- Eduardo Nery, CEO da Every Cybersecurity, avalia o primeiro ano da lei, alerta que o desafio vai além das plataformas digitais e apresenta metodologia para elevar a maturidade de órgãos públicos em LGPD e ECA Digital
O Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025), o ECA Digital, completou um ano em 17 de setembro. Sancionada em 2025 e em vigor desde 17 de março deste ano, a legislação estabeleceu novas responsabilidades para empresas e plataformas digitais na proteção de crianças e adolescentes em redes sociais, aplicativos, jogos, plataformas de vídeo e outros serviços on-line, sob fiscalização da Agência Nacional de Proteção de Dados (ANPD).
O aniversário marcou também o fim do prazo para que plataformas com mais de 1 milhão de usuários crianças e adolescentes registrados no Brasil publicassem o primeiro relatório semestral de transparência, com informações sobre políticas de proteção, gestão de riscos, denúncias recebidas e medidas adotadas para evitar violações.
Para Eduardo Nery, CEO da Every Cybersecurity, o primeiro ano da lei mostra avanços, mas também revela um ponto cego: o debate ficou concentrado nas grandes plataformas, enquanto um dos maiores controladores de dados de crianças e adolescentes do país segue fora do radar.
“Quando se fala em dados de crianças, todo mundo pensa em rede social e jogo on-line. Mas quem guarda a matrícula escolar, o histórico de vacinação, o cadastro em programas sociais e até registros do sistema socioeducativo de milhões de crianças e adolescentes é o Estado. Poucas organizações no país concentram um volume tão grande e tão sensível de informações sobre esse público”, afirma Eduardo Nery.
O Estado como guardião de dados
Secretarias estaduais de educação, saúde, assistência social e segurança pública, além dos órgãos do sistema socioeducativo, mantêm e fazem a gestão de bases de dados de crianças e adolescentes. Os governos também operam portais de matrícula, aplicativos e plataformas de ensino utilizados diretamente por estudantes.
A Lei Geral de Proteção de Dados Pessoais (LGPD) aplica-se integralmente ao poder público e determina que o tratamento de dados de crianças e adolescentes seja realizado em seu melhor interesse. Com o ECA Digital, o nível de exigência da sociedade e dos órgãos de controle sobre essa proteção aumentou.
“Um dado vazado de uma criança de oito anos acompanha essa pessoa pela vida inteira. No setor público, o cidadão não escolhe entregar a informação: ele precisa entregá-la para ter acesso à escola, à saúde, à assistência. Isso torna a responsabilidade do gestor público ainda maior”, destaca Nery.
Metodologia voltada aos órgãos públicos
Para responder a esse cenário, a Every Cybersecurity estruturou uma metodologia de consultoria voltada a elevar o nível de maturidade dos órgãos públicos em relação à LGPD e ao ECA Digital. O trabalho parte de um diagnóstico de maturidade e avança para o inventário das bases e dos fluxos de dados de crianças e adolescentes, a avaliação de riscos e da segurança de sistemas e aplicativos, um plano de ação priorizado, a capacitação de servidores e indicadores para acompanhar a evolução ao longo do tempo.
“O gestor público precisa responder a três perguntas: quais dados de crianças e adolescentes o órgão possui, onde eles estão e quem tem acesso. Nossa experiência mostra que muitos órgãos ainda não conseguem responder com segurança. A metodologia transforma essa lacuna em um plano mensurável, com maturidade medida no início e acompanhada a cada etapa”, explica.
Segurança desde a concepção
Tanto para plataformas privadas quanto para serviços públicos, o especialista defende que a proteção não pode se limitar a medidas pontuais.
“Não basta colocar uma ferramenta de controle parental ou perguntar a idade do usuário na entrada. Quando falamos de crianças e adolescentes, a segurança precisa estar presente desde a concepção do serviço, na forma como os dados são tratados, nos acessos permitidos e nos mecanismos usados para identificar situações de risco”, afirma.
Um dos principais desafios está na aferição de idade, exigida pelo ECA Digital quando necessário. “Parece simples, mas é preciso identificar a faixa etária de quem acessa um conteúdo sem transformar esse processo em mais uma fonte de vulnerabilidade. Proteção de crianças, segurança da informação e proteção de dados precisam caminhar juntas”, diz Nery.
Ele ressalta ainda que a responsabilidade não pode recair apenas sobre as famílias. “Orientar os pais continua sendo fundamental, mas existe uma responsabilidade de quem desenvolve e oferece a tecnologia, seja uma empresa, seja o poder público. Uma criança não pode ter que entender os riscos técnicos de um serviço para estar protegida nele.”
“Cumprir uma exigência regulatória é apenas parte do processo. O mais importante é criar uma cultura em que segurança, privacidade e proteção de dados sejam consideradas desde o início de qualquer produto ou serviço utilizado por crianças e adolescentes”, conclui.
Sobre a Every Cybersecurity
A Every Cybersecurity, GRC and Privacy Solutions é uma empresa brasileira, de capital 100% nacional, fundada em 2014, especializada em cibersegurança, privacidade, proteção de dados, governança, riscos e compliance. Com sede em Brasília (DF) e filial no Rio de Janeiro (RJ), atua como parceira estratégica de organizações públicas e privadas na construção de ambientes digitais seguros, resilientes e aderentes às exigências regulatórias.
Reconhecida como uma das referências nacionais em LGPD e governança de privacidade, teve neste ano suas certificações renovadas pela quinta vez consecutiva na ISO/IEC 27001 e pela quarta vez consecutiva na ISO/IEC 27701. A empresa também possui expertise em frameworks como NIST CSF, PCI DSS e nas normas e resoluções do Banco Central.
Seu portfólio contempla serviços de adequação à LGPD, DPO as a Service, governança, riscos e compliance (GRC), gestão de vulnerabilidades e a Every Academy, braço dedicado à formação e certificação de profissionais.
