A Autoridade Nacional de Proteção de Dados (ANPD) aplicou à ByteDance, controladora do TikTok, multa de R$ 153,77 milhões por falhas no tratamento de dados pessoais de crianças e adolescentes. A decisão foi publicada no Diário Oficial da União nesta terça-feira, 25 de agosto de 2026, um dia após a notificação da empresa. Trata-se da maior sanção pecuniária já aplicada sob a Lei Geral de Proteção de Dados.
Além da multa, a autoridade determinou a eliminação dos dados coletados de forma irregular e a implementação de um plano de conformidade voltado à proteção de menores na plataforma. A ByteDance pode recorrer ao Conselho Diretor da ANPD em até dez dias úteis contados da notificação.
CINCO VIOLAÇÕES EM DUAS PORTAS DE ENTRADA
O ponto tecnicamente mais relevante da decisão está na contagem: a ANPD identificou cinco violações à LGPD, distribuídas entre as duas formas de acesso ao aplicativo, o “feed sem cadastro”, acessível sem criação de conta, e o “feed com cadastro”.
No acesso sem cadastro, a autoridade concluiu que a plataforma tratava dados de crianças e adolescentes sem base legal válida e não adotava medidas suficientes para impedir esse tratamento. No acesso com cadastro, o diagnóstico foi análogo: tratamento de dados desse público para a realização do cadastro sem base legal válida e ausência de medidas eficazes para impedir o próprio cadastro de menores.
A quinta frente é de outra natureza e merece atenção especial de quem atua em governança de dados. Segundo a autoridade, a empresa não demonstrou de forma suficiente que as medidas adotadas eram capazes de assegurar o cumprimento das regras de proteção de dados. A Superintendência de Fiscalização registrou que os mecanismos utilizados não eram suficientes para evitar, desde o início, o tratamento inadequado, e que faltavam evidências de efetividade.
Não se trata, portanto, apenas de ter feito errado. Trata-se de não ter conseguido provar que fez certo. O artigo 6º, inciso X, da LGPD chama isso de responsabilização e prestação de contas, e a decisão o transforma em conduta infracional autônoma.
A CONTA DOS R$ 153,77 MILHÕES
O artigo 52 da LGPD prevê multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. O reconhecimento de cinco condutas autônomas é o que explica, aritmeticamente, um montante três vezes superior ao teto unitário.
Isso muda a leitura de risco que boa parte do mercado ainda faz. A referência mental dominante era a de que R$ 50 milhões seria o pior cenário possível sob a LGPD. A decisão demonstra que o teto se aplica a cada infração, e que a autoridade está disposta a decompor uma prática única de produto em múltiplas violações, segundo os critérios de gravidade, natureza e extensão da lesão previstos na Resolução CD/ANPD nº 4/2023.
Para efeito de comparação, a primeira multa aplicada pela ANPD, em julho de 2023, a uma microempresa de telemarketing, foi de R$ 14,4 mil. O salto de escala em três anos é a informação mais eloquente sobre a maturidade fiscalizatória do órgão.
O QUE MUDA NO APLICATIVO
O plano de conformidade prevê alterações concretas de produto. Para usuários cadastrados:
Privacidade por padrão. Contas de menores de 16 anos passam a ter, automaticamente, configurações mais restritivas, e a alteração dessas configurações depende de autorização dos responsáveis.
Supervisão parental. A plataforma deverá reforçar os mecanismos de controle exercidos por pais e responsáveis.
Curadoria de conteúdo. Filtros mais rigorosos para limitar o acesso de menores a conteúdos inadequados.
Para quem acessa sem criar conta, o desenho é ainda mais restritivo: experiência limitada a 12 horas, vedação a criar conteúdo, comentar, enviar mensagens diretas ou interagir socialmente, impossibilidade de seguir e de ser seguido, bloqueio à publicação e à visualização de transmissões ao vivo, recomendação menos personalizada, restrição a conteúdos adequados para todas as idades e suspensão dos anúncios no Brasil.
A plataforma também deverá reduzir a coleta de dados nessa modalidade, limitando-a a finalidades como definição de idioma e região, informações básicas do dispositivo para prevenção a fraudes e dados necessários ao funcionamento do aplicativo.
A suspensão da publicidade no acesso sem cadastro é o item de maior impacto econômico e o mais revelador. Ele confirma o diagnóstico regulatório central: a monetização do feed anônimo dependia de perfilamento que não sobrevivia ao teste do melhor interesse.
O PLANO APROVADO E A PONTE COM O ECA DIGITAL
Em decisão separada, também publicada nesta terça-feira, o Conselho Diretor da ANPD aprovou, em grau de recurso, o plano de conformidade apresentado pela ByteDance. Segundo a autoridade, as medidas previstas reduzem os riscos identificados no processo, entre elas a suspensão de anúncios e a desativação de lives e de mensagens diretas no acesso sem cadastro.
A aprovação, contudo, vem condicionada: a empresa deverá cumprir as regras de verificação de idade previstas no Estatuto Digital da Criança e do Adolescente, a Lei nº 15.211/2025, conforme cronograma definido pela própria ANPD.
Esse é o elo mais importante da decisão para o futuro. O ECA Digital, em vigor desde 17 de março de 2026, exige mecanismos confiáveis de verificação de idade a cada acesso e veda expressamente a autodeclaração. A ANPD, encarregada de fiscalizar a nova lei, acaba de usar um processo sancionador de LGPD como veículo para ancorar obrigações do novo estatuto. Os dois regimes deixaram de correr em paralelo.
CINCO ANOS DE FISCALIZAÇÃO
O caso nasceu em 2021, a partir de reclamação que apontava desconformidade do TikTok com a LGPD e ausência de medidas de segurança adequadas. A apuração originou a Nota Técnica nº 6/2023/CGF/ANPD, focada no tratamento de dados no momento do cadastro.
Em 4 de novembro de 2024, com base na Nota Técnica nº 50/2024/CGF/ANPD, a autoridade determinou medidas de regularização e instaurou o processo administrativo sancionador, apontando indícios de violação ao princípio do melhor interesse de crianças e adolescentes, previsto na LGPD e na Constituição Federal. Naquele momento, exigiu a desativação integral do feed sem cadastro em dez dias úteis e a apresentação de plano de conformidade em vinte dias úteis.
Em janeiro de 2025, a autoridade considerou insuficiente a primeira versão do plano apresentado quanto ao feed sem cadastro. O desfecho de agora mostra o percurso completo: plano recusado, processo sancionador levado até o fim, multa aplicada e, em paralelo, plano reformulado e aprovado em grau de recurso.
O contexto imediato reforça a leitura. No início de agosto de 2026, a ANPD determinou a suspensão das transmissões ao vivo do Discord no Brasil até que a plataforma adotasse medidas efetivas de proteção a crianças e adolescentes, após um episódio grave envolvendo uma adolescente durante uma transmissão. A autoridade esclareceu que os casos não têm relação entre si. A coincidência temporal, ainda assim, delimita uma prioridade regulatória inequívoca.
O TIKTOK NO RADAR GLOBAL
A decisão brasileira converge com um movimento internacional. Em 2019, a Federal Trade Commission norte-americana firmou acordo de US$ 5,7 milhões com a plataforma por violação à privacidade infantil. Em setembro de 2023, a Comissão de Proteção de Dados da Irlanda aplicou multa de € 345 milhões por falhas na proteção de dados de menores, incluindo a configuração automática de contas de adolescentes como públicas. Em maio de 2025, a mesma autoridade impôs sanção de € 530 milhões, sendo € 485 milhões pela transferência inadequada de dados de usuários europeus para servidores na China.
Em valores absolutos, os R$ 153,77 milhões ficam distantes das cifras europeias. Em significado institucional, não.
O QUE ISSO SINALIZA PARA AS EMPRESAS
Três lições atravessam o caso e valem para qualquer organização que trate dados de menores, não apenas para as big techs.
Verificação de idade autodeclarada deixou de ser defensável. Era frágil sob a LGPD e passou a ser expressamente vedada pelo ECA Digital. Quem ainda opera com a caixinha de confirmação de maioridade está fora de conformidade por duas normas distintas.
A base legal precisa ser adequada ao titular. A tese de que a execução de contrato autoriza o tratamento de dados de adolescentes foi rejeitada ao longo de todo o processo. Menores não têm capacidade civil para contratar, e o desenho de onboarding que ignora isso é passivo à espera de fiscalização.
Conformidade não provada é conformidade inexistente. A quinta violação reconhecida pela ANPD é a mais transferível de todas. A autoridade não sancionou apenas o que a empresa fez, mas a ausência de evidências de que o que foi feito funcionava. Registro de decisões, testes documentados, métricas de efetividade e revisão periódica deixaram de ser boa prática e passaram a ser elemento de defesa.
Cinco anos separam a reclamação inicial da multa. É tempo suficiente para qualquer organização revisar seus fluxos. Também é tempo suficiente para a ANPD demonstrar que não desiste de um caso.
