ECA Digital em Fintechs: o que a Lei 15.211/2025 exige

Por que o ECA Digital interessa a fintechs que não são redes sociais

A primeira reação de muitos founders e compliance officers ao ouvir falar do ECA Digital é a mesma: \”isso é coisa de TikTok, não de fintech\”. O raciocínio parece lógico — a Lei 15.211/2025 fala em redes sociais, jogos e plataformas de streaming. Mas o texto da lei não pensa assim.

O art. 2º da Lei 15.211/2025 define o universo regulado como qualquer produto ou serviço de tecnologia da informação que seja direcionado a menores ou de acesso provável por eles. Uma fintech com onboarding digital aberto, conta de pagamento acessível por adolescentes ou aplicativo disponível em lojas públicas pode ser alcançada pelo conceito de \”acesso provável\” — independentemente do público-alvo declarado no pitch deck.

O que diz a base normativa: LGPD, ECA Digital e o Decreto 12.880/2026

O regime que incide sobre fintechs não é simples. Ele opera em três camadas normativas que precisam ser lidas em conjunto:

• LGPD, art. 14: exige consentimento específico de um dos pais ou responsável legal para tratamento de dados de crianças (menores de 12 anos), além de observância dos princípios de necessidade e segurança. O § 4º do mesmo artigo proíbe condicionar o acesso a aplicações ao fornecimento de dados pessoais além do estritamente necessário.
• Lei 15.211/2025 (ECA Digital): sancionada em 17 de setembro de 2025 e em vigor desde 17 de março de 2026, cria obrigações próprias — verificação de idade, proteção por padrão, supervisão parental e vedação de perfilamento para publicidade dirigida a menores.
• Decreto 12.880/2026: publicado em 18 de março de 2026, detalha a implementação, veda práticas manipulativas de interface e exige mecanismos efetivos de verificação etária, explicitando que a autodeclaração de idade não é suficiente.

A complexidade está na interação: ECA Digital, LGPD e o Decreto operam de forma integrada. Descumprir um ponto dessa arquitetura pode configurar infração em mais de uma camada regulatória simultaneamente.

O conceito de \”acesso provável\” e por que ele captura fintechs

O parágrafo único do art. 2º da Lei 15.211/2025 introduz a noção de \”acesso provável por menores\” — e essa é a inovação hermenêutica que amplia o escopo de entidades reguladas de forma mais significativa do que a maioria das fintechs percebeu.

Na prática: se sua fintech oferece conta de pagamento sem restrição etária explícita no onboarding, disponibiliza app em loja pública (App Store, Google Play) sem controle de acesso por faixa etária, ou não possui mecanismo de verificação de idade no cadastro, a ANPD pode entender que há acesso provável por menores — e exigir conformidade com o ECA Digital.

O setor financeiro tem um traço particular aqui. Fintechs já atendem obrigações do Banco Central, do Código Civil e da LGPD relacionadas a menores de idade. Mas o ECA Digital adiciona ajustes novos em termos de controle parental, uso de dados e proibição de análise comportamental para publicidade direcionada a esse público.

As quatro obrigações práticas que mais impactam operações de fintechs

1. Verificação de idade: autodeclaração não basta

O Decreto 12.880/2026 é explícito: a autodeclaração de idade não é suficiente para criação de contas ou acesso a conteúdo proibido. Fintechs precisam adotar mecanismos efetivos de verificação etária. O desafio técnico-jurídico é calibrar o nível de verificação de acordo com o risco de cada interação — sem criar fricção desnecessária para usuários maiores de idade.

Uma alternativa discutida no mercado é a confirmação de atributo de idade via Open Finance: o banco envia confirmação de faixa etária mínima sem compartilhar dados pessoais sensíveis como data de nascimento. O modelo preserva a minimização de dados exigida pela LGPD e evita coleta excessiva no onboarding.

2. Segregação de finalidade dos dados de verificação

Este é o ponto mais ignorado — e o de maior risco regulatório. Os dados coletados para verificar a idade devem ficar estritamente limitados a essa finalidade. Reaproveitar essas informações para perfilamento comercial, publicidade, enriquecimento cadastral ou outras camadas de monetização é vedado pelo cruzamento entre o ECA Digital e os princípios de finalidade e necessidade da LGPD.

Para fintechs com onboarding mais estruturado, isso se conecta diretamente com práticas de KYC/AML e exige o desenho de módulos bem separados, com segregação de finalidade, controles de acesso e trilhas claras de auditoria. Não é apenas boa prática: é critério regulatório que separa uma implementação defensável de uma exposição administrativa relevante.

3. Proibição de perfilamento para publicidade dirigida a menores

A Lei 15.211/2025 veda a utilização de técnicas de perfilamento para direcionamento de publicidade comercial a crianças e adolescentes. Fintechs que utilizam dados comportamentais para campanhas de cross-sell, upsell ou retargeting precisam garantir que menores sejam excluídos desses fluxos de forma ativa — não apenas declarada na política de privacidade.

O Decreto 12.880/2026 acrescenta que práticas publicitárias que explorem a deficiência de julgamento de crianças serão consideradas abusivas, especialmente quando baseadas em análise emocional ou tecnologias imersivas. Notificações push excessivas e carregamento automático de conteúdo sem solicitação também são vedados quando o usuário é menor.

4. Avaliação de Impacto de Proteção de Dados e Direitos (AIPD)

Antes de lançar qualquer funcionalidade, algoritmo ou serviço que possa ser acessado por menores, a Lei 15.211/2025 obriga a realização de uma Avaliação de Impacto de Proteção de Dados e Direitos (AIPD). O instrumento é distinto do RIPD da LGPD — ele exige identificação de riscos à saúde mental, à privacidade e à segurança física dos jovens, além das medidas adotadas para mitigá-los.

Provedores com número expressivo de usuários menores no Brasil também deverão publicar relatórios periódicos em português, documentando medidas adotadas, denúncias recebidas e resultados de avaliações de risco. A lógica é de accountability regulatória contínua, não de conformidade pontual.

Erros que fintechs cometem nesse enquadramento

Erro 1 — Assumir que o público-alvo declarado define o escopo legal. O ECA Digital não pergunta para quem a fintech quer vender, mas se menores podem acessar o produto. Um aplicativo de conta digital disponível sem restrição etária em loja pública é candidato ao enquadramento, independentemente do ICP definido no planejamento comercial.

Erro 2 — Tratar verificação de idade como problema de UX, não de governança de dados. A escolha do mecanismo de verificação é uma decisão jurídica com implicações na LGPD. Soluções que coletam mais dados do que o necessário para confirmar a faixa etária criam passivo de proteção de dados — verificar a menos também é um problema, mas verificar demais pode ser igualmente indefensável.

Erro 3 — Não segregar o módulo de verificação etária do restante da base de dados. Fintechs que armazenam dados de verificação de idade no mesmo pipeline de dados de marketing ou CRM estão misturando finalidades de forma que viola simultaneamente o ECA Digital e o princípio de finalidade da LGPD.

Erro 4 — Ignorar o prazo de adequação já vencido. O período de adequação ao ECA Digital encerrou-se em 17 de março de 2026. A ANPD sinalizou abordagem de fiscalização responsiva neste momento inicial, priorizando o diálogo regulatório. Mas as Resoluções CD/ANPD 30 e 31/2025 deixam claro que proteção de crianças e adolescentes é tema prioritário de fiscalização no biênio 2026-2027, com 40 ações fiscalizatórias previstas para o período — incluindo foco no tratamento de dados financeiros.

O que fazer agora: um framework de adequação em quatro etapas

1. Mapeamento de exposição: identificar todos os produtos e serviços digitais da fintech que possam ser qualificados como de \”acesso provável por menores\” — onboarding, app, site, APIs abertas. A análise deve ser feita produto a produto, não no nível da empresa.
2. Revisão do fluxo de onboarding: avaliar se o mecanismo atual de verificação de idade é suficiente para o padrão do ECA Digital e do Decreto 12.880/2026. Autodeclaração e data de nascimento autodeclarada não atendem o critério de mecanismo efetivo.
3. Segregação de dados de verificação etária: garantir que os dados coletados para verificar faixa etária fiquem isolados de pipelines de marketing, CRM e perfilamento. Documentar essa segregação com trilha de auditoria.
4. Elaboração ou atualização da AIPD: para produtos com acesso provável por menores, realizar a Avaliação de Impacto de Proteção de Dados e Direitos exigida pelo ECA Digital. O documento deve ser distinto do RIPD da LGPD e abordar especificamente riscos ao desenvolvimento de crianças e adolescentes.

Síntese: o ECA Digital não é opcional para fintechs

O ECA Digital inaugura um regime de proteção de dados com lógica própria, que não se confunde com a LGPD, mas opera em paralelo com ela. Para fintechs, o risco não está apenas nas multas — que podem alcançar R$ 50 milhões por infração. Está na exposição reputacional perante reguladores, investidores e parceiros em um momento em que a ANPD consolidou autonomia institucional plena e colocou dados financeiros de crianças e adolescentes no centro de sua pauta fiscalizatória para 2026 e 2027.

A conformidade com o ECA Digital deixou de ser medida jurídica isolada: tornou-se exigência de governança, segurança, reputação e continuidade do negócio para qualquer fintech que opere em ambiente digital aberto ao público brasileiro.

O Log.Law atua em proteção de dados e compliance regulatório para fintechs e startups. Para avaliar um cenário particular, o contato está disponível no site.

FAQ

Minha fintech não tem menores como público-alvo. O ECA Digital ainda se aplica?

Sim, potencialmente. O critério legal não é o público-alvo declarado, mas o \”acesso provável por menores\”. Se o aplicativo da fintech está disponível em loja pública sem restrição etária ou se o onboarding não possui mecanismo efetivo de verificação de faixa etária, a ANPD pode entender que há acesso provável — e exigir conformidade com a Lei 15.211/2025 independentemente do posicionamento comercial da empresa.

Qual a diferença entre a AIPD do ECA Digital e o RIPD da LGPD?

São instrumentos distintos com finalidades diferentes. O RIPD da LGPD avalia riscos ao titular de dados em operações de tratamento de alto risco, com foco em impactos sobre direitos e liberdades civis em geral. A AIPD do ECA Digital é específica para produtos e serviços com acesso provável por menores e deve abordar riscos à saúde mental, à privacidade e à segurança física de crianças e adolescentes — incluindo avaliação de design do produto e sistemas de recomendação algorítmica. Uma fintech pode precisar elaborar os dois documentos para o mesmo produto.

Posso usar os dados coletados no KYC para verificar a idade do usuário e depois aproveitá-los para outras finalidades?

Não. O ECA Digital, lido em conjunto com o princípio de finalidade da LGPD (art. 6º, I), exige que os dados utilizados para verificação de idade fiquem estritamente limitados a essa finalidade. Reaproveitar essas informações para perfilamento comercial, publicidade ou enriquecimento cadastral configura desvio de finalidade. Para fintechs com KYC estruturado, a solução exige segregação arquitetural — módulos separados com controles de acesso e trilhas de auditoria distintas.

Quais são as penalidades por descumprimento do ECA Digital?

A Lei 15.211/2025 prevê advertência, multas e, nos casos mais graves, proibição de exercício da atividade. As multas podem alcançar R$ 50 milhões por infração. A ANPD sinalizou abordagem responsiva neste momento inicial de vigência, priorizando o diálogo regulatório antes da aplicação de sanções mais graves. Contudo, as Resoluções CD/ANPD 30 e 31/2025 indicam que o tema de proteção de crianças e adolescentes será frente prioritária de fiscalização durante todo o biênio 2026-2027 — o que torna o período atual uma janela de adequação, não de isenção.