A Agência Nacional de Proteção de Dados (ANPD) aplicou multa simples no valor total de R$ 153.769.671,33 à ByteDance Brasil (responsável pelo TikTok), conforme publicado no Diário Oficial da União (Despacho Decisório nº 27/2026/CGS/SFI). Além do montante financeiro expressivo, a agência impôs a obrigação de eliminar dados pessoais de adolescentes mantidos de forma irregular e fixou multa diária de R$ 137 mil em caso de descumprimento.
Na sequência da restrição imposta ao Discord, essa é a maior multa aplicada pela ANPD até o momento. Ambas as sanções representam um alerta claro para outras organizações: a fiscalização da LGPD no Brasil atingiu um nível de maturidade rigoroso, ativo e punitivo.
A DECISÃO DA ANPD
A penalidade aplicada ao TikTok decorre de falhas graves no tratamento de dados pessoais de crianças e adolescentes, pautadas principalmente pela ausência de bases legais válidas e pela ineficácia dos mecanismos de prevenção.
- Tratamento de Dados Sem Hipótese Legal: A ANPD identificou violações ao art. 7º da LGPD ao constatar a coleta e o tratamento de dados pessoais tanto no formato “feed sem cadastro” quanto no cadastro de menores na plataforma sem o devido respaldo legal e de representação/assistência dos pais ou responsáveis.
- Ausência de Prevenção e Segurança: A autoridade apontou infrações aos princípios da prevenção e da responsabilização (art. 6º, VIII e X, da LGPD) devido à ineficácia das barreiras operacionais para impedir o acesso e o cadastro de crianças e adolescentes de forma irregular.
- Determinação de Exclusão de Dados: A agência fixou prazo de 60 dias úteis para a regularização da representação legal dos menores ou para a efetiva eliminação dessas informações da base de dados, inclusive exigindo o envio de relatórios técnicos auditáveis e a notificação de terceiros parceiros com quem esses dados foram compartilhados.
LIÇÃO APRENDIDA: O FIM DO “COMPLIANCE DE PRATELEIRA”
Muitas organizações assumem, equivocadamente, que sanções desse porte afetam apenas grandes corporações de tecnologia. No entanto, o embasamento jurídico da fiscalização aplica-se rigorosamente a entes de qualquer porte ou segmento que tratam dados de clientes, colaboradores ou parceiros.
Dessa forma, é essencial garantir:
- Governança efetiva – Um programa de privacidade efetivo não se resume à elaboração de uma Política de Privacidade publicada no site ou ao preenchimento de formulários armazenados em pastas organizacionais. A ANPD exige demonstração clara de governança viva. Não basta ter regras escritas se as rotinas operacionais e os sistemas da organização continuam operando de forma desregrada.
- Monitoramento Contínuo – O compliance em privacidade exige a implementação de controles internos ativos, auditorias periódicas e revisões contínuas das rotinas operacionais. Um programa de privacidade é inefetivo à medida que os processos internos e as tecnologias avançam.
- Dever de Prestação de Contas (Accountability) – Perante a agência reguladora, cabe ao agente de tratamento o ônus de provar que suas medidas de segurança e privacidade são aplicadas no dia a dia. Documentar os fluxos de dados, realizar Avaliações de Impacto (RIPD) e garantir o controle efetivo sobre os compartilhamentos com terceiros são premissas indispensáveis.
A condenação de grandes organizações demonstra que a fiscalização regulatória exige ações concretas de adequação. Avaliar a maturidade real do programa de governança em privacidade é a medida preventiva mais eficaz para mitigar risco de penalidades e proteção da reputação.