Por Maria Giulia Figueiredo da Cruz Furlan
A Agência Nacional de Proteção de Dados (ANPD) consolidou um novo marco regulatório no Brasil ao publicar, nesta super terça-feira (25/08), a aplicação de uma multa histórica total de R$ 153.769.671,33 à ByteDance Brasil Tecnologia Ltda., empresa responsável pelo TikTok.
Esta decisão, detalhada no Relatório de Instrução nº 2/2026/CGS/SFI, não é apenas um marco financeiro, mas um verdadeiro divisor de águas na interpretação e aplicação da Lei Geral de Proteção de Dados (LGPD) no país. Como advogada atuante no setor societário e DPO, trago neste artigo uma análise aprofundada dos fundamentos jurídicos que basearam essa “super sanção” e o que as empresas brasileiras precisam adequar urgentemente em suas operações.
A fiscalização, que teve início a partir de uma denúncia em 2021, focou no tratamento irregular de dados pessoais de crianças e adolescentes. A ANPD analisou as práticas do TikTok em dois ambientes distintos: o “feed sem cadastro” (acesso livre) e o “feed com cadastro” (perfil logado). A condenação da plataforma dividiu-se em cinco condutas infracionais principais, que detalharemos a seguir.
1. A Ilusão da Execução de Contrato por Menores de Idade (Condutas 1 e 3)
Um dos pontos mais críticos e relevantes para o setor corporativo foi a desconstrução da base legal de “Execução de Contrato” (Art. 7º, V, da LGPD) utilizada pelo TikTok para justificar o tratamento de dados de adolescentes.
No Feed sem Cadastro (Multa de R$ 35,7 milhões): A empresa alegava que, ao acessar a plataforma, o usuário aceitava os Termos de Uso através de um pop-up, configurando um contrato. A ANPD rechaçou essa tese, enfatizando que crianças e adolescentes não possuem capacidade civil plena (conforme o Art. 104, I, do Código Civil brasileiro), sendo imprescindível a devida representação ou assistência legal por parte dos pais ou responsáveis para que um contrato seja válido. Sem um contrato válido, o tratamento de dados no feed sem cadastro ocorreu sem amparo em nenhuma hipótese legal do art. 7º da LGPD.
No Feed com Cadastro (Multa de R$ 27,4 milhões + Eliminação de Dados): O mesmo raciocínio foi aplicado aos adolescentes (maiores de 13 e menores de 18 anos) que se cadastravam na plataforma. A ANPD concluiu que a ByteDance não implementou mecanismos eficazes para assegurar que esses adolescentes fossem devidamente assistidos ou representados por seus pais no momento do cadastro. A simples previsão contratual nos Termos de Uso, exigindo que o usuário declare ter autorização parental, não exime o controlador da responsabilidade operacional de comprovar essa assistência.
O impacto prático: Não basta ter um Termo de Uso genérico. Se o seu serviço atinge menores de idade, a validação do consentimento ou da assistência parental deve ser material e comprovável, sob pena de nulidade do contrato e ilicitude no tratamento de dados.
2. A Queda do Age Gate Simples e o Dever de Prevenção (Condutas 2 e 4)
O princípio da prevenção (Art. 6º, VIII, da LGPD) exige que as empresas adotem medidas antecipadas para evitar danos aos titulares. A ANPD foi incisiva ao punir o TikTok por falhar nesse dever.
Falha no ambiente sem cadastro (Multa de R$ 35,7 milhões): A ANPD constatou que o TikTok permitia acesso amplo e irrestrito de usuários à plataforma por meio do “feed sem cadastro”, sem implementar quaisquer mecanismos de verificação de idade. A agência destacou que, mesmo sem uma conta, a plataforma coletava dados massivos (como tempo gasto assistindo a vídeos, tipo de dispositivo e localização) para traçar o perfil preditivo e comportamental do usuário, direcionando conteúdo personalizado de forma quase idêntica à versão com cadastro. Isso configurou uma verdadeira “porta aberta” para crianças menores de 13 anos em uma plataforma supostamente vedada a esse público.
Ineficácia do Age Gate no cadastro (Multa de R$ 27,4 milhões): A plataforma baseava-se no modelo de age gate — onde o usuário apenas digita a sua data de nascimento. A ANPD considerou esse mecanismo ineficaz para evitar fraudes por parte de crianças menores de 13 anos. A autoridade destacou que a ByteDance já havia sido alertada anteriormente sobre a necessidade de revisar esses mecanismos, mas manteve a postura inerte.
3. O Princípio da Responsabilização e Prestação de Contas (Accountability) (Conduta 5)
A quinta infração (Multa de R$ 27,4 milhões) puniu a ausência de demonstração da eficácia das medidas protetivas. O Art. 6º, X, da LGPD determina que o controlador deve comprovar a eficácia das medidas adotadas.
Durante o processo, a empresa apresentou deficiência de rastreabilidade e governança das operações no “feed sem cadastro” e não conseguiu comprovar a eficácia real das medidas de exclusão de registros de contas de menores de 13 anos que haviam sido banidas. A ANPD ressaltou que a prestação de contas da empresa foi “omissa e evasiva”, especialmente no que tange à obrigação de comunicar parceiros comerciais e anunciantes sobre a necessidade de deletar os dados dessas crianças.
A Sanção Mais Temida: Eliminação Massiva de Dados
Além do expressivo valor financeiro, a ANPD impôs uma penalidade que afeta diretamente o núcleo do modelo de negócios da empresa: a sanção de eliminação de dados pessoais.
A agência determinou que o TikTok elimine os dados pessoais de adolescentes maiores de 13 anos coletados no “feed com cadastro”, cuja assistência ou representação legal não seja regularizada no prazo de 60 dias úteis. Mais do que isso, a empresa deverá replicar os efeitos dessa eliminação para toda a sua cadeia de compartilhamento (terceiros e parceiros). Em caso de descumprimento, foi sugerida a imposição de uma multa diária de mais de R$ 137 mil.
O que as Empresas Precisam Aprender?
Para corporações e negócios digitais, essa decisão deve ser lida como um manual estrito de conformidade. Extraímos as seguintes lições fundamentais para a governança corporativa:
- A Integração entre Direito Civil e LGPD: A estruturação de negócios jurídicos digitais não pode ignorar o Código Civil. Contratos de adesão aceitos por menores de idade sem ferramentas que comprovem a representação legal são nulos, arrastando junto a base legal de tratamento de dados.
- O Fim do Check-box de Fachada: Modelos baseados apenas na presunção de boa-fé do usuário (age gate declaratório e caixinhas de “Li e concordo”) foram oficialmente considerados insuficientes quando há risco direto aos titulares, especialmente os hipervulneráveis.
- Privacy by Design é Obrigatório: Coletar dados de forma massiva para monetização ou personalização de serviços “sem cadastro” demanda bases legais rigorosas e mecanismos ativos de prevenção.
- A Cobrança pela “Accountability”: Dizer que cumpre a lei não é o bastante. As empresas precisam de relatórios técnicos detalhados, logs de auditoria e métricas concretas que provem aos reguladores que suas barreiras de proteção realmente funcionam na prática.
A governança de dados no Brasil atingiu sua maturidade. A conformidade com a LGPD e a implementação de programas efetivos de governança deixaram de ser apenas diferenciais de mercado para se tornarem o alicerce central da viabilidade e segurança financeira de qualquer negócio no ambiente digital.
Nosso escritório segue à disposição frente ao novo padrão de exigência da ANPD.