Sua empresa precisa se adequar ao ECA Digital? Veja o que muda e por onde começar

Pelo art. 1º, a lei vale para todo produto ou serviço de tecnologia da informação voltado a crianças e adolescentes no Brasil ou de acesso provável por eles, independentemente de onde a empresa está, desenvolve ou opera o produto. Entram aplicativos, programas, sistemas operacionais, lojas de aplicativos e jogos conectados à internet (art. 2º, I).

Acesso provável é quando o produto atrai crianças e adolescentes, é fácil de usar por eles ou traz risco relevante à privacidade, à segurança ou ao desenvolvimento deles, principalmente quando permite interação social entre usuários. Ou seja: um app de uso geral pode estar dentro, mesmo sem ter sido feito para esse público. Exemplos de quem costuma entrar:

Proteção desde a concepção e por padrão

O produto precisa nascer com a configuração mais protetiva disponível de privacidade e proteção de dados (art. 7º). A empresa avalia os riscos das funções do produto para a segurança e a saúde de crianças e adolescentes e adota por padrão configurações que evitem o uso compulsivo (art. 8º, I e IV). O decreto dá exemplos do que evitar: esconder pontos naturais de parada, iniciar novos conteúdos sem pedido, dar recompensas pelo tempo de uso e mandar notificações em excesso (art. 9º do decreto).

Verificação de idade

Quem oferece conteúdo, produto ou serviço impróprio ou proibido para menores de 18 anos precisa impedir o acesso deles, com verificação de idade confiável a cada acesso, sem aceitar a autodeclaração (art. 9º, § 1º). As lojas de aplicativos e os sistemas operacionais devem aferir a idade e enviar aos aplicativos um sinal de idade (art. 12); o app recebe esse sinal e mantém mecanismos próprios (art. 14). Se a idade aferida pelo app divergir do sinal, vale a alternativa mais protetiva (art. 25, § 4º, do decreto). Os dados da verificação servem só para isso (art. 13), e a cópia do documento não pode ser guardada (art. 24, § 3º, do decreto).

Supervisão parental e conta vinculada

O produto oferece ferramentas de supervisão parental fáceis de usar, informa aos pais onde encontrá-las, mostra aviso claro quando estão ativas e permite limitar o tempo de uso (art. 17). Por padrão, restringe o contato de usuários não autorizados, limita reprodução automática e notificações, dá controle sobre a recomendação personalizada, com opção de desligar, e restringe o compartilhamento da localização (art. 17, § 4º). Os pais devem poder gerenciar a privacidade da conta, restringir compras, ver os perfis de adultos com quem o filho conversa e o tempo total de uso, em português (art. 18). É proibido desenhar a tela para enfraquecer essas proteções (art. 18, § 2º). Contas de até 16 anos ficam vinculadas à conta de um responsável (art. 24).

Publicidade e perfilamento

Perfilamento é usar dados da pessoa para classificá-la e tirar conclusões sobre interesses e hábitos de consumo (art. 2º, V). É proibido usar perfilamento, análise emocional ou realidade aumentada e virtual para direcionar publicidade a crianças e adolescentes (art. 22), e criar perfis comportamentais deles para esse fim (art. 26). Para quem trabalha com criadores de conteúdo, o decreto manda as plataformas exigirem autorização judicial para conteúdo monetizado ou impulsionado que explore, de forma habitual, a imagem ou a rotina de criança ou adolescente, conforme o art. 34 do decreto; sem ela, o conteúdo é retirado.

Jogos: caixas de recompensa e chat

São proibidas as caixas de recompensa (loot boxes) em jogos voltados a crianças e adolescentes ou de acesso provável por eles (art. 20). Caixa de recompensa é o item pago com conteúdo sorteado, comprado sem saber o que vem (art. 2º, IV). Pelo art. 23 do decreto, o jogo que tem essa função precisa verificar a idade para impedir o acesso de menores, ou oferecer versão sem caixas ou com elas bloqueadas por padrão. Jogos com chat de texto, voz ou vídeo precisam de moderação, proteção contra contatos prejudiciais e interação limitada por padrão, para assegurar o consentimento dos pais (art. 21).

Denúncia, retirada e comunicação às autoridades

O produto oferece aos usuários um canal para avisar sobre violações aos direitos de crianças e adolescentes (art. 28). Avisada pela vítima, pelos representantes dela, pelo Ministério Público ou por entidades de defesa desses direitos, a empresa retira o conteúdo que viola direitos, sem precisar de ordem judicial (art. 29). O aviso precisa identificar o conteúdo e quem avisa, e o caminho para avisar deve ser público e fácil de achar (art. 29, §§ 2º e 3º). Quem publicou tem direito de saber o motivo, se a análise foi humana ou automatizada, e de recorrer (art. 30). Conteúdo de aparente exploração, abuso sexual, sequestro ou aliciamento é removido e comunicado às autoridades (art. 27); o decreto põe a Polícia Federal como destino desses relatórios (art. 36 do decreto).

Inteligência artificial

Chatbots, assistentes e outros sistemas que conversam ou geram conteúdo para crianças e adolescentes precisam deixar claro que são automatizados, prevenir a manipulação de comportamento, avaliar o risco algorítmico e ter salvaguardas para o desenvolvimento deles (art. 11 do decreto). Como organizar esse controle está no guia sobre governança de IA.

Relatórios e avaliação de impacto

O decreto pede avaliação de impacto à segurança e à saúde das crianças, com análise de riscos, medidas e acompanhamento, e publicação de uma versão resumida em linguagem clara (art. 47 do decreto). Quem tem mais de 1 milhão de usuários crianças e adolescentes no Brasil publica relatórios semestrais em português sobre denúncias, moderação e proteção de dados (art. 31).

O ECA Digital não substitui a LGPD; ele se soma a ela. O art. 14 da LGPD já exigia que os dados de crianças e adolescentes fossem tratados no melhor interesse deles. Para dados de crianças, exige consentimento específico e em destaque de pelo menos um dos pais ou do responsável, e esforços razoáveis para conferir que foi ele quem consentiu (§§ 1º e 5º).

A empresa também não pode condicionar a participação em jogos, aplicativos ou outras atividades ao fornecimento de informações pessoais além das estritamente necessárias (art. 14, § 4º), e deve explicar o uso dos dados de forma simples e clara (§ 6º).

Se a empresa ainda não organizou a proteção de dados, o inventário de dados e o encarregado (DPO) são a base para o ECA Digital. Veja o guia de LGPD para empresas.