A Autoridade Nacional de Proteção de Dados (ANPD) aplicou à ByteDance, controladora do TikTok, uma multa de R$ 153,7 milhões por falhas na proteção de dados pessoais de crianças e adolescentes. A decisão, notificada à empresa em 24 de agosto e publicada no Diário Oficial da União em 25 de agosto de 2026, dá à companhia até dez dias úteis para recorrer ao Conselho Diretor da ANPD.
As falhas apontadas
A apuração da ANPD identificou irregularidades nos dois principais modos de acesso à plataforma:
- No feed sem cadastro, houve tratamento de dados de menores sem base legal e sem medidas preventivas adequadas.
- No feed com cadastro, a coleta de dados para criação de conta também ocorreu sem base legal, com mecanismos de prevenção insuficientes.
Em ambos os casos, a ANPD concluiu que a empresa não demonstrou medidas efetivas capazes de assegurar conformidade com a LGPD. Ao todo, foram reconhecidas cinco infrações distintas aos artigos 6º (incisos VIII e X) e 7º da Lei Geral de Proteção de Dados.
Da sanção ao plano de adequação
Além da multa, a ANPD determinou a eliminação dos dados irregularmente coletados e aprovou, na mesma decisão, um plano de adequação que inclui:
- Configurações de privacidade restritivas por padrão para usuários com menos de 16 anos, alteráveis apenas mediante autorização do responsável;
- Reforço dos controles parentais;
- Filtros de conteúdo mais rígidos;
- Limite de 12 horas de uso para quem acessa sem cadastro;
- Suspensão de anúncios, transmissões ao vivo e mensagens diretas para esse mesmo público.
O plano também dialoga com exigências de verificação de idade previstas no ECA Digital, evidenciando que a proteção de menores no ambiente digital hoje é regida por mais de uma frente regulatória, e não apenas pela LGPD isoladamente.
Os riscos jurídicos por trás do caso
O ponto mais relevante deste caso não é o valor da multa, e sim a sua origem: falhas estruturais, presentes desde a concepção do produto, não em um evento isolado. Isso é o que torna o precedente relevante para qualquer empresa — não apenas plataformas de grande porte — que trate dados de menores ou opere produtos que, na prática, acabam sendo acessados por esse público.
A ausência de avaliação jurídica prévia ao lançamento de funcionalidades, a falta de relatórios de impacto à proteção de dados (DPIA) e a inexistência de um processo estruturado de governança em privacidade são exatamente os pontos que, quando negligenciados, transformam uma decisão de produto em passivo regulatório. O custo de corrigir uma falha sob fiscalização — com prazo, monitoramento do regulador e exposição pública — é sistematicamente mais alto do que o custo de preveni-la.
Casos como este reforçam por que compliance com a LGPD não deve ser tratado como formalidade jurídica, mas como parte da estratégia de qualquer negócio que trate dados pessoais, especialmente de públicos vulneráveis. Adequação preventiva, avaliação de risco antes do lançamento de produtos e acompanhamento jurídico contínuo são o que separa uma empresa que evita se tornar o próximo caso de fiscalização daquela que só passa a agir depois da notificação.
Confira no vídeo a seguir mais explicações:
Referência: Site da ANPD
Por:
Gisele Truzzi, Advogada especialista em Direito Digital e sócia-fundadora de Gisele Truzzi Tech Legal Advisory, escritório referência na área há mais de 15 anos. Com mais de 20 anos de experiência, lidera assessorias jurídicas e programas de adequação à LGPD, promovendo maior blindagem jurídica de seus clientes. Atua como DPO de empresas e impulsiona mudanças na cultura organizacional, com foco em proteção de dados, compliance, inovação e agilidade. É pós-graduada em Segurança da Informação; especializada em Direito da Tecnologia da Informação pela FGV-RJ, certificada em Direitos Autorais pela Harvard Law School. Colunista do portal ITFORUM, atualmente cursa pós-graduação em Neurociências, Comunicação e Desenvolvimento Humano. É sócia da GT Compliance, empresa com foco em consultoria de compliance, gestão de riscos e segurança da informação.
