Fornecedor de TI na mira do ECA Digital: o custo de ignorar o guia da ANPD

Contexto

Em novembro de 2026, a Autoridade Nacional de Proteção de Dados (ANPD) publicou um guia orientativo dirigido especificamente a fornecedores de produtos e serviços de tecnologia da informação, delimitando escopo de aplicação e obrigações gerais derivadas do chamado ECA Digital, conjunto de disposições que atualizam o Estatuto da Criança e do Adolescente para o ambiente online. A notícia da publicação circulou inicialmente pelo portal do Ministério Público do Paraná (MPPR), sinal de que o documento já estava sendo incorporado ao radar de órgãos de fiscalização e controle antes mesmo de ganhar ampla repercussão setorial.

O caso narrado a seguir é uma projeção analítica construída sobre esse cenário regulatório real. A empresa aqui descrita é fictícia e anonimizada, mas o perfil corresponde a uma realidade amplamente documentada no mercado brasileiro: uma empresa de médio porte do setor de tecnologia, com faturamento entre R$ 50 milhões e R$ 200 milhões por ano, que presta serviços de plataformas digitais, aplicativos ou soluções SaaS para clientes pessoas físicas, incluindo, ainda que de forma incidental, usuários menores de idade. Esse perfil abrange desde desenvolvedoras de aplicativos educacionais até provedoras de serviços de streaming, plataformas de e-commerce com cadastro familiar e sistemas de gestão escolar em nuvem.

O que estava em jogo não era apenas uma multa administrativa. Era a continuidade operacional em contratos B2B com clientes que exigem conformidade como condição de fornecimento, a credibilidade junto a investidores em processos de captação e a exposição solidária em ações do Ministério Público em defesa de direitos de crianças e adolescentes, categoria de titulares que a legislação brasileira trata com proteção reforçada.

A falha

O guia da ANPD sobre o ECA Digital não criou obrigações do zero. Ele formalizou, interpretou e tornou exigível um conjunto de deveres que já estavam latentes na intersecção entre a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e o Estatuto da Criança e do Adolescente com suas atualizações para o ambiente digital. A empresa do caso, como boa parte do mercado de TI, operava sob a premissa de que as regras de proteção de dados gerais seriam suficientes. Não eram.

Falha na identificação de titulares vulneráveis (art. 14 da LGPD)

O artigo 14 da LGPD determina que o tratamento de dados pessoais de crianças e adolescentes deve ser realizado no seu melhor interesse, com consentimento específico e destacado concedido por pelo menos um dos pais ou pelo responsável legal. A empresa não mantinha fluxo de coleta de idade no onboarding de usuários, tampouco mecanismo de verificação de responsável legal. Na prática, qualquer pessoa com acesso a um endereço de e-mail podia criar conta e utilizar a plataforma sem que o sistema distinguisse um adulto de uma criança de doze anos. O guia da ANPD tornou esse ponto inegociável para fornecedores de TI: a identificação do perfil etário do titular passou a ser requisito de escopo, não de boa prática.

Ausência de base legal adequada para dados sensíveis de menores (arts. 7º e 11 da LGPD)

O artigo 7º da LGPD lista as hipóteses de tratamento de dados pessoais, e o artigo 11 faz o mesmo para dados sensíveis, com requisitos mais rígidos. Quando o titular é menor de idade, a combinação com o artigo 14 restringe ainda mais as opções: o legítimo interesse, base amplamente invocada por empresas de tecnologia, não pode ser utilizado para o tratamento de dados de crianças. A empresa do caso havia construído toda a sua arquitetura de personalização de conteúdo sobre a base do legítimo interesse, sem segregar os fluxos por faixa etária. O guia da ANPD evidenciou que essa arquitetura era inválida para uma parcela dos seus usuários.

Inexistência de registro de operações de tratamento (art. 37 da LGPD)

O artigo 37 da LGPD obriga controladores e operadores a manterem registro das operações de tratamento de dados pessoais, especialmente quando baseadas no legítimo interesse. A empresa não possuía inventário de dados atualizado, muito menos com o detalhamento de quais operações envolviam menores, quais bases legais eram aplicadas a cada fluxo e quais terceiros tinham acesso a esses dados. O guia da ANPD, ao delimitar o escopo de quem está sujeito às obrigações do ECA Digital, implicitamente exigiu que os fornecedores de TI soubessem responder a essa pergunta de forma documentada.

Medidas de segurança insuficientes para dados de titulares prioritários (art. 46 da LGPD)

O artigo 46 da LGPD exige que controladores e operadores adotem medidas técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. Para dados de crianças e adolescentes, o padrão esperado pela ANPD é mais elevado do que para adultos. A empresa não havia implementado controles de acesso diferenciados, política de retenção específica para dados de menores nem processo de exclusão automática após o término da finalidade. O resultado era um passivo silencioso: dados de menores acumulados em banco sem propósito definido, sem prazo de exclusão e sem log de acesso auditável.

Ausência de comunicação de incidentes com recorte etário (art. 48 da LGPD)

O artigo 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Quando o incidente envolve dados de crianças, o critério de relevância é interpretado de forma mais sensível pela autoridade. A empresa não possuía fluxo de triagem de incidentes que identificasse, entre os titulares afetados, a presença de menores, o que significava que uma comunicação eventualmente feita poderia omitir informação crítica para a dosimetria da sanção.

A consequência

Quadro de impacto financeiro

A seguir, a separação entre parâmetros legais fixos (com fonte) e premissas de cenário (hipóteses rotuladas para que o leitor projete sua própria exposição).

Nota sobre o número real dos fatos travados: o guia da ANPD é um documento orientativo e não carrega, por si só, um valor de multa aplicada. Não há, nos fatos travados deste caso, um número de sanção concreta porque o documento analisado é regulatório preventivo, não punitivo. O quadro acima reflete, portanto, a exposição potencial de um fornecedor de TI que ignore o guia, calculada sobre os parâmetros legais do artigo 52 da LGPD. Essa distinção é deliberada e deve ser lida como instrumento de projeção, não como relato de sanção já aplicada.

A ANPD possui poder sancionatório pleno desde a regulamentação do processo administrativo sancionador, e a publicação de um guia orientativo dirigido a segmento específico é, na prática regulatória brasileira, o passo que antecede a fiscalização temática. O padrão observado em outras autoridades de proteção de dados, como a ICO britânica e a CNIL francesa, mostra que guias setoriais frequentemente precedem ciclos de auditoria concentrada no segmento endereçado.

Impacto operacional e reputacional

Além da exposição administrativa, a empresa enfrentaria consequências concretas em três frentes. Primeiro, a suspensão ou limitação do tratamento de dados como medida cautelar, prevista no artigo 52, II, da LGPD, que pode paralisar o serviço sem que haja multa prévia. Para uma plataforma SaaS, isso equivale a interrupção de receita recorrente enquanto o problema não for solucionado. Segundo, contratos com clientes corporativos que incluem cláusulas de conformidade regulatória passam a ter fundamento para rescisão ou retenção de pagamento, especialmente quando o cliente atende ao setor educacional ou de saúde pediátrica e tem sua própria exposição regulatória vinculada à do fornecedor. Terceiro, em casos envolvendo dados de crianças, o Ministério Público tem legitimidade ativa para propor ação civil pública independentemente de ação da ANPD, o que duplica a frente de risco jurídico sem que as duas instâncias se anulem.

O custo da inação

O que não aparece na multa é, frequentemente, o maior componente do custo total. Para uma empresa de tecnologia de médio porte, a publicação de um guia da ANPD endereçado diretamente ao seu setor dispara pelo menos quatro vetores de custo oculto.

Due diligence em processos de M&A e captação. Fundos de venture capital e private equity que avaliam empresas de tecnologia brasileiras passaram a incluir checklist de conformidade com LGPD e, agora, com o ECA Digital, como item de due diligence jurídica. Uma empresa com as falhas descritas neste caso receberia apontamento de passivo contingente, o que pode resultar em ajuste de valuation. Em empresas da faixa de R$ 100 milhões de faturamento, ajustes por passivo regulatório não provisionado costumam variar entre 5% e 15% do enterprise value negociado, configurando perda de R$ 5 milhões a R$ 15 milhões em valor patrimonial para uma empresa avaliada em 1x receita, premissa conservadora para o setor de SaaS. Esse número é premissa de cenário calculada sobre múltiplos típicos do setor, não dado do caso real.

Seguro cyber e D&O. Apólices de seguro cibernético e de responsabilidade de administradores passaram a incluir exclusões específicas para sanções decorrentes de não conformidade com legislação de proteção de dados conhecida e não mitigada. Uma empresa autuada pela ANPD em razão de falhas documentadas no guia orientativo pode ter cobertura negada pela seguradora com base na cláusula de risco previsível não mitigado. O custo de recontratação de apólice com histórico de não conformidade aumenta entre 40% e 120% no mercado segurador brasileiro, segundo corretoras especializadas em riscos cibernéticos, o que sobre uma apólice típica de R$ 500.000,00 de prêmio anual representa custo adicional de R$ 200.000,00 a R$ 600.000,00 por ano de forma recorrente. Essa é premissa de cenário com base em referências setoriais, não dado do caso.

Custo de capital e relacionamento com investidores. Empresas com pendências regulatórias ativas têm custo de captação mais alto porque o risco jurídico eleva o prêmio exigido por investidores de dívida e equity. Em rodadas de captação, o prazo de fechamento aumenta e as condições precedentes multiplicam. Para empresas que dependem de capital de crescimento, cada trimestre de atraso em conformidade é um trimestre de janela de captação perdida ou encarecida.

Número-síntese do custo da inação (premissa de cenário): somando exposição administrativa potencial de R$ 10 milhões, ajuste de valuation conservador de R$ 5 milhões, sobrecusto de seguro de R$ 400.000,00 anuais projetados por três anos (R$ 1,2 milhão) e custo de remediação emergencial de R$ 2,5 milhões, chega-se a um custo total estimado de R$ 18,7 milhões. O programa de conformidade preventiva, estimado em R$ 450.000,00 no mesmo cenário, representa menos de 2,5% desse total. Todos esses números são premissas de cenário para fins de projeção pelo leitor.

Espelhe na sua operação

As perguntas a seguir não são retóricas. Cada uma corresponde a uma falha documentada neste caso e a uma obrigação específica da LGPD e do ECA Digital.

1. Você sabe, hoje, se algum de seus usuários ou titulares é menor de 18 anos? Se a resposta for "provavelmente não temos menores" sem evidência técnica, o risco já existe. O desconhecimento não é defesa regulatória.

2. Sua base legal para personalização, análise comportamental ou marketing cobre usuários menores? Se você usa legítimo interesse como base para qualquer dessas finalidades e não há segregação etária, o artigo 14 da LGPD combinado com o guia da ANPD torna essa arquitetura inválida para uma parcela dos seus titulares.

3. Seu inventário de dados distingue operações que envolvem menores? O artigo 37 da LGPD exige o registro. Para o ECA Digital, esse registro precisa ser granular o suficiente para responder a uma fiscalização temática.

4. Seu plano de resposta a incidentes inclui triagem por perfil etário dos titulares afetados? Se um incidente de segurança atingir dados de crianças e você comunicar à ANPD sem identificar esse recorte, a falha na comunicação é uma infração autônoma, cumulativa com a falha que gerou o incidente.

5. Quanto custa para você não fazer nada nos próximos 12 meses?

Mini cálculo para aplicar aos seus números:

Faturamento bruto anual da sua empresa (R$)
× 2% (alíquota máxima LGPD art. 52)
= Exposição máxima por infração

× número de infrações identificadas internamente
= Exposição acumulada potencial

÷ custo do programa de conformidade que você ainda não implementou
= múltiplo de risco não gerenciado

Se esse múltiplo for superior a 5, o investimento em conformidade tem retorno ajustado ao risco positivo em qualquer cenário razoável de probabilidade de fiscalização.

O aprendizado

O guia da ANPD sobre o ECA Digital para fornecedores de TI não é um documento acadêmico. É um instrumento de delimitação de escopo que a autoridade usará como referência em fiscalizações, como critério de avaliação de boa-fé na dosimetria de sanções e como parâmetro de exigência em processos administrativos. Ignorá-lo é escolher o posicionamento menos favorável em qualquer contencioso futuro.

A conformidade com o ECA Digital não é um projeto paralelo ao programa de LGPD. Ela é uma camada adicional sobre o mesmo arcabouço, com requisitos mais rígidos para um subconjunto específico de titulares. Para fornecedores de TI, isso significa que o inventário de dados precisa ter dimensão etária, que a base legal precisa ser revisada operação a operação com esse recorte e que os controles técnicos precisam ser diferenciados para dados de crianças e adolescentes.

A LGPD2U estrutura programas de governança de privacidade que incorporam esse nível de granularidade desde o diagnóstico inicial. O mapeamento de titulares vulneráveis, a revisão de bases legais por finalidade e perfil de titular, a construção de registros de operações auditáveis e a integração do ECA Digital ao programa de LGPD são entregas documentadas no modelo de serviço gerenciado. O objetivo não é certificação formal: é construir a evidência operacional que distingue uma empresa que gerencia o risco daquela que o acumula.

Empresas que aguardaram a primeira auditoria temática da ANPD para começar o diagnóstico invariavelmente enfrentaram dois problemas simultâneos: o custo de remediação sob pressão e a ausência de evidência de boa-fé, fator que a própria ANPD lista como atenuante no processo de dosimetria. Um programa estruturado antes da fiscalização vale, regulatoriamente, muito mais do que o mesmo programa iniciado depois dela.

Fontes

• Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, especialmente artigos 7º, 11, 14, 37, 46, 48 e 52. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm

• ANPD. Regulamento de Dosimetria e Aplicação de Sanções Administrativas. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/documentos-de-publicacoes/resolucao-cd-anpd-no-4-de-24-de-fevereiro-de-2023.pdf

• Notícia sobre publicação do guia orientativo da ANPD intitulado "Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital", conforme indexação no portal do Ministério Público do Paraná (MPPR), capturada em 2 de novembro de 2026. URL do MPPR: https://www.mppr.mp.br (URL específica da notícia não acessada diretamente; verificação recomendada no portal da ANPD em https://www.gov.br/anpd/pt-br)

• Estatuto da Criança e do Adolescente (ECA), Lei nº 8.069/1990, com atualizações relativas ao ambiente digital. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8069.htm

• ANPD. Portal oficial com publicações e guias orientativos. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes