Transparência ECA Digital: prazo termina em 17/09

A ANPD fixou 17 de setembro como data limite para o primeiro relatório semestral; a exigência alcança bem mais do que as grandes redes sociais.

O que a ANPD decidiu

A Agência Nacional de Proteção de Dados publicou, no Diário Oficial da União de 11 de agosto de 2026, o Despacho Decisório CD/ANPD nº 122/2026, que fixa 17 de setembro de 2026 como data limite para a publicação do primeiro relatório semestral de transparência ECA Digital, previsto no artigo 31 da Lei nº 15.211/2025. A dúvida que a Agência resolveu era fácil de enunciar e difícil de responder: qual marco temporal contava para o primeiro ciclo. A ANPD firmou entendimento de que vale a data em que a legislação completa um ano.

O relatório deve cobrir, como regra, o período de 1º de janeiro a 30 de junho de 2026. Provedores que não disponham de dados sistematizados relativos a janeiro e fevereiro podem limitar o documento ao intervalo de 17 de março, data de entrada em vigor da lei, a 30 de junho de 2026. Em qualquer das hipóteses, o prazo de publicação é o mesmo.

A partir do ciclo seguinte, o calendário se estabiliza nos semestres civis: o relatório de 1º de julho a 31 de dezembro deve ser publicado até 1º de fevereiro e, de 2027 em diante, o documento do primeiro semestre passa a ser publicado até 1º de agosto de cada ano.

Além da publicação no próprio site, a ANPD recomenda o envio de cópia para o endereço [email protected]. Recomendação não é obrigação; ainda assim, deixar de atendê-la em um cenário de fiscalização temática ativa é uma escolha que precisará ser justificada depois.

Por que isso importa além das grandes redes sociais

O gatilho legal é quantitativo: provedores de aplicações de internet direcionados a crianças e adolescentes, ou de acesso provável por esse público, com mais de um milhão de usuários menores de 18 anos registrados no Brasil. A leitura apressada conclui que a regra alcança meia dúzia de plataformas globais. A leitura correta é mais incômoda para os demais setores.

Primeiro, porque “acesso provável” é critério de fato, não de intenção declarada. Portais de teleatendimento em saúde, aplicativos de operadoras e planos, plataformas de ensino, ambientes de matrícula e sistemas de gestão escolar convivem rotineiramente com titulares menores de idade. A ausência de uma persona infantojuvenil no plano de negócios não afasta o enquadramento.

Segundo, porque o volume se apura pela base registrada, não pelo acesso simultâneo. Redes de ensino com capilaridade nacional e operadoras de saúde de grande porte precisam medir esse número antes de concluir que estão fora do alcance da norma.

Terceiro, e principalmente, porque o relatório do artigo 31 está se tornando o parâmetro público do que se espera de quem trata dados de crianças e adolescentes. Mesmo a instituição que fique abaixo do limiar passará a ser comparada com esse padrão em auditorias, licitações, due diligences contratuais e eventuais processos sancionadores.

O que o relatório precisa conter

O artigo 31 não pede um texto institucional. Pede números e método. O documento deve ser redigido em língua portuguesa, publicado no sítio eletrônico do provedor, e trazer:

• os canais disponíveis para recebimento de denúncias e os sistemas e processos de apuração adotados;
• a quantidade de notificações recebidas, discriminada por categoria, e os encaminhamentos dados a cada uma;
• a quantidade de moderações de conteúdo e de contas;
• as medidas adotadas para identificação de atos ilícitos e de contas infantis em redes sociais;
• os aprimoramentos técnicos implementados para a proteção de dados e da privacidade desse público;
• as medidas destinadas a garantir o consentimento parental;
• os métodos utilizados e os resultados das avaliações de impacto, da identificação e do gerenciamento de riscos à segurança e à saúde de crianças e adolescentes.

O último item é o mais exigente e o menos comentado. Ele obriga o provedor a tornar público o resultado de avaliação de impacto. Quem nunca conduziu uma AIPD voltada ao público infantojuvenil simplesmente não tem o que reportar, e o silêncio no relatório passa a ser, ele próprio, uma declaração pública de lacuna.

Vale registrar a articulação com a LGPD. O artigo 14 exige que o tratamento de dados de crianças e adolescentes atenda ao melhor interesse do titular, com consentimento específico e em destaque dado por ao menos um dos pais ou responsável legal no caso de crianças. Dados de saúde de menores acumulam ainda a proteção do artigo 11, que delimita as hipóteses aplicáveis a dados sensíveis. A régua é dupla, e o relatório de transparência é onde ela fica visível.

Implicações práticas para o Encarregado

O Encarregado que for acionado na véspera não conseguirá produzir o relatório, porque os dados exigidos são operacionais e retroativos. Três consequências concretas.

Instrumentação retroativa. A contagem de denúncias por categoria e de moderações por período depende de registro estruturado desde janeiro ou, no mínimo, desde 17 de março. Se o log não existe, a saída defensável é declarar a limitação metodológica no próprio relatório, e não estimar números.

Governança do texto. O relatório é peça de comunicação pública com efeito jurídico. Deve passar por revisão do jurídico, da segurança da informação e da área de negócio antes de ir ao ar, e a versão publicada precisa ser preservada com data e responsável identificados, porque será o documento comparado ao relatório seguinte.

Coerência com o inventário. Se o ROPA da instituição não identifica atividades com titulares menores de 18 anos, existe divergência entre o mapeamento interno e o relatório publicado. Divergência entre documentos produzidos pela própria organização é o achado mais rápido de qualquer fiscalização.

O que fazer a partir de agora

1. Determinar, com evidência, se a organização ultrapassa um milhão de usuários registrados com menos de 18 anos, e formalizar a conclusão, inclusive quando negativa.
2. Se ultrapassa, definir imediatamente o período de referência (1º de janeiro ou 17 de março) e registrar a justificativa da escolha.
3. Levantar as métricas disponíveis, identificar as lacunas e decidir como declará-las de forma transparente.
4. Verificar a existência de avaliação de impacto sobre o público infantojuvenil; não havendo, iniciar o processo e reportar o estágio real.
5. Aprovar, publicar em local acessível do site e encaminhar cópia à ANPD.
6. Registrar em ata do comitê de privacidade a decisão tomada, seja a de publicar, seja a de não enquadramento.

O passo 6 é o que protege a instituição. Concluir que não há enquadramento é uma resposta legítima; não ter conclusão nenhuma, não é.

Como o ecossistema HDPO pode ajudar

A avaliação de enquadramento, a construção da AIPD do público infantojuvenil e a estruturação das métricas exigidas pelo artigo 31 são frentes conduzidas no advisory e no DPOaaS da HDPO, com apoio do PROTEGON no inventário de atividades, no registro de requisições de titulares e na gestão de incidentes que alimentam o relatório. O prazo é curto, mas a decisão documentada vale mais do que o volume de páginas publicadas.