ECA Digital: da proteção à vigilância, onde estão os limites?

O Estatuto Digital da Criança e do Adolescente, instituído pela Lei n. 15.211/2025, estabeleceu uma nova etapa regulatória, com obrigações específicas para plataformas e outros fornecedores de tecnologia. A implementação também ampliou o papel da ANPD, que passou a fiscalizar o cumprimento do ECA Digital e vem estruturando regras sobre aferição de idade, além de acompanhar a adaptação dos agentes regulados.

A mudança não está apenas nas novas obrigações impostas às plataformas. Está também no que essas obrigações fazem surgir: mecanismos capazes de identificar riscos, restringir determinados acessos e detectar conteúdos ilícitos, além da possibilidade de preservar e comunicar informações às autoridades em situações previstas pela própria lei. 

É nessa passagem que a proteção infantojuvenil começa a tocar uma questão própria da persecução penal. Quando uma informação produzida para prevenir uma violação passa a interessar a uma investigação criminal, quais garantias devem acompanhar esse percurso?

Da prevenção à investigação

O ECA Digital não transforma as plataformas em órgãos de investigação. A lei estabelece deveres de prevenção e redução de riscos e cria mecanismos para que situações graves possam ser identificadas e comunicadas com maior rapidez. 

Entre essas obrigações está a prevista no art. 27, que alcança conteúdos de aparente exploração ou abuso sexual, sequestro e aliciamento detectados pelos fornecedores. Nos casos de exploração e abuso sexual, a lei prevê ainda a preservação de conteúdos, dados de usuários e metadados relacionados, nos termos ali estabelecidos, inclusive com possibilidade de extensão mediante requerimento judicial.

A finalidade é legítima e particularmente sensível quando se trata de violência contra crianças e adolescentes. Mas a legitimidade da finalidade não resolve, por si só, tudo o que acontece depois que a informação é produzida.

Há uma diferença entre detectar uma situação de risco, comunicá-la às autoridades e transformá-la em elemento de prova. São momentos distintos, submetidos a exigências jurídicas também distintas.

Essa separação se torna ainda mais importante diante da natureza dos mecanismos empregados. A identificação de determinado conteúdo pode decorrer de sistemas automatizados, filtros, ferramentas de inteligência artificial ou procedimentos internos das próprias plataformas. O resultado dessa detecção pode ser relevante para a investigação, mas sua origem privada não elimina as questões sobre autenticidade, integridade, contexto e forma de preservação do material.

A tecnologia pode localizar o dado. Não é ela, por si só, que define o seu valor probatório.

O dado não perde sua finalidade

O problema também aparece antes mesmo de uma investigação criminal existir.

A implementação do ECA Digital tem colocado no centro da regulação mecanismos de aferição de idade. A ANPD publicou orientações preliminares sobre o tema e, desde março, acompanha a implementação dessas soluções em lojas de aplicativos e sistemas operacionais. Em junho, a Agência iniciou o monitoramento de Apple, Google e Microsoft para verificar o cumprimento das obrigações relacionadas à aferição e ao fornecimento de sinais de idade.

A própria agenda regulatória da ANPD reconhece que a aferição de idade envolve uma questão de proporcionalidade: é preciso conciliar a proteção de crianças e adolescentes com os riscos decorrentes dos métodos utilizados para verificar, estimar ou inferir a idade dos usuários. Entre as soluções consideradas estão mecanismos como estimativa facial e verificação documental.

É aqui que a discussão sobre proteção de dados deixa de ser apenas regulatória e passa a interessar também ao Direito Penal e ao Processo Penal.

Quanto mais informações forem necessárias para identificar a idade ou restringir determinado acesso, maior é a importância de saber quais dados são efetivamente necessários, para qual finalidade são tratados, por quanto tempo permanecem disponíveis e em que circunstâncias podem ser compartilhados.

Uma informação obtida para verificar a idade de um usuário não se transforma automaticamente em informação disponível para qualquer outra finalidade. A finalidade que legitimou a coleta continua juridicamente relevante.

Isso é particularmente importante em um ambiente no qual diferentes bases de dados podem se conectar e no qual uma informação inicialmente produzida para uma finalidade preventiva pode adquirir, posteriormente, interesse investigativo.

Quando a informação chega ao processo penal

A distância entre informação e prova pode parecer pequena no ambiente digital. Juridicamente, não é.

Um conteúdo pode ser identificado por uma plataforma, preservado em seus sistemas e posteriormente encaminhado às autoridades. Ainda será necessário saber o que exatamente foi preservado, como foi preservado, quem teve acesso ao material, se o conteúdo corresponde ao original e quais informações acompanharam aquele registro.

Não se trata de criar uma barreira artificial à investigação de crimes praticados contra crianças e adolescentes. Trata-se de reconhecer que a gravidade do delito não elimina as regras que disciplinam a formação da prova.

A preocupação com a integridade da prova digital, inclusive, já ultrapassou o debate acadêmico. Em 2025, o Conselho Nacional de Justiça criou grupo de trabalho específico para estudar a disciplina e a preservação da cadeia de custódia da prova digital, destacando requisitos como autenticidade, integridade, auditabilidade, repetibilidade e reprodutibilidade.

O ECA Digital acrescenta uma camada nova a esse problema: parte da informação potencialmente relevante para uma investigação pode nascer antes mesmo da existência formal de uma investigação.

Essa circunstância não torna o dado inválido. Mas torna ainda mais importante identificar sua origem e a finalidade para a qual foi produzido.

A diferença é fundamental. Uma plataforma pode ter o dever de preservar determinado conteúdo. Isso não significa que o Estado esteja autorizado a acessar indistintamente todo o conjunto de informações existentes naquele ambiente. A preservação e o acesso são problemas jurídicos diferentes.

Do mesmo modo, o fato de uma informação ter sido comunicada às autoridades não resolve as questões relativas à sua utilização posterior no processo.

O limite está na própria arquitetura da lei

Há, no próprio ECA Digital, uma preocupação explícita com esse equilíbrio.

O art. 34, § 1º, determina que a regulamentação não poderá autorizar ou resultar na implantação de mecanismos de vigilância massiva, genérica ou indiscriminada. A mesma norma preserva a liberdade de expressão, a privacidade, a proteção integral e o tratamento diferenciado dos dados pessoais de crianças e adolescentes.

A disposição é relevante porque mostra que o legislador não tratou a proteção como autorização irrestrita para ampliar a capacidade de monitoramento do ambiente digital.

Há uma fronteira que precisa ser preservada.

De um lado, mecanismos de prevenção são necessários para que a proteção infantojuvenil não permaneça apenas no plano formal. De outro, a busca por segurança não pode dissolver as garantias que delimitam a coleta, o acesso e o uso de informações pessoais.

É justamente nessa zona intermediária que o ECA Digital começa a produzir consequências que interessam à advocacia criminal.

Para a defesa, a origem do dado, sua finalidade, a forma de preservação e o caminho percorrido até chegar à investigação podem se tornar elementos relevantes para discutir a validade e o valor probatório da informação. Para a acusação, a existência de um registro produzido por uma plataforma também não dispensa a demonstração de sua autenticidade, integridade e pertinência para o caso concreto.

A questão não é impedir que dados digitais sejam utilizados na investigação de crimes contra crianças e adolescentes. É saber sob quais condições isso pode acontecer.

O primeiro ano do ECA Digital mostra que a proteção no ambiente virtual dependerá cada vez mais de mecanismos capazes de identificar riscos e produzir informações. À medida que essas informações se aproximam da persecução penal, porém, surge uma exigência adicional: não basta saber que o dado existe. Será preciso compreender como ele foi produzido, para que finalidade, sob quais limites e por qual caminho chegou ao processo.

A proteção pode exigir que determinados dados sejam encontrados e preservados. O verdadeiro limite jurídico aparece quando se pergunta o que o Estado pode fazer com eles depois disso.