Privacidade de crianças online: o que a multa da Disney ensina ao Brasil em 2025

Diogo Coletta e Henrique Rodrigues*

Acordos recentes da FTC (Federal Trade Commission) com a Disney recolocam a privacidade infantil no centro do compliance global. O caso envolve vídeos no YouTube que não foram rotulados como feitos para crianças, o que permitiu coleta de dados de menores e veiculação de anúncios sem consentimento dos responsáveis. O acerto prevê pagamento de 10 milhões de dólares, mudanças estruturais na rotulagem e um programa de conformidade de longo prazo. O ponto jurídico é a Children’s Online Privacy Protection Act (COPPA), dos Estados Unidos, que protege menores de 13 anos e exige consentimento parental verificável antes de qualquer coleta, uso ou compartilhamento de dados.

Leia também: STF amplia responsabilidade de plataformas digitais e marketplaces

A régua americana foi atualizada em 2025, com a FTC consolidando emenda da regra da COPPA no Federal Register. Além de reafirmar o escopo etário e o dever de consentimento verificável, o pacote detalha retenção mínima e eliminação dos dados, reforça a necessidade de telas de idade neutras e deixa claro os deveres de transparência e segurança por parte dos operadores de sites e serviços online dirigidos a crianças. Em síntese, a COPPA permanece centrada na tríade aviso, consentimento e governança de ciclo de vida dos dados. 

Já no Brasil, o piso jurídico já era mais amplo. A Lei Geral de Proteção de Dados (LGPD) fixa o melhor interesse como princípio norteador do tratamento de dados de crianças e adolescentes, exige consentimento específico e em destaque de ao menos um responsável para crianças e impõe deveres de transparência, minimização e eliminação adequada.

Em caso de infração, a Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar sanções graduadas e multas de até 2 por cento do faturamento no Brasil, limitadas a 50 milhões de reais por infração, com metodologia de dosimetria definida por regulamento próprio desde 2023.

O Congresso aprovou, no final de agosto, o ECA Digital, que aguarda sanção presidencial até 18 de setembro. Isso importa porque o texto final desloca o foco de uma conformidade apenas declaratória para obrigações técnicas e de desenho de produto. O projeto alcança qualquer serviço com provável acesso por crianças e adolescentes e cria uma autoridade administrativa autônoma para proteger direitos desse público no ambiente digital.

Entre os deveres principais, o ECA Digital exige verificação confiável de idade para bloquear acesso a conteúdo impróprio, veda expressamente a autodeclaração e impõe que sistemas operacionais e lojas de aplicativos forneçam sinal de idade via API com salvaguardas de privacidade e uso estritamente limitado. Isso não replica a COPPA, vai além dela. O dado coletado para aferição de idade só pode servir para essa finalidade e não pode ser reutilizado para outros propósitos. 

A lei introduz defaults protetivos: produtos e serviços devem operar, por padrão, no grau máximo de proteção de privacidade e dados, com informações claras para escolhas conscientes caso se pretenda reduzir esse nível. Também exige mecanismos de desenho que desestimulem uso compulsivo e que evitem exposição a conteúdos ilegais ou manifestamente inadequados à faixa etária.

Há ainda um divisor de águas na publicidade. O ECA Digital proíbe a criação de perfis comportamentais de crianças e adolescentes para fins de direcionamento de publicidade comercial, inclusive com dados obtidos na verificação de idade. Em redes sociais, impõe regras específicas de tratamento orientadas pelo melhor interesse e procedimentos para suspender contas quando houver indício de descumprimento de idade mínima. É um contraste direto com a COPPA, que admite publicidade se houver consentimento válido e controles adequados.

Na resposta a violações graves, o texto exige remoção e notificação às autoridades quando houver conteúdo de exploração e abuso sexual, com requisitos procedimentais e prazos inspirados no Marco Civil da Internet. Além disso, estabelece um rol de sanções que inclui advertência, suspensão, proibição de atividades e multa de até 10 por cento do faturamento do grupo econômico no Brasil ou, na falta de faturamento, multa por usuário cadastrado até um teto global, destinando recursos ao Fundo da Criança e do Adolescente. O enforcement passa a ser compartilhado entre a nova autoridade setorial e o Judiciário, coexistindo com a competência sancionadora da ANPD para matérias de dados pessoais.

O que se extrai do paralelo é claro. A COPPA continua sendo uma referência global, sobretudo no que diz respeito ao consentimento verificável e à governança do ciclo de dados. O Brasil, porém, caminha para um modelo que combina LGPD com um estatuto setorial que transforma deveres de design em obrigações legais, eleva o patamar de comprovação etária, estabelece configurações por padrão no nível mais protetivo e elimina o perfilhamento publicitário de menores.

Veja também: Compliance como cultura: o pilar invisível que sustenta a estratégia

Quem atua aqui e lida com audiência infantil precisa alinhar rotulagem de conteúdo, verificação de idade, controles parentais, práticas de retenção e políticas de anúncios já agora, porque a tendência regulatória é inequívoca e o risco reputacional ficou explícito com o caso Disney.

_{*Diogo Coletta é sócio do Coletta Rodrigues Advogados e bacharel em Direito pela FGV-SP, com intercâmbio acadêmico realizado na Faculdade de Direito da Universidade de Lisboa. É pós-graduado em Direito Societário pela FGV-SP e em Propriedade Intelectual, Mídia e Entretenimento da Escola Superior da Advocacia de São Paulo. Henrique Rodrigues é sócio do Coletta Rodrigues Advogados e bacharel em Direito pela Faculdade de Direito da Universidade de São Paulo (USP). É pós-graduado em Direito Tributário pelo Instituto Brasileiro de Direito Tributário (IBDT).}