A pergunta que donos de empresas de tecnologia, desenvolvedores e gestores de e-commerce fazem desde março ganhou resposta oficial: a minha empresa precisa cumprir o ECA Digital 2026? Em 28 de outubro de 2026, a ANPD publicou um guia orientativo que define quem é fornecedor sujeito à lei e quais obrigações nascem para cada perfil. Neste artigo, você entende o escopo, o conceito de acesso provável, as medidas exigidas e as multas previstas, sempre com base no documento oficial.
O que o guia da ANPD esclarece sobre o ECA Digital 2026
Em primeiro lugar, o contexto. A Lei 15.211/2025, conhecida como ECA Digital ou Lei Felca, foi sancionada em 17 de setembro de 2025 e está em vigor desde 17 de março de 2026. Além disso, o Decreto 12.880/2026 regulamenta a lei desde 18 de março de 2026 e institui a Política Nacional de Proteção dos Direitos de Crianças e Adolescentes no Ambiente Digital.
A fiscalização cabe à Autoridade Nacional de Proteção de Dados (ANPD), conforme o Decreto 12.622/2025. Por isso, coube à própria ANPD esclarecer o ponto que mais gerava dúvida no mercado: quem, afinal, está no escopo da lei.
O Guia Orientativo “Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital” foi publicado em 28 de outubro de 2026. Antes disso, a autarquia abriu tomada de subsídios entre abril e junho de 2026. O documento teve como relatora a diretora Lorena Giuberti Coutinho e coordenação do superintendente Lucas Borges.
Quem deve cumprir o ECA Digital: o conceito de fornecedor
Segundo o guia, responde à lei o fornecedor de produto ou serviço de tecnologia da informação que reúna três características ao mesmo tempo. São elas:
- Oferta à distância: o serviço é disponibilizado sem contato físico com o usuário.
- Funcionamento por meios eletrônicos: a operação depende de ambiente digital.
- Uso a partir de solicitação individual: o usuário aciona o serviço por iniciativa própria.
Na prática, o conceito alcança um universo amplo. De acordo com a ANPD, entram no radar redes sociais, aplicativos, lojas de aplicativos, plataformas de conteúdo, jogos, sistemas operacionais, serviços de mensageria e também o e-commerce.
Ou seja, a resposta para “quem deve cumprir o ECA Digital” passa sempre por esse filtro inicial. Contudo, estar no conceito de fornecedor é apenas o primeiro passo da análise.
Acesso provável: os três critérios analisados em conjunto
O ponto central do guia é o conceito de acesso provável. De acordo com o art. 1º da lei, a ANPD avalia três critérios de forma conjunta, e não isolada:
- Atratividade e probabilidade de uso: se o serviço tende a atrair crianças e adolescentes.
- Facilidade de acesso: se o público infantojuvenil consegue entrar e usar o serviço sem barreiras relevantes.
- Riscos significativos: se o uso oferece perigo concreto à privacidade, à segurança e ao desenvolvimento desse público.
Declarar público adulto não afasta a lei
Aqui está um dos alertas mais importantes do guia. Dizer nos termos de uso que o público-alvo é adulto não afasta a aplicação da lei. Isso porque a ANPD avalia as características reais do serviço, e não a declaração da empresa.
O guia ilustra o ponto com o exemplo do aplicativo que se apresenta como adulto, mas cujo design e cujas funcionalidades atraem adolescentes. Nesse caso, a autoridade considera o serviço de acesso provável, independentemente do rótulo.
Atenção: redes sociais, lojas de aplicativos e sistemas operacionais são, em regra, considerados de acesso provável pela ANPD. A presunção prática pesa contra esses modelos de negócio.
Verificação de idade não é salvo-conduto
Outro ponto que derruba uma interpretação comum: a verificação de idade não afasta as demais obrigações. Ela é uma das medidas esperadas, e não um passe livre. Portanto, mesmo quem já aferi a idade do usuário continua obrigado às demais dimensões do dever de prevenção.
O dever de prevenção em quatro dimensões
O guia organiza o dever de prevenção em quatro dimensões. Dessa forma, a atuação esperada é proativa, e não reativa: a empresa deve agir antes do dano, e não apenas responder depois.
As quatro dimensões do dever de prevenção
Prevenção
Antecipar riscos ao público infantojuvenil já no desenho do serviço.
Proteção
Adotar barreiras concretas contra conteúdos e contatos inadequados.
Informação
Comunicar riscos e regras de forma clara a usuários e responsáveis.
Segurança
Garantir medidas técnicas que protejam dados e a integridade do usuário.
Medidas concretas esperadas pela ANPD
Entre as medidas citadas, o guia destaca configurações de privacidade mais protetivas por padrão, aferição de idade, ferramentas de supervisão parental, moderação de conteúdo e medidas contra o uso compulsivo. Vale dizer que o art. 24 do Decreto 12.880/2026 trata especificamente dos mecanismos de aferição de idade.
Comprovação de eficácia
Ademais, não basta adotar a medida no papel. A empresa precisa comprovar a eficácia do que implementou. Nos casos previstos em lei, também entram em cena os relatórios de transparência, que documentam as ações de proteção adotadas.
Modulação por porte e obrigações de lojas de aplicativos
As obrigações não são idênticas para todos. Conforme o guia, a ANPD modula as exigências conforme o porte da empresa, o número de usuários e a capacidade de interferência no ambiente digital.
Assim, uma rede social de grande alcance, um aplicativo educativo de nicho e um serviço de streaming enfrentam níveis diferentes de exigência. Por outro lado, nenhum porte elimina o dever de prevenção quando há acesso provável.
O papel estrutural de sistemas operacionais e lojas de apps
Sistemas operacionais e lojas de aplicativos ocupam posição estrutural no ecossistema. Por isso, o guia lhes reserva obrigações específicas. A principal é o envio do sinal de idade aos aplicativos, mecanismo que informa ao app a faixa etária provável do usuário.
Com efeito, esses players funcionam como uma espécie de porta de entrada da conformidade. Sem o sinal de idade, os aplicativos teriam mais dificuldade para ajustar suas próprias proteções.
Sanções do art. 35 e fiscalização ativa da ANPD
O descumprimento do ECA Digital 2026 expõe o fornecedor às sanções do art. 35 da Lei 15.211/2025. Em resumo, a escala prevista é a seguinte:
| Sanção | Como funciona |
|---|---|
| Advertência | Aplicada com prazo corretivo para a empresa se adequar. |
| Multa simples | Até 10% do faturamento do grupo econômico no Brasil, com teto de R$ 50 milhões por infração. |
| Multa alternativa | De R$ 10 a R$ 1.000 por usuário cadastrado, para empresa sem faturamento declarado. |
| Suspensão temporária | Interrupção provisória das atividades envolvidas na infração. |
| Proibição de atividades | Vedação do exercício das atividades relacionadas à infração. |
Além disso, o art. 35, II, e seu parágrafo 2º preveem a solidariedade de filial ou sucursal de empresa estrangeira. Nesse sentido, grupos com sede fora do país não escapam da responsabilização por aqui.
A fiscalização já está em curso
O cenário não é teórico. Em agosto de 2026, a ANPD determinou a suspensão da funcionalidade Go Live do Discord no Brasil, como medida preventiva em processo de fiscalização. Antes, em 10 de junho de 2026, a autarquia iniciou o monitoramento de lojas de aplicativos e sistemas operacionais da Apple, do Google e da Microsoft, com foco na aferição de idade e no sinal de idade.
A autarquia também mantém um canal de denúncias aberto ao público. Logo, qualquer usuário pode provocar a atuação fiscalizatória, o que aumenta o risco de quem adia a adequação.
O que a sua empresa deve fazer agora
Diante do guia, o caminho prático tem três frentes. Em primeiro lugar, faça um diagnóstico de escopo: verifique se o produto ou serviço reúne as três características do fornecedor e se há acesso provável. Em seguida, conduza uma avaliação de riscos ao público infantojuvenil, considerando os três critérios do art. 1º em conjunto.
Por fim, documente tudo. Registre as medidas adotadas, os testes de eficácia e as revisões periódicas, pois a comprovação pesa a favor da empresa numa fiscalização. Nesse sentido, o trabalho se conecta à LGPD e ao Marco Civil da Internet, que seguem como base da proteção de dados e da responsabilidade dos provedores.
O recorte local também merece atenção. Startups, agências e e-commerces de Aracaju e de todo Sergipe estão no mesmo escopo das grandes plataformas quando há acesso provável. Portanto, o porte menor não afasta a necessidade de avaliação jurídica, ainda que module as exigências.
Perguntas frequentes
Minha empresa é fornecedora sujeita ao ECA Digital?
O que é acesso provável?
Um site de e-commerce precisa cumprir a lei?
Obrigações e multas
Basta verificar a idade do usuário para cumprir a lei?
Qual é o valor da multa por descumprir o ECA Digital?
ECA Digital e Lei Felca são a mesma coisa?
Sua empresa de tecnologia precisa se adequar ao ECA Digital?
Nossa equipe de Direito Digital analisa o escopo da lei para o seu modelo de negócio e orienta o plano de adequação. Atendimento em Aracaju/SE e Brasília/DF.
Dr. Andress Amadeus Pinheiro Santos
Sócio do Amadeus & Santos Advogados Associados (OAB/SE 7.875). Especialista em Direito Digital, com atuação em LGPD, proteção de dados, crimes digitais e contratos eletrônicos. Ver perfil completo.
Este conteúdo tem caráter informativo e não substitui a análise individual de um advogado. Cada caso tem particularidades que devem ser avaliadas tecnicamente. Normas e entendimentos citados vigentes em outubro de 2026.
