Loot boxes: condenação de R$ 298 mi leva monetização de menores ao compliance
Sentenças da Vara da Infância do DF contra Apple, Google e Tencent, ancoradas em ECA e CDC, encontram o ECA Digital e deslocam o tema para a conformidade.
Uma vara da infância do Distrito Federal condenou onze empresas de tecnologia e de games em R$ 298 milhões por vender loot boxes a crianças e adolescentes. A decisão não usou lei nova: bastaram o Estatuto da Criança e do Adolescente e o Código de Defesa do Consumidor. E veio no momento em que o ECA Digital, já em vigor, proíbe expressamente essas caixas e coloca a Agência Nacional de Proteção de Dados como fiscal. Para quem opera jogos ou lojas de aplicativos, a monetização aleatória deixou de ser detalhe de produto e virou risco jurídico a mapear.
01 O fato e por que importa
A 1ª Vara da Infância e da Juventude do Distrito Federal condenou onze empresas de tecnologia e desenvolvedoras de jogos a pagar R$ 298 milhões por dano moral coletivo, em ações civis públicas movidas pela Associação Nacional dos Centros de Defesa da Criança e do Adolescente. O alvo são as loot boxes — caixas de recompensa vendidas dentro do jogo cujo conteúdo só aparece depois do pagamento, um formato que aproxima a compra de uma aposta. Os valores irão ao Fundo dos Direitos da Criança e do Adolescente do Distrito Federal; cabe recurso e o depósito depende do trânsito em julgado.
A sentença não dependeu de lei nova. A condenação tem base no Estatuto da Criança e do Adolescente (Lei nº 8.069/1990), que veda a publicidade abusiva e a promoção com prêmios dirigida ao público infantojuvenil, e no Código de Defesa do Consumidor (Lei nº 8.078/1990), cujo art. 37, § 2º, considera abusiva a publicidade que se aproveita da deficiência de julgamento e experiência da criança. Sobre essa base, o juízo impôs deveres técnicos às rés: divulgar as probabilidades de cada item, advertir sobre a aleatoriedade, reforçar a verificação de idade e oferecer reembolso das compras feitas por menores.
O que torna o caso urgente para quem opera jogos ou lojas de aplicativos é a abertura da fase de liquidação individual: além da verba coletiva, cada criança ou adolescente afetado poderá pleitear reparação própria, desde que comprove o vínculo com a prática e a extensão do dano. A decisão trata a monetização aleatória, antes vista como detalhe de produto, como passivo jurídico concreto — e faz isso enquanto o ECA Digital já está em vigor.
02 O que considerar a partir daqui
- Verificação de idade. A operação usa mecanismo confiável de aferição de idade, ou ainda depende de autodeclaração — que o ECA Digital veda para conteúdo de acesso provável por menores?
- Mapeamento de produtos. Há inventário de quais títulos e funcionalidades oferecem caixas de recompensa acessíveis a crianças e adolescentes?
- Transparência e reembolso. Existem fluxo de divulgação das probabilidades de cada item e canal de reembolso prontos para operar, como exigiu a sentença?
- Representação no País. A empresa estrangeira mantém representação legal no Brasil, ponto que concentra a responsabilização em território nacional?
- Provisão para liquidação. Há provisão contábil e jurídica para o passivo das reparações individuais que a fase de liquidação pode gerar?
Vale lembrar que a análise pode variar conforme o caso concreto, permitindo a consideração de outros pontos pertinentes.
03 O que já está acontecendo no Brasil
A condenação do Distrito Federal não é evento isolado, mas o ponto mais visível de um movimento regulatório em curso. Desde 17 de março de 2026 vigora o ECA Digital (Lei nº 15.211/2025), cujo art. 20 veda expressamente as caixas de recompensa em jogos direcionados a crianças e adolescentes ou de acesso provável por eles. O art. 2º, IV, define a caixa de recompensa como a funcionalidade que permite adquirir, mediante pagamento, itens ou vantagens aleatórias sem conhecimento prévio do conteúdo — a exata prática discutida no processo.
A fiscalização tem responsável definido. O Decreto nº 12.880/2026, que regulamentou a lei, atribuiu à Agência Nacional de Proteção de Dados a competência de fiscalizar e regulamentar o ECA Digital, inclusive as orientações sobre aferição confiável de idade, com coleta restrita ao dado necessário para confirmar se o usuário é menor. O mesmo decreto estruturou a política de proteção no ambiente digital e previu que lojas de aplicativos e sistemas operacionais forneçam sinais de idade aos fornecedores.
A Agência não chega ao assunto sem histórico. Ainda em 2023 editou o Enunciado CD/ANPD nº 1/2023, que fixou interpretação vinculante: o tratamento de dados de crianças e adolescentes pode ter fundamento em qualquer hipótese legal dos arts. 7º ou 11 da LGPD, desde que observado o melhor interesse do menor, na forma do art. 14 da LGPD. Somado ao trabalho técnico sobre mecanismos de aferição de idade, o quadro mostra que o eixo do debate deixou o penal e passou a exigir estrutura de conformidade.
04 O que está acontecendo em outros países
O movimento brasileiro dialoga com experiências estrangeiras, mas as ultrapassa em alcance prático. A Bélgica foi o caso mais citado: em 2018, a Comissão de Jogos de Azar concluiu que as loot boxes pagas configuram jogo de azar ilícito sob o Gaming Act de 1999 e passou a ameaçar de processo criminal quem operasse sem licença. A medida, porém, não alterou a lei nem a prática — anos depois, a maioria dos jogos de maior faturamento no país seguia oferecendo monetização aleatória, sinal do limite do enforcement por mera interpretação.
A Holanda reviu o próprio entendimento sobre o tema em 2022, sem chegar a um banimento pleno. O contraste com o Brasil está no instrumento: enquanto a resposta europeia ficou no plano da interpretação regulatória e de um enforcement incerto, a sentença do Distrito Federal fixou valores e obrigações técnicas concretas, e o ECA Digital trouxe vedação legal expressa. Para operações globais, a leitura é que o Brasil passou a exigir adequação específica, não a importação de política estrangeira.
05 Riscos envolvidos
Cada risco abaixo nasce do mesmo fato: a venda de recompensas aleatórias a um público em desenvolvimento, com verificação de idade frágil e incentivo a compras repetidas.
- Autonomia reduzida por exploração de vulnerabilidades cognitivas (nudging na monetização aleatória) — art. 5º, LXXIX e caput, da CRFB/88, com o art. 20 da LGPD (direito à revisão de decisões e perfis) e o art. 6º, IV, do CDC (proteção contra métodos comerciais abusivos).
- Perdas financeiras com compras feitas por menores — direito de propriedade do art. 5º, caput, da CRFB/88, o art. 6º, VI, do CDC (reparação de danos patrimoniais e morais) e o art. 927 do Código Civil (dever de reparar o dano).
- Exposição a publicidade abusiva dirigida à criança — art. 5º, X, da CRFB/88 (intimidade e vida privada) e o art. 37, § 2º, do CDC, que reputa abusiva a publicidade que se vale da inexperiência infantil.
- Descumprimento do ECA Digital (art. 20, que veda caixas de recompensa a menores; fiscalização a cargo da Agência Nacional de Proteção de Dados).
- Risco consumerista pela prática de publicidade e método comercial abusivos (arts. 6º, IV, e 37, § 2º, do CDC).
- Falha no tratamento de dados de crianças e adolescentes, inclusive na coleta para verificação de idade (art. 14 da LGPD e art. 13 do ECA Digital, que restringe o uso do dado à finalidade de aferição).
- Exposição a sanções administrativas do ECA Digital — multa, suspensão e proibição de operar (art. 35).
- Dano reputacional pela associação a exploração comercial de crianças.
- Litigiosidade elevada, ampliada pela fase de liquidação individual aberta pela sentença.
Vale notar que estes riscos são exemplificativos; a análise do caso concreto pode revelar vulnerabilidades adicionais.
Alto risco
- Critério geral. Tratamento em larga escala (Resolução CD/ANPD 2/2022, art. 4º, § 1º): jogos e lojas com número significativo de usuários crianças e adolescentes, em coleta contínua e de ampla extensão geográfica.
- Critério específico. Uso de dados pessoais de crianças e adolescentes (Resolução CD/ANPD 2/2022, art. 4º, II, 'd'), tanto na verificação de idade quanto no direcionamento comercial no ambiente do jogo.
06 Guardrails de proteção
- Aferição confiável de idade, com minimização. Substituir a autodeclaração por mecanismo idôneo e usar o dado só para confirmar a idade (art. 10, § 1º, e art. 13 do ECA Digital), com apoio dos controles de privacidade do NIST Privacy Framework e da ISO/IEC 27701.
- Privacy e safety by design contra padrões manipulativos. Revisar a arquitetura de monetização para eliminar pressões e urgências fabricadas vedadas pelo Decreto nº 12.880/2026, seguindo a ISO 31700-1 (privacy by design).
- Transparência de probabilidades e fluxo de reembolso. Publicar as chances de cada item e operar canal de estorno das compras de menores, como determinou a sentença, documentando o processo sob a ISO/IEC 27701.
- Governança de risco regulatório. Mapear títulos com caixas de recompensa, designar representação legal no País e integrar o tema ao programa de conformidade, na lógica de governança do NIST CSF 2.0.
O rol de salvaguardas técnicas e administrativas sugeridas é exemplificativo, permitindo a aplicação de outras medidas de mitigação conforme a análise do caso concreto.
Mesmo com a implementação de salvaguardas técnicas e administrativas, permanecem riscos residuais inerentes, os quais podem ser intensificados por alterações nas operações. O perigo mais significativo, todavia, é a falta de iniciativa.
Na data de publicação deste comentário, todos os links estavam disponíveis. Não nos responsabilizamos, nem controlamos a alteração e/ou retirada das URLs nem do conteúdo das fontes consultadas.