ANPD multa o TikTok em R$ 153,7 milhões: o que a decisão ensina sobre proteção de dados nas empresas
A ANPD multou o TikTok em R$ 153,7 milhões por falhas na proteção de dados de crianças e adolescentes, decisão que expõe os critérios hoje aplicados a empresas de todos os portes. Este artigo analisa os fundamentos da sanção e traduz o caso em medidas concretas de proteção de dados para qualquer negócio.
A Autoridade Nacional de Proteção de Dados aplicou à ByteDance, controladora do TikTok, multa de R$ 153,7 milhões por falhas na proteção de dados de crianças e adolescentes. A decisão não interessa apenas a plataformas digitais de grande porte. Ela expõe, com clareza rara, os critérios que a ANPD já vem aplicando a empresas de todos os portes e serve como referência concreta para qualquer negócio que trate dados pessoais no Brasil.
O que a ANPD decidiu
A autoridade identificou violação aos artigos 6º, incisos VIII e X, e 7º da Lei Geral de Proteção de Dados. O TikTok tratava dados de usuários menores de idade sem hipótese legal válida, tanto no modo de acesso com cadastro quanto no acesso livre, sem cadastro. A ANPD constatou ainda ausência de medidas preventivas eficazes para impedir a coleta irregular de dados desse público, considerado vulnerável para fins de proteção de dados.
Além da multa, a decisão impôs obrigações estruturais que revelam a linha de atuação da autoridade: eliminação dos dados coletados irregularmente, restrição do acesso sem cadastro a no máximo doze horas, proibição de publicação de conteúdo e suspensão total de anúncios nesse modo de uso, e ativação automática de configurações de privacidade reforçada, com controle parental, para usuários menores de dezesseis anos. A ANPD não se limitou a punir o passado. Ela redesenhou a forma como a empresa deve operar daqui para frente.
A fiscalização da ANPD não se limita às big techs
Um ciclo nacional de monitoramento conduzido pela autoridade em 2026 verificou a existência de encarregados de proteção de dados (DPO) em empresas de diversos setores e portes. O resultado mostra um padrão que toda empresa deveria conhecer. Companhias que responderam e demonstraram conformidade não sofreram sanção. Empresas com falhas pontuais, mas que se manifestaram, receberam prazo de dez dias para regularização. Já as organizações que simplesmente ignoraram a comunicação da ANPD foram encaminhadas diretamente para processo sancionador.
Esse dado é decisivo para a análise jurídica de risco: o gatilho mais imediato de sanção não é necessariamente a gravidade do tratamento de dados, mas o silêncio administrativo diante de uma notificação da autoridade. Entre as fragilidades mais recorrentes identificadas em empresas fiscalizadas estão a ausência ou a inacessibilidade do canal de contato do encarregado, o uso de tecnologias sensíveis, como inteligência artificial generativa e biometria, sem avaliação de risco documentada, proteção insuficiente de dados de menores e atraso ou incompletude na comunicação de incidentes de segurança.
O que a decisão do TikTok ensina para qualquer empresa
Três lições práticas decorrem diretamente do caso e do panorama de fiscalização da ANPD em 2026. A primeira é que toda coleta de dados pessoais precisa de hipótese legal específica e documentada, sobretudo quando envolve públicos vulneráveis, como crianças e adolescentes, ainda que o tratamento ocorra de forma indireta ou em modalidade de acesso sem cadastro. A segunda é que medidas preventivas, e não apenas corretivas, são o critério central de avaliação da autoridade. Empresas que apenas reagem a incidentes, sem adotar controles prévios de privacy by design, ficam mais expostas. A terceira é que a resposta tempestiva e formal a qualquer comunicação da ANPD é, isoladamente, um dos fatores que mais reduz o risco de sanção.
Como estruturar a proteção jurídica da empresa
A leitura sistemática das decisões da ANPD, e não apenas do caso TikTok, permite construir uma rotina de conformidade objetiva. Recomenda-se a designação de encarregado de dados com canal de contato ativo e público, o mapeamento das bases legais de tratamento para cada finalidade e categoria de dado, a manutenção de registro de operações de tratamento e de relatório de impacto à proteção de dados para atividades de maior risco, a existência de protocolo formal de resposta a incidentes de segurança e a revisão periódica de contratos com operadores e fornecedores de tecnologia que tenham acesso a dados pessoais da empresa ou de seus clientes.
Empresas que utilizam inteligência artificial em seus processos, ou que tratam dados de menores em qualquer etapa da operação, como cadastro, atendimento ou marketing, merecem atenção redobrada, por serem as duas frentes de maior interesse regulatório da ANPD neste momento.
A decisão contra o TikTok não é um caso isolado. Ela é a materialização de um padrão de fiscalização que já alcança empresas de todos os portes, e a estrutura jurídica preventiva da empresa é o que determina se ela estará do lado que responde e se regulariza, ou do lado que é sancionado.
© 2025 - Todos os direitos reservados | FD.law - Gustavo Tonet Fagundes Sociedade Individual de Advocacia
Itajaí - SC
Rua Samuel Heusi
nº 190, sala 701, Centro
CEP 88301-320
(47) 98806-7489