O valor de R$ 153,7 milhões naturalmente ocupa as manchetes. Mas, para as empresas de tecnologia, o aspecto mais relevante da decisão da Agência Nacional de Proteção de Dados não está apenas no tamanho da multa aplicada à ByteDance, controladora do TikTok. Está na mudança de régua regulatória que ela representa.
Em 25 de agosto de 2026, a ANPD anunciou a aplicação da sanção, a determinação de eliminação dos dados coletados irregularmente e a implementação de um plano de conformidade destinado à proteção de crianças e adolescentes. A decisão ainda admite recurso ao Conselho Diretor da Agência.
Foram identificadas cinco violações aos artigos 6º, incisos VIII e X, e 7º da Lei Geral de Proteção de Dados. Em termos menos jurídicos: a plataforma teria tratado dados sem uma hipótese legal adequada, deixado de adotar medidas efetivamente preventivas e falhado em demonstrar que seus controles funcionavam.
O caso transmite um ponto de alerta ao mercado: não basta possuir uma política de privacidade impecável se a arquitetura do produto conta outra história.
Não ter cadastro não significa não ter tratamento de dados. Um dos pontos centrais da fiscalização envolveu o chamado “feed sem cadastro”, que permitia o acesso ao conteúdo do TikTok sem que o usuário criasse uma conta. Para muitas pessoas, essa experiência pode transmitir a impressão de anonimato. Tecnicamente, porém, não estar cadastrado não significa estar invisível para a plataforma.
A Nota Técnica nº 50/2024 da ANPD registrou que, mesmo nessa modalidade, eram tratados dados relacionados aos vídeos assistidos, às interações do usuário, às hashtags, ao país, ao fuso horário, às configurações e ao tipo de dispositivo. Essas informações podiam ser utilizadas para personalizar conteúdos e formar perfis comportamentais.
Surge, então, um questionamento elementar: se não houve cadastro, qual contrato justificaria o tratamento realizado sob a hipótese de execução contratual? A ausência de resposta convincente para essa questão colocou em xeque a hipótese legal invocada pela plataforma. Termos de uso não possuem o poder quase místico de criar um contrato válido onde ele juridicamente não existe.
O problema se torna ainda mais delicado quando o usuário é uma criança sem capacidade para contratar autonomamente. Um clique em “aceito” não modifica o Código Civil, tampouco converte uma hipótese legal inadequada em tratamento legítimo.
Isso não significa que todo tratamento de dados de crianças e adolescentes dependa exclusivamente do consentimento dos responsáveis. O Enunciado CD/ANPD nº 1/2023 admite a utilização das hipóteses previstas nos artigos 7º e 11 da LGPD, desde que o melhor interesse desse público seja concretamente observado e prevaleça sobre outros interesses.
Dessa forma, o desafio não consiste em encontrar qualquer hipótese legal em uma planilha de compliance, e sim, em demonstrar que ela é adequada à finalidade, à faixa etária, ao risco e à jornada real do usuário. A própria ByteDance informou à ANPD que removeu aproximadamente 7,75 milhões de contas de crianças no Brasil entre outubro de 2022 e setembro de 2023. Estamos falando de milhões de crianças que conseguiram ultrapassar a barreira etária, criar contas e ter seus dados tratados antes de serem identificadas.
A exclusão posterior da conta não desfaz automaticamente a coleta, o perfilamento e eventuais compartilhamentos já realizados. Em matéria de proteção de dados, fechar a porta depois da entrada de milhões de usuários dificilmente pode ser apresentado como evidência de que a porta funcionou.
A ANPD não exige um sistema absolutamente infalível. Exige medidas proporcionais ao risco, mecanismos mais robustos do que uma simples autodeclaração de idade e, principalmente, avaliações contínuas sobre sua efetividade. Há ainda um aspecto especialmente incômodo identificado durante a fiscalização: nos testes relatados pela Agência, o acesso ao feed sem cadastro estava disponível no Brasil, mas era restringido nos Estados Unidos e na Europa. Proteção digital não pode ser tratada como uma funcionalidade premium, distribuída conforme a geografia do usuário.
Talvez o ponto mais importante da decisão esteja na aplicação do princípio da responsabilização e da prestação de contas, previsto no artigo 6º, inciso X, da LGPD. Accountability não significa explicar o que a empresa pretendia fazer. Significa demonstrar, com evidências, o que seus controles efetivamente fizeram, desde métricas de eficácia, auditorias, até mecanismos capazes de provar que as salvaguardas acompanham a realidade da operação.
A decisão não interessa apenas às redes sociais. Ela alcança jogos eletrônicos, plataformas educacionais, serviços de streaming, comércio eletrônico, publicidade digital, aplicativos de saúde e até sistemas de inteligência artificial com acesso provável por crianças e adolescentes.
Todas essas empresas precisarão responder a perguntas que já não podem ficar restritas ao departamento jurídico: O produto identifica adequadamente seus diferentes públicos? As configurações de privacidade são protetivas por padrão? A coleta é realmente necessária? Os controles parentais funcionam? A empresa consegue demonstrar a eficácia de suas medidas? O modelo de negócio é compatível com o melhor interesse de crianças e adolescentes?
A nova pergunta regulatória não é se as plataformas têm programa de compliance, e sim, se esse programa modificou o produto, reduziu riscos e produziu evidências capazes de comprovar sua efetividade. Se a resposta continuar limitada a uma política de privacidade, a um termo de uso e a um campo para o usuário informar a própria data de nascimento, os R$ 153,7 milhões aplicados ao TikTok mostram o tamanho que pode alcançar a distância entre o discurso corporativo e a realidade tecnológica.
*Alexander Coelho é advogado especializado em Direito Digital, Proteção de Dados, Cibersegurança e Inteligência Artificial, certificado CIPM pela IAPP. Mestrando em Direito e IA pela Washington & Lincoln University (EUA). Sócio e head da área de Proteção de Dados e Privacidade do Godke Advogados.
Sobre a M2 Comunicação Jurídica
A M2 Comunicação Jurídica é uma agência especializada nos segmentos econômico e do Direito. Contamos com diversas fontes que atuam em âmbito nacional e internacional, com ampla vivência nos mais diversos assuntos que afetam a economia, sociedade e as relações empresariais.
