A multa de R$ 153,7 milhões aplicada pela Autoridade Nacional de Proteção de Dados (ANPD) à ByteDance, controladora do TikTok, não me surpreendeu pelo valor. Me chamou a atenção pela origem do problema. Não estamos diante de um vazamento pontual, de uma falha isolada de segurança ou de um incidente que a empresa não poderia ter previsto. Estamos diante de uma decisão de produto — tomada, mantida e escalada — sem que houvesse base legal para o tratamento de dados de crianças e adolescentes. E isso muda completamente a leitura jurídica do caso.
O que a ANPD encontrou
A apuração identificou irregularidades nos dois principais modos de acesso à plataforma:
– No feed sem cadastro, houve tratamento de dados de menores sem base legal e sem medidas preventivas adequadas.
– No feed com cadastro, a coleta de dados para criação de conta também ocorreu sem base legal, com mecanismos de prevenção insuficientes.
Em ambos os casos, a autarquia concluiu que a empresa não demonstrou medidas efetivas capazes de assegurar conformidade com a LGPD. Ao todo, foram reconhecidas cinco infrações distintas aos artigos 6º (incisos VIII e X) e 7º da Lei Geral de Proteção de Dados — dispositivos que tratam, respectivamente, do dever de prevenção e da exigência de base legal para qualquer tratamento de dado pessoal.
Falo disso com alguma insistência porque é um ponto que costuma passar batido nas coberturas do caso: a ANPD não está dizendo que o TikTok falhou em proteger dados que já tratava legitimamente. Está dizendo que a origem do tratamento — a decisão de coletar aqueles dados, daquela forma, daquele público — já nasceu sem amparo legal. É a diferença entre um erro de execução e um erro de concepção. E erro de concepção é o que mais vejo, na prática, quando empresas me procuram depois que o problema já virou processo administrativo (e até judicial).
Confira o texto de Gisele Truzzi na íntegra em sua coluna no portal ITFORUM: aqui.
