A Polícia Federal iniciou, em 21 de outubro, as atividades externas do Centro Nacional de Proteção à Criança e ao Adolescente (CNCA), unidade da Diretoria de Combate a Crimes Cibernéticos, regulamentada pela Portaria MJSP nº 1.312/2026. O centro foi estruturado para atender ao ECA Digital (Lei nº 15.211/2025) e ao Decreto nº 12.880/2026, que obrigam os fornecedores de produtos e serviços de tecnologia a comunicar às autoridades determinados crimes identificados em suas plataformas. Nesta primeira fase, entraram no ar o portal do CNCA e o módulo de cadastro das empresas no Sistema NIDUS.
O CNCA será a autoridade que recebe, de forma centralizada, essas notificações. Cabe a ele validar, triar e classificar os relatórios e encaminhá-los às autoridades competentes para a investigação, como as polícias Federal e civis e o Ministério Público. O Sistema de Garantia dos Direitos da Criança e do Adolescente recebe apenas o encaminhamento protetivo, sem o material, e a ANPD é comunicada das falhas reincidentes ou sistêmicas. O atendimento será ininterrupto, com prioridade para situações de risco crível, iminente ou em curso. O NIDUS está sendo implementado por etapas: por ora, só o cadastro está disponível, e as funções de envio, análise e distribuição das notificações virão em seguida.
Pela Portaria DG/PF nº 19.107/2026, de 16 de outubro e publicada no Diário Oficial em 20 de outubro, devem se cadastrar, em até 60 dias contados da publicação, os fornecedores que, desde 17 de março de 2026, tenham identificado casos sujeitos a notificação em serviços direcionados a crianças e adolescentes ou de acesso provável por eles, ou em serviços de conteúdo pornográfico, de acompanhantes ou de encontros de cunho sexual, mesmo que não voltados a esse público. A obrigação vale independentemente de onde a empresa esteja sediada, e o envio de notificações a centrais de triagem de outros países, como o NCMEC, não dispensa o cadastro. O cadastro é recomendado a quem está nessas hipóteses e vê risco de ocorrência e voluntário para os demais, e o sistema de cadastro pede, entre outros dados, o representante legal e os pontos de contato técnico e institucional. Quem não se cadastrar continua sujeito ao dever de comunicação.
Quanto às notificações, os prazos, contados da confirmação da detecção, incluem fins de semana e feriados: até 12 horas para risco crível, iminente ou em curso, até 72 horas para indícios de material de violência sexual recente, inédito ou produzido com ferramenta de captura disponibilizada pelo próprio fornecedor, e até 7 dias nos demais casos. A revisão humana não pode ser usada para adiar o envio. O envio dos relatórios pelo NIDUS ainda depende de um segundo ato da PF, que deve ser publicado em até 90 dias após o fim do prazo de cadastro e abrirá prazo de adaptação de até 120 dias, mas o dever de remover imediatamente o conteúdo e preservá-lo, com os registros necessários à apuração, já está em vigor. A Portaria MJSP nº 1.312/2026 prevê que o descumprimento do dever de comunicação sujeita o fornecedor às penalidades do ECA Digital, ressalvadas as falhas isoladas ou residuais, e que o CNCA comunicará à ANPD as falhas reincidentes ou sistêmicas. Ela também deixa claro que não autoriza o monitoramento geral, permanente ou indiscriminado de usuários e restringe o acesso aos relatórios.
Duas regras interessam especialmente às plataformas globais. Primeiro, quem já envia os mesmos relatórios a uma central de triagem de outro país acessível às autoridades brasileiras, como o NCMEC, fica dispensado de enviá-los ao CNCA, e esses relatórios, depois de validados, valem como se tivessem sido apresentados diretamente ao Centro. Segundo, o relatório vai muito além do conteúdo: a Portaria lista identificadores e dados cadastrais dos usuários envolvidos, identificadores de dispositivo (IMEI, Apple ID, Android ID), geolocalização, endereços IP com data, hora e porta lógica de origem, histórico de mensagens, as mídias e seus hashes e dados de pagamento, e afirma que o fornecimento dessas informações, em cumprimento do dever legal de comunicação, não caracteriza requisição de dados por autoridade pública.