Checklist de conformidade ECA Digital: onde você está?

O ECA Digital (Lei nº 15.211/2025) entrou em vigor em 17 de março de 2026, depois de um prazo de vacância reduzido de um ano para seis meses.

Passados cinco meses de lei valendo, agosto de 2026 marca o início da Etapa II da fiscalização da ANPD: o órgão, agora com status de agência reguladora, amplia o monitoramento para além das lojas de aplicativos e dos setores de educação e saúde já observados na Etapa I, incluindo edtechs, portais de paciente com dependentes menores e serviços digitais de bem-estar no radar.

O cronograma é claro. Entre agosto e novembro de 2026, a ANPD adapta e monitora a implantação das regras. Em novembro, atualiza os regulamentos de fiscalização e sanções.

Em janeiro de 2027, começam as ações de fiscalização propriamente ditas.

Ou seja: a empresa que tratou o ECA Digital como um projeto encerrado em março está, com boa chance, desatualizada em relação ao que a ANPD vai cobrar daqui a poucos meses.

Por isso, a pergunta certa não é mais “estamos em conformidade?”, e sim “em que passo do checklist a nossa empresa está agora?”.

Compliance com o ECA Digital não é um evento único: é um processo recorrente, com pontos que precisam ser revisitados em cinco frentes: tecnologia, dados, design, manutenção e diretrizes.

Quem precisa se adequar

A lei se aplica a empresas cujo produto ou serviço é direcionado a crianças e adolescentes, ou que tenham “acesso provável” por esse público, mesmo sem ser esse o foco original.

Isso inclui redes sociais, plataformas de jogos e entretenimento digital, serviços de streaming, marketplaces com produtos infantojuvenis, plataformas educacionais, sistemas operacionais e lojas de aplicativos, além de apps de produtividade e comunicação.

Empresas estrangeiras que oferecem produtos ou serviços acessíveis a partir do Brasil também estão sujeitas às mesmas obrigações.

Se a sua plataforma se encaixa em algum desses perfis, ou se você não tem certeza se o “acesso provável” de menores se aplica ao seu produto, o checklist abaixo é o ponto de partida para descobrir onde estão as lacunas.

1. Tecnologia: a verificação de idade é confiável ou só declarativa?

O artigo 9º da lei veda a autodeclaração de idade como mecanismo único de verificação. Isso significa que qualquer campo de “confirme que você tem mais de 18 anos” sozinho já deixou de ser suficiente.

Perguntas para autoavaliar essa frente:

A verificação de idade usa documento, biometria facial ou outro método robusto, e não apenas um checkbox?
O mecanismo funciona a cada acesso relevante, e não só no cadastro inicial?
Existem ferramentas de supervisão parental acessíveis, com controle de tempo de tela, recomendação de conteúdo e geolocalização, vinculadas às contas de menores?
Os sistemas de moderação de conteúdo e os canais de denúncia respondem com agilidade a exposições de risco?

É aqui que entra a camada técnica de verificação de idade prevista pela lei: inferir a idade em tempo real por biometria, cruzar o resultado com a base da Receita Federal para confirmar CPF e evitar fraudes por uso de documentos de terceiros, e comparar a captura facial com o documento quando necessário.

Um token de idade gerado após a primeira verificação evita repetir o processo inteiro a cada novo acesso, equilibrando segurança e fricção.

Vale lembrar que verificação de idade e verificação de identidade por biometria facial seguem o mesmo princípio técnico usado no KYC: confirmar que existe uma pessoa real diante da câmera, e não apenas uma foto, vídeo, máscara ou imagem injetada por software.

O LegitFace, por exemplo, reúne certificações iBeta PAD Levels 1 e 2 e BixeLab PAD Levels 1, 2 e 3 contra ataques de apresentação, além de BixeLab IAD contra ataques de injeção de câmera, sustentando 0% de fraude aprovada em produção com menos de 1,33% de reprovação de usuários legítimos.

2. Dados: o que é coletado, por quê e por quanto tempo?

A lei reforça princípios de minimização e proteção de dados de crianças e adolescentes alinhados à LGPD. Uma verificação de idade mal desenhada pode acabar coletando mais dado do que precisa, o que cria um risco novo em vez de resolver o original.

Checklist da frente de dados:

Existe um mapeamento atualizado dos fluxos de dados de menores dentro do produto?
Foi feita uma avaliação de impacto específica para os pontos de exposição desse público?
O volume de dados coletado na verificação de idade é o mínimo necessário para a finalidade?
Há regras claras de retenção e descarte para dados sensíveis de menores?

Empresas que já tratam dados sensíveis em processos de KYC e antifraude tendem a ter mais maturidade nesse ponto, mas vale revisitar especificamente o desenho pensado para menores, que exige um padrão de minimização mais rígido do que o aplicado a um cadastro adulto padrão.

3. Design: o padrão protetivo é o padrão real, ou só o padrão do termo de uso?

O artigo 7º da lei estabelece que o nível mais protetivo de privacidade e segurança precisa ser o padrão operacional, não uma opção escondida em configurações avançadas. Os artigos 6º, 8º e 10º tratam da experiência adequada à idade nos fluxos de onboarding e recomendação de conteúdo.

Pontos a verificar:

Perfis de menores nascem privados por padrão, sem compartilhamento automático de localização?
Loot boxes e mecânicas de aposta dentro de produtos acessíveis a menores foram removidas, conforme veda o artigo 20?
O perfilamento comportamental para publicidade a menores, vedado pelo artigo 22, foi de fato desligado, e não só ajustado?
Recursos de realidade aumentada ou análise emocional aplicados a campanhas publicitárias voltadas a esse público foram descontinuados?

Design que exige esforço do usuário para ativar a proteção já nasce fora da lei. O ajuste correto é inverter a lógica: o caminho de menor fricção precisa ser o mais seguro.

4. Manutenção: a conformidade de março ainda é a conformidade de agora?

Esta é a frente que mais empresas deixam de lado depois do primeiro sprint de adequação. A lei não pede um checklist assinado uma vez, pede rotina.

O que revisar periodicamente:

Plataformas com mais de 1 milhão de usuários infantojuvenis publicam o relatório semestral de transparência sobre moderação, exigido pelo artigo 31?
Existem auditorias periódicas agendadas, e não apenas reativas a incidentes?
As equipes de produto, atendimento e compliance recebem capacitação continuada sobre as obrigações da lei e sobre privacy by design?
Alguém está acompanhando as orientações normativas que a ANPD publica à medida que a fiscalização avança, como as que devem sair entre agosto e novembro de 2026?

Com a Etapa II da fiscalização em curso e novos parâmetros normativos previstos para novembro, a “foto” de conformidade tirada em março de 2026 já pode não refletir o que a ANPD vai exigir a partir de janeiro de 2027. Manutenção, aqui, significa tratar o checklist como algo vivo.

5. Diretrizes: existe dono, comitê e contrato para isso?

Tecnologia e design sem governança tendem a se desatualizar sozinhos. A lei pressupõe estrutura por trás das obrigações técnicas.

Itens de governança a confirmar:

Há um responsável formal por compliance com o ECA Digital, com autoridade para cobrar ajustes de produto?
Existe um comitê ou instância de revisão ética para decisões que envolvem menores?
As políticas de privacidade e os termos de uso foram atualizados em linguagem acessível, com versão específica voltada a crianças e adolescentes quando aplicável?
Contratos com fornecedores, parceiros e desenvolvedores terceiros incluem cláusulas de conformidade com a lei?

Sem essas quatro respostas, mesmo uma solução técnica bem implementada corre o risco de ficar defasada na próxima atualização de produto, porque não há processo formal cobrando a revisão.

O custo de ficar parado no checklist

A lei prevê multas de até 10% do faturamento do grupo econômico, limitadas a R$ 50 milhões por infração, além de advertência, suspensão ou proibição do exercício da atividade.

Com a ANPD operando agora como agência reguladora e a fiscalização efetiva programada para janeiro de 2027, o intervalo entre hoje e o início das ações de fiscalização é a janela real para fechar as lacunas, não para descobri-las depois.

Onde a sua empresa está agora?

Rodar esse checklist internamente, pilar por pilar, é o primeiro diagnóstico. O segundo passo costuma exigir tecnologia que já foi construída, testada e certificada para esse tipo de verificação, em vez de montada do zero sob pressão de prazo regulatório.

É esse o papel das soluções de ECA Digital da Legitimuz: Child Check para inferência de idade em tempo real por biometria, Age Check para cruzamento com a base da Receita Federal, Face Match para confirmar que o rosto capturado corresponde à identidade verificada, e o token de idade para reduzir fricção em acessos recorrentes sem abrir mão da segurança.

Baixe gratuitamente o arquivo abaixo e descubra em que passo do checklist a sua empresa está.

Blog