva e proibiu exigir exclusivamente documento estatal ou identidade digital nacional. Lei e decreto brasileiros não trazem proibição equivalente.

O caso TikTok: o que a fiscalização já disse sobre autodeclaração

O Radar resume o processo público da ANPD sobre o TikTok, iniciado em 2021 por dúvidas sobre o “feed sem cadastro” e o tratamento de dados. A Nota Técnica nº 6/2023/CGF/ANPD considerou frágil a verificação e concluiu que o age gate por autodeclaração, isoladamente, não é suficiente.

Na Nota Técnica nº 50/2024/FIS/CGF/ANPD, a Agência apontou indícios suficientes para processo sancionador, determinou a suspensão do “feed sem cadastro” enquanto faltassem mecanismos adequados e exigiu plano de conformidade, nos termos do art. 36 do Regulamento de Fiscalização. O caso mostra que a ANPD já tratava a autodeclaração isolada como insuficiente antes do ECA Digital.

Supervisão parental (arts. 16 a 18)

• Transparência prévia: informar riscos e medidas de segurança em local acessível, sem exigir que o produto já tenha sido adquirido, conforme o art. 14 da LGPD (art. 16). Se o tratamento de dados for além do estritamente necessário, o controlador mapeia riscos e elabora relatório de impacto, a ser compartilhado sob requisição da ANPD (parágrafo único).
• Ferramentas exigidas (art. 17): acessíveis e fáceis de usar, informadas em local de fácil acesso, com aviso claro e visível quando a supervisão estiver ativa e quais controles foram aplicados, e que permitam limitar e monitorar o tempo de uso.
• Padrão no nível mais protetivo (art. 17, § 4º): por padrão, a conta já vem com o essencial ativado — restrição de comunicação por usuários não autorizados, limitação de recursos que prolongam artificialmente o uso (reprodução automática, recompensas por tempo de uso, notificações), ferramentas de acompanhamento e de limitação do tempo de uso, controle sobre recomendações personalizadas com opção de desativação, restrição de geolocalização com aviso prévio, educação digital midiática, revisão regular das ferramentas de inteligência artificial com participação de especialistas e possibilidade de desabilitar funcionalidades não essenciais, e acesso a serviços de suporte emocional e bem-estar.
• Poderes dos responsáveis (art. 18): visualizar, configurar e gerenciar conta e privacidade; restringir compras e transações financeiras; identificar os perfis de adultos com os quais a criança ou o adolescente se comunica; acessar métricas consolidadas de tempo de uso; ativar e desativar salvaguardas — tudo com informações e controles em língua portuguesa.
• As informações devem ser apropriadas às diferentes idades e capacidades e não podem incentivar a desativação ou o enfraquecimento das salvaguardas (art. 18, § 1º).
• A ANPD regulamentará padrões mínimos (art. 17, § 1º), mas submeter mecanismos à sua avaliação é opcional, não pré-requisito para operar (§ 3º).

Produtos de monitoramento infantil (art. 19)

Devem garantir a inviolabilidade das imagens, sons e informações captadas, armazenadas e transmitidas aos responsáveis; informar crianças e adolescentes, em linguagem apropriada, sobre a realização do monitoramento (§ 1º); e orientar-se pelo melhor interesse e pelo pleno desenvolvimento de suas capacidades (§ 2º).

Jogos eletrônicos (arts. 20 e 21)

• Vedação das caixas de recompensa em jogos direcionados a crianças e adolescentes ou de acesso provável, conforme a classificação indicativa. O Decreto nº 12.880/2026 (art. 23) admite duas saídas: oferecer versões sem loot boxes ou restringir totalmente a funcionalidade por padrão — casos em que a verificação de idade é dispensada; caso contrário, verificação obrigatória.
• Jogos com interação entre usuários devem observar integralmente as salvaguardas do art. 16 da Lei nº 14.852/2024 (moderação, proteção contra contatos prejudiciais, atuação parental) e limitar, por padrão, as funcionalidades de interação, assegurando o consentimento dos responsáveis (art. 21, parágrafo único).
• Competência nova: o art. 23, § 2º, do Decreto atribui à ANPD a fiscalização dos arts. 16 e 17 da Lei nº 14.852/2024 — a Agência passa a fiscalizar dispositivos do marco legal dos jogos eletrônicos, além do ECA Digital.

Publicidade em meio digital (arts. 22 e 23; Decreto nº 12.880/2026, arts. 31 a 35)

• Vedado o perfilamento para direcionamento de publicidade comercial a crianças e adolescentes, bem como análise emocional, realidade aumentada, estendida e virtual para esse fim (art. 22). O art. 33 do Decreto converte isso em dever ativo: quem oferta publicidade ou sua distribuição deve impedir o uso dessas técnicas.
• Vedados monetização e impulsionamento de conteúdos que retratem crianças e adolescentes de forma erotizada, sexualmente sugestiva ou em contexto sexual adulto (art. 23) e, pelo art. 35 do Decreto, também a veiculação, monetização ou impulsionamento de conteúdos que os exponham a situações violadoras, vexatórias ou degradantes.
• É abusiva, nos termos do art. 37, § 2º, do CDC, toda publicidade que se aproveite da deficiência de julgamento e experiência da criança (Decreto nº 12.880/2026, art. 31).
• A ANPD regulamentará formas e requisitos mínimos para prevenir exposição de crianças e adolescentes à promoção de apostas, tabaco, álcool e demais produtos proibidos (Decreto nº 12.880/2026, art. 32).
• Atividade artística de crianças e adolescentes (Decreto nº 12.880/2026, art. 34): conteúdo monetizado ou impulsionado que explore de forma habitual a imagem ou a rotina de criança ou adolescente exige autorização judicial; verificada a ausência, o fornecedor deve retirar o conteúdo imediatamente. O § 2º condiciona a obrigação aos conteúdos cuja monetização ou impulsionamento “se inicie no prazo de noventa dias após a data de publicação” do Decreto — redação ambígua, lida na prática como um período de adaptação encerrado em meados de junho de 2026, a partir do qual a exigência incide sobre a monetização nova.

Redes sociais (arts. 24 a 26)

• Vinculação obrigatória: contas de crianças e adolescentes de até 16 anos devem estar vinculadas ao usuário ou à conta de um responsável legal (art. 24) — sobre o alcance exato do corte e do sujeito obrigado, ver “Idade no meio digital”, acima.
• Serviços impróprios devem informar claramente a inadequação, monitorar e restringir conteúdos que evidentemente atraiam crianças e adolescentes, e aprimorar continuamente os mecanismos de verificação de idade — cuja efetividade e progresso serão avaliados pela ANPD (art. 24, § 1º e § 2º).
• Diante de fundados indícios de operação por criança ou adolescente, o provedor pode requerer confirmação de identificação, inclusive por métodos complementares, usados exclusivamente para verificação de idade (art. 24, § 3º).
• Constatados indícios de conta operada em desconformidade com os requisitos de idade mínima, o provedor deve suspender o acesso e instaurar procedimento célere e acessível de apelação pelo responsável legal (art. 24, § 4º) — procedimento que caberá à ANPD normatizar (Decreto nº 12.881/2026, Anexo I, art. 2º, XXXII).
• Na ausência de conta de responsável, é vedado reduzir o nível de proteção das configurações de supervisão parental (art. 24, § 5º).
• Regras específicas, concretas e documentadas para o tratamento de dados desse público (art. 25) e vedação de perfis comportamentais para publicidade, inclusive a partir de dados obtidos na verificação de idade e de dados grupais e coletivos (art. 26).

Comparação internacional

O ECA Digital não proíbe o acesso de adolescentes a redes sociais — exige vinculação a responsável legal (art. 24). É um modelo mais brando que o de proibição total adotado por outras jurisdições:

A lei francesa foi aprovada sem o mecanismo próprio de verificação de idade; sua execução depende do regime europeu. Já o Brasil detalhou o mecanismo em lei e decreto. No RGPD, o art. 8.º trata de outra questão: a idade para a própria criança consentir no tratamento de dados, não a idade mínima de acesso a uma conta.

Experiência australiana. A Austrália oferece os primeiros dados de um regime de idade mínima em vigor: plataformas removeram milhões de contas, mas o regulador investigou cinco grandes serviços em março de 2026 e estudo no BMJ registrou uso persistente entre a maioria dos adolescentes pesquisados. Em junho, o governo anunciou reforço dos poderes do regulador e aumento do teto das multas. Esses resultados mostram que proibição e vinculação de contas dependem da qualidade da aferição de idade, tema central também no desenho brasileiro.

Prevenção e combate a violações graves (art. 27; Decreto nº 12.880/2026, arts. 36 a 40)

Fornecedores disponíveis no território nacional devem remover e comunicar conteúdos de aparente exploração, abuso sexual, sequestro e aliciamento às autoridades nacionais e internacionais competentes, retendo os dados associados pelo prazo do art. 15 do Marco Civil (art. 27, § 2º).

• A Polícia Federal é a autoridade competente para recebimento centralizado, processamento, triagem e gerenciamento dos relatórios (Decreto nº 12.880/2026, art. 36).
• Fica autorizada a criação do Centro Nacional de Triagem de Notificações, no âmbito da PF, com competência para receber, validar, triar e distribuir os relatórios às polícias judiciárias e publicar relatórios estatísticos periódicos por fornecedor (art. 37). Até que sua Estrutura Regimental seja aprovada, a PF recebe apoio técnico, administrativo e financeiro do MJSP, por força-tarefa (art. 51).
• Fornecedores que já enviem notificações idênticas a centrais estrangeiras acessíveis às autoridades brasileiras ficam dispensados do envio duplicado, e esses relatórios se equiparam, para todos os fins jurídicos e probatórios, aos apresentados diretamente (art. 37, §§ 2º e 3º).
• Os relatórios têm classificação de sigilo compatível com a sensibilidade das informações (art. 38).
• Hipóteses de comunicação obrigatória (art. 39): exploração, abuso ou aliciamento sexual; sequestro e cárcere privado; e aliciamento, recrutamento ou cooptação para práticas com risco crível, iminente ou em andamento de lesão grave ou morte, incluído o tráfico e atos preparatórios de violência extrema preordenada contra comunidade escolar ou grupos vulnerabilizados.
• Após remoção imediata e confirmação de recebimento, o material deve ser excluído dos servidores, preservados demais dados da conta, informações do usuário e metadados (art. 39, §§ 1º e 2º). O mesmo canal pode ser usado, facultativamente, para outras situações de risco crível à integridade ou à vida (§ 3º).
• Sanção por falha reincidente (art. 40): o descumprimento sujeita às penalidades do art. 35 quando houver falha reincidente — negligência ou insuficiência dos mecanismos de resposta —, não se aplicando a falhas isoladas ou residuais inerentes ao estado da técnica.

Deepfakes sexuais: o levantamento do Radar Tecnológico nº 6

O Radar Tecnológico nº 6 — Deepfakes (ANPD, 2026) dedica um capítulo ao uso dessas mídias contra meninas e mulheres e registra forte incidência em escolas. Como os demais Radares, não firma posição institucional.

Com base em levantamento da SaferNet Brasil, o Radar registra 16 casos em instituições de ensino de 10 unidades federativas entre 2023 e 2025, com 72 vítimas e 57 agressores. Em geral, ferramentas de IA sobrepuseram rostos reais, obtidos em redes sociais, a corpos nus. Os casos envolveram colegas e professoras, bullying, humilhação e circulação em redes sociais, mensageria e fóruns.

O documento também reconstrói o caso Grok, que é o precedente mais recente de atuação da ANPD sobre conteúdo sintético envolvendo crianças e adolescentes:

• 14 de janeiro de 2026 — representação apresentada à ANPD contra o sistema de inteligência artificial Grok, integrado à plataforma X, por permitir a edição automatizada de imagens de terceiros sem verificação de consentimento ou finalidade legítima.
• 20 de janeiro de 2026 — ANPD, Ministério Público Federal e Senacon expedem Recomendação Conjunta à empresa responsável pela plataforma, fundamentada na Constituição, no ECA, na LGPD, no Marco Civil, no Código de Defesa do Consumidor e neste ECA Digital. O documento sustenta que, ao oferecer e estruturar a ferramenta, a empresa não atua como mero intermediário, e cobra: bloqueio da geração de conteúdo sexualizado sem consentimento, remoção do que já circulava, aplicação das próprias políticas internas, canais acessíveis de denúncia e elaboração de relatório de impacto.
• 11 de fevereiro de 2026 — consideradas insuficientes as providências informadas, a ANPD expede medida preventiva (arts. 32, III e 35 do Regulamento de Fiscalização) para impedir que a ferramenta gere conteúdos que representem crianças e adolescentes, ou pessoas identificadas e identificáveis, em contextos sexualizados sem autorização. O caso está documentado na Nota Técnica nº 1/2026/FIS/CGF/ANPD.

O art. 11 do Decreto nº 12.880/2026 exige transparência, prevenção de manipulação, avaliação de risco e salvaguardas. O art. 16, § 4º equipara a pornografia a interação automatizada que produza material sexualmente explícito. No plano penal, o Brasil não tem tipo específico de deepfake: podem incidir o art. 218-C do Código Penal e, quando a vítima é mulher, o art. 147-B. A remoção e comunicação previstas aqui são respostas civis e administrativas, paralelas à persecução penal.

Reporte de violações e retirada de conteúdo (arts. 28 a 30; Decreto nº 12.880/2026, arts. 41 a 46)

O art. 28 exige mecanismos de denúncia acessíveis, gratuitos, efetivos e amplamente divulgados (Decreto nº 12.880/2026, art. 41, parágrafo único). Quando cabível, o fornecedor deve comunicar as autoridades (art. 28, parágrafo único); o Decreto direciona essa comunicação ao Centro Nacional de Triagem (art. 42).

Retirada sem ordem judicial (art. 29): o fornecedor deve remover conteúdo violador após comunicação da vítima ou representante, do Ministério Público, de autoridade policial ou de entidade nacional de defesa desses direitos. A notificação deve identificar tecnicamente o conteúdo e o notificante; denúncia anônima é vedada (§ 2º).

• Conselhos tutelares não notificam diretamente: devem provocar o Ministério Público para que este notifique os fornecedores (Decreto nº 12.880/2026, art. 43, parágrafo único).
• Compete à ANPD habilitar as entidades representativas, exigidos experiência demonstrada, independência em relação aos fornecedores, procedimentos internos de qualidade e imparcialidade e ausência de fins lucrativos; a lista é publicada no sítio da Agência, cabendo desabilitação em caso de desvio de atuação ou envio abusivo de notificações (art. 44). Até a regulamentação, admite-se habilitação provisória de entidades do Conanda ou da Comissão Intersetorial (art. 52).
• Transparência dos notificantes (art. 46): Ministério Público, autoridades policiais e entidades habilitadas devem publicar relatório anual das notificações enviadas, com quantitativo, destinatário, classificação por tipo de conteúdo e medidas adotadas pelo fornecedor. A prestação de contas, aqui, corre nos dois sentidos.
• Devido processo na moderação (art. 30): notificação da retirada; motivo e fundamentação, com indicação se a identificação foi humana ou automatizada; possibilidade e fácil acesso ao recurso; e prazos procedimentais definidos.

Transparência e prestação de contas (art. 31; Decreto nº 12.880/2026, arts. 45 a 48)

Provedores com mais de 1 milhão de usuários registrados nessa faixa etária no Brasil devem publicar relatórios semestrais em português. O conteúdo inclui denúncias, moderação, identificação de contas infantis e ilícitos, proteção de dados, consentimento parental, avaliações de impacto e riscos. O Decreto acrescenta notificações por categoria e o encaminhamento dado a elas (art. 45).

• Avaliação de impacto à segurança e à saúde (Decreto nº 12.880/2026, art. 47): identificação e análise de riscos, avaliação de probabilidade e gravidade, tratamento e mitigação e acompanhamento contínuo da efetividade, com publicidade de versão resumida em linguagem clara. Ato da ANPD poderá definir conteúdo mínimo, periodicidade e condições. Note que é uma avaliação distinta do relatório de impacto à proteção de dados da LGPD, embora os dois se sobreponham em parte.
• Acesso de pesquisadores (art. 31, parágrafo único): acesso gratuito a dados para pesquisa por instituições acadêmicas, científicas, tecnológicas, de inovação ou jornalísticas, vedado uso comercial. A ANPD habilitará essas instituições por edital público (Decreto nº 12.880/2026, art. 48).

Uso abusivo dos instrumentos de denúncia (arts. 32 e 33)

Os provedores devem coibir o uso abusivo de denúncias para censura, perseguição ou outras práticas ilícitas. Devem informar hipóteses e sanções, usar critérios técnicos objetivos, garantir notificação e recurso e manter registros (art. 33, §§ 1º a 3º).

Governança (art. 34)

A autoridade fiscaliza o cumprimento em todo o território nacional e pode editar normas complementares. Dois limites expressos:

• § 1º — a regulamentação não pode, em nenhuma hipótese, autorizar ou resultar em vigilância massiva, genérica ou indiscriminada, nem em práticas contrárias à liberdade de expressão, à privacidade, à proteção integral e ao tratamento diferenciado de dados de crianças e adolescentes.
• § 2º — dever de observar assimetrias regulatórias e adotar abordagem responsiva, com tratamento diferenciado e proporcional conforme natureza, risco e modelo de negócio.

Sanções (art. 35)

A nota sobre fiscalização, processo sancionador e dosimetria da ANPD reúne o rito geral hoje vigente e separa o que já se aplica sob a LGPD do que ainda depende de compatibilização com o ECA Digital.

Sem prejuízo das sanções cíveis, criminais e administrativas, assegurados devido processo legal, ampla defesa e contraditório:

• advertência, com prazo de até 30 dias para medidas corretivas;
• multa simples de até 10% do faturamento do grupo econômico no Brasil no último exercício ou, ausente faturamento, de R$ 10,00 a R$ 1.000,00 por usuário cadastrado, limitada, no total, a R$ 50 milhões por infração e atualizada anualmente pelo IPCA (§ 4º);
• suspensão temporária das atividades; e
• proibição do exercício das atividades.

Circunstâncias de dosimetria (§ 1º): gravidade da infração e extensão do dano individual e coletivo; reincidência; capacidade econômica; e finalidade social do fornecedor e impacto sobre a coletividade quanto ao fluxo de informações.

• Competência dividida (§ 5º): advertência e multa cabem à ANPD; suspensão e proibição, ao Poder Judiciário.
• Execução do bloqueio (§ 6º): ordem dirigida a prestadoras de conexão, gestoras de pontos de troca de tráfego (PTT), provedores de DNS e demais agentes que viabilizam a conexão — com recebimento e distribuição pela Anatel e, para domínios “.br”, pelo CGI.br (Decreto nº 12.622/2025, art. 3º).
• Solidariedade (§ 2º): filial, sucursal, escritório ou estabelecimento no País responde solidariamente pela multa de empresa estrangeira.
• Rito (§ 3º): a lei manda aplicar “as disposições relativas à apuração de infrações administrativas às normas de proteção da criança e do adolescente” do ECA, sem citar artigos; a doutrina identifica o rito dos arts. 194 a 197 do ECA. Ver o passo a passo simplificado em “Rito das sanções”, abaixo.
• Destinação — sem regra em vigor: o art. 36 do PL, que vinculava a receita das multas, foi vetado. O art. 36-A, incluído pela Medida Provisória nº 1.318/2025 para destinar os valores ao FNCA por 5 anos, teve sua vigência encerrada em 25/2/2026 por perda de eficácia — a MP não foi convertida em lei dentro do prazo constitucional (art. 62, § 3º, da CF) nem houve decreto legislativo disciplinando as relações jurídicas dela decorrentes. Atualmente, portanto, a Lei não prevê destinação específica para os valores arrecadados com as multas.

Rito das sanções

O procedimento não foi criado especificamente para o ambiente digital — é o mesmo que o ECA já usa para apurar qualquer infração contra os direitos da criança e do adolescente (arts. 194 a 197), conduzido pela autoridade judiciária. Em termos simples:

1. Abertura — por representação do Ministério Público ou do Conselho Tutelar, ou por auto de infração lavrado por servidor efetivo ou voluntário credenciado (o documento que registra o que aconteceu), assinado por duas testemunhas quando possível. São vias alternativas, não etapas sucessivas.
2. Defesa — o requerido tem 10 dias para se defender, contados da intimação.
3. Sem defesa — o Ministério Público se manifesta em 5 dias, e a autoridade judiciária decide em igual prazo.
4. Com defesa — a autoridade judiciária decide ou, sendo necessário, designa audiência de instrução e julgamento: colhida a prova oral, Ministério Público e defesa se manifestam por até 20 minutos cada (prorrogáveis por mais 10), e a sentença é proferida em seguida.

Rito e competência. O § 3º remete ao rito judicial do ECA, enquanto o § 5º dá advertência e multa à ANPD. O Decreto nº 12.881/2026, Anexo I, art. 2º, XXVI, autoriza a Agência a estabelecer seus processos e procedimentos administrativos. Assim, os arts. 194 a 197 do ECA ficam para as sanções judiciais; advertência e multa seguem processo administrativo da Agência. A atualização desse processo depende de ato publicado.

Exemplo: a rede social fictícia “ConectaJov” demora a remover conteúdo vexatório sobre a rotina de uma criança. Um Conselho Tutelar encaminha o caso ao Ministério Público, que representa ao juízo da infância. A empresa tem 10 dias para se defender; o juiz pode decidir ou marcar audiência. Em paralelo, a mesma conduta pode gerar advertência ou multa da ANPD em processo administrativo próprio.

As três leis, lado a lado

Como a ANPD aplica hoje as três normas comentadas nestas notas, vale ver de que régua ela dispõe em cada uma:

Três diferenças importam. O teto percentual é de 2% na LGPD e 10% no ECA Digital e no Marco Civil. O ECA Digital não repete a expressão “excluídos os tributos” das outras duas leis. E, ao contrário da LGPD, suas sanções mais graves ficam sob reserva de jurisdição.

Disposições finais (arts. 37 a 40)

• Regulamentação pelo Poder Executivo, com a mesma vedação a vigilância massiva (art. 37).
• Adesivo em embalagens de equipamentos eletrônicos de uso pessoal com acesso à internet (art. 38). Até regulamentação específica da ANPD, o Decreto nº 12.880/2026 (art. 50) fixou prazo de 30 dias e a redação: “Este produto permite acesso à internet. Conteúdos da internet podem apresentar riscos a crianças e adolescentes. O uso do produto requer supervisão parental.” Atenção ao alcance: a regra transitória vale apenas para equipamentos cuja apresentação, embalagem ou comunicação mercadológica seja exclusivamente direcionada a crianças e adolescentes, e não se aplica aos fabricados ou importados até a publicação do Decreto. O dever mais amplo do art. 38 da Lei só ganhará contornos com o ato da ANPD (art. 50, § 3º).
• Modulação proporcional das obrigações (art. 39).
• Representante legal no País com poderes plenos de recebimento e resposta (art. 40).

Política Nacional e arranjo institucional (Decreto nº 12.880/2026, arts. 3º a 8º)

A Política Nacional adota proteção integral, prioridade absoluta, autonomia progressiva, responsabilidade compartilhada, educação digital e midiática, participação de crianças e adolescentes e redução de desigualdades. Também prevê medidas específicas para crianças e adolescentes indígenas e de povos e comunidades tradicionais.

• Instrumentos: plano trienal; atuação integrada com a política da Lei nº 14.811/2024; articulação com a Política Nacional de Educação Digital; Estratégia Brasileira de Educação Midiática; e publicação periódica de guias e materiais educativos.
• Comitê intersetorial permanente, instituído por ato do MDHC, com representação garantida de MJSP, Saúde, Educação, MCTI, MGI, Secom, ANPD e Conanda (art. 7º). O comitê pode articular-se, em conjunto com a ANPD, com o Ministério Público, o Judiciário e a sociedade civil e, em coordenação com o MRE, com organismos internacionais (art. 8º).

A ANPD regula e fiscaliza o ECA Digital; o MDHC coordena a Política; o MJSP cuida da classificação indicativa e do Centro Nacional de Triagem; a PF opera a triagem; o MGI pode oferecer soluções públicas; e Anatel e CGI.br executam ordens judiciais de bloqueio.

Implementação pública e cronograma da ANPD

O cronograma público da ANPD, divulgado em 20/03/2026 com as Orientações Preliminares sobre Aferição de Idade, organiza a implementação em etapas. A lista abaixo reproduz apenas informações públicas.

• Etapa 1 (a partir de março de 2026) — atuação preventiva e de levantamento de informações, priorizando lojas de aplicativos e sistemas operacionais proprietários, pelo papel estruturante e pela concentração de mercado: atuar sobre poucos agentes produz efeitos amplos na cadeia. O monitoramento formal desses agentes começou em 10 de junho de 2026, com foco nos mecanismos de aferição de idade e de transmissão do sinal de idade, e alcança inicialmente Apple (App Store), Google (Play Store) e Microsoft (Windows). Antes disso, ainda em janeiro de 2026, a Agência já havia instituído processo de monitoramento sobre cerca de 37 empresas relevantes para o público infantojuvenil.
• Canal de denúncias — no ar desde 1º de junho de 2026, no portal da ANPD, com autenticação gov.br e possibilidade de denúncia anônima. O cronograma informa que as denúncias são analisadas de forma agregada e servem para priorizar fiscalização, regulação e ações educativas. Denúncias de crimes devem ir às autoridades policiais.
• Tomadas de subsídios (2026) — guia sobre escopo e obrigações gerais (30/04 a 15/06) e guia sobre mecanismos de aferição de idade (22/05 a 09/07), na plataforma Brasil Participativo.
• Etapa 2 (a partir de agosto de 2026) — publicação das orientações definitivas e dos parâmetros normativos sobre aferição de idade; ampliação do monitoramento a outros setores conforme o nível de risco; período de adaptação de agosto a novembro de 2026; e atualização dos Regulamentos de Fiscalização e de Aplicação de Sanções Administrativas.
• Etapa 3 (a partir de janeiro de 2027) — início dos ciclos de fiscalização, com possibilidade de aplicação sistemática das sanções.

O art. 49 do Decreto nº 12.880/2026 autoriza a ANPD a fasear a implementação da aferição de idade, com abordagem responsiva, recomendações e prioridades de monitoramento conforme o risco.

Normas

Legislação principal

• Lei nº 15.211, de 17 de setembro de 2025 — dispõe sobre a proteção de crianças e adolescentes em ambientes digitais (Estatuto Digital da Criança e do Adolescente). Publicada no DOU de 17/09/2025 (Edição Extra) e em vigor desde 17 de março de 2026.
• Constituição Federal de 1988, especialmente o art. 227 (proteção integral e prioridade absoluta); os arts. 5º, X e LXXIX; e 220, § 2º (vedação à censura).
• Lei nº 8.069, de 13 de julho de 1990 (ECA) — fonte dos conceitos de criança e adolescente, do rito de apuração de infrações administrativas e de deveres expressamente remetidos pelos arts. 3º e 5º. A nota própria reúne a visão geral do Estatuto, sua doutrina, a jurisprudência selecionada e as aplicações digitais.

Vetos, medidas provisórias e vigência

O caminho da lei entre a sanção e a vigência foi acidentado, e entender esse percurso ajuda a explicar por que alguns dispositivos existem, outros sumiram e outros voltaram por vias diferentes.

Vetos presidenciais (Mensagem nº 1.307/2025) — foram três, não dois:

• § 7º do art. 35 do PL, que atribuía à Anatel o encaminhamento das ordens de bloqueio. Veto por inconstitucionalidade formal: criar competência para uma agência é matéria de iniciativa privativa do Presidente da República (CF, art. 61, § 1º, II, “e”, e art. 84, VI, “a”), e o Congresso não pode fazê-lo por emenda. O conteúdo voltou dias depois — pela via correta, o Decreto nº 12.622/2025.
• Art. 36 do PL (vinculação da receita das multas ao FNCA). Veto por contrariedade ao interesse público: a vinculação não trazia a cláusula de vigência determinada exigida pelo art. 137 da LDO de 2025 (Lei nº 15.080/2024).
• Art. 41 do PL (vacatio legis — o intervalo entre a publicação e a entrada em vigor — de 1 ano). Veto por contrariedade ao interesse público: prazo incompatível com a urgência da proteção e com a prioridade absoluta do art. 227 da Constituição.

Medidas provisórias e a lei de conversão:

• Medida Provisória nº 1.318, de 17 de setembro de 2025 — acrescentou o art. 36-A, destinando as multas ao Fundo Nacional para a Criança e o Adolescente (FNCA) pelo prazo de 5 anos. Vigência encerrada em 25/2/2026: não foi convertida em lei no prazo constitucional, e o art. 36-A deixou de vigorar.
• Medida Provisória nº 1.319, de 17 de setembro de 2025 — acrescentou o art. 41-A, recompondo a vacatio suprimida pelo veto e fixando a vigência em seis meses após a publicação. Foi revogada pela Lei nº 15.352/2026 (art. 20).
• Medida Provisória nº 1.317, de 17 de setembro de 2025, convertida na Lei nº 15.352, de 25 de fevereiro de 2026 — não tratava originalmente do ECA Digital: criou a Agência Nacional de Proteção de Dados em lugar da antiga Autoridade Nacional (nova redação do art. 55-A da LGPD), criou a Carreira de Regulação e Fiscalização de Proteção de Dados e incluiu a ANPD no rol de agências reguladoras do art. 2º da Lei nº 13.848/2019. Foi na conversão que o Congresso acrescentou o art. 19, dando a redação atual ao art. 41-A: “Esta Lei entra em vigor em 17 de março de 2026”.

Regulamentos e atos aplicáveis

• Decreto nº 12.622, de 17 de setembro de 2025 — designou a ANPD como a autoridade administrativa autônoma de proteção dos direitos de crianças e adolescentes no ambiente digital a que se refere o art. 2º, X, da Lei; e, regulamentando o art. 35, § 6º, atribuiu à Anatel o recebimento e a distribuição das ordens judiciais de bloqueio às prestadoras de conexão e demais agentes, e ao CGI.br o recebimento das ordens relativas à resolução de nomes de domínio “.br”, facultada a ambos a escolha da técnica de implementação.
• Decreto nº 12.880, de 18 de março de 2026 — regulamenta a Lei nº 15.211/2025, institui a Política Nacional de Promoção e Proteção dos Direitos da Criança e do Adolescente no Ambiente Digital e autoriza a criação do Centro Nacional de Triagem de Notificações. Revogou o Decreto nº 9.856/2019, que dispunha sobre o Comitê de Acompanhamento pela Sociedade Civil para a Classificação Indicativa — matéria agora remetida a ato do MJSP (art. 13).
• Decreto nº 12.881, de 18 de março de 2026 — aprova a Estrutura Regimental da ANPD, detalha suas competências sob o ECA Digital (Anexo I, art. 2º, incisos XXV a XXXVI) e extingue a antiga Autoridade Nacional de Proteção de Dados, que passa a ser sucedida pela Agência. Entrou em vigor 21 dias após a publicação, em 8 de abril de 2026.
• Decreto nº 12.882, de 18 de março de 2026 — altera a estrutura regimental do MJSP (Decreto nº 11.348/2023), remanejando e transformando cargos e funções, inclusive na Diretoria de Combate a Crimes Cibernéticos da Polícia Federal. É a peça administrativa que dá lastro de pessoal ao arranjo; a criação do Centro Nacional de Triagem de Notificações, na PF, é autorizada pelo art. 37 do Decreto nº 12.880/2026.
• Portaria Sedigi/MJSP nº 1, de 1º de abril de 2026 — institui o Comitê Interinstitucional sobre Trabalho Artístico de Crianças e Adolescentes em Plataformas Digitais, encarregado de elaborar diretrizes para os alvarás judiciais de que trata o art. 34 do Decreto nº 12.880/2026.
• Portaria MDHC nº 807, de 6 de maio de 2026 — institui o Comitê Intersetorial da Política Nacional (art. 7º do Decreto nº 12.880/2026), integrado por MDHC, MJSP, Saúde, Educação, MCTI, MGI, Secom/PR, ANPD, Conanda e Comitê de Participação de Adolescentes.
• Orientações Preliminares sobre Mecanismos Confiáveis de Aferição de Idade (ANPD, 20/03/2026) — parâmetros iniciais, sem natureza de norma definitiva, publicados junto com o cronograma de implementação.
• Tomadas de subsídios sobre guias orientativos (2026) — é o nome que a ANPD dá à consulta prévia à sociedade, feita na plataforma Brasil Participativo: “Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital” (aberta em 30/04, contribuições até 15/06/2026) e “Mecanismos de Aferição de Idade” (22/05 a 09/07/2026). O cronograma público previa os guias definitivos para agosto de 2026; essa previsão não substitui a publicação do ato.
• Competências e atos previstos na legislação: a lista abaixo reúne matérias atribuídas à ANPD nos diplomas citados e que dependem de ato publicado para ganhar conteúdo regulamentar:
  • requisitos mínimos de segurança por padrão e repressão a práticas manipulativas (Decreto nº 12.880/2026, art. 10);
  • IA generativa, agentes conversacionais e interfaces similares (Decreto nº 12.880/2026, art. 11, parágrafo único);
  • requisitos mínimos de transparência, segurança e interoperabilidade da aferição de idade (Decreto nº 12.880/2026, art. 24, § 2º, que delegou à Agência o ato do Poder Executivo previsto na Lei, art. 12, § 3º);
  • diretrizes e padrões mínimos de supervisão parental e procedimento de submissão voluntária de mecanismos (Lei, art. 17, §§ 1º e 3º);
  • avaliação da efetividade dos mecanismos de verificação de idade das redes sociais e normatização do procedimento de suspensão e apelação (Lei, art. 24, §§ 2º e 4º);
  • certificação de soluções técnicas de aferição de idade, direta ou por entidades acreditadoras (Decreto nº 12.880/2026, art. 30);
  • formas e requisitos mínimos de prevenção à exposição publicitária a produtos proibidos (Decreto nº 12.880/2026, art. 32);
  • credenciamento, supervisão e descredenciamento de entidades notificantes (Decreto nº 12.880/2026, art. 44, § 1º) — até lá, vale a habilitação provisória do art. 52;
  • conteúdo mínimo, periodicidade e condições da avaliação de impacto à segurança e à saúde (Decreto nº 12.880/2026, art. 47, § 2º);
  • edital de habilitação de instituições acadêmicas, científicas, tecnológicas, de inovação ou jornalísticas para acesso a dados (Decreto nº 12.880/2026, art. 48);
  • exibição do aviso nas embalagens de equipamentos eletrônicos (Lei, art. 38; Decreto nº 12.880/2026, art. 50, § 3º) — até lá, vale a redação transitória do art. 50, § 1º;
  • critérios objetivos de aferição do grau de intervenção do fornecedor, para a aplicação proporcional do art. 39, § 3º — competência que o Decreto nº 12.881/2026 (Anexo I, art. 2º, XXXVI) atribuiu à ANPD, e não genericamente ao Poder Executivo;
  • guias definitivos sobre escopo e obrigações gerais e sobre aferição de idade, e atualização dos Regulamentos de Fiscalização e de Aplicação de Sanções Administrativas, indicados no cronograma público da ANPD; a indicação não antecipa o conteúdo dos atos.
• Atos ainda não editados por outros órgãos:
  • MJSP — forma de apresentação da faixa etária (Decreto nº 12.880/2026, art. 12, § 3º); Comitê de Acompanhamento pela Sociedade Civil para a Classificação Indicativa (art. 13); funcionamento do Centro Nacional de Triagem de Notificações, protocolos, fluxos, requisitos e prazos dos relatórios de notificação (arts. 37, § 4º, e 39, §§ 1º e 2º); e normas sobre os alvarás de atividade artística, em articulação com CNJ e CNMP (art. 34, § 3º);
  • MGI — implementação e uso da solução de vinculação de crianças e adolescentes a responsáveis legais (Decreto nº 12.880/2026, art. 20, II) e das soluções públicas de verificação de idade (art. 28).

Estudos técnicos e radares tecnológicos da ANPD

Estudos publicados na central de documentos técnicos e orientativos da Agência, sem efeito vinculante e, no caso da série Radar Tecnológico, com ressalva expressa de que não firmam posicionamento institucional. Entram aqui porque são a fonte pública do que esta nota afirma sobre o estado da técnica.

• Radar Tecnológico nº 5 — Mecanismos de aferição de idade (outubro de 2025) — taxonomia dos métodos, cinco gerações de soluções, riscos de proteção de dados de cada uma e convergência de princípios entre reguladores. Há também versão em inglês.
• Radar Tecnológico nº 6 — Deepfakes (2026) — conceitos, funcionamento, riscos à proteção de dados e o capítulo sobre deepfakes pornográficos contra meninas e mulheres, com o caso Grok.
• Notas técnicas de fiscalização citadas acima: nº 6/2023/CGF/ANPD e nº 50/2024/FIS/CGF/ANPD (aferição de idade em plataforma de vídeos curtos) e nº 1/2026/FIS/CGF/ANPD, com a Recomendação Conjunta ANPD/MPF/Senacon (caso Grok).

Normas correlatas

• Lei nº 13.709 - Lei Geral de Proteção de Dados Pessoais (LGPD) — remetida expressamente nos arts. 3º (nível elevado de privacidade e proteção de dados), 7º, § 2º, e 12, I (princípios do art. 6º da LGPD), 16 (art. 14 da LGPD), 31, VI (consentimento parental do art. 14, § 1º), 34, § 1º, e 37, parágrafo único.
• Lei nº 12.965 - Marco Civil da Internet — conceitos de internet, aplicações de internet e terminal (art. 2º, § 1º) e prazos de guarda de registros (art. 27, § 2º).
• Lei nº 8.078/1990 - Código de Defesa do Consumidor — deveres de segurança e informação (art. 5º) e publicidade abusiva (art. 37, § 2º).
• Lei nº 14.852/2024 — marco legal da indústria de jogos eletrônicos; art. 16 (salvaguardas de interação) incorporado pelo art. 21, e arts. 16 e 17 postos sob fiscalização da ANPD pelo art. 23, § 2º, do Decreto nº 12.880/2026.
• Lei nº 13.431/2017 — sistema de garantia de direitos da criança e do adolescente vítima ou testemunha de violência.
• Lei nº 14.811/2024 — Política Nacional de Prevenção e Combate ao Abuso e Exploração Sexual da Criança e do Adolescente.
• Lei nº 13.848/2019 — Capítulo I aplicável ao processo decisório da autoridade (art. 2º, X); desde a Lei nº 15.352/2026, a ANPD integra o rol de agências reguladoras do seu art. 2º.
• Regulamento (UE) 2022/2065 — o DSA — impõe a toda plataforma acessível a menores um dever de privacidade, proteção e segurança (art. 28.º) e veda a publicidade por definição de perfis a quem se saiba menor (n.º 2); as orientações da Comissão de 14/7/2025 fazem o papel que aqui cabe ao decreto e aos atos da ANPD.
• Também referidas: Lei nº 13.146/2015 (Estatuto da Pessoa com Deficiência), Lei nº 14.533/2023 (Política Nacional de Educação Digital), Lei nº 14.790/2023 (apostas de quota fixa), Lei nº 8.242/1991 (Conanda e FNCA) e Decreto nº 12.002/2024 (classificação indicativa).