LGPD na prática: como construir produtos digitais infantis sem violar a lei

Quando a gente começou a construir o Mesadinha — plataforma de educação financeira pra crianças de 4 a 14 anos — sabíamos que LGPD seria o capítulo mais delicado. Não existe "LGPD pra adulto" e "LGPD pra criança". A lei é uma só, mas a interpretação pra público infantil é mais restrita. E a fiscalização, mais ativa.

Por que produto infantil é caso sério

Três pontos que inflam o risco:

Criança é público vulnerável. LGPD (art. 14) trata coleta de dados de criança com cuidado específico — exige consentimento específico do responsável e tratamento "melhor interesse" da criança.
Autorregulação do MP e do CDC. Marco Civil da Internet, ECA, Código de Defesa do Consumidor — todos se sobrepõem.
Dano reputacional é desproporcional. Uma notificação extra-judicial envolvendo dados de criança vira manchete nacional, não notícia local.

Soma isso ao fato de que a maioria das startups ed-tech não tem jurídico interno e está construindo no escuro. Resultado: produto lançado, dado coletado, e 6 meses depois vem a notificação.

O que o Mesadinha fez (e o que a gente aprendeu)

O Mesadinha atende mais de X mil famílias. Quando a gente projetou, partiu de uma decisão de produto: dados sensíveis de criança são tóxicos, não colete. Isso simplificou tudo.

1. Sem cadastro da criança

A criança não tem e-mail, não tem CPF, não tem login próprio. O pai cadastra a criança pelo nome (ou apelido), e ela acessa por um código de 4 dígitos que o pai configura. Sem autenticação sensível.

Sem e-mail da criança = sem base de marketing infantil = sem prática comercial desleal = sem corrida com CONAR.

2. Sem coleta de geolocalização, sem analytics de comportamento

A maioria dos produtos infantis é incapaz de resistir à tentação de "saber o que a criança tá fazendo". A gente foi pelo caminho oposto: o que a criança faz no app fica no app, sem telemetry. Não sabemos qual a música favorita do João de 8 anos. Não queremos saber.

3. Sem foto da criança

Esse foi polêmico. Designers queriam avatar customizado. A gente vetou. Sem upload de foto, sem câmera. A criança escolhe entre avatares pré-fabricados, gerados pela plataforma. Menos um vetor de abuso.

4. Consentimento explícito do responsável

Antes de criar a primeira criança, o responsável passa por um termo de consentimento específico. Não é a mesma caixa de "aceito os termos" que todo app tem. É uma tela separada, com:

Linguagem simples (não juridiquês).
Explicação do que é coletado (e do que não é).
Checkbox separado pra comunicações opcionais (newsletter, pesquisa).

5. Direito ao esquecimento trivial

A qualquer momento, o pai pode deletar a criança e todos os dados dela, em 2 cliques, sem precisar mandar e-mail. O sistema apaga incluindo backups em 30 dias (LGPD exige isso). Sem telefone, sem atendimento humano pra "dificultar".

6. DPO e canal de contato claros

A gente tem um encarregado (DPO) nomeado, com e-mail e prazo de resposta. Não é "entre em contato com o suporte". É um canal dedicado, com SLA.

Checklist mínimo pra produto infantil

Se você está construindo (ou tem) um produto pra crianças, aqui está a lista do que não pode faltar:

[ ] Consentimento do responsável antes de qualquer coleta
[ ] Termo de uso com linguagem simples, separado do termo do adulto
[ ] Código de acesso (sem e-mail/senha da criança) quando possível
[ ] Sem foto, sem geolocalização, sem analytics comportamental
[ ] Canal de exclusão de dados em 2 cliques, sem fricção
[ ] DPO nomeado e contato público
[ ] Política de retenção e exclusão documentada
[ ] Logs de quem acessou dados da criança (auditoria)
[ ] Análise de impacto (RIPD) atualizada

O que costuma dar errado

Três padrões que a gente vê em produto alheio:

"Vou colocar um checkbox e tá resolvido" — não tá. LGPD exige consentimento qualificado, não cosmético.
"Criança não tem CPF, então tô safe" — não tá. LGPD protege qualquer dado que identifique pessoa, incluindo nickname + data de nascimento.
"Vou coletar tudo e anonimizo depois" — não tá. Anonimização é cara, frágil, e a ANPD já multou empresa que prometia e não entregou.

Custo de não fazer

Para ter ideia: em 2023, a ANPD aplicou a primeira multa a um app educacional infantil por coleta indevida de geolocalização. Valor: R$ 4,3 milhões. Mais o estrago na marca, que é imensurável.

Tem também a possibilidade de bloqueio do app por decisão judicial, o que aconteceu com o TikTok nos EUA (Kids Online Safety Act).

Próximo passo

Se você está construindo (ou tem) um produto pra crianças, a gente pode ajudar na revisão de conformidade. A consultoria típica dura de 2 a 4 semanas e cobre mapeamento de dados, revisão de consentimento, política de retenção, e plano de resposta a incidente.

Tem também o caso do Mesadinha como referência de produto infantil em conformidade — código aberto em partes, documentado, com DPO ativo.

Não espere a notificação chegar.