Decisão reforça a responsabilidade das empresas no tratamento de dados de crianças e adolescentes e evidencia uma fiscalização cada vez mais orientada à efetividade dos controles
A proteção de dados de crianças e adolescentes acaba de ganhar um novo capítulo importante no Brasil.
A Agência Nacional de Proteção de Dados (ANPD) aplicou multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, após identificar irregularidades no tratamento de dados pessoais de crianças e adolescentes na plataforma.
A decisão foi publicada em 25 de agosto de 2026 e, além da penalidade financeira, determinou a eliminação de dados tratados irregularmente e estabeleceu medidas para o fortalecimento da proteção desse público na plataforma.
O caso chama atenção não apenas pelo valor da multa, mas principalmente pelo tipo de análise realizada pela ANPD e pelas consequências que ela pode trazer para empresas que desenvolvem ou oferecem produtos e serviços digitais.
O que aconteceu?
A investigação analisou duas formas de acesso ao TikTok: o “feed sem cadastro”, disponível sem a criação de uma conta, e o “feed com cadastro”, vinculado a um perfil registrado na plataforma.
Segundo a ANPD, foram identificadas cinco violações relacionadas ao tratamento de dados de crianças e adolescentes. Entre elas, o tratamento de dados sem hipótese legal válida e a ausência de medidas eficazes para prevenir o tratamento indevido desses dados.
No acesso sem cadastro, por exemplo, a Agência identificou tratamento de dados pessoais de crianças e adolescentes sem hipótese legal adequada, além da ausência de medidas suficientes para prevenir esse tratamento.
Já no acesso com cadastro, foram identificados problemas tanto no tratamento de dados para realização do cadastro quanto nos mecanismos utilizados para impedir o cadastramento indevido de menores.
A ANPD também apontou uma falha de natureza mais ampla: a empresa não conseguiu demonstrar medidas eficazes capazes de comprovar a observância e o cumprimento das normas de proteção de dados.
Esse último ponto merece atenção especial.
O problema não era apenas ter ou não ter uma política
Um dos aspectos mais relevantes da decisão está justamente na diferença entre possuir controles de privacidade e conseguir demonstrar que esses controles funcionam.
De acordo com a ANPD, os mecanismos adotados pelo TikTok não foram suficientes para evitar, desde a origem, o tratamento indevido de dados pessoais de crianças e adolescentes. A área técnica também destacou a ausência de evidências concretas sobre a efetividade das medidas técnicas e organizacionais utilizadas pela empresa.
Essa distinção é fundamental.
Em um programa de privacidade maduro, não basta afirmar que existe uma política, um procedimento ou um mecanismo de controle.
É necessário conseguir responder perguntas como:
- O controle está efetivamente implementado?
- Como ele funciona?
- Quem é responsável por monitorá-lo?
- Com que frequência sua efetividade é avaliada?
- Quais evidências demonstram seu funcionamento?
- O que acontece quando o controle falha?
A decisão contra o TikTok demonstra que a análise regulatória pode avançar para além da documentação formal e alcançar a efetividade dos mecanismos de proteção incorporados ao produto e aos processos da organização.
Mas o limite da multa não é de R$ 50 milhões?
Essa é uma dúvida recorrente quando se fala em sanções da LGPD.
A legislação estabelece que a multa simples pode chegar a 2% do faturamento da empresa ou grupo no Brasil, limitada a R$ 50 milhões por infração.
O ponto importante é justamente este: o limite de R$ 50 milhões é aplicado por infração, e não necessariamente ao conjunto de infrações apuradas em um mesmo processo.
No caso do TikTok, a ANPD reconheceu cinco violações distintas. Por isso, a penalidade total alcançou R$ 153,7 milhões.
Na prática, isso significa que uma única investigação pode resultar em uma exposição financeira superior ao limite de R$ 50 milhões quando forem identificadas diferentes infrações autônomas.
Para as empresas, é um alerta importante sobre a necessidade de avaliar a exposição regulatória de forma mais ampla.
Por que a proteção de crianças e adolescentes exige atenção especial?
A LGPD estabelece tratamento diferenciado para dados pessoais de crianças e adolescentes.
Essa proteção decorre não apenas da natureza dos dados tratados, mas da condição peculiar de vulnerabilidade desse público.
O ECA Digital, em vigor desde março de 2026, ampliou ainda mais esse cenário ao estabelecer novas obrigações para plataformas digitais e outros fornecedores de produtos e serviços de tecnologia acessados por crianças e adolescentes. Entre os temas regulados estão mecanismos de aferição de idade, supervisão parental e medidas de prevenção e mitigação de riscos.
Nesse contexto, o caso TikTok ganha uma dimensão ainda maior.
A fiscalização da ANPD ocorre justamente em um momento de fortalecimento das exigências relacionadas à proteção de menores no ambiente digital.
O que muda para as empresas?
A decisão não deve ser interpretada como um problema exclusivo de grandes plataformas.
Empresas de tecnologia, aplicativos, educação, entretenimento, e-commerce, jogos e serviços digitais que possam ser acessados por crianças e adolescentes também precisam avaliar cuidadosamente seus riscos.
A primeira pergunta não deveria ser apenas:
“Estamos em conformidade com a LGPD?”
É necessário avançar para perguntas mais concretas:
Quais dados de crianças e adolescentes podem ser tratados?
Qual é a hipótese legal que sustenta esse tratamento?
Como a organização identifica ou estima a idade dos usuários?
Quais mecanismos impedem o tratamento inadequado?
Como os riscos são monitorados?
E, principalmente, quais evidências demonstram que esses controles funcionam?
Essa última pergunta tende a ganhar cada vez mais relevância.
Privacidade precisa estar dentro do produto
Talvez essa seja uma das principais lições do caso.
A proteção de dados não pode existir apenas em documentos jurídicos, políticas de privacidade ou contratos.
Ela precisa estar incorporada à arquitetura dos produtos, aos fluxos de negócio e aos controles técnicos e organizacionais da empresa.
No caso do TikTok, o plano de conformidade aprovado pela ANPD prevê, entre outras medidas, configurações de privacidade mais restritivas para menores de 16 anos, reforço da supervisão parental, filtros de conteúdo e redução do tratamento de dados na experiência sem cadastro.
Ou seja, a resposta regulatória envolve mudanças concretas na forma como o produto funciona.
Isso reforça uma premissa cada vez mais importante para programas de privacidade:
Privacy by Design não pode ser apenas um conceito. Precisa se transformar em controles verificáveis na operação.
Uma nova fase da fiscalização?
O caso também sinaliza uma evolução importante na atuação da ANPD.
A fiscalização não se limitou a perguntar se o TikTok possuía políticas ou procedimentos relacionados à proteção de dados.
A análise avançou sobre como a plataforma funcionava, quais mecanismos estavam implementados e se esses mecanismos eram efetivamente capazes de prevenir o tratamento inadequado de dados.
Esse movimento exige uma mudança de postura das empresas.
Programas de privacidade precisam ser pensados como estruturas contínuas de prevenção, monitoramento, teste e gestão de riscos, e não como um conjunto estático de documentos.
A pergunta mais relevante para uma organização não é mais apenas:
“Temos um programa de privacidade?”
Mas:
“Conseguimos demonstrar que nosso programa funciona?”
O caso TikTok como alerta para o mercado
A multa de R$ 153,7 milhões representa uma penalidade significativa.
Mas talvez a principal mensagem da decisão esteja em outro lugar.
A proteção de dados, especialmente quando envolve crianças e adolescentes, está sendo analisada cada vez mais sob a perspectiva da efetividade.
Não basta estabelecer regras.
Não basta criar políticas.
Não basta implementar controles no papel.
As organizações precisam ser capazes de identificar riscos, implementar medidas proporcionais, monitorar sua eficácia e produzir evidências de que essas medidas funcionam na prática.
Com o avanço do ECA Digital e o fortalecimento da atuação regulatória no ambiente digital, essa maturidade tende a deixar de ser um diferencial e passar a ser uma necessidade.
Para as empresas, o momento de revisar seus controles não é depois de uma fiscalização.
É antes dela.
