O que empresas podem aprender com a proteção infantil digital no Brasil
Por Jhonathan Campos, Fundador
O ponto de partida do Brasil não é a regulação de plataformas. É o direito da criança e do adolescente. A Constituição estabelece o dever de assegurar seus direitos com absoluta prioridade e de protegê-los contra negligência, discriminação, exploração, violência, crueldade e opressão. Essa é a base jurídica e política da abordagem brasileira, inclusive em ambientes digitais.
A Lei nº 15.211/2025, frequentemente chamada de Estatuto Digital da Criança e do Adolescente ou ECA Digital, segue a mesma lógica. Ela não trata crianças e adolescentes apenas como usuários, consumidores ou titulares de dados. Trata-os como pessoas em desenvolvimento cujos direitos precisam ser protegidos desde a concepção do produto. A lei transporta princípios centrais do Estatuto da Criança e do Adolescente, sobretudo o melhor interesse, a proteção integral e a vulnerabilidade relacionada ao desenvolvimento, para deveres aplicáveis a produtos digitais, serviços online e arquitetura de plataformas.
Por isso o modelo brasileiro não é uma lei restrita à moderação de conteúdo. Ele não se limita a remover conteúdo ilegal depois que o dano ocorreu. Exige que fornecedores considerem os riscos a crianças e adolescentes desde o desenho e durante toda a operação do produto ou serviço.
O momento de entrada em vigor é relevante. A Lei nº 15.211/2025 começou a produzir efeitos em março de 2026. O Decreto nº 12.880/2026 regulamenta a lei, institui a Política Nacional de Promoção e Proteção dos Direitos da Criança e do Adolescente no Ambiente Digital e autoriza a criação do Centro Nacional de Triagem de Denúncias. O decreto também atribui à ANPD a regulamentação e fiscalização do estatuto, sem afastar competências de outros órgãos do sistema de garantia de direitos.
A lógica do ECA e a opção brasileira por um estatuto digital
O artigo 1º da Lei nº 15.211/2025 alcança todo produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes no Brasil ou de acesso provável por eles, independentemente do local de desenvolvimento, fabricação, oferta, comercialização ou operação. O alcance territorial e funcional é amplo, mas sua execução continua dependente de mecanismos processuais, inclusive representação legal no Brasil e atuação das autoridades competentes.
A expressão acesso provável é um gatilho jurídico central, não uma frase casual. O artigo 1º define três situações: probabilidade suficiente de uso e atratividade para menores, facilidade considerável de acesso e uso, e risco significativo à privacidade, segurança ou ao desenvolvimento biopsicossocial. O último critério é especialmente relevante para produtos e serviços concebidos para interação social e compartilhamento de informações em grande escala. Portanto, a empresa não pode se apoiar apenas no público-alvo declarado quando o serviço é realisticamente acessível e atraente para menores e cria riscos relevantes.
O artigo 2º define produto ou serviço de tecnologia da informação de forma ampla. Inclui aplicações de internet, programas, software, sistemas operacionais de terminais, lojas de aplicativos, jogos eletrônicos e serviços conectados semelhantes. Redes sociais são aplicações cuja finalidade principal é compartilhar e disseminar opiniões e informações em texto, imagem, áudio ou arquivos audiovisuais por meio de contas conectadas ou acessíveis de forma articulada.
A lei também estabelece limites. Infraestruturas técnicas essenciais, como protocolos e padrões abertos que permitem a interconexão de redes, não recebem o mesmo tratamento de aplicações e serviços voltados ao consumidor.
Proporcionalidade é um ponto decisivo para compliance. O artigo 39 determina que várias obrigações sejam aplicadas de acordo com as características e funcionalidades do produto, o grau de interferência do fornecedor sobre o conteúdo, o número de usuários e o porte do fornecedor. O estatuto não cria uma obrigação uniforme para todos. Os deveres acompanham risco, função e capacidade operacional.
O artigo 39 também oferece um caminho condicionado para determinados fornecedores com controle editorial ou conteúdo protegido por direitos autorais previamente licenciado. Eles precisam cumprir classificação indicativa, transparência, ferramentas de mediação parental e canais de reclamação. Isso não deve ser descrito como isenção geral. É uma regra condicionada a requisitos específicos.
Pelo artigo 40, fornecedores estrangeiros devem manter representante legal no Brasil com poderes para receber citações e intimações, responder perante autoridades administrativas, Judiciário e Ministério Público, e assumir responsabilidades no país. Esse é um dos mecanismos que tornam o amplo escopo operacionalmente exigível.
As obrigações centrais e o que o decreto acrescenta
O estatuto parte de uma premissa simples: se crianças e adolescentes estão realisticamente ao alcance do produto, sua proteção precisa fazer parte do serviço. Termos de uso, avisos e moderação apenas reativa não bastam.
O artigo 3º cria o dever básico. Produtos e serviços no escopo devem priorizar a proteção de crianças e adolescentes, adotar seu melhor interesse como parâmetro e aplicar medidas adequadas e proporcionais para assegurar alto nível de privacidade, proteção de dados pessoais e segurança. O dispositivo conecta o estatuto diretamente aos marcos do ECA e da LGPD.
O artigo também reconhece o papel de pais e responsáveis legais e a necessidade de cuidado ativo e contínuo, inclusive por ferramentas de supervisão parental adequadas à idade e ao estágio de desenvolvimento.
O artigo 4º identifica os valores protegidos. Ele trata menores como pessoas em desenvolvimento e enfatiza segurança contra intimidação e violência, respeito à autonomia progressiva, proteção contra exploração comercial, transparência e responsabilidade no tratamento de dados pessoais.
O artigo 5º liga prevenção, proteção, informação e segurança. Fornecedores devem adotar medidas técnicas adequadas, inclusive mecanismos de segurança amplamente reconhecidos, para que famílias e responsáveis possam prevenir acesso e uso inadequados. O melhor interesse no ambiente digital inclui privacidade, segurança, saúde mental e física, acesso à informação, liberdade de participação, acesso significativo às tecnologias digitais e bem-estar.
O artigo 6º é uma das disposições mais importantes. Em vez de usar referências vagas a danos online, ele enumera riscos. Os fornecedores devem adotar medidas razoáveis desde a concepção e durante a operação para prevenir e mitigar acesso, exposição, recomendação ou facilitação de contato com situações nocivas. A lista inclui exploração e abuso sexual, violência física, cyberbullying, assédio, conteúdo que induza ou auxilie conduta prejudicial à saúde física ou mental, jogos de azar, apostas de quota fixa, loterias, tabaco, álcool, entorpecentes e outros produtos proibidos a menores, publicidade predatória, desleal ou enganosa, práticas conhecidas por causar dano financeiro e conteúdo pornográfico. São categorias da lei, não exemplos livres de política interna.
O artigo 7º transforma proteção em configuração padrão. Desde a concepção, o serviço deve oferecer por padrão a configuração mais protetiva disponível para privacidade e dados pessoais, considerando autonomia progressiva e melhor interesse. Se houver opções menos protetivas, o fornecedor deve apresentar informação clara, acessível e adequada para uma escolha informada. Também deve deixar de tratar dados pessoais de menores quando o tratamento cause, facilite ou contribua para violação da privacidade ou de outros direitos legalmente protegidos.
O artigo 8º é a regra de engenharia e governança de produto. Ele exige gestão dos riscos de recursos, funcionalidades e sistemas e de seus impactos sobre segurança e saúde. Também demanda avaliação de conteúdo por idade e classificação indicativa, sistemas para impedir contato com conteúdo ilegal, pornográfico ou manifestamente inadequado, desenho e configurações que evitem uso compulsivo e informação ampla sobre a faixa etária no momento do acesso.
O decreto operacionaliza vários desses deveres. Ele define incentivos ao uso excessivo, problemático ou compulsivo, como ocultar pontos naturais de parada, carregar conteúdo novo automaticamente sem solicitação, recompensar o tempo de uso e enviar notificações em excesso. A ANPD deve estabelecer requisitos mínimos de segurança por padrão e agir contra práticas manipulativas, enganosas ou coercitivas. São arquiteturas de escolha que interferem na autonomia ou exploram vulnerabilidades cognitivas e etárias, inclusive ocultando ou dificultando controles de privacidade, supervisão parental, consentimento ou revogação de permissões.
Uma inovação relevante do decreto é tratar expressamente sistemas interativos em linguagem natural, inclusive modelos de linguagem, agentes conversacionais e interfaces semelhantes, quando direcionados a menores ou provavelmente acessados por eles. Os fornecedores devem informar que a interação é sintética e automatizada, prevenir manipulação comportamental, avaliar risco algorítmico para segurança e saúde e implementar salvaguardas ao desenvolvimento físico, mental e psicossocial. A ANPD regulamenta e fiscaliza essa obrigação.
Verificação de idade como infraestrutura
O Brasil adotou um modelo mais orientado a infraestrutura do que muitas jurisdições. O artigo 9º proíbe o acesso de crianças e adolescentes a conteúdo, produto ou serviço cuja oferta ou acesso seja impróprio, inadequado ou proibido para menores de 18 anos. Os fornecedores devem adotar medidas efetivas para impedir esse acesso dentro de seus produtos e serviços.
A seção precisa ser lida com precisão. O estatuto cria a obrigação e o decreto acrescenta detalhes. O artigo 9º exige mecanismos confiáveis de verificação de idade a cada acesso ao conteúdo, produto ou serviço abrangido pelo próprio artigo e veda a autodeclaração para essa finalidade. Isso não equivale a uma verificação universal em todo acesso a qualquer serviço digital. O gatilho é o acesso a ofertas impróprias, inadequadas ou legalmente proibidas para menores. Em conteúdo pornográfico, os provedores de aplicações também devem impedir a criação de conta ou perfil por crianças e adolescentes.
Os artigos 10 e 11 apoiam experiências adequadas à idade e permitem que autoridades regulamentem, certifiquem ou promovam soluções de verificação, respeitando legalidade, privacidade, direitos fundamentais, participação social e transparência.
O artigo 12 é uma das partes mais inovadoras. Lojas de aplicativos e sistemas operacionais devem implementar estimativa de idade proporcional, auditável e tecnicamente segura, permitir configuração voluntária de supervisão parental e fornecer um sinal de idade por uma API segura e privada por padrão, apenas para fins de conformidade. O estatuto proíbe o compartilhamento contínuo, automatizado e irrestrito de dados pessoais de menores. Downloads por menores exigem consentimento parental, e silêncio não presume autorização. Regulamentação adicional deverá tratar transparência, segurança e interoperabilidade.
O decreto limita o sinal de idade ao estritamente necessário para confirmar uma idade mínima. Data exata de nascimento, identidade civil e dados de perfil não podem fazer parte do sinal. Lojas e sistemas operacionais devem coletar a idade ou faixa etária declarada na criação da conta e então verificar por método confiável, preferencialmente com credenciais verificáveis. Também precisam oferecer contestação e correção, com resposta fundamentada em prazo razoável, e combater a criação de múltiplas contas para contornar a medida.
Há uma regra protetiva para divergências. Se o resultado da verificação feita pelo fornecedor não coincidir com o sinal da loja ou do sistema operacional, deve prevalecer a opção mais protetiva para a criança ou adolescente.
O artigo 13 restringe os dados da verificação àquela finalidade. No uso de documentos, o tratamento deve se limitar à idade ou faixa etária. Imagens ou cópias dos documentos não podem ser armazenadas e devem ser eliminadas imediata e irreversivelmente depois da captura.
O decreto abre dois caminhos de política pública. O ministério responsável pela gestão pública pode disponibilizar soluções gratuitas de verificação de idade aos cidadãos. A ANPD deve definir etapas de implementação para promover um ecossistema interoperável de soluções públicas e privadas que preserve a escolha do usuário, publicar recomendações e priorizar fiscalização conforme o risco a crianças e adolescentes.
Publicidade, monetização e jogos
O artigo 22 proíbe técnicas de perfilamento para direcionar publicidade comercial a crianças e adolescentes. Também proíbe análise emocional, realidade aumentada, realidade estendida e realidade virtual para essa finalidade. O artigo 26 complementa a regra ao vedar perfis comportamentais de menores baseados em dados pessoais, inclusive dados obtidos na verificação de idade, para publicidade comercial direcionada.
O decreto reforça esses limites e obriga fornecedores que ofereçam publicidade ou sua distribuição a menores a impedir perfilamento e as técnicas imersivas ou emocionais mencionadas.
O artigo 23 proíbe monetizar e impulsionar conteúdo que retrate crianças e adolescentes de forma erotizada, sexualmente sugestiva ou em contexto sexual adulto. O decreto acrescenta conteúdo que os exponha a situações violadoras, vexatórias ou degradantes e conecta o dever ao catálogo de riscos do estatuto.
Conteúdo de influenciadores recebe uma regra adicional. Quando monetizado ou impulsionado e baseado de forma habitual na imagem ou rotina de uma criança ou adolescente, o fornecedor deve exigir autorização judicial emitida nos termos do ECA. Na ausência, deve remover o conteúdo. A obrigação alcança monetização ou impulsionamento iniciados após o período de transição do decreto. O texto ainda prevê coordenação com o Conselho Nacional de Justiça e o Conselho Nacional do Ministério Público.
Nos jogos, o artigo 20 estabelece uma regra direta. Loot boxes são proibidas em jogos eletrônicos direcionados a crianças e adolescentes ou provavelmente acessados por eles conforme a classificação indicativa aplicável. É uma restrição ao modelo de negócio, não apenas um dever de transparência.
Denúncia, remoção e escalonamento estruturado
O estatuto combina deveres diretos dos fornecedores, acionamento do sistema de proteção e escalonamento para investigação criminal.
O artigo 27 trata de violações graves. O fornecedor deve remover e comunicar a autoridades nacionais e internacionais competentes o conteúdo detectado que indique aparente exploração, abuso sexual, sequestro ou aliciamento. Isso não deve ser generalizado como obrigação de denunciar qualquer conteúdo problemático. A regra está vinculada a categorias graves específicas.
O conteúdo e os dados associados ao usuário denunciado devem ser preservados pelo período relacionado à regra do Marco Civil da Internet sobre guarda de registros de acesso a aplicações, com possibilidade de extensão pelo mecanismo legal aplicável.
O decreto centraliza parte do fluxo. A Polícia Federal é a autoridade competente para receber, processar, triar e gerenciar essas denúncias. O Centro Nacional de Triagem pode receber, validar e armazenar relatos, identificar suspeitos, disponibilizar as informações à polícia investigativa e produzir estatísticas periódicas de transparência por fornecedor.
Uma regra de eficiência transfronteiriça evita duplicidade. O fornecedor fica dispensado de repetir uma denúncia idêntica já enviada a canal estrangeiro de triagem disponível às autoridades brasileiras. Depois que o relato estrangeiro for processado, validado e disponibilizado à Polícia Federal, ele será tratado, para fins legais e probatórios, como uma denúncia apresentada diretamente ao centro nacional.
O artigo 28 alcança outras violações de direitos. Os fornecedores precisam oferecer mecanismos ao usuário para notificar violações e, quando cabível, informar as autoridades competentes para que a investigação seja iniciada conforme regulamentação.
O artigo 29 cria um dever forte de remoção por notificação em nome da proteção integral. O fornecedor deve remover conteúdo violador quando informado de seu caráter ofensivo pela vítima, representantes, Ministério Público ou entidades representativas de defesa dos direitos de crianças, sem exigir ordem judicial. Não é um poder ilimitado de remoção. A obrigação funciona em um procedimento definido e com salvaguardas.
A notificação deve conter identificadores técnicos do conteúdo específico e identificar o notificante. Denúncia anônima é proibida. O mecanismo precisa ser público e de fácil acesso. Conteúdo jornalístico e submetido a controle editorial fica fora desse procedimento.
O artigo 30 acrescenta devido processo. A pessoa que publicou deve receber aviso, razões e justificativa, informação sobre análise humana ou automatizada, acesso a recurso e prazos para recorrer e obter resposta.
O decreto cria um mecanismo funcionalmente parecido, mas juridicamente diferente, dos sinalizadores de confiança do DSA europeu. A ANPD pode credenciar entidades representativas para notificar nos termos do artigo 29. Elas devem demonstrar experiência, independência dos fornecedores, procedimentos de qualidade e imparcialidade e ausência de finalidade lucrativa. A ANPD pode suspender entidades por desvio de missão ou notificações abusivas.
O estatuto antecipa o abuso das ferramentas. O artigo 32 exige mecanismos efetivos para identificar uso abusivo e prevenir censura, perseguição ou outras práticas ilegais. O artigo 33 exige informação clara sobre hipóteses de abuso e sanções, como suspensão temporária, cancelamento da conta em caso grave ou repetido e comunicação às autoridades diante de indícios de crime ou violação de direitos.
Fiscalização, sanções e o limite contra vigilância excessiva
O estatuto se refere a uma autoridade administrativa autônoma para proteção de direitos digitais de crianças e adolescentes. O decreto atribui a regulamentação e fiscalização à ANPD sem afastar competências de outros órgãos do sistema de proteção.
Entre as tarefas concretas da ANPD estão requisitos de segurança por padrão, atuação contra desenho manipulativo, certificação de verificação de idade e medidas contra contorno, supervisão das entidades credenciadas e fiscalização das avaliações de impacto.
O decreto também cria coordenação política e administrativa. Um comitê intersetorial deverá coordenar, implementar, monitorar, avaliar e revisar a política nacional. ANPD, Conselho Nacional dos Direitos da Criança e do Adolescente e diversos ministérios participam. O Brasil trata a proteção infantil online como política pública intersetorial, não apenas como um tema de comunicação ou plataformas.
O artigo 35 estabelece as sanções: advertência com até 30 dias para medidas corretivas, multa simples, suspensão temporária das atividades e proibição de exercício. A multa pode chegar a dez por cento do faturamento do grupo econômico no Brasil no exercício anterior. Quando não houver faturamento, a lei permite de R$ 10 a R$ 1.000 por usuário cadastrado, limitada ao total de R$ 50 milhões por infração.
É preciso descrever a competência com precisão. Advertência e multa são aplicadas pela autoridade administrativa autônoma em processo administrativo com devido processo, ampla defesa e contraditório. Suspensão e proibição são medidas mais graves e devem observar as salvaguardas legais e processuais próprias. Não seria correto atribuir à autoridade, de forma genérica, poder direto e irrestrito sobre todas as sanções.
Os critérios de gradação incluem proporcionalidade e razoabilidade, gravidade e motivos da infração, extensão do dano individual e coletivo, reincidência, capacidade econômica, finalidade social do fornecedor e impacto sobre o fluxo de informações no país. Para empresas estrangeiras, filiais e outras entidades locais podem responder solidariamente pela multa.
O processo se conecta ao modelo de infrações administrativas do ECA. Ordens de suspensão e proibição também podem ser executadas tecnicamente. Se o infrator não cumprir, a medida pode alcançar prestadoras de telecomunicações, pontos de troca de tráfego, resolvedores de DNS e outros agentes que viabilizam a conexão.
Durante cinco anos, a receita de multas será direcionada ao Fundo Nacional para a Criança e o Adolescente e vinculada a políticas e projetos de proteção. Isso conecta a arrecadação ao sistema de direitos e não apenas à receita geral do Estado.
O artigo 37 introduz uma barreira importante. A regulamentação não pode impor, autorizar ou resultar em vigilância massiva, genérica ou indiscriminada. Também não pode comprometer liberdade de expressão, privacidade, proteção integral ou tratamento diferenciado dos dados de menores. Esse limite é essencial porque o modelo de verificação de idade é ambicioso. O marco insiste em minimização, finalidade específica e restrições ao conteúdo dos sinais de idade.
Danos regulados e interesses protegidos
O estatuto não cria uma lista simples de danos para responsabilidade civil. Ele identifica interesses protegidos e riscos regulados. A diferença é importante.
Os interesses incluem privacidade, segurança, saúde mental e física, bem-estar, acesso à informação, participação e acesso significativo às tecnologias. Os riscos incluem exploração e abuso sexual, violência, cyberbullying, conteúdo que facilite autolesão, jogos de azar e produtos proibidos por idade, práticas de dano financeiro, pornografia, desenho de uso compulsivo e arquiteturas manipulativas.
O decreto exige avaliações de impacto sobre segurança e saúde de crianças e adolescentes. Elas precisam identificar riscos, avaliar probabilidade e gravidade, definir medidas de mitigação e tratamento e monitorar sua eficácia. Uma versão resumida deve ser publicada em linguagem clara e acessível.
Essa é uma das consequências mais fortes do modelo brasileiro. Segurança infantil não pode permanecer uma declaração pública. A empresa precisa de identificação de risco, mitigação, monitoramento e evidência documentados.
Brasil e Europa: semelhanças e diferenças
Na Europa, a proteção infantil online está distribuída entre vários instrumentos. O Digital Services Act cria deveres horizontais para plataformas e governança de riscos sistêmicos. O GDPR contém princípios específicos e regras de consentimento para serviços da sociedade da informação. A Diretiva de Serviços de Comunicação Social Audiovisual exige proteção contra conteúdo audiovisual e vídeos gerados por usuários que prejudiquem o desenvolvimento. A defesa do consumidor também alcança jogos e moedas virtuais.
O artigo 28 do DSA é o ponto mais próximo, mas não idêntico. Plataformas acessíveis a menores devem adotar medidas adequadas e proporcionais para alto nível de privacidade, proteção e segurança. O DSA proíbe publicidade baseada em perfilamento com dados de menores quando a plataforma souber, com razoável certeza, que o destinatário é menor. Ao mesmo tempo, não obriga o tratamento de dados adicionais para descobrir a idade. As diretrizes da Comissão de 2025 confirmam a abordagem proporcional e essa barreira de privacidade.
O Brasil é mais prescritivo em áreas como verificação de idade, configurações protetivas, deveres de lojas e sistemas operacionais, loot boxes, monetização de conteúdo com menores e canais de denúncia de violações graves. O DSA é mais desenvolvido como sistema horizontal de governança, especialmente em notificação e ação, declarações de motivos, reclamação interna, sinalizadores de confiança, transparência publicitária e risco sistêmico.
Na publicidade, o Brasil também vai além em alguns pontos. O DSA proíbe anúncios baseados em perfilamento quando há certeza razoável de que o usuário é menor. O ECA Digital proíbe técnicas de perfilamento para publicidade comercial direcionada a crianças e adolescentes e inclui dados provenientes da verificação de idade.
O artigo 25 do DSA proíbe interfaces concebidas ou operadas de forma a enganar, manipular ou prejudicar substancialmente decisões livres e informadas. O decreto brasileiro é específico para menores: abrange exploração de vulnerabilidades cognitivas e etárias e obstáculos a controles de privacidade, supervisão parental, consentimento e revogação. As preocupações são alinhadas, mas os regimes jurídicos são diferentes.
Em notificação, remoção e devido processo, o DSA é mais detalhado. O Brasil cria um dever de remoção sem ordem judicial em casos definidos de direitos infantojuvenis, mas exige identificação do notificante, identificadores técnicos, aviso ao usuário e recurso. O modelo brasileiro se ancora diretamente na proteção infantil; o DSA é horizontal.
Ambos exigem representante local de fornecedores estrangeiros. O DSA obriga prestadores de fora da União que oferecem serviços na Europa. O artigo 40 exige representante no Brasil com poderes para receber processos e responder a autoridades administrativas, Judiciário e Ministério Público.
As sanções também diferem. O DSA admite multas máximas de até seis por cento do faturamento mundial anual. O Brasil prevê até dez por cento do faturamento do grupo no país, sujeito ao limite legal, além de suspensão e proibição de operação.
A Diretiva de Serviços de Comunicação Social Audiovisual exige que plataformas de compartilhamento de vídeo adotem medidas adequadas para proteger menores de programas e vídeos que prejudiquem seu desenvolvimento físico, mental ou moral. Podem ser usados canais de denúncia, verificação de idade e controles parentais. Dados de menores coletados ou gerados nesses processos não podem ser tratados para fins comerciais, inclusive marketing direto, perfilamento e publicidade comportamental.
Em jogos, a União Europeia avançou sobretudo por fiscalização de defesa do consumidor, pressão política e orientações. A Comissão e a rede CPC abordaram moedas virtuais e vulnerabilidade de consumidores, especialmente crianças. O Parlamento pediu ações sobre loot boxes e mecanismos aleatórios semelhantes a jogos de azar. Isso não é o mesmo que a proibição legal brasileira em jogos direcionados a menores ou provavelmente acessados por eles.
A lição brasileira é direta: quando uma funcionalidade é considerada previsivelmente nociva, a lei pode proibi-la em vez de apenas exigir transparência. A contrapartida é a necessidade de implementação, classificação e fiscalização cuidadosas. O Brasil procura tratar isso pela classificação indicativa e pelo detalhamento regulamentar.
Por que os litígios recentes nos Estados Unidos são relevantes
A política global está mudando porque tribunais começam a tratar desenho viciante e omissões de segurança como problemas de produto, não apenas de moderação de conteúdo.
Em março de 2026, um júri em Los Angeles considerou Meta e Google negligentes em um caso de referência sobre dependência de redes sociais e danos relacionados ao uso de Instagram e YouTube por uma autora que era menor no período relevante. A Reuters informou indenização total de US$ 6 milhões, dos quais US$ 4,2 milhões atribuídos à Meta e US$ 1,8 milhão ao Google. O resultado deve ser descrito com cautela processual porque as empresas anunciaram intenção de recorrer e medidas posteriores podem alterá-lo.
Segundo a Reuters, o caso serve de referência para milhares de ações semelhantes consolidadas na Califórnia. Outro veredito, no Novo México, considerou a Meta responsável sob a lei estadual de proteção do consumidor em relação à segurança infantil. O Departamento de Justiça do estado anunciou US$ 375 milhões em penalidades civis. Esse resultado também faz parte de um cenário em evolução, não de uma norma jurídica universal e definitiva.
Os vereditos norte-americanos não definem a lei brasileira. Eles mostram o mesmo movimento: escolhas de design passam a ser tratadas como possíveis fontes de dano infantil. O ECA Digital já desloca a pergunta do conteúdo hospedado para as decisões de produto que criaram ou deixaram de mitigar riscos previsíveis. O artigo 8º, os deveres de evitar uso compulsivo, as restrições de perfilamento e monetização e as regras contra arquitetura manipulativa codificam essa mudança.
Um programa defensável combina governança próxima à segurança de produto, proteção de dados e direitos da criança. Inclui risco documentado, verificação de idade, configurações protetivas, supervisão parental quando aplicável, limites ao perfilamento e à monetização, fluxos claros de denúncia, devido processo na remoção e evidência de monitoramento contínuo.
Considerações de compliance para 2026
Para empresas que operam no Brasil ou tornam serviços digitais realisticamente acessíveis a menores no país, a primeira pergunta não é se o serviço foi criado para crianças. É se crianças e adolescentes provavelmente o acessarão e se o produto cria risco relevante à privacidade, segurança ou ao desenvolvimento biopsicossocial.
A segunda pergunta é se a organização consegue demonstrar o que fez. Estatuto e decreto exigem mais do que texto de política. Exigem sistemas, configurações, controles, avaliações de risco, mecanismos de denúncia e estruturas de supervisão.
Um programa sério inclui avaliação de escopo pelos testes de direcionamento e acesso provável; avaliação de impacto à segurança e saúde; verificação de idade com minimização de dados; configurações protetivas de privacidade e segurança; supervisão parental quando aplicável; revisão de publicidade, perfilamento e monetização; análise de mecânicas de jogo, especialmente loot boxes; procedimentos de denúncia e escalonamento para casos graves do artigo 27; notificação, remoção e recurso nos artigos 29 e 30; controles contra denúncias abusivas; representação legal no Brasil para fornecedores estrangeiros; e arquivos de evidência sobre decisões, riscos, configurações, notificações, recursos e mitigação.
A força do modelo brasileiro é não deixar a proteção apenas para depois do dano. Desenho, padrão, monetização e verificação de idade integram o dever legal. Esse também é seu maior desafio. Com fiscalização fraca, pode virar formalidade. Com execução séria, pode ser um dos regimes de proteção infantil digital mais exigentes do mundo em termos operacionais.
Apêndice: fontes e bibliografia
- Constituição da República Federativa do Brasil, artigo 227
- Lei nº 8.069/1990, Estatuto da Criança e do Adolescente
- Lei nº 15.211/2025, ECA Digital
- Decreto nº 12.880/2026
- Lei nº 12.965/2014, Marco Civil da Internet
- Lei nº 13.709/2018, LGPD
- Digital Services Act, Regulamento (UE) 2022/2065
- Diretrizes da Comissão Europeia para proteção de menores pelo artigo 28 do DSA
- Regulamento Geral sobre a Proteção de Dados, Regulamento (UE) 2016/679
- Diretiva de Serviços de Comunicação Social Audiovisual
A seção sobre os Estados Unidos usa de forma complementar reportagens da Reuters e materiais do Departamento de Justiça do Novo México. Essas fontes secundárias sustentam apenas o contexto processual, não a interpretação do direito brasileiro.