ECA Digital: a lei está em vigor. As regras do jogo, não.

• Publicado em: 17/03/2026
• Autores: Luis Fernando Prado, Diretor Executivo do IBIRA
• Leitura: 5 min

Hoje, 17 de março de 2026, entra em vigor a Lei nº 15.211/2025 — o Estatuto Digital da Criança e do Adolescente, popularmente conhecida como ECA Digital. É uma lei importante. Fruto de um debate legítimo sobre a proteção de crianças e adolescentes no ambiente digital. Mas vamos ser honestos: ela não está pronta para ser 100% aplicada. E o problema não é (apenas) seu texto complexo e abrangente. É o que falta em torno dele.

O prazo original de vacatio legis era de um ano. A Medida Provisória nº 1.319/2025 reduziu para seis meses. A Lei nº 15.352/2026 confirmou: 17 de março de 2026. Seis meses para que todo o ecossistema digital brasileiro — de big techs globais a startups nacionais, de marketplaces a edtechs, de jogos eletrônicos a apps de delivery e sites de conteúdo pornográfico — se adequasse a uma lei que redefine negócios e que, a partir de um conceito amplo de "acesso provável", atinge um número inestimável de serviços digitais em operação no país.

Seis meses para adequação a uma lei que altera toda a lógica de autodeclaração de idade que sustentava as relações digitais até então. Que traz conceitos ainda a serem interpretados, como "melhor interesse". Que exige inúmeras alterações de design e de funcionalidades em plataformas. Que restringe modelos de negócio centrais para toda a indústria de games (loot boxes). Que muda as regras do jogo da publicidade online ao proibir perfilamento para publicidade dirigida a crianças e adolescentes. Que cria uma cadeia de aferição de idade complexa, com lojas de aplicativos e sistemas operacionais atuando como infraestrutura via API.

Cada um desses dispositivos pressupõe guias e regulamentações técnicas. E não temos nada até o momento. O prazo de seis meses não foi suficiente nem mesmo para o Estado construir as bases mínimas de aplicação do ECA Digital.

O regime sancionatório da Lei 15.211/2025 distribui competências de forma escalonada. A Agência Nacional de Proteção de Dados (ANPD) é a autoridade responsável pela fiscalização do cumprimento legal, está com sua agenda regulatória em desenvolvimento e tende a adotar uma abordagem responsiva e proporcional (o § 2º do art. 34 expressamente exige isso). Mas a ANPD não é o único agente de aplicação dessa lei. E não é sequer o que mais preocupa.

O cenário concreto a partir de hoje é o seguinte: um promotor de justiça em qualquer comarca do Brasil pode instaurar inquérito civil contra uma plataforma por suposta violação do ECA Digital. Um Procon pode autuar um marketplace por julgar que não foi implementado mecanismo de aferição de idade adequado. Um juiz pode sentenciar um caso com base na sua própria e livre interpretação da nova lei (uma vez provocado a agir, ele precisará fazer isso).

E todos atuarão sem regulamentação, ou seja, sem os parâmetros técnicos que a própria lei delegou à ANPD e ao Poder Executivo. Sem critérios objetivos para definir o que é "mecanismo confiável" de verificação de idade, o que constitui "medida razoável" de prevenção, ou como modular obrigações por porte de empresa ou risco da atividade.

Quando dezenas de agentes públicos aplicam a mesma lei com base em convicções individuais sobre o que é razoável, proporcional e adequado, o resultado não é proteção — é fragmentação regulatória. Uma empresa pode estar em conformidade na leitura de um juiz de São Paulo e em infração na interpretação de um promotor do Rio Grande do Sul. E até que a ANPD produza a regulamentação necessária, não haverá referência técnica para resolver esse tipo de conflito.

Este é o cenário de insegurança jurídica que começa hoje — e que faz do ECA Digital um verdadeiro campo minado regulatório.

Ok, Luis, mas o que fazer agora?

Para as empresas, a minha recomendação é pragmática: não dá para esperar a regulamentação para agir. O caminho é documentar cada decisão de adequação. Registrar as limitações técnicas e os fundamentos jurídicos de cada escolha. Em um ambiente de incerteza regulatória, o que protege não é a conformidade perfeita, mas sim a demonstração de esforço genuíno e razoável.

E para os reguladores: os regulados precisam urgentemente de vocês. Qualquer sinal regulatório (desde que pautados em premissas técnicas acertadas) é melhor do que nenhum.

A proteção de crianças e adolescentes no ambiente digital é inegociável. Mas proteção efetiva exige clareza. E clareza exige tempo, técnica e regulamentação. Seis meses não foram suficientes para ninguém — nem mesmo para os reguladores. Mas a lei está em vigor. E a lei é a lei.