A quem se aplica o ECA Digital? Os avanços do novo Guia Orientativo da ANPD

No dia 30 de abril de 2026, a Agência Nacional de Proteção de Dados (ANPD) abriu uma tomada de subsídios sobre a minuta do Guia Orientativo “Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital”. Após o processo de participação social, que contou com contribuições de diferentes setores, incluindo a Data Privacy Brasil, a autoridade publicou, em 28 de outubro, a versão final do documento.

A publicação representa mais uma etapa da implementação da Lei nº 15.211/2025, conhecida como ECA Digital, em vigor desde março de 2026. A legislação introduziu novos conceitos e obrigações para a proteção de crianças e adolescentes em ambientes digitais, o que também trouxe dúvidas sobre seu alcance e sobre as responsabilidades dos diferentes fornecedores. Entre esses conceitos está o de acesso provável, incorporado ao texto legislativo durante sua tramitação no Congresso Nacional e que dialoga com a experiência regulatória britânica.

Embora não possua natureza normativa, diferentemente de uma resolução, o Guia cumpre uma função importante ao tornar pública a interpretação da ANPD sobre determinados dispositivos legais. O documento se concentra, principalmente, nos dois primeiros capítulos do ECA Digital, buscando responder a duas perguntas: a quem a legislação se aplica e como devem ser compreendidos os deveres de prevenção, proteção, informação e segurança previstos no art. 5º.

A escolha por apresentar exemplos, tabelas explicativas e fluxogramas também merece reconhecimento. A ANPD retoma uma estratégia utilizada em outros guias orientativos relacionados à Lei Geral de Proteção de Dados Pessoais (LGPD), como o Guia de Agentes de Tratamento. Esses materiais ajudam a traduzir conceitos jurídicos para situações concretas e oferecem maior previsibilidade aos agentes regulados sobre a interpretação adotada pela autoridade.

Acesso provável: mais clareza sobre quem deve cumprir a lei

Uma das principais contribuições do Guia está na delimitação do conceito de acesso provável, previsto no art. 1º, parágrafo único, do ECA Digital. Trata-se de um critério para identificar quais produtos e serviços estão sujeitos à legislação, mesmo quando não são expressamente direcionados a crianças e adolescentes.

Isso significa que o acesso provável não corresponde a uma categoria específica de aplicação, como uma rede social ou um jogo eletrônico. O conceito funciona como um critério de incidência da lei, que considera as condições concretas de utilização de determinado produto ou serviço pelo público infantojuvenil.

A ANPD esclarece que a análise deve considerar três requisitos previstos no art. 1º: a suficiente probabilidade de uso e atratividade, a considerável facilidade de acesso e utilização e o significativo grau de risco à privacidade, à segurança ou ao desenvolvimento biopsicossocial de crianças e adolescentes.

O Guia também reconhece que a atratividade de um serviço não depende exclusivamente da presença de conteúdos explicitamente infantis. Recursos como gamificação, recompensas, notificações, rankings, influenciadores e mecanismos de personalização podem contribuir para tornar um ambiente digital atrativo a crianças e adolescentes, mesmo quando o fornecedor declara que seu público-alvo é adulto.

Outro avanço é o reconhecimento de que determinadas categorias de fornecedores possuem presunção de acesso provável, conforme a interpretação sistemática do ECA Digital e do Decreto nº 12.880/2026. Entre elas estão redes sociais, lojas de aplicativos, sistemas operacionais, jogos eletrônicos, serviços com controle editorial, provedores de conteúdo adulto, sistemas de inteligência artificial generativa e plataformas de comércio eletrônico que intermedeiem a comercialização de produtos e serviços proibidos para crianças e adolescentes.

Nessas hipóteses, o Guia estabelece que, como regra geral, não é necessário realizar previamente o teste de acesso provável. A presunção poderá ser afastada, mas apenas mediante fundamentação baseada nas características concretas do serviço e nos requisitos legais.

A ANPD também esclarece que a autoavaliação do fornecedor não vincula a autoridade, que poderá determinar um enquadramento diferente. Portanto, não basta uma empresa declarar, em seus termos de uso, que determinada aplicação é destinada exclusivamente a adultos. Da mesma forma, a implementação de mecanismos de aferição de idade não pode ser utilizada, por si só, para afastar a incidência do ECA Digital.

Essa interpretação converge com uma das principais preocupações apresentadas pela Data Privacy Brasil em sua contribuição à tomada de subsídios: evitar que classificações formais de público-alvo ou declarações unilaterais dos fornecedores sejam utilizadas para afastar responsabilidades previstas na legislação.

O reconhecimento do acesso provável como critério material também permite considerar a realidade de serviços generalistas, amplamente utilizados por crianças e adolescentes, sem restringir a proteção àqueles desenvolvidos especificamente para esse público.

Responsabilidades que vão além das redes sociais

Outro aspecto positivo é a interpretação ampla e funcional do conceito de fornecedor de produtos ou serviços de tecnologia da informação.

Nos termos do art. 2º, inciso I, do ECA Digital, essa definição compreende produtos e serviços fornecidos à distância, por meio eletrônico e mediante requisição individual. A ANPD esclarece que atividades como serviços de mensageria, marketplaces e dispositivos conectados podem estar abrangidas pela legislação, desde que atendam aos critérios legais, ainda que não estejam expressamente mencionadas entre as categorias de fornecedores.

A análise também considera a finalidade e o funcionamento dos serviços, e não apenas a tecnologia utilizada ou a denominação comercial adotada. Essa interpretação permite que a aplicação da lei acompanhe o surgimento de novas funcionalidades e modelos de negócio, sem depender de uma lista fechada de tecnologias.

O Guia também reconhece o papel estrutural das lojas de aplicativos e dos sistemas operacionais na implementação do ECA Digital. Esses agentes ocupam posições importantes na cadeia digital, funcionando como pontos de conexão entre desenvolvedores e usuários finais.

Por essa razão, possuem obrigações específicas, como a adoção de mecanismos proporcionais e seguros de aferição etária, o fornecimento de sinais de idade aos provedores de aplicações e a disponibilização de mecanismos para o consentimento dos responsáveis legais, nos termos do art. 12 da Lei.

A ANPD também destaca a necessidade de proteção contra a exploração comercial, incluindo a adoção de barreiras eficazes para impedir operações contratuais ou financeiras realizadas por crianças e adolescentes sem a supervisão, representação ou assistência legalmente exigida.

Ao reconhecer essas diferentes posições na cadeia digital, o Guia contribui para uma compreensão das responsabilidades que não se limita às plataformas de redes sociais. Ainda há espaço para aprofundar como os deveres devem ser distribuídos entre os diferentes agentes, especialmente quando sistemas operacionais, lojas de aplicações e desenvolvedores possuem capacidades distintas de intervenção sobre o funcionamento dos serviços.

A prevenção como responsabilidade permanente dos fornecedores

Além de esclarecer o âmbito de aplicação da lei, o Guia dedica parte importante de sua análise ao dever de prevenção, previsto no art. 5º do ECA Digital.

A ANPD organiza esse dever em quatro dimensões complementares: prevenção em sentido estrito, proteção, informação e segurança. Essa interpretação reforça que o cumprimento da legislação não se limita à retirada de conteúdos prejudiciais ou à resposta a violações já identificadas.

Os arts. 6º, 7º e 8º do ECA Digital exigem que os fornecedores adotem medidas desde a concepção de seus produtos e serviços. Isso inclui configurações de privacidade e proteção de dados no nível mais protetivo disponível por padrão, gerenciamento de riscos, adequação dos conteúdos às diferentes faixas etárias e adoção de padrões de design que evitem o uso compulsivo.

Nesse ponto, o Guia avança ao reconhecer que os riscos podem decorrer não apenas dos conteúdos disponibilizados, mas também das funcionalidades, da arquitetura dos sistemas, dos mecanismos de recomendação e das estratégias de engajamento utilizadas pelas plataformas.

A ANPD também destaca a necessidade de documentar e demonstrar a eficácia das medidas implementadas, inclusive por meio de testes, dados e métricas que permitam acompanhar os resultados obtidos. Assim, o cumprimento dos deveres legais não se resume à existência formal de políticas internas ou ferramentas de segurança, mas envolve a avaliação contínua de seu funcionamento.

Essa interpretação está alinhada à posição da Data Privacy Brasil de que a proteção de crianças e adolescentes deve ser incorporada ao desenho e à operação dos serviços digitais, considerando os riscos decorrentes de seus modelos de negócio, suas funcionalidades e suas práticas de tratamento de dados pessoais.

O Guia também destaca que a aplicação das obrigações deve observar critérios de proporcionalidade. Conforme os arts. 34, § 2º, e 39 do ECA Digital, devem ser consideradas características como a natureza do serviço, seu modelo de negócio, o número de usuários, o porte do fornecedor e sua capacidade de interferir nos conteúdos disponibilizados. Essa abordagem permite reconhecer as diferenças entre grandes plataformas comerciais e serviços de natureza educativa, profissional ou de interesse público, sem afastar a responsabilidade pela proteção de crianças e adolescentes.

O que ainda pode ser aperfeiçoado?

Apesar dos avanços, algumas questões permanecem abertas. A principal delas diz respeito à interpretação do significativo grau de risco como requisito para caracterização do acesso provável.

No artigo O conceito jurídico de acesso provável no ECA Digital, Rodrigues, Mendonça e Zanatta defenderam que o risco significativo deveria funcionar principalmente como critério de calibração das obrigações, e não como requisito autônomo capaz de excluir determinados serviços do âmbito de aplicação da lei. A Data Privacy Brasil retomou esse argumento na tomada de subsídios, apontando que a exigência cumulativa dos três requisitos poderia permitir que fornecedores de serviços atrativos e facilmente acessíveis por crianças e adolescentes alegam ausência de risco significativo para afastar suas responsabilidades.

O Guia final, contudo, manteve a interpretação cumulativa prevista no art. 1º, parágrafo único. Embora a ANPD tenha estabelecido importantes salvaguardas, como as presunções de acesso provável para determinadas categorias e a impossibilidade de afastar a incidência da lei apenas com medidas de mitigação, entendemos que essa questão ainda merece acompanhamento. Também será importante aprofundar os parâmetros utilizados para avaliar os riscos e a eficácia das medidas adotadas pelos fornecedores. O Guia recomenda a utilização de critérios claros, documentação técnica, testes e métricas, mas não estabelece parâmetros mais detalhados para essas avaliações. A definição de critérios verificáveis poderá contribuir tanto para a atuação fiscalizatória da ANPD quanto para a previsibilidade das obrigações dos regulados.

Outros temas, como os riscos específicos dos sistemas de inteligência artificial generativa, a distribuição de responsabilidades na cadeia digital e a participação de crianças e adolescentes nos processos de avaliação de riscos, também poderão ser desenvolvidos em futuras orientações da autoridade.

Um avanço na implementação do ECA Digital

A publicação do Guia Orientativo deve ser avaliada positivamente. Em uma legislação recente, com conceitos jurídicos novos e obrigações que alcançam diferentes modelos de serviços digitais, oferecer orientações claras sobre seu alcance constitui uma medida importante para sua implementação.

O documento avança ao reconhecer o caráter material do acesso provável, afastar a possibilidade de enquadramento baseado exclusivamente na autodeclaração dos fornecedores, esclarecer o papel de diferentes agentes da cadeia digital e desenvolver o significado dos deveres de prevenção, proteção, informação e segurança.

A experiência também demonstra a importância da participação social na construção das orientações da ANPD. Parte das preocupações apresentadas pela Data Privacy Brasil encontra correspondência no texto final, sobretudo quanto à análise do funcionamento concreto dos serviços, à relevância dos mecanismos de engajamento e à necessidade de demonstração da eficácia das medidas de proteção.

O próximo desafio será acompanhar como essas interpretações serão aplicadas nos casos concretos. A consolidação do ECA Digital depende não apenas da definição das obrigações legais, mas também de sua implementação pelos fornecedores e de uma atuação regulatória capaz de considerar as diferenças entre os serviços sem perder de vista a proteção integral e o melhor interesse de crianças e adolescentes.