O enfrentamento da violência contra crianças e adolescentes no ambiente digital deixou de ser apenas uma questão de remover conteúdo ilícito. Com a Portaria MJSP nº 1.312, de 24 de setembro de 2026, o Ministério da Justiça e Segurança Pública passou a exigir das plataformas um fluxo completo: detectar, remover, preservar evidências e comunicar às autoridades dentro de prazos certos.
A norma regulamenta o dever de notificação previsto no art. 27 da Lei nº 15.211/2025 (ECA Digital) e no Decreto nº 12.880/2026. E o relógio já está correndo: o ato da Polícia Federal que abre o cadastro obrigatório dos fornecedores foi publicado em 16 de outubro de 2026, e o prazo de cadastro já está correndo.
No centro do novo modelo estão três prazos de comunicação, graduados conforme a gravidade do caso: 12 horas, 72 horas e 7 dias. Mas reduzir a Portaria a um quadro de prazos seria um erro. O que ela realmente cobra das organizações é maturidade operacional: governança de dados, segurança da informação e um processo de resposta a incidentes capaz de funcionar de madrugada, no fim de semana e sob pressão.
Um centro nacional para receber as notificações
A Portaria cria o Centro Nacional de Triagem de Notificações, que funcionará dentro da Diretoria de Combate a Crimes Cibernéticos da Polícia Federal sob o nome de Centro Nacional de Proteção à Criança e ao Adolescente (CNCA). Ele passa a ser a autoridade competente para receber, de forma centralizada, as notificações enviadas pelos fornecedores de produtos e serviços de tecnologia da informação, com funcionamento ininterrupto e prioridade para os casos de risco iminente.
As notificações serão feitas pelo Sistema Nidus, mantido pela PF. Caberá ao CNCA validar, triar e classificar os relatórios e encaminhá-los, conforme a atribuição de cada órgão, às polícias Federal e civis, ao Ministério Público, às defensorias públicas, ao Sistema de Garantia dos Direitos da Criança e do Adolescente e à Autoridade Nacional de Proteção de Dados (ANPD).
A mudança é estrutural. Segundo a própria PF, 58% das 2.681 operações contra abuso sexual infantojuvenil realizadas entre 2024 e 2026 tiveram origem em relatórios do NCMEC, entidade norte-americana que hoje concentra boa parte desses alertas (Jornal de Brasília). O Brasil passa a ter um canal próprio, sob jurisdição nacional e com escopo mais amplo que o da exploração sexual.
A norma também autoriza a PF a instituir a Força Integrada de Combate ao Crime Organizado em Ambiente Cibernético, com participação das polícias civis articulada pela Secretaria Nacional de Segurança Pública.
Três prazos, contados a partir da detecção
Os prazos são contados de forma contínua, a partir da confirmação da detecção do conteúdo ou da conduta. Não há suspensão em fins de semana ou feriados.
| Prazo | Hipótese |
|---|---|
| Até 12 horas | Situações de risco crível, iminente ou em curso |
| Até 72 horas | Indícios de material de violência sexual contra crianças e adolescentes produzido recentemente, ainda não identificado ou gerado por ferramenta de captura do próprio fornecedor |
| Até 7 dias | Demais casos abrangidos pela Portaria |
Dois pontos merecem atenção. O primeiro é o termo inicial: “confirmação da detecção” pressupõe um procedimento interno documentado que registre quando e por quem o caso foi confirmado. Sem esse registro, a empresa não consegue demonstrar que cumpriu o prazo.
O segundo é a classificação. Enquadrar um caso como “risco crível, iminente ou em curso” é um juízo técnico e jurídico que precisa de critérios escritos, pessoas treinadas e rota de escalonamento. Um erro de classificação transforma 12 horas em 7 dias e pode custar uma vida.
Remover sem apagar: a cadeia de custódia
A Portaria impõe uma obrigação dupla e aparentemente contraditória: o fornecedor deve remover imediatamente o conteúdo dos ambientes acessíveis aos usuários e, ao mesmo tempo, preservá-lo, junto com os registros necessários à apuração, para manter a cadeia de custódia.
Os relatórios poderão conter tipo e data do incidente, identificadores dos usuários envolvidos, URLs, endereços IP, mídias relacionadas e hashes dos arquivos. Isso dialoga com o § 2º do art. 27 do ECA Digital, que manda reter o conteúdo e os metadados associados ao relatório pelo prazo do art. 15 do Marco Civil da Internet (seis meses para os registros de acesso a aplicações).
Na prática, “tirar do ar” deixa de significar “apagar”. A plataforma precisa de um ambiente segregado de quarentena, com controle de acesso, registro de quem manuseou o material, cálculo de hash no momento da coleta e trilha de auditoria. Sem isso, a prova pode ser questionada em juízo, e o esforço de notificação perde valor para a persecução penal, à luz dos arts. 158-A a 158-F do Código de Processo Penal.
Os limites: não há autorização para vigilância
A Portaria afirma expressamente que não autoriza monitoramento geral, permanente ou indiscriminado de usuários, conteúdos ou comunicações, nem amplia as hipóteses legais de acesso estatal a dados protegidos por sigilo. O acesso aos relatórios será restrito e auditável, e fica vedada a divulgação de dados pessoais das crianças e adolescentes identificados.
A ressalva é relevante. O dever de comunicar o que foi detectado não se confunde com um dever de vasculhar tudo. O equilíbrio entre proteção infantojuvenil, privacidade e sigilo das comunicações continua sendo regido pela Constituição, pelo Marco Civil e pela LGPD. As plataformas, por sua vez, devem documentar a base legal de cada tratamento envolvido no fluxo de notificação.
Implantação em duas etapas
As obrigações serão exigidas de forma escalonada, cada etapa aberta por ato do diretor-geral da PF:
- Cadastro e credenciamento no Nidus. O ato de abertura foi publicado em 16 de outubro de 2026. A partir dele, os fornecedores têm até 60 dias para se cadastrar, ou seja, até por volta de 15 de dezembro de 2026.
- Envio dos relatórios. O ato de abertura sai em até 90 dias após o fim do prazo de cadastro. A partir dele, os fornecedores têm até 120 dias para cumprir prazos e regras de envio.
Com o ato publicado em 16 de outubro, o cadastro se encerra por volta de 15 de dezembro de 2026; se os demais atos da PF saírem no limite de cada prazo, a exigência plena dos relatórios chega em meados de 2027. Parece distante, mas não é: estruturar critérios de classificação, plantão 24×7, ambiente de preservação e integração técnica com o Nidus leva meses.
A leitura jurídica: quatro regimes em um só fluxo
A Portaria não cria a obrigação de comunicar. Ela dá forma, prazo e destinatário a um dever que já constava do art. 27 do ECA Digital, em vigor desde março de 2026. O que ela faz é tornar esse dever auditável. A partir de agora, a pergunta deixa de ser se a plataforma comunica e passa a ser em quanto tempo, com que qualidade de prova e com que registro.
Esse fluxo atravessa ao menos quatro regimes jurídicos:
- Proteção integral (art. 227 da Constituição, ECA e ECA Digital): o melhor interesse da criança orienta a prioridade e a velocidade da resposta.
- Proteção de dados (LGPD): relatórios contendo dados de crianças, suspeitos e terceiros exigem base legal, minimização, segurança e registro das operações. Aqui o papel do DPO é central.
- Guarda de registros (Marco Civil da Internet): retenção de metadados e registros de acesso pelo prazo legal.
- Prova penal (CPP, cadeia de custódia): o material preservado precisa resistir ao contraditório.
O ponto de convergência é o compliance digital. Uma política bem redigida, mas sem procedimento operacional, não protege a criança nem a empresa. O art. 35 do ECA Digital prevê advertência, multa de até 10% do faturamento do grupo no Brasil limitada a R$ 50 milhões por infração, suspensão e até proibição das atividades, e o descumprimento documentado de um prazo de 12 horas será, em qualquer foro, um fato difícil de defender.
O que as organizações abrangidas devem fazer agora
Não basta ter política. É preciso ter procedimento que funcione. Para fornecedores de produtos e serviços digitais com acesso provável de crianças e adolescentes, o roteiro mínimo inclui:
- Mapear a exposição. Identificar em quais produtos, funcionalidades e canais (chats, uploads, comentários, transmissões) os casos podem surgir.
- Preparar o cadastro no Nidus. Definir responsáveis, credenciais e o representante legal no Brasil exigido pelo ECA Digital.
- Escrever a matriz de classificação. Critérios objetivos para cada uma das três faixas (12h, 72h, 7 dias), com exemplos e rota de escalonamento.
- Montar o plantão. Equipe ou fornecedor disponível 24 horas por dia, 7 dias por semana, com registro do momento da confirmação da detecção.
- Estruturar a preservação. Ambiente segregado, hash na coleta, trilha de auditoria e retenção alinhada ao Marco Civil.
- Integrar com a LGPD. Atualizar o registro das operações de tratamento, avaliar a necessidade de relatório de impacto e envolver o DPO no desenho do fluxo.
- Treinar e testar. Simulações periódicas, como se faz com incidentes de segurança, para medir o tempo real de resposta.
Para equipes de TI, compliance, jurídico, gestão de riscos e para os DPOs, a Portaria é um chamado à integração. Tratar o tema em silos significa descobrir a falha justamente no caso mais grave.
Um dever jurídico e um compromisso social
A Portaria nº 1.312/2026 marca a passagem do discurso para a operação. Ela exige que as plataformas deixem de apenas reagir a denúncias e passem a demonstrar, com registros e prazos, que sabem identificar o risco, preservar a prova e acionar o Estado a tempo.
A proteção de crianças e adolescentes no ambiente digital é uma responsabilidade compartilhada entre plataformas, autoridades, famílias e toda a sociedade. Cabe também à Advocacia orientar as organizações para que essa responsabilidade se traduza em processos concretos, e não apenas em documentos.
Proteger a infância no ambiente digital é um dever jurídico e um compromisso social.
Referências
Portaria MJSP nº 1.312, de 24 de setembro de 2026 (DOU): https://www.in.gov.br/web/dou/-/portaria-mjsp-n-1.312-de-24-de-setembro-de-2026-735039189
Agência Gov: MJSP regulamenta notificação de crimes contra crianças em plataformas digitais (30/09/2026): https://agenciagov.ebc.com.br/noticias/202609/mjsp-regulamenta-notificacao-de-crimes-contra-criancas-em-plataformas-digitais
A Crítica: Brasil cria central para denúncias de crimes digitais contra crianças e adolescentes (01/10/2026): https://acritica.net/tecnologia/brasil-cria-central-para-denuncias-de-crimes-digitais-contra-criancas-e-adolescentes/
Jornal de Brasília: PF prevê aumento de denúncias e amplia estrutura para o ECA Digital: https://jornaldebrasilia.com.br/noticias/brasil/pf-preve-aumento-de-denuncias-de-abuso-sexual-e-amplia-estrutura-para-eca-digital/
TJPB: ECA Digital estabelece deveres mais rígidos para empresas de tecnologia: https://www.tjpb.jus.br/-/-eca-digital-estabelece-deveres-mais-r%C3%ADgidos-para-empresas-de-tecnologia-e-combate-%C3%A0-explora%C3%A7%C3%A3o-infantil
Lei nº 15.211/2025 (ECA Digital), DOU: https://www.in.gov.br/web/dou/-/lei-n-15.211-de-17-de-setembro-de-2025-656579619
