O que a LGPD exige quando o titular é menor de idade
Toda empresa que oferece produtos ou serviços a crianças e adolescentes esbarra, mais cedo ou tarde, em uma pergunta desconfortável: quem, de fato, autorizou o tratamento daqueles dados? Nós observamos, na prática de compliance, que esse ponto costuma ser tratado como um detalhe operacional, quando na verdade é um dos requisitos mais rigorosos da Lei Geral de Proteção de Dados.
O artigo 14 da LGPD estabelece que o tratamento de dados pessoais de crianças deve ser feito no melhor interesse do titular, mediante consentimento específico e em destaque, dado por ao menos um dos pais ou pelo responsável legal. Isso significa que a autorização não pode estar escondida em um termo de uso genérico, tampouco pode ser presumida pelo simples preenchimento de um formulário.
Apesar disso, é comum encontrar plataformas — de jogos a serviços educacionais — que ainda tratam esse consentimento como uma formalidade a mais no funil de cadastro. O problema não é apenas jurídico: é também de confiança, porque famílias que percebem falhas nesse processo tendem a abandonar o serviço, além de associarem a marca a uma postura pouco cuidadosa com dados sensíveis.
Consentimento genérico versus consentimento válido: onde está a diferença
Essa distinção parece sutil à primeira vista, porém tem consequências práticas enormes. Um aplicativo do setor educacional, por exemplo, pode coletar nome, data de nascimento e desempenho escolar de um aluno menor de idade. Se o consentimento foi obtido de forma genérica, qualquer contestação por parte da família — ou fiscalização da ANPD — pode levar à nulidade da base legal e à exigência de exclusão imediata dos dados armazenados.
Os elementos que compõem uma autorização parental válida
Uma autorização bem estruturada não se resume a um campo de assinatura. Ela precisa reunir, no mínimo, alguns elementos centrais, organizados de forma que qualquer responsável consiga compreendê-los sem depender de conhecimento jurídico.
Primeiro, a finalidade específica do tratamento deve estar descrita em linguagem acessível, sem jargões técnicos. Segundo, é necessário indicar quais categorias de dados serão coletadas — nome, e-mail, geolocalização, imagem, entre outras — e por quanto tempo serão retidas. Terceiro, o formulário de consentimento deve ser visualmente separado dos termos gerais de uso, exigindo uma ação afirmativa e distinta do responsável, e não apenas a aceitação combinada de múltiplas cláusulas em um único clique.
Ainda assim, esses três elementos não bastam sozinhos. É preciso que a empresa consiga demonstrar, se questionada, que o consentimento foi de fato prestado por quem detém a responsabilidade legal sobre o menor — e é aqui que entra a etapa mais desafiadora de todo o processo.
Como verificar o vínculo entre responsável e menor na prática
A verificação da identidade do responsável costuma ser o ponto mais frágil dos fluxos de consentimento parental. Muitas organizações optam por soluções simples, como a confirmação por e-mail ou telefone, mas a autenticação por esses canais isolados oferece um grau de segurança limitado, já que qualquer pessoa pode preencher um formulário em nome de terceiros.
Mecanismos mais robustos combinam múltiplas camadas de verificação: confirmação de identidade por documento, validação cruzada com dados já existentes ou até microtransações de baixo valor usadas apenas para confirmar a titularidade de um cartão vinculado a um adulto. Nenhuma dessas soluções é infalível, entretanto a escolha de pelo menos uma camada adicional de verificação já reduz consideravelmente o risco de um consentimento fraudulento ou inválido.
No setor de aplicativos infantis, temos visto empresas adotarem um fluxo em que o responsável recebe um link exclusivo por e-mail para preencher a autorização — separado da interface usada pela criança. Essa separação de ambientes ajuda a evitar que o próprio menor conclua o cadastro sozinho, contornando a exigência legal sem que a empresa perceba.
Documentação e direito de revogação
De nada adianta estruturar um fluxo de consentimento cuidadoso se a empresa não conseguir comprová-lo depois. A LGPD atribui ao controlador o ônus de demonstrar que o consentimento foi obtido de forma válida, portanto cada autorização deve ser registrada com data, hora, identificação do responsável e o texto exato apresentado no momento da coleta.
Esse registro não pode ser estático. Os pais ou responsáveis têm o direito de revogar o consentimento a qualquer momento, senão a empresa estaria mantendo dados de menores sob uma base legal que já não existe mais. O processo de revogação precisa ser tão simples quanto o de concessão — idealmente acessível pelo mesmo canal usado para autorizar o tratamento inicialmente, sem exigir contato telefônico ou formulários adicionais.
Os riscos de um fluxo malfeito
Quando o consentimento parental não segue esses critérios, a empresa se expõe a múltiplas frentes de risco. Do ponto de vista regulatório, a ANPD pode considerar a base legal inválida e determinar a eliminação dos dados coletados, o que pode comprometer funcionalidades inteiras de um produto voltado ao público infantil. A fiscalização sobre esse tema ainda é pontual, contudo o volume de manifestações relacionadas a dados de crianças e adolescentes vem crescendo, o que sinaliza atenção regulatória crescente para os próximos anos.
Do ponto de vista reputacional, famílias que descobrem falhas na proteção de dados de seus filhos raramente voltam a confiar na marca. Todavia, o risco mais subestimado talvez seja o operacional: sem um fluxo estruturado, times de produto e jurídico acabam revisando caso a caso, de forma manual e inconsistente, cada nova funcionalidade que envolva dados de menores. Isso trava lançamentos e gera retrabalho constante entre áreas que poderiam estar alinhadas desde o início do desenvolvimento.
Conclusão
Estruturar autorizações parentais válidas exige mais do que um checkbox adicional no cadastro — exige um desenho de fluxo que combine transparência, verificação de identidade e documentação consistente. Empresas que tratam esse processo como parte central da experiência do usuário, e não como uma barreira burocrática, tendem a construir relações de confiança mais duradouras com as famílias que atendem.
Para aprofundar temas relacionados, vale consultar os artigos Bases legais da LGPD: qual escolher para cada tipo de tratamento e Como a ANPD fiscaliza empresas que tratam dados de crianças e adolescentes no blog da DPOnet.
Perguntas frequentes (FAQ)
Dúvidas comuns sobre consentimento parental e tratamento de dados de menores na LGPD
1. Toda empresa que atende menores de idade precisa de consentimento parental?
Não necessariamente. A exigência do artigo 14 da LGPD se aplica especificamente ao tratamento de dados de crianças. Para adolescentes, a lei prevê outras hipóteses, considerando o estágio de desenvolvimento e a capacidade de compreensão do titular.
2. Um simples checkbox de “autorizo o tratamento dos dados do meu filho” já é suficiente?
Não. A LGPD exige que o consentimento seja específico e destacado, o que significa que ele precisa estar isolado dos termos gerais de uso, com linguagem clara sobre a finalidade do tratamento.
3. Como a empresa deve armazenar as evidências do consentimento parental?
O registro deve incluir data, hora, identificação do responsável e o texto exato apresentado no momento da coleta, para que a empresa possa comprovar a validade da autorização caso seja questionada pela ANPD ou pelo titular.
4. O que acontece se um responsável revogar o consentimento depois que os dados já foram tratados?
A empresa deve interromper o tratamento e, salvo outra base legal aplicável, eliminar os dados coletados. O canal de revogação deve ser tão acessível quanto o canal usado para conceder a autorização.
