Produtos e serviços de tecnologia que atraem crianças e adolescentes no Brasil operam, desde 17 de março de 2026, sob um regime de proteção de dados mais rígido que o restante da LGPD. O Estatuto Digital da Criança e do Adolescente (Lei nº 15.211, de 17 de setembro de 2025) exige privacidade por padrão, verificação de idade confiável para conteúdo restrito e base legal justificada fluxo a fluxo. A ação prioritária para equipes de privacidade e segurança é inventariar agora todo tratamento que envolva menores, porque a ANPD listou o tema entre as prioridades de fiscalização do biênio 2026-2027.
Quem é afetado pela lei
A norma alcança qualquer produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes ou de acesso provável por eles, ainda que operado por empresa estrangeira. O parágrafo único do artigo 1º define acesso provável a partir de três sinais: suficiente probabilidade de uso e atratividade por menores, considerável facilidade de acesso e utilização e significativo grau de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial, com atenção especial a serviços de interação social e compartilhamento de informações em larga escala.
Na prática, redes sociais, jogos on-line, plataformas de vídeo e ferramentas educacionais entram no escopo mesmo sem se declarar infantis, e os conceitos de criança e adolescente vêm do Estatuto da Criança e do Adolescente. Fornecedores estrangeiros com oferta no país precisam manter representante legal no Brasil, com poderes para receber citações e intimações em processos administrativos e judiciais, conforme o artigo 40. Quem dimensionou o escopo apenas pela idade declarada em cadastro subestimou a norma.
As obrigações dos artigos sobre prevenção, publicidade e transparência aplicam-se de forma modulada, conforme as características e funcionalidades do serviço, o número de usuários e o porte do fornecedor. Essa modulação ainda depende de critérios objetivos que a regulamentação definirá, o que reforça a preparação antecipada em vez da espera por texto detalhado.
Bases legais além do consentimento
Muita operação rodou sob o pressuposto de que todo tratamento de dados de menores dependeria de consentimento específico de pai ou mãe. A ANPD encerrou essa leitura em maio de 2023, ao publicar enunciado interpretativo sobre o artigo 14 da LGPD. Na visão da agência, o tratamento pode se apoiar em qualquer hipótese legal da lei — consentimento fornecido pelo titular, cumprimento de obrigação legal, proteção à vida ou interesse legítimo do controlador — desde que documentada e reavaliada para essa faixa de titulares.
O enunciado fixa um travão: o melhor interesse da criança e do adolescente deve prevalecer em qualquer operação, o que exige avaliação cautelosa por parte do controlador. Traduzindo para a rotina de governança: cada fluxo precisa registrar qual base o sustenta, por que ela serve ao titular menor e qual teste sustentou a conclusão, com data e responsável. Operações de publicidade, perfilação e recomendação automática são as que menos resistem a esse exame, porque o benefício tende a ficar do lado do controlador.
A própria agência avisou que prepara orientações específicas para o uso de interesse legítimo com dados de crianças e adolescentes, sempre em conformidade com o princípio do melhor interesse. Enquanto esse texto não sai, a evidência exigível é a avaliação cautelosa documentada por operação, revisada sempre que a finalidade mudar.
Privacidade por padrão obrigatória
O artigo 7º do Estatuto Digital manda os fornecedores adotar, desde a concepção do produto e por padrão, a configuração no modelo mais protetivo disponível em relação à privacidade e à proteção de dados pessoais. O produto deve operar com o grau mais elevado de proteção sem que o usuário precise caçar ajustes escondidos; oferecer estados menos protetivos exige informações claras, acessíveis e adequadas para que a criança, o adolescente e os responsáveis façam escolhas conscientes. O parágrafo segundo proíbe tratamento que cause, facilite ou contribua para violação de privacidade ou de outros direitos assegurados em lei.
Para a equipe técnica, isso vira auditoria de defaults: perfil privado por padrão, personalização de conteúdo, compartilhamento com terceiros, geolocalização e notificações precisam nascer travados no estado mais protetivo, com registro de cada liberação. Um teste útil é o caminho reverso: se um adolescente converte o produto para o estado menos protetivo em poucos toques, sem aviso claro, o padrão exigido não está implementado. A ANPD anunciou que vai fiscalizar a verificação da adoção, por design e por padrão, do modelo mais protetivo, e monitorar o uso secundário de dados pessoais para entrega de publicidade comercial direcionada — historicamente o elo mais frágil de plataformas sociais.
Aferição de idade sem autodeclaração
Para conteúdo impróprio, inadequado ou proibido para menores de 18 anos, a lei exige medidas eficazes de bloqueio, e o parágrafo primeiro do artigo 9º é direto: mecanismos confiáveis de verificação de idade a cada acesso, vedada a autodeclaração. O desafio defensivo é cumprir isso sem criar um acervo sensível de identidade de menores; o caminho são verificações no momento do acesso, retenção do resultado e não do documento, e separação entre quem verifica a idade e quem entrega o conteúdo. Provas descartáveis, sem vínculo permanente à conta, reduzem tanto o risco de fraude quanto o de vazamento.
A ANPD reconheceu a complexidade e decidiu, no mapa de prioridades de 24 de dezembro de 2025, tratar a aferição de idade primeiro por regulamentação e orientação, deixando fiscalização e sanções para etapa posterior. Pesam também as obrigações do artigo 8º: gerenciamento de riscos de recursos, funcionalidades e sistemas, avaliação de conteúdo por faixa etária e configurações que evitem uso compulsivo — três entregas de engenharia, não do jurídico.
Prioridades de fiscalização da ANPD
O mapa do biênio 2026-2027 define quatro temas prioritários, entre eles a proteção de crianças e adolescentes no ambiente digital, com atuação coordenada entre LGPD e Estatuto Digital. A agenda regulatória ganhou três frentes próprias: mecanismos de aferição de idade, escopo e obrigações gerais dos fornecedores e revisão das resoluções de fiscalização e sanção. Os temas saíram de requerimentos, comunicações de incidentes e ações de fiscalização consolidadas em relatório de monitoramento, e o movimento acompanha a mesma direção da revisão que ampliou o alcance das multas da agência.
Ações priorizadas para conformidade
| Prioridade | Ação | Evidência a produzir |
|---|---|---|
| P1 | Inventariar produtos e fluxos que tratem dados de menores, incluindo acesso provável | Lista de sistemas com classificação de direcionamento e público-alvo |
| P1 | Documentar a base legal de cada fluxo com teste de melhor interesse | Registro por operação com data, responsável e conclusão da avaliação |
| P1 | Auditar defaults e publicar o estado mais protetivo como configuração de fábrica | Relatório de configurações por produto, antes e depois |
| P2 | Rever uso secundário de dados para publicidade e recomendação | Mapeamento de compartilhamentos e finalidades secundárias |
| P2 | Avaliar mecanismo de aferição de idade com minimização de dados | Análise de fornecedores, dados coletados e retenção |
| P2 | Formalizar gerenciamento de riscos do artigo 8º | Matriz de risco quantificada além do mapa de calor por funcionalidade |
O ponto de virada é tratar o menor como titular com direitos próprios: pedido de acesso, correção, exclusão e portabilidade feitos pelo responsável precisa entrar no mesmo fluxo de atendimento de titulares, com trilha de auditoria e resposta dentro do que a LGPD já exige. Fornecedores que deixarem tudo para depois da regulamentação da aferição de idade vão acumular retrabalho de produto em cima de um fiscal que já escolheu o tema.
Para o encarregado, a evidência útil é a mesma da LGPD: quem decidiu, quando, com qual base e qual revisão. Para a engenharia, o entregável é configurável, testável e auditável. Os dois cadernos precisam se encontrar antes da fiscalização, não depois.