ECA Digital na prática: o que plataformas precisam provar antes de uma fiscalização da ANPD 

Em 12 de agosto de 2026, a Agência Nacional de Proteção de Dados determinou, em medida preventiva oficial, que o Discord suspendesse no Brasil o Go Live e funcionalidades equivalentes de transmissão ao vivo, nos termos da decisão, até demonstrar medidas de proteção. O caso não antecipa o resultado do processo, mas deixa um recado: em produtos acessíveis a crianças e adolescentes, políticas escritas não substituem prova operacional. 

Para diretorias e lideranças de produto, o ponto central é demonstrar como o risco foi identificado, quais barreiras foram escolhidas, quem aprovou as decisões e quais evidências confirmam o funcionamento dos controles. Essa trilha define a qualidade da resposta regulatória. 

O novo parâmetro de risco para negócios digitais 

A Lei nº 15.211/2025, conhecida como ECA Digital, estabelece deveres para produtos e serviços de tecnologia da informação direcionados a crianças e adolescentes ou de acesso provável por esse público. A análise não termina no público-alvo declarado: desenho, linguagem, distribuição e uso real podem tornar previsível o acesso por menores. 

A regulamentação foi complementada pelo Decreto nº 12.880/2026, e a ANPD passou a concentrar orientação, monitoramento e resposta administrativa. Em agosto, a Agência informou que avaliava 22 agentes monitorados, incluindo redes sociais, mensageria, lojas de aplicativos e ferramentas de IA. A divulgação dos nomes não significa conclusão de irregularidade, mas confirma que alcance, arquitetura e exposição infantojuvenil já orientam a supervisão. 

A pergunta regulatória mudou: não basta ter regra, é preciso provar execução 

Em fiscalização, a empresa deve reconstruir a decisão de produto: por que classificou o serviço como dirigido, provavelmente acessado ou improvável de ser acessado por menores; quais dados sustentaram a conclusão; que riscos considerou; e quando a análise será revista. Termos de uso que apenas proíbem menores podem ser insuficientes diante do uso real. 

Funcionalidades como chat, transmissão ao vivo, recomendação, mensagens privadas, geolocalização, compras e IA generativa têm riscos diferentes. A empresa deve conectar cada recurso aos perigos previsíveis, às salvaguardas e às métricas de efetividade. Essa avaliação exige alinhamento entre jurídico, segurança e produto. 

Cinco conjuntos de evidências que a empresa deve conseguir apresentar 

1. Classificação de acesso e aferição de idade 

A empresa precisa registrar a metodologia usada para estimar a probabilidade de acesso por menores. Quando a aferição for necessária, a escolha deve considerar risco, minimização, segurança e experiência do usuário. As orientações preliminares sobre mecanismos confiáveis de aferição de idade orientam a escolha proporcional ao risco, sem fixar tecnologia única. Convém documentar o nível de garantia buscado, as alternativas consideradas e os dados tratados. 

2. Desenho seguro e configurações protetivas 

A proteção deve aparecer na configuração padrão. É recomendável preservar versões de telas, fluxos de cadastro, parâmetros de privacidade, limitações de contato e critérios de recomendação. Se houver IA generativa, a avaliação deve cobrir entradas, filtros, registros, saídas inadequadas e contestação. O guia sobre uso empresarial de ChatGPT, Copilot e Gemini precisa ser adaptado ao risco infantojuvenil. 

3. Moderação, denúncia e resposta 

Canais de denúncia só funcionam se houver triagem, prioridade, prazo, registro e escalonamento. Denúncias críticas não podem ficar em filas comuns. Quando também houver dados pessoais, o fluxo deve conversar com o protocolo interno de resposta a incidentes e observar a regulamentação vigente. 

4. Gestão de fornecedores e integrações 

SDKs, ferramentas de moderação, identidade, pagamentos, nuvem e publicidade interferem na proteção. Contratos devem definir responsabilidades, acesso a logs, cooperação em auditorias, comunicação de falhas, preservação de evidências e encerramento seguro. A due diligence de fornecedores ajuda a verificar essas condições. Terceirizar uma atividade não elimina os deveres legais próprios da plataforma. 

5. Transparência verificável 

O relatório de transparência do ECA Digital não alcança toda empresa. Segundo a orientação da ANPD sobre o artigo 31, o dever alcança provedores dirigidos ou de acesso provável por crianças e adolescentes com mais de um milhão de usuários registrados nessa faixa etária no Brasil. A Agência fixou 17 de setembro de 2026 para a primeira publicação e explicou a periodicidade semestral. A limitação desse dever específico não afasta as demais obrigações de proteção, nem a utilidade de métricas internas. 

Como organizar uma resposta executiva em 30 dias 

O prazo de 30 dias é uma proposta de organização interna e não substitui prazos legais ou de intimações. O primeiro movimento é designar um responsável executivo e reunir produto, tecnologia, segurança, dados, atendimento e jurídico. O grupo deve mapear funcionalidades, públicos, dados e fornecedores, classificar riscos e organizar evidências. Cada controle precisa de dono, periodicidade, indicador e repositório. 

Depois, a empresa deve testar jornadas reais, inclusive tentativas de contornar idade, privacidade, moderação e limites de contato. As falhas devem gerar correções priorizadas por impacto. Uma simulação de requisição da ANPD revela onde estão os documentos, quem responde e quem aprova a manifestação. 

A estrutura deve integrar o programa de privacidade. O trabalho de governança de dados e atuação perante a ANPD pode reunir avaliação regulatória, contratos, controles e preparação da resposta, preservando as decisões da liderança de produto e negócio. 

Suspensão de funcionalidade, retrabalho, perda de receita e crise de confiança podem anteceder a decisão final. Empresas que documentem classificação de acesso, testes, métricas e correção contínua estarão mais preparadas para dialogar com a autoridade. A equipe do SMN pode apoiar o diagnóstico de escopo, a revisão dos controles e o plano executivo aderente ao negócio.