Avaliação de Impacto (AIPD) para produtos acessíveis por menores: guia prático

O ECA Digital (Lei nº 15.211/2025) exige que empresas que tratam dados de crianças e adolescentes elaborem uma Avaliação de Impacto de Proteção de Dados e Direitos — a chamada AIPD. Não é o mesmo que o RIPD (Relatório de Impacto à Proteção de Dados) da LGPD, embora os dois instrumentos tenham pontos em comum.

A AIPD vai além da análise de riscos ao tratamento de dados. Ela precisa avaliar riscos à segurança, à saúde mental e física, e ao desenvolvimento biopsicossocial de crianças e adolescentes. É um documento mais amplo, mais exigente e mais específico.

A ANPD ainda não publicou um modelo oficial de AIPD para menores, mas a lei já está em vigor e a obrigação é imediata para determinados tratamentos. Este guia apresenta a estrutura, o conteúdo e o roteiro prático para elaborar o documento.

O que a lei exige

O ECA Digital traz duas obrigações centrais sobre avaliação de impacto:

Art. 10 — Gestão de riscos obrigatória: plataformas devem conduzir gestão de riscos de seus recursos, funcionalidades e sistemas, avaliando impactos na segurança e na saúde de crianças e adolescentes. Devem avaliar o conteúdo por faixa etária e garantir compatibilidade com a classificação indicativa.

Art. 29 — Relatório de impacto específico: ao tratar dados de crianças e adolescentes, especialmente para finalidades não estritamente necessárias à operação do produto ou serviço, o controlador deve mapear riscos, empreender esforços para mitigá-los e elaborar relatório de impacto, monitoramento e avaliação.

A palavra-chave é "monitoramento": diferentemente do RIPD da LGPD, que é um documento pontual, o ECA Digital exige avaliação contínua. O relatório não é algo que se elabora uma vez e se arquiva. Precisa ser atualizado à medida que o produto evolui e novos riscos surgem.

RIPD e AIPD: instrumentos diferentes, obrigações cumulativas

Uma dúvida comum: se minha empresa já tem um RIPD, precisa fazer também a AIPD? Sim. São instrumentos complementares, não substituíveis.

Aspecto	RIPD (LGPD, Art. 38)	AIPD (ECA Digital, Arts. 10 e 29)
Escopo	Tratamento de dados pessoais com risco geral	Dados de crianças e adolescentes especificamente
Quando é obrigatório	Quando a ANPD solicita ou o tratamento é de alto risco	Sempre que tratar dados de menores para fins não estritamente necessários
Foco de risco	Direitos e liberdades fundamentais do titular	Saúde mental e física, privacidade, segurança, desenvolvimento biopsicossocial
Periodicidade	Pontual	Contínuo — monitoramento e avaliação permanentes
Regulador	ANPD	ANPD

Na prática, a empresa pode integrar os dois em um único documento, desde que o conteúdo cubra ambos os requisitos. Mas não pode elaborar apenas o RIPD e considerar que a obrigação do ECA Digital está cumprida — porque o RIPD não cobre riscos ao desenvolvimento biopsicossocial nem exige monitoramento contínuo.

Os riscos que a AIPD deve avaliar

A AIPD para menores precisa ir além dos riscos tradicionais de proteção de dados (vazamento, acesso não autorizado, uso indevido). Deve avaliar riscos específicos à condição de criança ou adolescente.

Riscos à segurança física

Aliciamento e exploração sexual online (grooming): o produto permite contato entre adultos e menores? Há mecanismos de detecção e prevenção?
Geolocalização: o produto rastreia ou expõe a localização de menores? Há risco de rastreamento por terceiros?
Compartilhamento de informações pessoais: menores podem publicar dados que permitam identificá-los ou localizá-los?

Riscos à saúde mental

Uso compulsivo: o design do produto incentiva uso excessivo? Há mecânicas de gamificação com recompensas variáveis, streaks ou rolagem infinita?
Pressão social e cyberbullying: o produto permite interação entre usuários? Há mecanismos de moderação e denúncia?
Ansiedade e autoestima: o produto expõe métricas de popularidade (likes, seguidores, visualizações) para menores?
Conteúdo nocivo: menores podem acessar conteúdo inadequado para sua faixa etária?

Riscos à privacidade

Perfilamento comportamental: o produto cria perfis baseados em comportamento de menores? Esses perfis são usados para publicidade ou personalização?
Coleta excessiva: o produto coleta mais dados do que o necessário para sua funcionalidade?
Compartilhamento com terceiros: dados de menores são compartilhados com parceiros, anunciantes ou outras empresas?
Configurações padrão: as configurações de privacidade são as mais protetivas por padrão, ou exigem ação do usuário para se proteger?

Riscos ao desenvolvimento

Exploração econômica: o produto incentiva compras por menores? Há mecânicas de pressão comercial (loot boxes, itens premium, moedas virtuais)?
Desinformação: o produto recomenda conteúdo sem curadoria? Os algoritmos de recomendação podem direcionar menores a conteúdo prejudicial?
Perda de autonomia: o produto toma decisões automatizadas que afetam menores sem transparência?

Estrutura recomendada da AIPD

A ANPD ainda não publicou modelo oficial para AIPD no contexto do ECA Digital. No entanto, é possível construir uma estrutura robusta combinando as exigências da lei brasileira com referências internacionais — especialmente o template do ICO britânico (Annex D do Children's Code), que é o mais maduro disponível.

Seção 1: Identificação do controlador

Nome da organização e do DPO
Produtos e serviços cobertos pela avaliação
Data da avaliação e previsão de revisão

Seção 2: Descrição do tratamento

Natureza dos dados tratados (pessoais, sensíveis, comportamentais)
Finalidades do tratamento
Faixas etárias dos usuários (0-12 crianças; 12-18 adolescentes)
Volume estimado de dados de menores tratados
Fluxo de dados: coleta, processamento, armazenamento, compartilhamento

Seção 3: Base legal e conformidade com a LGPD

Base legal utilizada (Art. 7º ou Art. 11 da LGPD)
Conformidade com o Art. 14 (melhor interesse) e Enunciado CD/ANPD nº 01/2023
Consentimento parental: como é obtido, como é verificado, como é revogável
Política de privacidade: clareza, linguagem acessível, seção específica para menores

Seção 4: Conformidade com o ECA Digital

Verificação de idade: mecanismo adotado, eficácia, dados coletados
Design: avaliação de técnicas potencialmente manipulativas
Configurações padrão: documentação de que são as mais protetivas
Publicidade: confirmação de que não há publicidade comportamental para menores
Supervisão parental: ferramentas disponíveis para responsáveis
Loot boxes: confirmação de ausência em produtos acessíveis por menores

Seção 5: Avaliação de riscos

Para cada categoria de risco (segurança, saúde mental, privacidade, desenvolvimento), avaliar:

Risco identificado	Probabilidade	Severidade	Nível de risco	Medida de mitigação	Risco residual
Exemplo: Acesso a conteúdo inadequado	Provável	Severa	Alto	Filtro de conteúdo + classificação indicativa + verificação de idade	Médio

A matriz de risco deve usar escala clara:

Probabilidade: Remota / Possível / Provável
Severidade: Mínima / Significativa / Severa
Nível de risco resultante: Baixo / Médio / Alto

Seção 6: Medidas de mitigação

Para cada risco alto ou médio, documentar:

A medida técnica ou organizacional adotada
O responsável pela implementação
O prazo de implementação
O efeito esperado sobre o nível de risco

Seção 7: Consulta a partes interessadas

O ICO britânico recomenda — e o princípio do melhor interesse da criança exige — consulta a partes relevantes:

Especialistas em desenvolvimento infantil (quando aplicável)
Responsáveis legais de menores que usam o produto
Equipes internas de produto, segurança e jurídico
Se inviável consultar diretamente, documentar a justificativa

Seção 8: Monitoramento e revisão

Periodicidade de revisão da AIPD (recomendado: semestral ou a cada nova funcionalidade)
Indicadores de monitoramento (incidentes reportados, denúncias de conteúdo, uso por faixa etária)
Processo de atualização quando novos riscos são identificados
Responsável pelo monitoramento contínuo

Quando a AIPD é obrigatória

O Art. 29 do ECA Digital é acionado quando o controlador trata dados de crianças e adolescentes para finalidades que não são estritamente necessárias à operação do produto ou serviço. Na prática, isso inclui:

Coleta de dados para personalização de conteúdo
Uso de dados para recomendações algorítmicas
Coleta de dados comportamentais (padrões de uso, tempo de tela, preferências)
Compartilhamento de dados com terceiros (analytics, parceiros, anunciantes)
Verificação de idade que envolve coleta de dados biométricos

Se o produto trata dados de menores apenas para funcionalidades essenciais (autenticação, prestação do serviço contratado), a AIPD ainda é recomendada como boa prática, mas a obrigatoriedade legal é mais forte quando há tratamentos além do estritamente necessário.

Como adaptar um RIPD existente

Empresas que já possuem RIPD elaborado podem usá-lo como ponto de partida. As camadas adicionais necessárias são:

Identificação explícita de que o tratamento envolve dados de menores, com distinção entre crianças (0-12) e adolescentes (12-18)
Avaliação de riscos ao desenvolvimento biopsicossocial — categoria ausente no RIPD padrão
Análise de design — avaliação de técnicas de gamificação, nudge, pressão social e incentivo ao uso compulsivo
Verificação de idade — método usado, dados coletados, período de retenção
Configurações padrão — documentação de que são as mais protetivas
Monitoramento contínuo — plano de revisão periódica, diferente do caráter pontual do RIPD

A integração em um único documento é viável e até recomendável — desde que as seções específicas do ECA Digital estejam claramente identificadas.

O que outros países exigem

Reino Unido (ICO — Children's Code)

O ICO publicou o template mais completo disponível para DPIA voltada a crianças (Annex D do Age-Appropriate Design Code). O documento avalia conformidade com 15 padrões obrigatórios, incluindo melhor interesse, minimização de dados, geolocalização, perfilamento e técnicas de nudge.

O ICO também publicou três DPIAs de exemplo para cenários distintos: varejo online, brinquedo conectado e aplicativo de jogos mobile. Esses exemplos são referência prática para empresas brasileiras que precisam elaborar sua primeira AIPD.

O processo de DPIA do ICO tem sete etapas: identificar a necessidade, descrever o tratamento, consultar partes interessadas, avaliar necessidade e proporcionalidade, identificar riscos, mitigar riscos e aprovar/registrar.

União Europeia (GDPR)

O Art. 35 do GDPR exige DPIA quando o tratamento pode resultar em alto risco a direitos e liberdades. Crianças são explicitamente consideradas grupo vulnerável. As autoridades nacionais de proteção de dados publicam listas de operações que exigem DPIA — e o tratamento de dados de menores consta em praticamente todas.

Convergência regulatória

A direção é clara em todas as jurisdições: avaliações de impacto para serviços acessíveis por menores estão se tornando obrigatórias, devem ser realizadas antes do lançamento do serviço e devem incluir riscos que vão além da proteção de dados — abrangendo saúde mental, segurança física e desenvolvimento.

Erros comuns a evitar

1. Tratar a AIPD como formalidade burocrática

A AIPD não é um documento para "ter no arquivo". É uma ferramenta de decisão. Se a avaliação identificar riscos altos que não podem ser mitigados adequadamente, a decisão correta pode ser não lançar a funcionalidade — ou redesenhá-la antes do lançamento.

2. Não diferenciar faixas etárias

Os riscos para uma criança de 8 anos são fundamentalmente diferentes dos riscos para um adolescente de 16 anos. A AIPD deve avaliar riscos diferenciados por faixa de desenvolvimento, não tratar todos os menores como um grupo homogêneo.

3. Elaborar a AIPD depois do lançamento

A avaliação deve ser feita antes de lançar funcionalidades, algoritmos ou serviços. Fazer depois é inverter a lógica: o objetivo é identificar e mitigar riscos antes que causem dano — não documentar riscos que já se materializaram.

4. Ignorar o monitoramento contínuo

O ECA Digital exige monitoramento e avaliação permanentes. Uma AIPD elaborada em março de 2026 e nunca revisada não cumpre a lei. Definir periodicidade de revisão e indicadores de acompanhamento é parte essencial do documento.

5. Copiar template sem adaptar

Templates internacionais (como o do ICO) são excelentes pontos de partida, mas precisam ser adaptados à realidade brasileira: legislação local (LGPD + ECA Digital), orientações da ANPD e contexto específico do produto.

Roteiro prático: 8 passos para sua primeira AIPD

Forme a equipe: reúna DPO, jurídico, produto, engenharia e, se possível, especialista em desenvolvimento infantil
Mapeie os dados: identifique todos os dados de menores tratados, por quem, para quê e com quem são compartilhados
Classifique por faixa etária: diferencie o tratamento de crianças (0-12) e adolescentes (12-18)
Avalie conformidade: verifique cada obrigação da LGPD (Art. 14) e do ECA Digital (verificação de idade, design, publicidade, configurações padrão)
Identifique riscos: use a matriz de risco (probabilidade x severidade) para cada categoria: segurança, saúde mental, privacidade, desenvolvimento
Defina mitigações: para cada risco médio ou alto, documente a medida adotada, o responsável e o prazo
Consulte partes interessadas: ao menos equipes internas; idealmente, responsáveis de menores que usam o produto
Estabeleça monitoramento: defina periodicidade de revisão, indicadores e processo de atualização

Conclusão

A AIPD para produtos acessíveis por menores não é apenas mais um documento de compliance. É o instrumento que demonstra — para a ANPD, para os pais e para a sociedade — que a empresa pensou nos riscos antes de expor crianças e adolescentes a seu produto digital.

A ANPD ainda não publicou modelo oficial, mas a lei já está em vigor e as referências internacionais (especialmente o template do ICO britânico) oferecem uma base sólida. Empresas que elaborarem suas AIPDs agora estarão à frente quando as orientações definitivas da ANPD forem publicadas.

O momento de avaliar o impacto é antes de lançar — não depois de receber a notificação.

O Confidata oferece módulo integrado de RIPD e AIPD, com templates adaptados à LGPD e ao ECA Digital, matriz de riscos automatizada e trilha de auditoria para revisões periódicas. Conheça a plataforma.