Verificação de idade: o que o ECA Digital exige das plataformas

O ECA Digital, nome dado à Lei nº 15.211, de 2025, está em vigor desde 17 de março de 2026 e representa um avanço importante na proteção de crianças e adolescentes no ambiente digital. A lei parte de uma ideia simples: se existe uma chance real de que um menor de idade esteja do outro lado da tela, a plataforma deve oferecer uma experiência segura, longe de conteúdos inadequados para a idade e do contato com desconhecidos. Por isso, o que define se a lei se aplica não é o tipo de produto, e sim a probabilidade de acesso por esse público. Isso inclui as redes sociais, mas também o comércio eletrônico, os jogos, as plataformas de conteúdo, os aplicativos de serviço e boa parte do que se entende por internet. Para as empresas, é uma oportunidade de construir ambientes digitais mais confiáveis para toda a família. 

Este texto trata da obrigação mais concreta e mais discutida da lei: a verificação de idade.

O que o ECA Digital é e o que ele já obriga

O ECA Digital, conhecido popularmente como Lei Felca, estabelece deveres de proteção de crianças e adolescentes no ambiente digital. Ele não trata apenas de conteúdo impróprio: organiza um conjunto de obrigações de desenho de produto, transparência e governança.

Os pilares, em linguagem de operação:

• Dever de cuidado. Fornecedores devem adotar medidas técnicas adequadas para prevenir e mitigar o acesso a conteúdos e práticas inadequados, com configuração no modelo mais protetivo disponível por padrão.
• Aferição de idade. Nos serviços que oferecem conteúdo impróprio, inadequado ou proibido para menores de 18 anos, a plataforma precisa adotar mecanismos confiáveis de verificação de idade a cada acesso, com a autodeclaração expressamente vedada.
• Vinculação de conta. Contas de crianças e de adolescentes de até 16 anos devem estar vinculadas ao usuário ou à conta de um dos responsáveis legais.
• Supervisão parental. É preciso oferecer ferramentas para limitar tempo de uso, restringir comunicação com usuários não autorizados, controlar recomendações personalizadas e acompanhar geolocalização.
• Avaliação de impacto. A lei remete à avaliação prevista na LGPD, o que coloca o relatório de impacto no centro do processo, e não em um anexo.

Quem está no escopo

A resposta curta é: mais empresas do que se imagina.

O critério da lei é o do acesso provável. Não é preciso que o serviço seja dirigido a crianças e adolescentes. Basta que seja razoável esperar que eles estejam entre os usuários. Um aplicativo de delivery, uma loja de roupas, um jogo casual, um serviço de streaming e um fórum de nicho podem se enquadrar mesmo sem nunca terem se considerado produto infantil.

O critério também não depende da localização da empresa. Serviços ofertados ao público brasileiro são alcançados pela lei.

Na prática: se você abrir a base de usuários e encontrar contas de pessoas com menos de 18 anos, o tema é seu.

O que a lei pede de verificação de idade

A obrigação central determina que os fornecedores de produtos e serviços com conteúdo impróprio, inadequado ou proibido para menores de 18 anos adotem mecanismos confiáveis de verificação de idade a cada acesso do usuário, vedada a autodeclaração. Ou seja, a caixa de marcar que perguntava a idade e aceitava qualquer resposta deixou de cumprir a exigência nesses serviços.

Há ainda uma obrigação específica para lojas de aplicativos e sistemas operacionais, que devem tomar medidas proporcionais, auditáveis e tecnicamente seguras para aferir a idade ou a faixa etária dos usuários, observados os princípios da LGPD. Os três adjetivos escolhidos pelo legislador organizam o resto do trabalho: proporcional ao risco, auditável por terceiro e tecnicamente segura.

E há a regra de vinculação: contas de crianças e de adolescentes de até 16 anos precisam estar ligadas ao usuário ou à conta de um responsável legal, o que cria um segundo problema de identificação. Não basta saber que o usuário é adolescente. É preciso saber quem é o adulto responsável e confirmar que ele é quem diz ser.

Quer saber se a sua base tem usuários que a lei alcança? Fale com o time da Plataforma Valid.

Autodeclaração, estimativa e verificação: três coisas diferentes

Boa parte da confusão do mercado vem de tratar como sinônimos três mecanismos com níveis de confiança muito distintos.

A leitura correta da lei não é "use sempre o método mais forte". É escolher o mecanismo cuja confiabilidade seja compatível com o risco do serviço e conseguir justificar a escolha. Um fórum de receitas e uma plataforma com conteúdo adulto não deveriam ter o mesmo desenho, e forçá-los ao mesmo padrão gera coleta excessiva em um dos dois.

O que a ANPD já orientou e o que vem pela frente

A Autoridade Nacional de Proteção de Dados publicou, em 20 de março de 2026, orientações preliminares sobre mecanismos confiáveis de aferição de idade, com parâmetros iniciais de implementação, e divulgou um cronograma de acompanhamento em etapas. As orientações preliminares foram submetidas a consulta pública, com contribuições abertas em maio e prazo encerrado em julho de 2026, e as definitivas estão previstas para o segundo semestre.

O cronograma organiza o esforço assim:

1. Etapa I, de março a julho de 2026. Acompanhamento concentrado em lojas de aplicativos e sistemas operacionais, escolhidos pela concentração de mercado e pelo alcance sobre as demais plataformas.
2. Etapa II, de agosto a novembro de 2026. Publicação das orientações definitivas e ampliação do acompanhamento para outros setores, conforme o risco identificado na etapa anterior. Em agosto de 2026, é a etapa em curso.
3. Etapa III, a partir de janeiro de 2027. Fiscalização plena e aplicação de sanções administrativas, apoiada na atualização dos regulamentos de fiscalização e de sanções administrativas, prevista a partir de novembro de 2026.

A conclusão operacional é direta: o intervalo entre agora e o fim do ano é a janela para desenhar, testar e documentar. Quem começar em janeiro de 2027 vai começar já dentro do período de sanção.

O paradoxo da aferição de idade

Para proteger crianças, é preciso saber quem é a criança. Para saber quem é criança, é preciso coletar dados. E coletar dados de forma indiscriminada, especialmente dado biométrico e documental de menores de idade, cria exatamente o tipo de risco que a lei quer reduzir.

A ANPD tratou disso ao pedir que a análise avalie dois riscos, e não um: o risco que o serviço representa para crianças e adolescentes e o risco que o próprio método de aferição representa para a privacidade. Métodos mais intrusivos precisam ser justificados pelo nível de risco do serviço.

Três princípios organizam a saída desse impasse:

• Minimizar. Se a pergunta é "esse usuário tem mais de 18 anos?", a resposta que a plataforma precisa guardar é sim ou não, não a imagem do documento inteiro.
• Separar verificação de armazenamento. É possível verificar sem reter. O que fica registrado é o resultado, a data, o método e o grau de confiança.
• Documentar a decisão. O relatório de impacto é o lugar onde a escolha do método fica justificada. Sem ele, a empresa tem um controle técnico e não tem defesa.

A discussão de como embutir isso no produto desde o desenho está desenvolvida em Privacy by Design e ECA Digital, e o tratamento de dado biométrico, que é dado pessoal sensível, está detalhado em LGPD na prática e o dado biométrico.

Como montar a aferição de idade em camadas

O desenho que funciona sem virar coleta em massa distribui o esforço em degraus, e só avança para o degrau seguinte quando o caso pede.

Degrau 1: sinal passivo, sem pedir nada

Antes de qualquer solicitação ao usuário, a plataforma já tem informação: tipo de conteúdo acessado, padrão de navegação, dispositivo, forma de pagamento e vínculo com contas existentes. Esse conjunto não confirma a idade, mas separa o fluxo em que nada indica presença de menores daquele em que os indícios existem.

Degrau 2: estimativa de faixa etária

Quando o sinal passivo acende, a estimativa de idade por análise facial responde com faixa e margem de erro. É menos invasiva do que pedir documento, porque não exige número de registro nem filiação, e resolve a maior parte dos casos que não estão perto da fronteira legal.

O ponto de atenção é que a estimativa exige captura de imagem, e essa captura exige garantia de que há uma pessoa real diante da câmera. O liveness cumpre esse papel e evita que uma foto de outra pessoa passe pela estimativa.

Degrau 3: verificação com prova

Nos casos de fronteira, em serviços de risco mais alto e na hora de vincular ao responsável legal a conta de um usuário de até 16 anos, o degrau é o da verificação com prova. Aqui entram a leitura automática de documentos, que extrai os campos sem digitação manual, a documentoscopia, que identifica adulteração, e a verificação biométrica, que confirma que a pessoa diante da câmera é a titular daquele registro.

Para confirmar o vínculo com o responsável, o bureau de dados permite checar dados cadastrais e vínculos declarados, fechando a exigência de vinculação sem depender apenas do que foi digitado no formulário.

O que amarra os três degraus

Cada degrau tem custo, atrito e risco de privacidade diferentes, e a regra que decide quando subir muda conforme a lei evolui e conforme a ANPD publica novas orientações. O orquestrador de produtos da Valid permite ajustar essas regras sem reescrever o produto a cada atualização normativa.

É assim que a Plataforma de Segurança Digital da Valid foi construída: as camadas ficam disponíveis no mesmo ambiente e são combinadas de acordo com o risco de cada jornada e com as regras de negócio da plataforma, sem exigir uma integração diferente para cada verificação.

Quer desenhar essa escada antes de janeiro de 2027? Fale com o time da Plataforma Valid.

Vale dizer com todas as letras: a confiança nesse desenho não vem de uma tecnologia isolada. Ela vem da integração entre camadas de autenticação combinadas de acordo com o risco e com as regras de negócio, porque foram construídas para funcionar assim.

O que acontece se a plataforma não cumprir

A lei prevê uma escala de sanções que começa em advertência, com prazo de até 30 dias para adoção de medidas corretivas, e chega à multa.

O cálculo é o que costuma chamar a atenção do conselho de administração: multa simples de até 10% do faturamento do grupo econômico no Brasil no último exercício. Na ausência de faturamento, a multa é calculada entre R$ 10 e R$ 1.000 por usuário cadastrado do provedor sancionado, limitada, no total, a R$ 50 milhões por infração. Há ainda a possibilidade de suspensão e de proibição de atividades nos casos mais graves.

O custo real, porém, raramente é o da multa. É o de refazer o produto sob pressão, com prazo curto e escrutínio público, depois de um incidente envolvendo criança.

A idade virou um atributo de identidade

Durante muito tempo a idade foi tratada como campo de formulário. O ECA Digital a transformou em atributo que precisa ser aferido com método, justificado por risco e registrado com evidência. É a mesma mudança que a identidade sofreu no setor financeiro há uma década, e que agora chega a qualquer empresa com usuário do outro lado da tela.

A janela de trabalho é esta, entre a etapa II e a fiscalização plena em janeiro de 2027. Quem usar esse tempo entra em 2027 com o mecanismo em produção, testado e documentado.

E você não precisa montar isso sozinho. A Valid é especializada em segurança e identidade digital e opera verificação de identidade em escala no Brasil. A Plataforma de Segurança Digital da Valid combina liveness, verificação biométrica, documentoscopia, leitura automática de documentos e bureau em um fluxo único, ajustado ao risco de cada jornada. Se a sua plataforma precisa aferir idade e vincular contas de adolescentes a responsáveis legais sem coletar mais do que o necessário, fale com o time da Plataforma Valid.