Criança não consente sozinha: as regras da LGPD para dados de menor

Uma escola em Blumenau posta foto da apresentação de final de ano no grupo de WhatsApp dos pais. Uma plataforma de reforço escolar aceita o cadastro de um aluno de 10 anos com email e senha, sem checar se há responsável por trás. Uma marca de roupa infantil roda anúncio segmentado para perfis de 13 anos no Meta. Três casos, um ponto em comum: violação direta do artigo 14 da LGPD, que trata especificamente de dados de crianças e adolescentes.

Dado de menor não é dado comum. A lei cria uma camada extra de proteção que a maioria das empresas desconhece, e o risco não é só de multa de até R$ 50 milhões por infração. É de dano de imagem, ação civil e, para plataformas digitais, bloqueio de operação pela ANPD.

Criança e adolescente: a lei distingue os dois grupos

A LGPD segue a lógica do ECA: criança é quem tem até 12 anos incompletos; adolescente, de 12 a 18. Essa distinção importa porque o nível de proteção e os requisitos de consentimento não são idênticos para os dois grupos, embora o artigo 14 abranja ambos sob o mesmo princípio central: o melhor interesse do menor.

Para crianças, o rigor é máximo. Qualquer tratamento de dados exige consentimento de pelo menos um dos pais ou responsável legal. Não existe "a criança concordou clicando em aceitar". Juridicamente, isso não produz efeito nenhum.

Para adolescentes, a situação é mais nuançada. A lei não exige necessariamente autorização parental em todo cenário, mas o princípio do melhor interesse permanece como vetor interpretativo. Na prática: tratar adolescente como adulto para fins de marketing ou coleta de dado sensível é erro que a ANPD pode e deve questionar.

Quem autoriza é o responsável, não o menor

O artigo 14, §1º é direto: o consentimento para tratamento de dados de criança deve ser dado "por pelo menos um dos pais ou pelo responsável legal". Isso muda o fluxo de cadastro de qualquer produto ou serviço que atende menores.

A lei exige também que a empresa faça esforços razoáveis para verificar que quem está consentindo é, de fato, o responsável. A ANPD já sinalizou que aceitar um checkbox de "confirmo que sou maior de 18 anos" não é esforço razoável. Precisa de algo concreto: email confirmado pelo adulto, validação de CPF do responsável, fluxo separado de autorização em nome do menor.

Nossa leitura: empresas que coletam data de nascimento, identificam que o usuário é menor e mesmo assim seguem o cadastro normal estão expostas. O ônus de verificar a identidade do responsável é da empresa, não do usuário.

Escola que posta foto de aluno está em risco real

Imagem é dado pessoal. Imagem de criança identificável é dado pessoal de menor. Foto de aluno publicada em rede social da escola sem autorização escrita e específica do responsável é tratamento sem base legal adequada.

Muitas escolas usam o contrato de matrícula como autorização geral para tudo: foto, filmagem, uso em marketing, divulgação em site. Esse modelo é problemático. A LGPD exige que o consentimento seja informado, específico e em linguagem clara. Autorização genérica embutida em contrato de 12 páginas dificilmente passa por esse filtro.

O caminho mais seguro: autorização separada, por escrito, especificando onde a imagem vai aparecer, com possibilidade de revogação a qualquer momento. E guardar o registro dessa autorização, porque a ANPD pode pedir a qualquer hora.

App, plataforma e sistema escolar: dado de menor tem protocolo próprio

Apps de delivery, plataformas de cursos, jogos online, sistemas de gestão escolar: qualquer serviço digital que possa ter usuário menor de 18 precisa de política específica. A questão não é simplesmente proibir crianças de usar. É ter mecanismo para identificar e tratar o dado dessa população com as exigências do artigo 14.

Plataformas educacionais têm exposição extra. Um sistema que armazena notas, frequência, laudos psicopedagógicos e foto do aluno está lidando com dado sensível de menor. O protocolo de acesso, retenção e descarte precisa ser muito mais cuidadoso do que para uma base de clientes adultos.

A lei proíbe expressamente: condicionar a participação de crianças em atividades ao fornecimento de dados além do necessário para a atividade em si (art. 14, §4º). Na prática, não dá pra exigir que a criança informe endereço, filiação, telefone e data de nascimento para liberar um jogo gratuito ou uma plataforma de exercícios. Coleta acima do necessário é infração autônoma.

Marketing para menor: a proibição que a maioria das marcas ignora

Esse é o ponto que mais pega empresa desprevenida. A LGPD veda o tratamento de dados de crianças e adolescentes com fins de publicidade e marketing direcionado (art. 14). Não é zona cinzenta. É proibição expressa.

Isso afeta diretamente campanhas de remarketing, lookalike audiences, segmentação por interesse em Meta e Google. Se você vende produto infantil e usa dados comportamentais para montar audiências que podem incluir menores, está em área de risco. A base legal "legítimo interesse" não resolve aqui: ela é expressamente afastada para esse tipo de tratamento quando envolve menor.

Falando sério: muitas marcas de roupa infantil, brinquedo, material escolar e produto educacional fazem isso hoje sem perceber. O pixel no site captura comportamento de criança que navega com o celular do pai. O dado vai pro Meta. O Meta usa pra segmentar. A empresa não fez nada intencionalmente. Mas a responsabilidade é dela enquanto controladora.

O princípio do melhor interesse vai além do consentimento parental

A LGPD adota o princípio do melhor interesse da criança como vetor de interpretação de todo o artigo 14. Isso significa que mesmo com consentimento do responsável, o tratamento pode ser questionado se for contra o interesse do menor.

Exemplo prático: um pai autoriza que a escola compartilhe dados do filho com uma rede de parceiros comerciais. Esse consentimento é válido? Nossa leitura é que não. O pai tem poder de consentir em nome do filho, mas não tem poder de renunciar a direitos que a lei conferiu ao menor. Compartilhar dado de criança com fins comerciais vai de encontro ao melhor interesse, independentemente da autorização parental.

Isso tem implicação direta para qualquer plataforma que monetiza dados de usuários ou os compartilha com terceiros. Se há possibilidade de menores no banco, o modelo de compartilhamento precisa ser revisado antes que a ANPD apareça perguntando.

O que fazer nos próximos 15 dias

Se o seu negócio coleta, armazena ou usa dado de criança ou adolescente, seja escola, plataforma educacional, app de saúde infantil, e-commerce de produto infantil ou serviço com usuário menor, o roteiro imediato é esse:

• Mapeie onde estão os dados de menores no inventário: quais campos são coletados, onde ficam armazenados, com quem são compartilhados e por quanto tempo.
• Revise o fluxo de consentimento: existe autorização do responsável legal? Ela é específica, informada, em linguagem simples e está registrada? Checkbox genérico não basta.
• Separe as autorizações de imagem do contrato principal de matrícula ou prestação de serviço. Especifique canal, finalidade e prazo de uso.
• Audite campanhas de marketing digital: se o produto é voltado a menor, revise as audiências configuradas no Meta e Google. Excluir menores das segmentações é medida que pode ser tomada esta semana.
• Crie ou atualize a política de privacidade com seção específica para dados de menores, em linguagem simples o suficiente para que a própria criança entenda, como a lei exige.
• Defina e documente o prazo de retenção dos dados de ex-alunos ou ex-usuários menores. Ter procedimento de descarte documentado é parte da conformidade.
• Confirme quem é o encarregado (DPO) que vai responder a solicitações de titulares, inclusive de pais em nome de filhos menores, dentro do prazo de 15 dias previsto no art. 19.

Dado de menor não tem margem pra improviso. A ANPD tem sinalizado proteção de crianças e adolescentes como área de prioridade de fiscalização. Quem tratar isso como detalhe vai descobrir que não é quando chegar a notificação.