ECA Digital, LGPD e o novo dever das empresas: por que o RH precisa redobrar a atenção com dados de crianças e dependentes de colaboradores

Wander F. Neto – DataShield Brasil, 28 de Março de 2026

A transformação digital alterou profundamente a forma como organizações coletam, armazenam e utilizam dados pessoais. No entanto, quando esses dados envolvem crianças e adolescentes, o nível de responsabilidade jurídica e ética das empresas se eleva significativamente. É nesse ponto que surge uma agenda ainda pouco compreendida no setor corporativo brasileiro: a interseção entre a aplicação do Estatuto da Criança e do Adolescente no ambiente digital — frequentemente chamada de “ECA Digital” —, a Lei Geral de Proteção de Dados (LGPD) e as práticas de Recursos Humanos.

Essa convergência normativa não é apenas um tema jurídico. Trata-se de uma mudança estrutural na governança corporativa de privacidade.

Empresas que ignorarem esse cenário passam a assumir riscos regulatórios, reputacionais e operacionais relevantes inclusive com potencial exposição a sanções administrativas previstas na LGPD e responsabilização civil em casos de tratamento inadequado de dados de menores.

O que é o ECA Digital e por que ele impacta o ambiente corporativo

O Estatuto da Criança e do Adolescente (ECA) sempre estabeleceu proteção integral aos direitos fundamentais de menores. Entretanto, sua aplicação no ambiente digital vem ganhando força com novas interpretações jurídicas, decisões judiciais recentes e iniciativas regulatórias voltadas à proteção de dados sensíveis de crianças e adolescentes em plataformas, sistemas corporativos e ambientes educacionais vinculados a benefícios trabalhistas.

Na prática, a aplicação do Estatuto da Criança e do Adolescente no ambiente digital — frequentemente chamada de “ECA Digital” — amplia o entendimento de que::

• dados de crianças exigem proteção reforçada;
• o princípio do melhor interesse do menor deve orientar decisões de tratamento de dados;
• quando o consentimento for utilizado como base legal, ele deve ser qualificado, específico e verificável, especialmente no caso de dados de crianças;
• empresas podem responder solidariamente quando houver participação no tratamento, falha de governança ou ausência de controles adequados relacionados ao incidente envolvendo esses dados.

Isso desloca o tema da esfera educacional e familiar para dentro da governança corporativa.

Onde o RH entra nessa agenda — e por que muitas empresas ainda não perceberam

Departamentos de Recursos Humanos tratam diariamente dados de dependentes legais de colaboradores. Entre os exemplos mais comuns:

• inclusão em planos de saúde;
• benefícios educacionais;
• programas de assistência familiar;
• licenças parentais;
• auxílios-creche;
• seguros corporativos;
• campanhas internas com registros fotográficos;
• eventos institucionais com presença de familiares.

Essas bases frequentemente contêm:

• nome completo de menores;
• CPF;
• certidão de nascimento;
• dados médicos;
• vínculos escolares;
• informações biométricas indiretas (imagens);
• dados de localização associados a transporte escolar ou benefícios.

Sob a ótica da LGPD combinada ao ECA, esse conjunto exige tratamento diferenciado, controle documental robusto e rastreabilidade das bases legais aplicáveis, inclusive quando houver necessidade de consentimento específico.

A ausência dessas medidas pode caracterizar tratamento irregular.

A LGPD já exige proteção especial — o ECA Digital reforça esse dever

A LGPD estabelece que dados de crianças devem ser tratados em seu melhor interesse. Porém, muitas organizações interpretam esse dispositivo como aplicável apenas a plataformas digitais ou serviços educacionais.

Esse entendimento é incompleto.

Sempre que uma empresa trata dados de dependentes menores vinculados ao colaborador, ela assume responsabilidade legal direta.

Entre os principais pontos de atenção estão:

1. Consentimento específico e verificável

Autorizações genéricas assinadas no momento da admissão não são suficientes para múltiplas finalidades futuras.

Cada nova finalidade exige base legal adequada.

2. Minimização de dados coletados

Empresas frequentemente solicitam mais informações do que o necessário para concessão de benefícios.

Isso amplia o risco jurídico.

3. Controle de acesso interno

Dados de dependentes não devem circular livremente entre áreas administrativas.

4. Retenção e descarte seguro

Após perda do vínculo com o benefício, os dados devem ser eliminados conforme política definida.

5. Uso de imagens institucionais

Fotos de eventos corporativos com presença de filhos de colaboradores exigem cuidados adicionais.

Esse ponto é amplamente negligenciado no Brasil.

O risco invisível: fornecedores também entram na equação

Operadoras de saúde, seguradoras, plataformas educacionais, sistemas de benefícios flexíveis e aplicativos corporativos processam dados de dependentes diariamente.

Se esses operadores não estiverem adequadamente enquadrados contratualmente na LGPD, a empresa controladora permanece corresponsável.

Esse é um dos maiores vetores de risco silencioso nas auditorias de privacidade atuais.

O impacto direto sobre o Encarregado de Dados (DPO)

Com a consolidação do ECA Digital como eixo interpretativo da proteção de dados de menores, o papel do DPO ganha nova complexidade.

Entre as responsabilidades ampliadas estão:

• revisão de bases legais aplicáveis a dependentes;
• adequação de formulários de RH;
• atualização de políticas internas;
• validação de contratos com operadores;
• definição de fluxos seguros de compartilhamento;
• capacitação de equipes administrativas;
• monitoramento de incidentes envolvendo dados de menores.

Na prática, isso representa aumento relevante da carga operacional das estruturas de privacidade corporativa.

Especialmente em organizações que ainda estão em fase inicial de maturidade em compliance regulatório.

Compliance regulatório deixou de ser opcional

O avanço da pauta do ECA Digital indica um movimento claro: a proteção de dados de crianças passa a integrar o núcleo estratégico da governança corporativa. A Autoridade Nacional de Proteção de Dados (ANPD) tem reforçado, em guias orientativos e manifestações institucionais recentes, a necessidade de proteção diferenciada para dados de crianças e adolescentes, sinalizando uma tendência regulatória de maior atenção sobre organizações que tratam esse tipo de informação.

Não se trata apenas de evitar sanções administrativas.

Empresas que estruturam corretamente seus programas de privacidade:

• reduzem riscos jurídicos;
• fortalecem reputação institucional;
• aumentam confiança de colaboradores;
• elevam padrões ESG;
• antecipam exigências regulatórias futuras.

Privacidade deixou de ser um requisito técnico. Tornou-se um ativo organizacional.

Como a DataShield pode apoiar empresas nesse novo cenário

A ampliação das obrigações relacionadas ao tratamento de dados de crianças e adolescentes exige estruturas especializadas de governança em privacidade.

Nesse contexto, a DataShield atua apoiando organizações públicas e privadas por meio de:

• serviços de DPO as a Service;
• consultorias especializadas em LGPD aplicada ao RH;
• adequação normativa contínua;
• revisão de fluxos de tratamento de dados de dependentes;
• capacitação corporativa;
• integração entre LGPD, ECA Digital e compliance regulatório.

A atuação pode ocorrer tanto como apoio consultivo ao Encarregado já nomeado quanto na função formal de Encarregado de Dados terceirizado, oferecendo uma abordagem de compliance 360° em privacidade e proteção de dados.

À medida que o ECA Digital amplia o escopo das responsabilidades corporativas, contar com suporte técnico especializado deixa de ser diferencial e passa a ser requisito de governança responsável.

Empresas que anteciparem esse movimento estarão melhor preparadas para o próximo ciclo regulatório da proteção de dados no Brasil.

Wander F. S. Neto – wander@datashieldbrasil.com.br | https://datashieldbrasil.com.br

Wander F. Neto é executivo com mais de 30 anos de experiência em tecnologia, inovação e estratégias digitais aplicadas ao setor público e privado. Atua em projetos relacionados à segurança cibernética, proteção de dados pessoais, governança digital e conformidade regulatória.

É sócio da DataShield Brasil Privacy and Compliance e da OT3N Tecnologia e Inovação, onde participa da estruturação de programas de adequação à LGPD, GDPR e modelos de resiliência regulatória digital em organizações de diferentes portes e segmentos.

Especialista em privacidade, compliance regulatório e transformação digital segura, também contribui com iniciativas estratégicas voltadas à governança de dados, estruturação de programas de DPO as a Service e integração entre proteção de dados, inteligência artificial e gestão de riscos corporativos.