A crescente digitalização das interações sociais e comerciais impõe desafios significativos à proteção de dados pessoais, especialmente quando envolve crianças e adolescentes. No Brasil, a Lei Geral de Proteção de Dados (LGPD), o Estatuto da Criança e do Adolescente (ECA) e, mais recentemente, a Lei nº 15.211/2025 (ECA Digital), regulamentada pelo Decreto nº 12.880/2026, estabelecem o arcabouço legal voltado à proteção dos direitos desse público no ambiente online.
A Autoridade Nacional de Proteção de Dados (ANPD), em sua função regulatória e fiscalizatória, tem emitido orientações cruciais para empresas que operam plataformas digitais, aplicações de internet e serviços online, com destaque para os guias sobre mecanismos confiáveis de aferição de idade e sobre a proteção de crianças e adolescentes no ambiente digital. Este informativo visa apresentar os principais direcionamentos da ANPD acerca dos Mecanismos de Aferição de Idade, contextualizando-os à legislação vigente e destacando seus impactos práticos para as empresas.
O Guia da ANPD e os Seis Requisitos Mínimos de Aferição de Idade
O Guia Orientativo da ANPD, “Orientações Preliminares sobre Mecanismos Confiáveis de Aferição de Idade“, reflete a posição institucional e serve de referência para suas atividades de monitoramento e fiscalização da conformidade com o Art. 9º do ECA Digital e com o Art. 24 do Decreto nº 12.880/2026.
Os requisitos legais mínimos dos mecanismos de aferição de idade foram assim agrupados:
- Proporcionalidade: A solução de aferição de idade deve ser proporcional ao nível de risco associado ao serviço ou produto digital. As empresas devem identificar e avaliar previamente os riscos inerentes ao serviço ou produto digital e os decorrentes do mecanismo de aferição, especialmente os que envolvem dados biométricos. Instrumentos como o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) são recomendados para essa análise.
- Acurácia, Robustez e Confiabilidade: O mecanismo implementado deve ser preciso, resistente a tentativas de fraude e capaz de operar de forma estável em condições reais de uso. Soluções baseadas exclusivamente na autodeclaração do usuário apresentam baixo grau de confiabilidade, são facilmente manipuláveis e, portanto, são insuficientes para atender aos requisitos regulatórios.
- Privacidade e Proteção de Dados Pessoais: As soluções devem aderir aos princípios de minimização de dados, proteção da privacidade, segurança da informação, vedação ao uso secundário, vedação à rastreabilidade e vedação ao compartilhamento contínuo, automatizado e irrestrito de dados pessoais. Tecnologias como credenciais verificáveis e provas de conhecimento zero (Zero-Knowledge Proofs) são citadas como exemplos de abordagens que reduzem a exposição de dados, alinhando-se às melhores práticas de privacidade.
- Inclusão e Não Discriminação: Os mecanismos de aferição de idade não podem causar exclusão indevida de usuários nem reproduzir vieses discriminatórios. Recomenda-se prever métodos alternativos de comprovação etária para garantir a acessibilidade e evitar disparidades, por exemplo, na acurácia de soluções biométricas entre diferentes grupos populacionais.
- Transparência e Auditabilidade: Os fornecedores devem informar, de forma clara e acessível, a finalidade do mecanismo, os dados utilizados e as consequências da aferição, além de oferecer canais de contestação e de retificação. É essencial manter registros de auditoria (audit logs), mas sem armazenar desnecessariamente dados biométricos ou documentais para essa finalidade.
- Interoperabilidade: As soluções devem permitir a comunicação do atributo etário estritamente necessário entre sistemas, sem a criação de bases de dados integradas extensas nem o compartilhamento contínuo de dados pessoais. Arquiteturas duplo-cegas (double-blind), intermediários confiáveis e tokens criptográficos são exemplos de abordagens técnicas que promovem a interoperabilidade segura.
Cadeia Digital de Responsabilidade e Requisitos Específicos para Soluções Técnicas
O Guia Orientativo da ANPD estabelece uma cadeia digital de responsabilidade, distribuindo as obrigações de aferição de idade conforme a posição do fornecedor no ambiente digital. Este modelo prevê um sistema protetivo de dois níveis, que exige atuação coordenada entre os diversos agentes.
No primeiro nível, as lojas de aplicações e sistemas operacionais são responsáveis pela aferição inicial da idade e pelo compartilhamento de um “sinal de idade” via API para os demais fornecedores.
No segundo nível, os demais fornecedores de produtos e serviços devem garantir o recebimento e o processamento adequados desses sinais de idade, além de prever mecanismos de contingência para eventuais falhas na transmissão do sinal. Mecanismos adicionais de aferição de idade podem ser exigidos, dependendo do risco e da natureza do produto ou serviço.
O guia também detalha requisitos específicos para soluções técnicas, tais como:
- Estimativa Facial: Visa inferir a idade a partir de atributos biométricos captados por meio de imagens ou vídeos, sem a necessidade de documento de identidade. O fornecedor deve formalizar um RIPD e assegurar que a finalidade não seja de identificação ou de autenticação. Medidas robustas de controle contra burlas, alta confiabilidade e segurança técnica são indispensáveis.
- Verificação Documental: Este mecanismo verifica os dados de um documento oficial e os compara com o critério de idade, sendo mais adequado para serviços de maior risco. O fornecedor deve garantir a autenticidade, integridade e validade do documento, além de proteção contra falsificação e conformidade com os requisitos de proteção de dados e de privacidade.
- Credenciais Verificáveis: O usuário apresenta um atributo etário previamente emitido por uma entidade confiável (ex.: uma autoridade governamental). As credenciais devem conter apenas os atributos estritamente necessários à comprovação da idade ou da faixa etária, garantindo a minimização de dados.
Fiscalização em Andamento
A ANPD já deu início à fase de fiscalização do cumprimento das obrigações introduzidas pelo ECA Digital, evidenciando que o tema passou da esfera exclusivamente orientativa para uma atuação regulatória e fiscalizatória efetiva, como indicado no Relatório de Acompanhamento da Agenda Regulatória Biênio 2025-2026.
A Autoridade já monitora provedores de lojas de aplicativos e desenvolvedores de sistemas operacionais para verificar a implementação dos mecanismos de aferição de idade e da infraestrutura necessária à disponibilização dos chamados “sinais de idade”. Além disso, processos que envolviam violação à LGPD agora envolvem planos de conformidade dos mecanismos de aferição de idade, como se deu recentemente com a Bytedance, controladora do TikTok, e com a plataforma de jogos Discord.
Embora a ação inicial tenha sido direcionada aos grandes provedores de infraestrutura digital, a tendência é que as atividades de monitoramento e fiscalização sejam progressivamente ampliadas para alcançar os demais agentes de tratamento sujeitos às disposições do ECA Digital, especialmente plataformas, aplicações e serviços digitais destinados ou acessados por crianças e adolescentes.
Nesse contexto, empresas que operam no ambiente digital devem revisar seus processos internos, mecanismos de verificação etária, políticas de privacidade e práticas de tratamento de dados pessoais, a fim de assegurar a conformidade com a LGPD, o ECA Digital e os regulamentos da ANPD, observando o cronograma proposto pela Agência.
Essa intensificação da atuação estatal não se restringe à esfera administrativa da ANPD. Em julho de 2026, a Vara da Infância e Juventude de Campina Grande/PB determinou a suspensão, em todo o território nacional, das plataformas de apostas Pixbet, Flabet e Bet da Sorte, em razão de falhas nos mecanismos de proteção contra o acesso de crianças e adolescentes, que acabam viabilizando o cadastro e a realização de apostas por menores mediante o uso do CPF de terceiros, sem verificação biométrica efetiva da identidade do usuário.
A equipe do LBM Advogados acompanha de perto as principais alterações legislativas e jurisprudenciais que impactam o ambiente empresarial e está à disposição para auxiliar seus clientes na avaliação dos impactos das novas diretrizes regulatórias sobre a proteção de dados pessoais, a privacidade e a governança digital.
Nossa atuação inclui a revisão de políticas internas, a análise de mecanismos de aferição de idade, a elaboração de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD), a avaliação de produtos e serviços digitais sob a ótica regulatória, bem como o suporte a procedimentos de fiscalização e à interlocução com a ANPD.