LGPD para quem atende crianças e adolescentes: o que a ONG precisa saber

A LGPD dá proteção especial aos dados de crianças e adolescentes, e isso vale também para as ONGs, associações e fundações que atendem esse público. Tudo gira em torno de uma ideia: o uso desses dados precisa servir ao melhor interesse de quem é atendido. Para a diretoria, isso se traduz em coletar só o necessário, saber em que base legal cada uso se apoia, guardar com cuidado os dados sensíveis e ter um plano para o caso de vazamento.

Não é um público pequeno. No Censo Demográfico 2022 do IBGE, 19,8% da população brasileira tinha até 14 anos. São cerca de um em cada cinco habitantes, num total de 203,1 milhões.

O que a LGPD exige no tratamento de dados de crianças e adolescentes?

O tema está no art. 14 da Lei Geral de Proteção de Dados (LGPD), Lei 13.709/2018. O caput fixa o princípio do melhor interesse, e os parágrafos mostram como ele se aplica no dia a dia.

A organização não pode condicionar a participação em atividades à entrega de dados além dos estritamente necessários (§ 4º). Quando se apoiar no consentimento dos pais, precisa manter pública a informação sobre quais dados coleta, para que os usa e como os direitos podem ser exercidos (§ 2º). E tudo isso deve ser explicado de forma simples e clara, que os pais entendam e que a própria criança consiga acompanhar (§ 6º).

A definição de criança e de adolescente vem do Estatuto da Criança e do Adolescente (ECA), Lei 8.069/1990. Criança é quem tem até 12 anos incompletos; adolescente, quem tem entre 12 e 18 anos (art. 2º). O ECA também garante a preservação da imagem e da identidade (art. 17), e a LGPD se soma a essa proteção.

A ONG precisa do consentimento dos pais para tudo?

Não. É verdade que o § 1º do art. 14 fala em consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal para dados de crianças. Mas a ANPD, hoje Agência Nacional de Proteção de Dados (Lei 15.352/2026), esclareceu o ponto no Enunciado CD/ANPD nº 1, de 22 de maio de 2023. Segundo ele, o tratamento de dados de crianças e adolescentes pode se apoiar nas hipóteses do art. 7º ou do art. 11 da LGPD, desde que o melhor interesse seja observado e prevaleça no caso concreto.

Assim, os dados que a organização precisa por obrigação legal ou regulatória, como os usados na prestação de contas de uma parceria, podem ter outra base e não dependem de autorização dos pais. Já o que não é necessário ao atendimento, como divulgar fotos nas redes sociais, em regra pede o consentimento específico dos responsáveis.

A própria lei prevê duas situações em que dados de crianças podem ser coletados sem consentimento: para contatar os pais ou o responsável, uma única vez e sem armazenamento, e para proteger a criança. Mesmo nesses casos, os dados não podem ser repassados a terceiros sem consentimento (art. 14, § 3º).

Quais dados de crianças e adolescentes são sensíveis?

A LGPD considera sensíveis, entre outros, os dados sobre saúde, origem racial ou étnica, convicção religiosa e vida sexual, além dos dados genéticos ou biométricos (art. 5º, II). Para eles, as bases legais são mais restritas e estão no art. 11.

Numa organização, esses dados costumam estar em laudos, fichas de medicação, relatórios psicossociais e no campo cor ou raça dos cadastros. O acesso deve ficar com quem realmente precisa deles, longe de grupos de mensagens e de planilhas abertas.

Pense numa associação que abre inscrições para o contraturno com um formulário on-line. Além do nome e do contato dos pais, o formulário pede diagnóstico e medicamentos, e a planilha de respostas é compartilhada com 15 voluntários. Há dados demais e dados de saúde sem nenhuma restrição de acesso. O ajuste é simples: pedir só o essencial na inscrição, colher as informações de saúde depois, numa ficha própria, e deixar o acesso apenas com a coordenação.

Posso publicar fotos de crianças atendidas pela organização?

Pode, desde que com cuidado. A imagem é dado pessoal e tem a proteção do ECA (art. 17). O Código Civil, por sua vez, permite proibir o uso não autorizado da imagem que atinja a honra ou a reputação, ou que tenha fins comerciais (art. 20).

O caminho mais seguro passa por quatro cuidados:

• ter autorização específica dos responsáveis, dizendo onde a imagem será usada e por quanto tempo;
• preferir imagens que não identifiquem a criança, como fotos de grupo, de costas ou de mãos em atividade;
• nunca ligar a imagem a nome completo, endereço, escola ou situação de vulnerabilidade;
• retirar a foto rapidamente quando os responsáveis ou o próprio adolescente pedirem.

O que a ANPD já decidiu sobre dados de crianças e adolescentes?

Nenhum dos casos abaixo envolve uma ONG, mas os problemas apontados pela ANPD podem acontecer em qualquer organização.

• Formulário de inscrição exposto (Secretaria de Educação do DF). No processo 00261.001192/2022-14, a ANPD apurou a exposição de dados de 3.030 crianças, adolescentes e responsáveis inscritos no Programa Educação Precoce por meio de um formulário on-line. Em 13/08/2024, o Conselho Diretor manteve advertência por falta de comunicação do incidente aos titulares (art. 48 da LGPD) e aplicou outra por não apresentar os documentos pedidos na fiscalização (Voto 14/2024 do Conselho Diretor da ANPD).
• Biometria facial para controlar frequência escolar (Paraná). No processo 00261.007049/2024-06, a área técnica da ANPD analisou o reconhecimento facial de cerca de um milhão de estudantes da rede estadual. A conclusão foi que havia alternativas menos invasivas e que cabe ao controlador demonstrar que a tecnologia é necessária, adequada e proporcional. A nota recomendou medidas preventivas (Nota Técnica nº 4/2026/CPDP/CGF/SFI/ANPD).
• Plataforma digital (TikTok). Em decisão publicada no Diário Oficial de 25/08/2026, a ANPD multou a controladora do TikTok em R$ 153,7 milhões por tratar dados de crianças e adolescentes sem hipótese legal adequada, com infração aos arts. 6º e 7º da LGPD. A decisão é de primeira instância e cabe recurso ao Conselho Diretor (notícia da ANPD, 25/08/2026).

Os três casos têm algo em comum: dados coletados além da conta, base legal frágil e poucos controles. E o primeiro deles começou com um simples formulário de inscrição.

O que fazer se houver vazamento de dados de crianças?

A LGPD obriga o controlador a comunicar à ANPD e aos titulares o incidente de segurança que possa causar risco ou dano relevante (art. 48). Os detalhes estão na Resolução CD/ANPD nº 15/2024.

O incidente é considerado relevante quando pode afetar de forma significativa os interesses e direitos dos titulares e envolve pelo menos um critério da lista da Resolução, entre eles dados de crianças, de adolescentes ou de idosos, ou dados sensíveis (art. 5º). Nesse caso, a organização tem três dias úteis para avisar a ANPD e os titulares, contados de quando soube que o incidente atingiu dados pessoais (arts. 6º e 9º). E todo incidente, mesmo o que não precisou ser comunicado, deve ser registrado e guardado por no mínimo cinco anos (art. 10).

A comunicação à ANPD é feita pelo formulário de comunicação de incidente da ANPD. Com as famílias, o contato deve ser direto e em linguagem simples. As sanções da LGPD vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52).

A organização pequena tem regras mais leves na LGPD?

Pode ter. A Resolução CD/ANPD nº 2/2022 inclui entre os agentes de pequeno porte as pessoas jurídicas de direito privado sem fins lucrativos (art. 2º, I). Essas organizações não são obrigadas a indicar encarregado, mas precisam manter um canal de comunicação com os titulares (art. 11), e têm prazo em dobro para comunicar incidentes (art. 14, II).

Há uma ressalva importante. O regime simplificado não se aplica ao tratamento de alto risco (art. 3º, I), que acontece quando um critério geral, como larga escala ou possibilidade de afetar significativamente direitos, se soma a um critério específico, como dados de crianças, de adolescentes ou sensíveis (art. 4º). Uma organização que atende muitas crianças e guarda dados de saúde pode se enquadrar nessa hipótese.

Quem mantém aplicativo ou plataforma voltada a esse público também deve olhar o Estatuto Digital da Criança e do Adolescente (Lei 15.211/2025), em vigor desde 17/03/2026 (art. 41-A).

O que fazer na prática?

Um roteiro para a diretoria começar:

1. Mapear os dados: o que é coletado, para quê, onde fica guardado e quem tem acesso (registro de operações, art. 37 da LGPD).
2. Enxugar fichas e formulários, retirando o que não é necessário.
3. Definir a base legal de cada finalidade, à luz do Enunciado CD/ANPD nº 1/2023, e registrar por que ela atende ao melhor interesse.
4. Restringir o acesso a dados de saúde e relatórios psicossociais a quem precisa deles, em local protegido.
5. Revisar a autorização de uso de imagem, com finalidades e canais específicos e uma forma simples de revogação.
6. Abrir um canal para pais, responsáveis e adolescentes tirarem dúvidas e pedirem acesso ou correção dos dados.
7. Ter um roteiro para incidentes: quem avisa quem, como avaliar o risco, como comunicar em três dias úteis e onde registrar.
8. Orientar equipe e voluntários sobre fotos, grupos de mensagens e sigilo, inclusive no regulamento do voluntariado.

Para estruturar esse regulamento, veja o artigo Voluntário ou empregado? Onde está a linha.

Perguntas frequentes sobre LGPD e dados de crianças e adolescentes

Adolescente pode autorizar sozinho o uso dos próprios dados?

O consentimento dos pais previsto no art. 14, § 1º, é exigido para crianças. Para adolescentes, valem as bases legais da LGPD, sempre no seu melhor interesse. No uso de imagem, o mais seguro é ter também a autorização dos responsáveis.

ONG precisa ter encarregado de dados?

Em regra, sim (art. 41 da LGPD). As organizações sem fins lucrativos de pequeno porte estão dispensadas, desde que mantenham um canal com os titulares e não façam tratamento de alto risco (Resolução CD/ANPD nº 2/2022, arts. 3º e 11).

Qual o prazo para comunicar vazamento de dados de crianças?

Três dias úteis, à ANPD e às famílias, contados de quando a organização soube que o incidente atingiu dados pessoais (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º). Para agentes de pequeno porte que não fazem tratamento de alto risco, o prazo é em dobro.

Posso guardar fichas de crianças que já saíram do projeto?

Só pelo tempo necessário à finalidade. Depois disso, os dados devem ser eliminados, salvo as exceções da lei, como o cumprimento de obrigação legal, a exemplo da prestação de contas de uma parceria (arts. 15 e 16 da LGPD).

Cuidar dos dados de crianças e adolescentes faz parte do mesmo cuidado que a organização já tem com quem atende. Fichas enxutas, acesso restrito e um plano para incidentes ajudam a diretoria a cumprir a lei e a manter a confiança das famílias e dos financiadores. Conheça nossa atuação em compliance e LGPD e em estruturação e governança.

Ivo Agliardi · Agliardi Assessoria Jurídica, OAB/RS nº 14.807. Conteúdo informativo. Não substitui a análise do caso concreto.