ECA Digital para escolas, projetos sociais e organizações que atendem crianças

Organizações que atendem crianças e adolescentes precisam olhar com atenção para o ECA Digital. Escolas, projetos sociais, organizações do terceiro setor, instituições de saúde, esporte, cultura, assistência social e plataformas educacionais costumam tratar dados de menores de idade em diferentes contextos: matrículas, cadastros, atendimentos, atividades pedagógicas, projetos sociais, eventos, campanhas, imagens, relatórios, plataformas digitais, aplicativos e comunicação com famílias.

Com o avanço da proteção de crianças e adolescentes em ambientes digitais, a pergunta deixa de ser apenas:

“Minha organização está adequada à LGPD?”

E passa a ser também:

“Os ambientes digitais utilizados pela organização protegem adequadamente crianças e adolescentes?”

O ECA Digital não substitui a LGPD. Ele cria uma camada adicional de cuidado para organizações que oferecem produtos, serviços, canais ou ambientes digitais direcionados a crianças e adolescentes, ou que sejam de acesso provável por esse público.

Segundo as orientações preliminares da ANPD sobre mecanismos confiáveis de aferição de idade, o ECA Digital adota um modelo regulatório orientado à prevenção de riscos e à proteção integral de crianças e adolescentes no ambiente digital.

A orientação também destaca que produtos e serviços de tecnologia da informação direcionados a esse público, ou de acesso provável por ele, devem adotar medidas adequadas e proporcionais para assegurar privacidade, proteção de dados e segurança.

Por que escolas e projetos sociais precisam se preocupar com o ECA Digital?

Escolas, projetos sociais e organizações que atendem crianças lidam diariamente com informações sensíveis do ponto de vista humano, social e jurídico.

Essas organizações podem tratar dados como:

• nome da criança ou adolescente;

• idade e data de nascimento;

• CPF ou documento;

• endereço;

• dados dos pais ou responsáveis;

• informações escolares;

• dados de saúde;

• imagens, vídeos e voz;

• dados de vulnerabilidade social;

• informações de atendimento;

• registros de participação em atividades;

• dados de acesso a plataformas digitais;

• histórico de comunicação com famílias.

Quando esses dados circulam em ambientes digitais, como sites, aplicativos, portais, plataformas de ensino, sistemas de gestão, formulários online, redes sociais, grupos de comunicação ou ferramentas de atendimento, os riscos aumentam.

Por isso, o ECA Digital exige uma visão mais ampla do que apenas “ter uma política de privacidade”.

É necessário avaliar:

• quais dados são coletados;

• por qual finalidade;

• quem acessa;

• quais fornecedores participam;

• como ocorre o consentimento dos responsáveis;

• se há exposição de imagem;

• se há canais digitais acessíveis por crianças;

• se existem mecanismos de segurança;

• se há risco de contato indevido;

• se há conteúdo ou funcionalidade inadequada;

• se há rastreabilidade, perfilamento ou uso secundário dos dados.

ECA Digital e LGPD: qual é a relação?

A adequação ao ECA Digital depende diretamente de uma base mínima de LGPD.

Não faz sentido falar em proteção digital de crianças e adolescentes sem antes saber quais dados pessoais são tratados, em quais sistemas, por quais fornecedores, com quais bases legais, por quanto tempo e com quais medidas de segurança.

A própria ANPD reforça que, embora o ECA Digital e sua regulamentação tragam salvaguardas específicas, sempre que houver tratamento de dados pessoais permanece aplicável todo o conjunto de disposições da LGPD.

Na prática, isso significa que uma escola, ONG ou projeto social não deve tratar o ECA Digital como um tema isolado. Ele precisa estar integrado à governança de privacidade da organização.

Se a organização já possui LGPD implementada, o caminho é revisar essa base sob a ótica específica de crianças e adolescentes.

Se ainda não possui LGPD estruturada, o caminho mais adequado é um projeto integrado de LGPD + ECA Digital.

Quais organizações podem ser impactadas?

O ECA Digital pode impactar diferentes tipos de organizações, especialmente aquelas que mantêm relação direta ou indireta com crianças e adolescentes.

Entre elas:

• escolas de educação infantil, ensino fundamental e ensino médio;

• cursos livres e plataformas educacionais;

• organizações do terceiro setor;

• projetos sociais;

• instituições religiosas com atividades infantis ou juvenis;

• clubes esportivos;

• escolas de esporte;

• escolas de música, arte, dança ou idiomas;

• clínicas e instituições de saúde infantil;

• organizações de assistência social;

• plataformas de ensino online;

• aplicativos educacionais;

• empresas de tecnologia voltadas ao público infantojuvenil;

• instituições que realizam campanhas, eventos ou atividades com menores.

Mesmo quando a organização não é uma escola ou não atua exclusivamente com crianças, o ECA Digital pode ser relevante se seus canais digitais forem acessíveis por esse público ou se houver tratamento de dados de menores.

Exemplos práticos de riscos em escolas e projetos sociais

Para entender melhor o impacto, veja alguns exemplos comuns.

1. Formulários online de inscrição

Muitas organizações usam formulários digitais para inscrição em projetos, eventos, cursos ou atividades. Esses formulários podem coletar dados da criança, do adolescente e dos responsáveis.

O risco ocorre quando há coleta excessiva, ausência de aviso claro, falta de controle de acesso ou armazenamento em ferramentas sem governança adequada.

2. Uso de imagem de crianças e adolescentes

Fotos e vídeos são muito comuns em escolas e projetos sociais. Podem ser usados em redes sociais, relatórios, campanhas, prestação de contas, sites e materiais institucionais.

O uso de imagem exige atenção especial, principalmente quando envolve exposição pública, identificação da criança, contexto de vulnerabilidade ou finalidade diferente daquela inicialmente informada.

3. Plataformas educacionais

Ambientes virtuais de aprendizagem podem tratar dados de acesso, desempenho, participação, interações, mensagens, tarefas e comportamento dos alunos.

É necessário avaliar fornecedores, bases legais, segurança, retenção, compartilhamento e transparência.

4. Grupos de comunicação

WhatsApp, e-mail, aplicativos escolares e outras ferramentas de comunicação podem envolver dados de crianças, adolescentes e responsáveis.

A organização deve avaliar quem participa, quais dados circulam, se há exposição indevida e se existe orientação interna sobre o uso adequado desses canais.

5. Redes sociais

Postagens com crianças e adolescentes exigem cuidado. Mesmo quando há autorização, é importante avaliar se a exposição é necessária, proporcional e compatível com o melhor interesse da criança ou adolescente.

6. Atendimento social ou psicopedagógico

Projetos sociais e escolas podem tratar dados sensíveis, informações familiares, situação de vulnerabilidade, saúde, desenvolvimento, comportamento ou histórico de atendimento.

Esses dados exigem controles reforçados de acesso, confidencialidade e segurança.

O que revisar na prática?

A adequação ao ECA Digital para escolas, projetos sociais e organizações que atendem crianças deve envolver uma análise prática dos principais pontos abaixo.

1. Tratamentos de dados de crianças e adolescentes

A organização precisa mapear quais dados são tratados, por quais áreas, em quais sistemas, com quais finalidades e por quanto tempo.

Esse mapeamento deve incluir dados da criança, do adolescente e dos pais ou responsáveis.

2. Bases legais e consentimento

É necessário avaliar qual base legal sustenta cada tratamento e quando o consentimento dos pais ou responsáveis é necessário.

O consentimento não deve ser apenas uma frase genérica em um formulário. Ele precisa ser compreensível, registrável e coerente com a finalidade do tratamento.

3. Avisos de privacidade claros

Políticas e avisos devem ser escritos em linguagem acessível. Em alguns casos, pode ser necessário criar comunicações específicas para responsáveis e também versões mais simples para crianças e adolescentes.

4. Segurança da informação

A organização deve avaliar controles de acesso, autenticação, logs, armazenamento, compartilhamento, backup, descarte e proteção contra incidentes.

Dados de crianças e adolescentes não devem ficar acessíveis de forma ampla ou sem necessidade.

5. Fornecedores e plataformas

É essencial revisar fornecedores que tratam dados de menores, como plataformas educacionais, sistemas de gestão, ferramentas de comunicação, empresas de marketing, armazenamento em nuvem, aplicativos e prestadores de tecnologia.

A análise deve verificar contratos, papéis dos agentes, suboperadores, segurança, transferência internacional, retenção e uso secundário dos dados.

6. Conteúdos e interações digitais

Quando houver ambientes com interação entre usuários, mensagens, comentários, comunidades, perfis ou publicação de conteúdo, a organização deve avaliar riscos de exposição, contato indevido, moderação e denúncia.

7. Aferição de idade

Nem toda organização precisará de mecanismos complexos de aferição de idade. Mas, quando houver restrição por idade, conteúdo específico ou necessidade de diferenciar crianças, adolescentes e adultos, esse ponto deve ser analisado.

A ANPD aponta que mecanismos de aferição de idade devem observar requisitos como proporcionalidade, acurácia, robustez, confiabilidade, privacidade, proteção de dados, inclusão, não discriminação, transparência, auditabilidade e interoperabilidade.

8. RIPD ou relatório de impacto

Em situações de maior risco, pode ser necessário avaliar a elaboração de um Relatório de Impacto à Proteção de Dados ou relatório específico relacionado ao ECA Digital.

Isso pode ocorrer, por exemplo, quando houver dados sensíveis, biometria, geolocalização, perfilamento, exposição pública, tratamento em larga escala, plataformas digitais com interação ou uso de inteligência artificial.

Aferição de idade: cuidado com soluções excessivas

Um ponto importante para escolas e projetos sociais é não transformar a aferição de idade em um novo risco.

A ANPD orienta que a escolha do método adequado não deve considerar apenas a precisão, mas também a compatibilidade com os direitos dos usuários e com a proteção de dados pessoais. O documento alerta para cautela em relação a métodos baseados em biometria facial, em razão de riscos como vigilância, vieses algorítmicos e coleta excessiva de dados sensíveis.

Isso é especialmente relevante para organizações que atendem crianças em situação de vulnerabilidade. Um mecanismo muito invasivo, caro ou difícil de usar pode gerar exclusão, discriminação ou coleta desnecessária de dados.

A solução precisa ser proporcional ao risco.

O ECA Digital exige apenas documentos?

Não. A adequação ao ECA Digital não deve ser vista como um pacote de documentos.

Documentos são importantes, mas não bastam.

A organização precisa demonstrar prática, controle e evidência.

Isso envolve:

• processos definidos;

• registros de decisão;

• treinamento;

• revisão de fornecedores;

• ajustes em formulários;

• controle de acesso;

• políticas aplicáveis;

• evidências de consentimento;

• medidas de segurança;

• análise de riscos;

• registros de incidentes;

• governança contínua.

Em outras palavras: a organização precisa mostrar que protege crianças e adolescentes na prática, não apenas no papel.

Como a MainSafe apoia escolas, projetos sociais e organizações

A MainSafe apoia organizações na adequação ao ECA Digital com base na LGPD, segurança da informação e governança de privacidade.

Para organizações que já possuem LGPD implementada, aplicamos a metodologia:

DNMDP-ECA Digital

Uma metodologia complementar voltada à adequação ao ECA Digital sobre uma base LGPD existente.

O projeto revisa:

• tratamentos de dados de crianças e adolescentes;

• canais digitais acessíveis por esse público;

• riscos digitais;

• consentimento parental;

• políticas e avisos de privacidade;

• mecanismos de aferição de idade;

• funcionalidades e interações digitais;

• fornecedores e operadores;

• segurança aplicada a dados de menores;

• necessidade de RIPD ou relatório de impacto;

• treinamento das áreas envolvidas;

• evidências de conformidade.

Para organizações que ainda não possuem LGPD estruturada, a MainSafe pode conduzir um:

Projeto Integrado LGPD + ECA Digital

Nesse modelo, a organização estrutura sua base de privacidade e proteção de dados ao mesmo tempo em que trata os pontos específicos do ECA Digital.

Conclusão

Escolas, projetos sociais e organizações que atendem crianças e adolescentes precisam se preparar para uma nova fase da proteção digital.

O ECA Digital exige atenção a riscos, dados pessoais, fornecedores, consentimento parental, segurança, comunicação clara, funcionalidades digitais e evidências de conformidade.

A adequação não deve ser tratada como um simples documento ou uma política genérica. Ela precisa estar conectada à LGPD, à governança da organização e à proteção real de crianças e adolescentes em ambientes digitais.

Sua organização atende crianças ou adolescentes?

A MainSafe pode apoiar sua escola, projeto social ou organização na adequação ao ECA Digital, seja como projeto complementar para quem já possui LGPD implementada, seja como projeto integrado LGPD + ECA Digital.

Entre em contato e fortaleça a privacidade, a segurança e a proteção de crianças e adolescentes nos ambientes digitais da sua organização.