0
0
Imagine que você é o fundador de um app de jogos, de uma rede social de nicho ou de um marketplace. Hoje, um adolescente de 13 anos cria uma conta na sua plataforma em trinta segundos, marca a caixinha “tenho mais de 18 anos” e segue em frente. A partir de janeiro de 2027, essa caixinha pode custar até 10% do faturamento do seu grupo econômico no Brasil.
A resposta curta para quem chegou aqui pela manchete: sim, a informação confere. A ANPD (Autoridade Nacional de Proteção de Dados, hoje agência reguladora) fixou janeiro de 2027 como o início dos ciclos de monitoramento e fiscalização do ECA Digital, a Lei 15.211/2025, com foco na verificação de idade. E as sanções são as que estão no art. 35 da lei: advertência, multa de até 10% do faturamento, limitada no total a R$ 50 milhões por infração, e, pela via judicial, suspensão ou proibição das atividades.
O que a manchete não diz, e que eu acho mais importante, é que essa data não é uma novidade de outubro. Ela está no cronograma de aferição de idade que a ANPD publicou em março de 2026, três dias depois de a lei entrar em vigor. O que mudou agora é o calendário: faltam pouco mais de dois meses, o período de adaptação previsto pela própria agência termina em novembro, e a maior parte das empresas que eu vejo ainda trata o ECA Digital como assunto de big tech. Não é. Vamos ao que a lei diz, ao que a ANPD prometeu e ao que você precisa fazer antes da virada do ano.
O que é o ECA Digital e a quem ele se aplica
O Estatuto Digital da Criança e do Adolescente é a Lei 15.211, de 17 de setembro de 2025. Ela entrou em vigor em 17 de março de 2026, data que hoje consta expressamente do art. 41-A, e foi regulamentada no dia seguinte pelo Decreto 12.880/2026.
O alcance está no art. 1º e é mais amplo do que parece. A lei se aplica a todo produto ou serviço de tecnologia da informação que seja direcionado a crianças e adolescentes ou de acesso provável por eles. Repare na segunda parte. Não importa se o seu termo de uso diz “serviço para maiores de 18”. Se, na prática, um adolescente consegue chegar lá e é provável que chegue, a lei alcança você.
Na prática, isso coloca no mesmo balaio:
- redes sociais e aplicativos de mensagem;
- jogos eletrônicos, inclusive os gratuitos com compras internas;
- lojas de aplicativos e sistemas operacionais (Apple, Google e Microsoft, nominalmente monitoradas desde junho de 2026);
- ferramentas de inteligência artificial com as quais crianças podem interagir.
Quem fiscaliza? O art. 34 fala em uma autoridade administrativa autônoma, e esse papel coube à ANPD, que a Lei 15.352/2026 transformou em agência reguladora com carreira própria de fiscalização. O mesmo órgão que aplica a LGPD agora aplica o ECA Digital: quem já tem programa de privacidade tem meio caminho andado.
O que a ANPD prometeu para janeiro de 2027
Em 20 de março de 2026, três dias depois da vigência da lei, a ANPD publicou duas coisas: as orientações preliminares sobre mecanismos confiáveis de aferição de idade e um cronograma de implementação em três etapas. É desse cronograma que sai a data de janeiro de 2027.
As três etapas, conforme a agência:
- Etapa 1, imediata: parâmetros preliminares, divulgação de informações essenciais e monitoramento do chamado sinal de idade, com prioridade para lojas de aplicativos (App Store, Google Play) e sistemas operacionais (Android, iOS, Windows). A ANPD informou acompanhar as iniciativas de 37 empresas nessa fase.
- Etapa 2, a partir de agosto de 2026: publicação das orientações técnicas definitivas, dizendo quais métodos de verificação (documento, biometria, estimativa por inteligência artificial) são aceitos para cada nível de risco, seguida de um período de adaptação entre agosto e novembro.
- Etapa 3, a partir de janeiro de 2027: início dos ciclos de monitoramento e fiscalização propriamente ditos, com possibilidade de sanção para quem não se adequou.
O diretor Iagê Miola resumiu o espírito da coisa: empresa que age de boa-fé e dialoga com a agência tende a receber orientação técnica, não punição; a sanção vem com má-fé ou recusa em se adequar. Mas violação explícita gera processo mesmo antes de 2027. A lei já vale desde março; o que começa em janeiro é a fiscalização sistemática, não a obrigação.
A reportagem do Conjur de 19 de outubro reafirma esse cronograma e acrescenta que a agência pretende publicar orientações detalhadas sobre aferição de idade e atualizar seus regulamentos de fiscalização e de sanções antes de janeiro. Com 156 servidores no fim de 2025, a fiscalização vai funcionar por amostragem, denúncia e temas prioritários, não por varredura. O cronograma original está na notícia da Agência Brasil de 20 de março.
Multa de 10% do faturamento: o que o art. 35 diz de verdade
Aqui vale ler a lei, porque a manchete simplifica. O art. 35 prevê quatro sanções, sem prejuízo das demais sanções cíveis, criminais ou administrativas, e sempre com devido processo, contraditório e ampla defesa:
- advertência, com prazo para medidas corretivas de até 30 dias;
- multa simples de até 10% do faturamento do grupo econômico no Brasil no último exercício ou, se não houver faturamento, de R$ 10 a R$ 1.000 por usuário cadastrado, limitada, no total, a R$ 50 milhões por infração;
- suspensão temporária das atividades;
- proibição do exercício das atividades.
Três detalhes fazem diferença na prática.
Primeiro, a base é o faturamento do grupo econômico no Brasil, não o da empresa autuada. Uma subsidiária enxuta de um grupo grande não escapa pela própria contabilidade. E o § 2º fecha a outra porta: empresa estrangeira responde solidariamente pela multa por meio da filial, sucursal, escritório ou estabelecimento no país.
Segundo, o teto de R$ 50 milhões é por infração, e a expressão da lei é “limitada, no total”. Na minha leitura, isso significa que um mesmo processo pode somar infrações distintas (ausência de verificação de idade, publicidade por perfilamento, caixa de recompensa em jogo infantil) e cada uma ter o seu teto. O § 4º ainda manda atualizar os valores anualmente pelo IPCA.
Terceiro, e isso a maioria dos textos omite: a ANPD só aplica advertência e multa. Suspensão e proibição são do Poder Judiciário, conforme o § 5º, e são executadas por ordem de bloqueio dirigida às operadoras de telecomunicações e demais agentes da conexão, nos termos do § 6º. Ou seja, o cenário de “app derrubado do ar” existe, mas passa por um juiz, não por um despacho da agência.
A dosimetria vem do § 1º: gravidade, reincidência, capacidade econômica e finalidade social do fornecedor. A ANPD disse que vai atualizar seu regulamento de sanções, com consulta pública, antes de aplicar o ECA Digital em escala; até lá, a referência mais próxima é a dosimetria que a agência já usa na LGPD (Resolução CD/ANPD 4/2023).
Para pequenos fornecedores não há regime próprio, mas o art. 39 manda modular várias obrigações conforme o número de usuários e o porte do fornecedor. Startup não está isenta; está sujeita a uma régua diferente. Texto oficial da lei no Planalto.
Verificação de idade: o fim da caixinha “sou maior de 18”
O coração da fiscalização de 2027 é a aferição de idade, e a regra mais dura está no art. 9º, § 1º: para conteúdo impróprio, inadequado ou proibido para menores de 18 anos, o fornecedor deve adotar mecanismos confiáveis de verificação de idade a cada acesso do usuário, vedada a autodeclaração. A caixinha de “tenho mais de 18 anos” deixou de ser mecanismo. Virou prova de que não há mecanismo.
Isso não quer dizer que todo app precisa pedir RG com selfie. Quer dizer apenas que o método precisa ser proporcional ao risco. A ANPD, no quinto volume do seu Radar Tecnológico (outubro de 2025) e nas orientações preliminares de março de 2026, separa duas famílias de solução:
- verificação, que confere documento ou registro contra bases oficiais, para serviços de risco alto;
- estimativa, que infere a faixa etária por comportamento, testes de capacidade ou análise facial sem identificar a pessoa, para serviços de risco menor.
O desenho escolhido pela lei para escalar isso está no art. 12: lojas de aplicativos e sistemas operacionais devem aferir a idade ou faixa etária do usuário, permitir supervisão parental voluntária e fornecer um sinal de idade aos aplicativos por API, com minimização de dados. O § 2º exige consentimento livre e informado dos pais para que crianças e adolescentes baixem aplicativos. É por isso que a ANPD começou por Apple, Google e Microsoft: se a camada do sistema operacional diz ao app que o usuário tem 12 anos, o app não precisa reinventar a verificação, só precisa respeitar o sinal. E, a partir de 2027, não terá desculpa para ignorá-lo.
A verificação de idade é a porta de entrada, mas não a única obrigação que será cobrada. Outras três aparecem com frequência nas discussões e já estão em vigor:
- supervisão parental (arts. 17 e 18): ferramentas acessíveis, aviso visível quando ativas, limite e monitoramento de tempo de uso, configuração padrão no nível mais alto de proteção, e poder dos pais de restringir compras e identificar perfis de adultos com quem o menor conversa;
- publicidade (arts. 22 e 26): é vedado usar perfilamento, análise emocional ou realidade aumentada e virtual para direcionar publicidade comercial a crianças e adolescentes, e vedado criar perfis comportamentais deles para esse fim;
- caixas de recompensa, as loot boxes (art. 20): proibidas em jogos eletrônicos direcionados a crianças e adolescentes ou de acesso provável por eles.
Se o seu produto tem uma dessas três coisas e tem adolescente usando, o problema não é de 2027. É de agora.
O que fazer antes de janeiro: checklist para empresas e advogados
Como advogado que acompanha produtos digitais, eu organizaria os próximos dois meses em cinco frentes. Nenhuma delas exige esperar o regulamento definitivo da ANPD.
- Mapear o acesso provável. Levante dados reais: faixa etária declarada, padrões de uso, origem do tráfego, presença em lojas com classificação livre. Se há indício consistente de menores, o produto está no escopo da lei, independentemente do que diz o termo de uso.
- Classificar o risco do conteúdo. Separe o que é conteúdo livre, o que é impróprio ou inadequado e o que é proibido para menores, usando as definições do Decreto 12.880/2026. O método de aferição de idade exigido depende dessa classificação.
- Escolher o mecanismo de idade e documentar a escolha. Para risco alto, verificação por documento ou base oficial; para risco baixo, estimativa. Registre por que o método é proporcional, quais dados coleta e por quanto tempo guarda. Esse registro é a sua defesa num processo administrativo.
- Integrar o sinal de idade. Se o produto roda em iOS, Android ou Windows, prepare a aplicação para consumir o sinal de idade do sistema operacional e da loja, e para reagir a ele (bloquear conteúdo, ativar supervisão parental, desligar publicidade personalizada).
- Revisar monetização e design. Publicidade por perfilamento, caixas de recompensa, nudges de tempo de uso e padrões escuros em contas de menores precisam sair ou ser condicionados à idade. Configuração padrão no nível mais protetivo, conforme o art. 17, § 4º.
E um alerta sobre o tempo: o período de adaptação previsto pela ANPD vai até novembro de 2026, e projeto de verificação de idade com fornecedor externo e integração de API não se faz em duas semanas. Quem começar em dezembro entra em 2027 com um cronograma, não com uma solução.
Um exemplo para visualizar
Pense numa startup brasileira de jogos mobile, hipotética, com um título gratuito de classificação livre, 2 milhões de contas cadastradas, faturamento de R$ 30 milhões no ano anterior e receita baseada em compras internas e anúncios. O cadastro pede e-mail e data de nascimento digitada. O jogo tem baús com itens aleatórios comprados com moeda virtual, e a rede de anúncios segmenta por comportamento.
Pela régua do ECA Digital, essa empresa tem três problemas distintos:
- a data de nascimento digitada é autodeclaração, vedada pelo art. 9º, § 1º, para o que for conteúdo impróprio, e não serve como mecanismo de aferição;
- os baús com itens aleatórios são caixas de recompensa, vedadas pelo art. 20 em jogo de acesso provável por crianças;
- a segmentação de anúncios por comportamento é perfilamento para publicidade, vedado pelos arts. 22 e 26 quando atinge menores.
No pior cenário, são três infrações, cada uma com multa de até 10% de R$ 30 milhões, ou seja, até R$ 3 milhões por infração, bem abaixo do teto de R$ 50 milhões. O teto só morde grupos grandes; para a maioria das empresas brasileiras, o que morde é o percentual.
No cenário realista, uma empresa que procura a agência com um plano em execução antes de janeiro tende a receber advertência com prazo de adequação, não multa. A diferença entre os dois cenários não está na lei; está no que a empresa fez nos meses anteriores.
Conclusão: 2027 não é o prazo, é a cobrança
A informação da manchete é verdadeira, mas a leitura correta é outra. A ANPD não anunciou em outubro que vai começar a fiscalizar em 2027; ela disse isso em março, quando a lei entrou em vigor, e vem cumprindo o cronograma desde então: monitorou lojas e sistemas operacionais, publicou orientações preliminares sobre idade e prometeu o regulamento de sanções antes da virada. O que acontece em janeiro é o fim da tolerância, não o início da obrigação.
A multa de até 10% do faturamento, com teto de R$ 50 milhões por infração, está no art. 35 e vale desde março. O que falta é a régua de dosimetria, e a agência já sinalizou que vai graduar pelo porte, pela gravidade e pela boa-fé. Para quem constrói produto digital no Brasil, a conclusão é simples: o custo de se adequar agora é um projeto; o custo de não se adequar é um processo.
Deixe seu comentário abaixo: a sua empresa, ou o seu cliente, já escolheu o mecanismo de verificação de idade, ou ainda está esperando o guia definitivo da ANPD para decidir?
Perguntas frequentes
O ECA Digital já está em vigor?
Sim. A Lei 15.211/2025 entrou em vigor em 17 de março de 2026 e foi regulamentada pelo Decreto 12.880/2026. O que a ANPD marcou para janeiro de 2027 é o início dos ciclos sistemáticos de monitoramento e fiscalização, não o início das obrigações.
Qual é o valor máximo da multa do ECA Digital?
Até 10% do faturamento do grupo econômico no Brasil no último exercício ou, sem faturamento, de R$ 10 a R$ 1.000 por usuário cadastrado, limitada no total a R$ 50 milhões por infração, com atualização anual pelo IPCA. Está no art. 35, II, da lei.
A ANPD pode tirar um aplicativo do ar?
Não diretamente. A ANPD aplica advertência e multa. Suspensão temporária e proibição das atividades são decididas pelo Poder Judiciário e executadas por ordem de bloqueio às operadoras, conforme o art. 35, §§ 5º e 6º.
Pedir a data de nascimento no cadastro resolve a verificação de idade?
Não. O art. 9º, § 1º, veda a autodeclaração para conteúdo impróprio ou proibido para menores. O mecanismo precisa ser confiável e proporcional ao risco, podendo ir da estimativa de idade até a verificação por documento, sempre com minimização de dados.
Conteúdo informativo, sem caráter de aconselhamento jurídico.
Receba a Pauta LawGeek
Uma curadoria do que muda em Direito e Tecnologia (IA, LGPD, cripto e legaltech), explicada na prática, direto no seu e-mail.
