Na data de hoje (25/08/2026), a Agência Nacional de Proteção de Dados (ANPD) publicou o Despacho Decisório nº 27/2026/CGS/SFI, que contém a decisão de primeira instância proferida no Processo Administrativo Sancionador nº 00261.006648/2024-02, instaurado contra a Byte Dance Brasil Tecnologia Ltda., responsável pela operação do TikTok no país.
A decisão aplicou multas que, somadas, alcançaram R$153.769.671,33, além de determinar a eliminação de dados pessoais de adolescentes que não tiveram sua representação ou assistência legal regularizada. O valor é expressivo e, naturalmente, ocupa as manchetes. No entanto, restringir a análise ao montante da sanção seria ignorar o aspecto mais relevante do caso: a forma como a ANPD avaliou a existência, adequação e, principalmente, a efetividade dos mecanismos de conformidade apresentados pela plataforma.
Em nossa avaliação, a ANPD acertou ao reconhecer as infrações e aplicar sanções compatíveis com a dimensão dos tratamentos examinados. A decisão demonstra autoridade institucional e uma análise crítica que ultrapassa a verificação meramente documental da conformidade.
O caso estabelece um parâmetro importante para o mercado: não basta afirmar que existem políticas e controles, será necessário demonstrar, por meio de processos concretos e evidências verificáveis, que essas medidas funcionam na prática. Esta é uma primeira análise do processo. A decisão ainda é de primeira instância, admite recurso administrativo e possui fundamentos que merecem um estudo mais aprofundado, especialmente quanto à dosimetria e à individualização das condutas.
Uma investigação iniciada em 2021
Embora o processo sancionador tenha sido formalmente instaurado em 2024, a investigação não começou naquele ano. O caso tem origem no Processo de Fiscalização nº 00261.000297/2021-75, iniciado após reclamação encaminhada à ANPD em 23 de março de 2021. A apuração inicial envolvia questionamentos sobre coleta de dados de usuários não cadastrados na plataforma, compartilhamento, transparência, segurança e ausência de base legal válida. A partir daí, a ANPD adotou uma investigação extensa, conforme o panorama abaixo:
- Em maio de 2022, encaminhou ofício à Byte Dance solicitando explicações sobre os tratamentos realizados pelo TikTok;
- em setembro de 2022, solicitou informações mais detalhadas;
- em janeiro de 2023, realizou reunião com representantes da Byte Dance para esclarecer dúvidas sobre o tratamento de dados de crianças e adolescentes;
- ainda em 2023, expediu a Nota Técnica nº 6/2023/CGF/ANPD, com oito determinações e prazo de 30 dias úteis para regularização;
- em 2024, aprofundou a análise por meio da Nota Técnica nº 50/2024/FIS/CGF/ANPD, que apontou a insuficiência das respostas, recomendou medidas preventivas e propôs a instauração do processo sancionador;
- após a apresentação de defesa, manifestações e instrução do processo, foi publicada, em agosto de 2026, a decisão administrativa de primeira instância.
Portanto, considerada a fiscalização originária, transcorreram aproximadamente cinco anos e cinco meses entre o início da apuração e a decisão sancionatória. Esse histórico é importante porque a multa não decorreu de uma fiscalização superficial ou de uma única verificação. A ANPD passou por uma fase orientativa e preventiva, concedeu oportunidades de esclarecimento e regularização e, somente depois, avançou para a atuação repressiva.
A lógica utilizada pela Autoridade foi a chamada fiscalização responsiva: primeiro, orientar e buscar a recondução do agente à conformidade. Depois, diante da persistência das irregularidades ou da ausência de comprovação suficiente, instaurar o processo sancionador.
Apesar disso, o tempo transcorrido merece uma análise crítica. Uma investigação dessa complexidade exige cautela, instrução técnica e respeito ao contraditório e à ampla defesa. Ainda assim, um período superior a cinco anos é significativo, sobretudo porque os tratamentos investigados envolviam crianças e adolescentes e continuaram produzindo efeitos durante parte relevante da apuração. Em matérias que envolvem titulares vulneráveis e operações de alto risco, o tempo não é apenas um dado processual: também influencia a efetividade da proteção regulatória.
Quais dispositivos da LGPD foram considerados violados?
A publicação da decisão consolida as sanções em três grupos normativos.
- Artigo 7º da LGPD: ausência de hipótese legal válida
O art. 7º estabelece as hipóteses que autorizam o tratamento de dados pessoais.
Assim, o TikTok utilizava, entre outros fundamentos, a hipótese de execução de contrato prevista no art. 7º, inciso V, para justificar tratamentos necessários à prestação dos serviços e à personalização da experiência. Dessa forma, a ANPD questionou essa fundamentação em dois contextos.
O primeiro dizia respeito ao chamado “feed sem cadastro”, pois segundo a fiscalização, se não havia cadastro, aceite dos termos ou manifestação de vontade do usuário, também não existiria contrato do qual o titular fosse parte. Logo, a execução contratual não poderia justificar a coleta e a utilização dos dados para personalização.
O segundo contexto envolvia o cadastro de adolescentes. A análise considerou as regras de capacidade civil previstas nos arts. 3º e 4º do Código Civil, de forma que menores de 16 anos devem ser representados e adolescentes entre 16 e 18 anos devem ser assistidos para a prática de determinados atos da vida civil.
Para a ANPD, uma simples declaração do adolescente de que possuía autorização não seria suficiente para demonstrar a existência de um contrato válido. Sem representação ou assistência devidamente regularizada, a execução contratual não poderia servir como hipótese legal para o tratamento. Esse raciocínio explica por que a decisão determinou a regularização da situação dos usuários entre 13 e 18 anos e, quando isso não for possível, a eliminação dos respectivos dados pessoais.
Embora o art. 14 da LGPD, que determina a prevalência do melhor interesse, esteja no centro de toda a investigação, a sanção pecuniária publicada foi formalmente vinculada ao art. 7º e aos princípios previstos nos incisos VIII e X do art. 6º. A leitura deve ser feita em conjunto com o Enunciado CD/ANPD nº 1/2023, que disciplina que os dados de crianças e adolescentes podem ser tratados com fundamento nas hipóteses dos arts. 7º ou 11 da LGPD, desde que o melhor interesse seja observado e prevaleça no caso concreto.
- Artigo 6º, inciso VIII: princípio da prevenção
O princípio da prevenção exige a adoção de medidas destinadas a evitar a ocorrência de danos em razão do tratamento de dados pessoais. Nesse sentido, a fiscalização entendeu que o mecanismo de autodeclaração de idade, o chamado age gate, não era suficiente, isoladamente, para impedir o acesso de crianças menores de 13 anos.
O ponto jurídico relevante é que a ANPD não se limitou a perguntar se existia algum mecanismo, de forma que a Autoridade avaliou se a medida era efetivamente capaz de prevenir o risco conhecido. Segundo a instrução, a Byte Dance já tinha conhecimento de que crianças menores de 13 anos utilizavam a plataforma, e mesmo após a constatação, a verificação no momento do cadastro permanecia baseada essencialmente na informação declarada pelo próprio usuário, acompanhada de controles posteriores, como moderação, denúncias e exclusão de contas. Na leitura da ANPD, medidas posteriores não substituem uma barreira preventiva adequada, especialmente diante do uso massivo da plataforma por crianças.
A nosso ver, esse ponto aproxima a decisão das premissas de proteção de dados desde a concepção. Quando o público, os riscos e as possibilidades de fraude são conhecidos, a proteção não pode depender exclusivamente da identificação posterior do problema, pois os controles devem ser incorporados à própria arquitetura do serviço e à jornada inicial do usuário.
- Artigo 6º, inciso X: responsabilização e prestação de contas
O art. 6º, inciso X, exige mais do que a afirmação de que a empresa está em conformidade. De forma resumida, o agente deve demonstrar a adoção de medidas eficazes e capazes de comprovar o cumprimento da legislação.
Este talvez seja o ponto mais importante da decisão para o mercado. Durante o processo, o TikTok informou possuir mecanismos de segurança, moderação de conteúdo, identificação e exclusão de contas, restrições para menores de idade e procedimentos internos de proteção. Da mesma forma, também apresentou respostas, políticas, quadros de atividades de tratamento e Relatórios de Impacto à Proteção de Dados. O problema, segundo a ANPD, foi a insuficiência das evidências apresentadas para comprovar a eficácia prática desses mecanismos. Entre os pontos identificados na fiscalização, destacam-se:
- ausência de comprovação suficiente da eficácia dos mecanismos de verificação de idade;
- respostas baseadas, em diversos momentos, na reprodução de políticas de privacidade e termos de uso, sem demonstração técnica do funcionamento dos controles;
- ausência de distinção suficientemente clara entre os tratamentos realizados no feed com cadastro e no feed sem cadastro;
- falta de esclarecimentos conclusivos sobre determinados identificadores coletados de usuários não registrados;
- alegação de que não havia perfilamento de usuários sem cadastro, mas apenas “cálculos numéricos” para recomendação de conteúdo, distinção que não convenceu a fiscalização diante da função desempenhada por esses cálculos;
- Relatório de Impacto com informações consideradas amplas e genéricas, próximas da linguagem utilizada na política de privacidade, sem o detalhamento esperado para um documento de avaliação de riscos;
- ausência de documentação suficiente para sustentar a conclusão de que o sistema de recomendação, embora baseado em decisões automatizadas, não produziria impactos significativos sobre os titulares;
- respostas que, na visão da fiscalização, não alcançaram o núcleo dos questionamentos formulados e exigiram a prática de novos atos processuais.
A ANPD chegou a registrar que responder aos ofícios é um dever legal! A colaboração efetiva, em sua visão, exigiria respostas completas, tecnicamente fundamentadas e direcionadas às preocupações apresentadas pela fiscalização. Como advogados que atuam com proteção de dados, um aspecto nos chama especialmente a atenção: uma plataforma da dimensão do TikTok não ter conseguido apresentar processos, registros e evidências suficientes para demonstrar a eficácia dos controles que alegava possuir.
Não se trata de exigir uma conformidade perfeita ou um ambiente completamente livre de riscos. O que se espera de uma organização desse porte é a existência de processos maduros, documentados, testados e auditáveis, proporcionais à escala do tratamento e ao grau de vulnerabilidade dos titulares.
Esse posicionamento reforça uma conclusão que temos destacado em nossa atuação: accountability não se comprova apenas com políticas, termos de uso ou afirmações institucionais. É preciso apresentar logs, métricas, testes, resultados de auditoria, critérios de decisão, indicadores de eficácia e documentação técnica capaz de demonstrar que os controles funcionam na prática.
O que o caso revela sobre os programas de privacidade?
Na prática, o processo expõe fragilidades que ainda observamos em muitos programas de privacidade.
A primeira delas é a elaboração de Relatórios de Impacto genéricos, construídos como formulários padronizados e pouco conectados à realidade da operação. Um RIPD não deve apenas descrever o tratamento ou reproduzir informações da política de privacidade. Ele deve registrar os riscos identificados, as decisões adotadas, os responsáveis envolvidos, os controles implementados e as razões pelas quais o risco residual foi considerado aceitável.
A segunda fragilidade é a ausência de registros e evidências. Muitas empresas possuem políticas bem redigidas, mas não conseguem demonstrar quando determinado controle foi implementado, como sua eficácia foi testada, quais resultados foram obtidos e quem aprovou os riscos remanescentes.
A terceira é a pouca integração entre as áreas Jurídica, de Segurança da Informação, Tecnologia, Produto e Compliance. Proteção de dados não pode ser conduzida de forma isolada pelo DPO ou pelo departamento jurídico, pois uma base legal adequada não corrige uma arquitetura insegura. Da mesma forma, um controle técnico não soluciona sozinho problemas relacionados à finalidade, à transparência ou à proporcionalidade do tratamento.
O caso demonstra que a fiscalização tende a examinar a coerência entre documentos, decisões jurídicas, processos internos e funcionamento técnico do produto. Quando essas frentes não estão integradas, a organização pode até possuir um programa formal de privacidade, mas terá dificuldades para comprovar sua efetividade.
Afinal, como a multa ultrapassou o limite de R$ 50 milhões?
Nos termos do art. 52, inciso II, a multa simples pode alcançar até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, relativo ao último exercício, excluídos os tributos, limitada a R$50 milhões por infração.
A expressão determinante é “por infração”. O Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4/2023, exige a individualização das infrações e a aplicação da metodologia de cálculo a cada conduta reconhecida. No caso do TikTok, a instrução tratou cinco infrações de maneira individualizada. A publicação da decisão, porém, consolidou os respectivos valores de acordo com os artigos violados:
Infrações ao art. 7º da LGPD: R$ 63.176.686,67;
infrações ao art. 6º, inciso VIII: R$ 63.176.686,67;
infração ao art. 6º, inciso X: R$ 27.416.297,99.
A soma corresponde a R$153.769.671,33. Portanto, não houve aplicação de uma única multa acima do teto legal. O que houve foi a aplicação de cinco multas individualizadas, posteriormente agrupadas, na parte dispositiva publicada, pelos dispositivos violados. Essa distinção é essencial, já que o teto de R$50 milhões deve ser observado para cada infração, e não para a soma de todas as sanções impostas dentro do mesmo processo.
A decisão ainda traz uma “alternativa” menos custosa para a ByteDance, pois caso a empresa renuncie expressamente ao direito de recorrer e efetue o pagamento no prazo regulamentar, a decisão prevê redução de 25%, levando o valor total para R$115.327.253,49.
A multa não foi a única sanção relevante
Além das multas simples, a ANPD determinou a eliminação dos dados pessoais de adolescentes entre 13 e 18 anos cuja representação ou assistência legal não seja regularizada no prazo de 60 dias úteis. A obrigação alcança também terceiros com os quais os dados tenham sido compartilhados.
Assim, a ByteDance deverá apresentar:
- Relatório técnico circunstanciado;
- registros de auditoria dos sistemas;
- declaração formal assinada pelo Encarregado pelo Tratamento de Dados Pessoais;
- relação dos terceiros que receberam os dados;
- comprovação das comunicações encaminhadas a esses terceiros.
A ANPD reservou-se, ainda, o direito de exigir auditoria externa e independente caso considere insuficientes os documentos apresentados, de modo que, para cada obrigação descumprida, poderá incidir multa diária de R$137.081,49.
Esse conjunto demonstra que a resposta regulatória não se limita à arrecadação de uma penalidade, já que a decisão procura interromper o tratamento considerado irregular, sanear as bases de dados e alcançar toda a cadeia de compartilhamento. Em termos práticos, a obrigação de eliminação pode produzir impactos operacionais, contratuais e tecnológicos até mais relevantes do que a própria multa.
O que essa decisão representa para as plataformas?
A decisão não deve ser lida apenas como uma sanção contra a plataforma TikTok, pois ela transmite uma mensagem direta às plataformas digitais. Assim, declarar uma idade mínima nos termos de uso e apresentar políticas de privacidade não será suficiente quando a realidade demonstrar que crianças utilizam o serviço em larga escala.
As organizações precisarão demonstrar que conhecem seu público real, que avaliam os riscos relacionados a usuários vulneráveis e que implementam mecanismos proporcionais e efetivos de prevenção.
A fiscalização também aproxima a LGPD das discussões trazidas pelo ECA Digital, pois embora a sanção tenha sido fundamentada na LGPD e resulte de uma investigação iniciada antes do novo marco legal, os fundamentos utilizados, como melhor interesse, proteção integral, verificação de idade, prevenção, transparência, segurança e comprovação da eficácia das medidas, dialogam diretamente com os deveres reforçados de proteção de crianças e adolescentes no ambiente digital.
A ANPD parece indicar que não aceitará uma conformidade meramente formal. A pergunta deixa de ser “a empresa possui um controle?” e passa a ser “a empresa consegue demonstrar que esse controle funciona?”. Essa mudança é relevante para qualquer organização que utilize decisões automatizadas, personalização, perfilamento, publicidade direcionada ou modelos de negócio baseados no tratamento intensivo de dados.
Uma análise ainda preliminar
A decisão é de primeira instância e a Byte Dance poderá apresentar recurso no prazo de 10 dias úteis, ou seja, ainda será necessário acompanhar os argumentos recursais, a análise do Conselho Diretor e a eventual revisão das infrações ou da dosimetria.
Mesmo com essas ressalvas, o recado institucional já está colocado: a ANPD está disposta a utilizar sanções economicamente relevantes, medidas de eliminação, multas diárias e mecanismos de auditoria quando identificar tratamentos de alto risco sem comprovação suficiente de conformidade.
Para quem ainda entendia que a LGPD estava adormecida ou havia permanecido apenas no campo das boas intenções, esta decisão exige uma revisão de rota. É hora de recolocar a proteção de dados na pauta da alta administração e não apenas para revisar políticas ou preencher formulários, mas para discutir riscos reais, controles técnicos, evidências de conformidade, responsabilidades internas e decisões de negócio.
Essa conversa não interessa apenas às grandes plataformas, ela precisa acontecer em qualquer empresa que trate dados pessoais, independentemente do setor ou da categoria de titulares envolvidos.
Esta é apenas a nossa primeira análise de um processo que se estendeu por mais de cinco anos. Nos próximos artigos, pretendemos examinar com maior profundidade seus fundamentos, a metodologia sancionatória e as lições que podem ser incorporadas aos programas de privacidade.
Mais do que uma punição exemplar, o caso representa uma oportunidade concreta para que DPOs, profissionais de compliance e gestores retomem, junto à alta administração, as discussões sobre riscos, adequação, evidências e próximos passos. Afinal, conformidade que não pode ser demonstrada dificilmente será reconhecida como conformidade.
Como o Assis e Mendes pode apoiar
A decisão da ANPD no caso TikTok deixa claro que a conformidade precisa ser demonstrável. Políticas bem redigidas e Relatórios de Impacto genéricos não substituem controles efetivos, testados e documentados – especialmente quando o tratamento envolve crianças, adolescentes e operações de alto risco.
O Assis e Mendes está ao lado de empresas que buscam ir além da conformidade documental. Apoiamos na estruturação de programas de privacidade que integram jurídico, tecnologia e segurança da informação, na revisão de controles de verificação etária e na preparação de evidências técnicas para fiscalizações. Porque, no novo cenário regulatório, estar preparado para demonstrar conformidade é tão importante quanto cumpri-la.
📲 Converse com a nossa equipe diretamente pelo WhatsApp:
👉 Clique aqui para iniciar a conversa
Sobre os autores
Fernanda Soares é advogada no Assis e Mendes Advogados, especialista em Compliance, Proteção de Dados e LGPD. Atua como DPO e Controller Jurídica, apoiando empresas na implementação de programas de governança, proteção de dados e conformidade regulatória.
Adriano Mendes , sócio-fundador e advogado no Assis e Mendes Advogados, especialista em Direito Empresarial, Direito Digital e Proteção de Dados. Conduz assessoria estratégica para empresas na implementação de governança, compliance e adequação à LGPD.
