marcelo fattoriA multa de R$ 153,7 milhões ao TikTok e a mudança de patamar da fiscalização da LGPD
Por Marcelo Fattori
A cifra chama atenção. O precedente, ainda mais.
Em 25 de agosto de 2026, a Agência Nacional de Proteção de Dados tornou pública a aplicação de multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, por falhas no tratamento de dados de crianças e adolescentes. Também determinou a eliminação dos dados coletados irregularmente.
Não se trata da primeira sanção aplicada pela ANPD. É, contudo, a primeira multa com expressão econômica e regulatória compatível com o porte do agente fiscalizado. Por isso, o caso inaugura uma etapa mais madura — e mais exigente — da aplicação da LGPD no Brasil.
Há uma precisão jurídica importante: a multa foi aplicada por infrações à LGPD, e não com fundamento no chamado ECA Digital. A nova legislação aparece no plano de adequação voltado ao futuro, especialmente quanto à aferição de idade, mas não constitui a base jurídica das cinco infrações sancionadas.
Como o caso começou
A fiscalização teve origem em denúncia apresentada à ANPD em março de 2021. A representação mencionava reportagem segundo a qual o TikTok coletaria dados inclusive de pessoas que utilizavam a plataforma sem criar uma conta. Foram levantadas dúvidas sobre base legal, necessidade da coleta, transparência, compartilhamento, segurança e tratamento de dados de menores de idade.
A partir daí, a ANPD instaurou processo fiscalizatório, encaminhou pedidos de informação, realizou reunião com representantes da empresa e analisou políticas, relatórios de impacto e descrições técnicas do funcionamento da plataforma.
O caso percorreu dois caminhos relacionados, mas juridicamente distintos:
um processo de fiscalização, inicialmente orientado à correção da conduta e à adoção de medidas preventivas; e
um processo administrativo sancionador, instaurado quando a ANPD considerou insuficientes as respostas e as medidas apresentadas.
Essa distinção é relevante. A multa não decorreu de uma investigação repentina. Ela foi precedida por anos de diálogo regulatório, determinações preventivas, manifestações da empresa e oportunidades de adequação.
Linha do tempo
O que efetivamente foi investigado
O ponto mais sensível era o acesso ao TikTok sem cadastro. À época analisada, uma pessoa podia instalar o aplicativo e assistir a uma sequência contínua e progressivamente personalizada de vídeos sem declarar a idade, aceitar os termos de uso ou passar por qualquer barreira etária efetiva.
Nesse modo de acesso, eram tratados dados sobre vídeos assistidos, interações, preferências inferidas, configurações e características do dispositivo. Para a ANPD, isso permitia que crianças contornassem todas as barreiras existentes no fluxo de criação de contas.
Também foi investigado o acesso mediante cadastro. O TikTok utilizava principalmente a data de nascimento declarada pelo próprio usuário. A empresa mantinha mecanismos posteriores de identificação e remoção de contas, mas a ANPD questionou se essas medidas eram suficientes para impedir, desde a concepção do serviço, o ingresso de crianças.
Um número tornou-se especialmente relevante: entre outubro de 2022 e setembro de 2023, o próprio TikTok informou ter removido cerca de 7,75 milhões de contas atribuídas a crianças no Brasil. Para a empresa, o dado demonstrava a atuação dos seus controles. Para a ANPD, demonstrava também a escala da falha da barreira inicial.
A investigação ainda examinou a base legal utilizada para personalização, a validade dos termos de uso diante da capacidade civil de menores, a participação dos responsáveis, a publicidade dirigida, o compartilhamento de informações e a qualidade dos relatórios de impacto apresentados.
Nem todos esses temas resultaram, isoladamente, em multa. A decisão concentrou-se na ausência de base legal válida, na insuficiência das medidas preventivas e na falta de demonstração da efetividade dos controles.
O que o TikTok alegou
A defesa integral apresentada no processo sancionador está submetida a restrições de acesso por conter informações empresariais e técnicas. A síntese possível deve, portanto, ser feita a partir das manifestações reproduzidas nas notas técnicas públicas da ANPD e nos votos do Conselho Diretor.
Em essência, a empresa sustentou que:
o TikTok não é dirigido a crianças com menos de 13 anos;
a declaração da data de nascimento seria uma prática amplamente adotada no setor;
mecanismos adicionais permitiriam identificar e remover contas suspeitas depois do cadastro;
os milhões de perfis removidos demonstrariam o funcionamento dessas medidas;
os termos de uso formariam contrato válido com adolescentes, sendo possível, em certas situações, a autorização ou assistência tácita dos responsáveis;
a personalização seria parte central do serviço e necessária para executar o contrato celebrado com o usuário;
no acesso sem cadastro não haveria propriamente a elaboração de um perfil individual, mas cálculos baseados na utilização do aplicativo;
menores de 18 anos não receberiam publicidade personalizada no Brasil; e
políticas de privacidade, centros de segurança e materiais destinados a responsáveis atenderiam ao dever de transparência.
A empresa também contestou pesquisas citadas no processo sobre o uso do TikTok por crianças, especialmente quanto à metodologia empregada para diferenciar contas próprias de simples acesso por dispositivos de terceiros.
É uma defesa juridicamente articulada. O problema, para a ANPD, não estava na ausência de políticas ou ferramentas, mas na insuficiência da prova de que elas funcionavam de maneira preventiva e efetiva.
Por que a ANPD rejeitou a defesa
A decisão reconheceu cinco infrações à LGPD, organizadas em três grupos.
No acesso sem cadastro, a ANPD concluiu que não havia base legal válida para o tratamento e que faltaram medidas capazes de impedir o tratamento de dados de crianças. Não seria possível invocar a execução de contrato quando o usuário sequer havia aderido aos termos do serviço.
No acesso com cadastro, a Autoridade também considerou inválida a base legal utilizada para o registro, na forma em que o tratamento estava estruturado, e insuficientes os mecanismos de prevenção ao ingresso de crianças.
Por fim, nos dois modos de acesso, a empresa não teria demonstrado adequadamente a efetividade das medidas adotadas. Relatórios de impacto genéricos, descrições de políticas e números de contas removidas não bastariam para cumprir o dever de prestação de contas previsto na LGPD.
As cinco infrações correspondem, assim, a duas violações relacionadas à base legal, duas relacionadas ao princípio da prevenção e uma relacionada à responsabilização e prestação de contas.
O melhor interesse de crianças e adolescentes, previsto no artigo 14 da LGPD, orientou a interpretação da Autoridade. Mas a sanção anunciada foi juridicamente enquadrada nos artigos 6º, incisos VIII e X, e 7º da Lei.
A mensagem regulatória é clara: não basta retirar crianças depois que elas conseguem entrar. Plataformas de grande escala devem demonstrar que sua arquitetura reduz, desde o início, a possibilidade de tratamento irregular.
Em que estágio o caso se encontra
A decisão sancionadora foi proferida em primeira instância administrativa. A ByteDance foi notificada em 24 de agosto de 2026 e pode recorrer ao Conselho Diretor da ANPD no prazo de dez dias úteis. Portanto, a multa ainda não é administrativamente definitiva.
Em paralelo, o Conselho Diretor aprovou, no processo preventivo, um plano de adequação para o TikTok. Entre as medidas estão configurações mais protetivas por padrão para menores de 16 anos, maior participação dos responsáveis, limitações à personalização e uma experiência sem cadastro restrita a 12 horas, sem comentários, mensagens, transmissões ao vivo, criação de conteúdo ou publicidade.
A aprovação foi condicionada ao atendimento das exigências de aferição de idade do ECA Digital e do cronograma regulatório que vier a ser definido. Aqui, sim, a nova legislação passa a ter relevância direta.
Por que esse precedente importa
O caso TikTok afasta definitivamente a percepção de que a atuação da ANPD se limitaria a multas pequenas ou a falhas formais de agentes de reduzido porte.
O precedente mostra que a Agência está disposta a examinar a arquitetura de produtos digitais, confrontar bases legais com a experiência concreta do usuário, exigir evidências de efetividade e impor sanções proporcionais à escala do tratamento.
Também desloca o debate sobre proteção infantil. Avisos, termos de uso e declarações de idade já não podem ser tratados como respostas suficientes. Quando o serviço sabe que milhões de crianças tentam ingressar na plataforma, a facilidade de contornar o controle deixa de ser uma exceção e passa a ser um risco previsível do próprio produto.
A multa ainda poderá ser revista em recurso. Mas a orientação regulatória dificilmente será desfeita: no tratamento de dados de crianças e adolescentes, conformidade não é apenas documentar políticas. É projetar o serviço para que a proteção funcione na prática — e ser capaz de prová-lo.
Marcelo Fattori
Advogado e consultor em privacidade, proteção de dados e governança de inteligência artificial.
Fontes oficiais consultadas
Nota Técnica nº 50/2024 — conclusão da fiscalização e proposta de processo sancionador
Votos do Conselho Diretor sobre a suspensão do acesso sem cadastro
Página da ANPD sobre os processos de fiscalização e sancionamento
Despacho Decisório nº 27/2026 — sanção, publicado no Diário Oficial da União
Despacho Decisório nº 37/2026 — plano de adequação, publicado no Diário Oficial da União