TikTok e a proteção de crianças e adolescentes: o que está por trás da multa de R$ 153,7 milhões da ANPD

Em 25 de agosto de 2026, a Agência Nacional de Proteção de Dados (ANPD) aplicou multa de R$ 153,7 milhões à ByteDance Brasil Tecnologia Ltda., controladora do TikTok, por falhas na proteção de dados pessoais de crianças e adolescentes. A decisão também determinou a eliminação de dados coletados de forma irregular e a implementação de um plano de conformidade para aprimorar as medidas de proteção adotadas pela plataforma.

Mais do que pelo valor da multa, o caso chama atenção pelo conjunto de entendimentos construídos pela Agência sobre como plataformas digitais devem lidar com dados de pessoas em desenvolvimento. A decisão aborda questões como a necessidade de uma base legal válida, a adoção de medidas preventivas, a eficácia dos mecanismos de verificação de idade e o dever de demonstrar, por meio de evidências, que as medidas de proteção funcionam.

Um caso que começou em 2021

A atuação da ANPD sobre o TikTok teve início em 2021, a partir de uma denúncia sobre o tratamento de dados pessoais de usuários que acessavam a plataforma sem criar uma conta.

Ao longo do processo de fiscalização, a Agência solicitou informações sobre os dados tratados, as finalidades e bases legais utilizadas, os mecanismos de cadastro e verificação de idade e as medidas adotadas para a proteção de crianças e adolescentes.

Em 2023, a Nota Técnica nº 6/2023/CGF/ANPD apresentou uma análise inicial sobre o tratamento de dados de crianças e adolescentes cadastrados na plataforma e estabeleceu determinações para sua adequação. Depois de novos pedidos de informação, atualizações dos Relatórios de Impacto à Proteção de Dados Pessoais (RIPDs) e reuniões com a empresa, a análise avançou.

Em 2024, a ANPD determinou a suspensão do feed sem cadastro, exigiu um plano de conformidade e instaurou processo administrativo sancionador contra a ByteDance. É desse processo que decorre a decisão agora analisada.

O que era o feed sem cadastro?

O chamado feed sem cadastro permitia que qualquer pessoa acessasse vídeos do TikTok sem criar uma conta ou declarar sua idade.

A modalidade funcionava como uma porta de entrada para a plataforma. O usuário podia consumir vídeos em sequência, mas ainda assim havia tratamento de dados relacionados à sua utilização do serviço.

Segundo a análise da ANPD, entre os dados coletados estavam informações sobre o dispositivo, o tempo gasto em cada vídeo, metadados dos conteúdos e tentativas de interação. Esses elementos poderiam ser utilizados pelo sistema de recomendação para produzir uma experiência personalizada.

O problema era especialmente relevante para crianças e adolescentes: sem cadastro e sem verificação de idade na entrada, não havia uma barreira capaz de impedir preventivamente o acesso desse público ao tratamento de dados.

É a partir dessa diferença entre o feed sem cadastro e o ambiente tradicional, com cadastro, que a Agência estruturou parte importante de sua análise.

Cinco condutas, dois ambientes

A decisão identificou cinco condutas infracionais. As duas primeiras estão relacionadas ao feed sem cadastro. As três seguintes envolvem principalmente o ambiente com cadastro.

1. Tratamento sem base legal no feed sem cadastro

A primeira infração diz respeito à ausência de uma hipótese legal válida para o tratamento de dados pessoais realizado no feed sem cadastro.

A ByteDance utilizava a hipótese de execução de contrato, prevista no art. 7º, V, da LGPD. A empresa sustentava que o aceite dos Termos de Uso no primeiro acesso estabeleceria uma relação contratual.

A ANPD rejeitou o argumento. No feed sem cadastro, o usuário podia acessar o conteúdo sem criar uma conta ou estabelecer uma relação contratual que pudesse fundamentar aquela operação de tratamento.

A Agência também afastou a caracterização do tratamento como incidental e considerou que uma mudança posterior na base legal utilizada não poderia regularizar retroativamente um tratamento já realizado sem fundamento jurídico válido.

A ausência de base legal, portanto, não foi tratada como uma falha meramente documental. Para a Agência, ela compromete a própria estrutura jurídica que deveria legitimar o tratamento e estabelecer as garantias aplicáveis aos titulares.

A questão ganha peso adicional quando os titulares são crianças e adolescentes, que demandam proteção reforçada.

2. Falta de prevenção no acesso de menores de 13 anos

A segunda conduta está relacionada ao princípio da prevenção, previsto no art. 6º, VIII, da LGPD.

A própria plataforma estabelecia que menores de 13 anos não poderiam utilizar o serviço. No entanto, no feed sem cadastro não havia mecanismo de verificação de idade na entrada.

A ByteDance argumentou que a experiência sem cadastro envolvia uma coleta limitada de dados, sem perfilamento comportamental e com mecanismos de privacy by design. Também afirmou que não existe uma solução técnica capaz de impedir completamente que usuários mintam sobre sua idade.

A ANPD, contudo, considerou que o tratamento deveria ser analisado a partir dos seus efeitos concretos.

A fiscalização identificou que o feed sem cadastro coletava informações relevantes para o sistema de recomendação, como tempo de visualização, metadados e tentativas de interação. Para a Agência, o valor dessas informações para a plataforma não desaparecia pelo fato de o usuário não possuir uma conta.

Também foi afastada a ideia de que a presença de crianças no feed sem cadastro decorreria de uma “burla” aos mecanismos da plataforma. Naquela modalidade, não havia uma barreira etária a ser contornada.

O problema, na avaliação da ANPD, estava na própria arquitetura da experiência: uma porta de entrada sem controle suficiente.

3. Ausência de base legal para o cadastro de menores de 18 anos

A terceira infração ocorreu no ambiente com cadastro.

Novamente, a ByteDance utilizava a execução de contrato como base legal para o tratamento. A empresa argumentou que o aceite eletrônico dos Termos de Serviço seria suficiente para estabelecer uma relação contratual e também invocou a autonomia dos adolescentes e a teoria do comportamento socialmente típico.

A ANPD entendeu que a execução de contrato pressupõe a existência de um contrato juridicamente válido.

Como a plataforma não possuía mecanismos suficientes para assegurar a assistência ou representação exigidas pelas regras de capacidade civil, a hipótese legal escolhida pela empresa não poderia fundamentar o tratamento.

A Agência também diferenciou a autonomia reconhecida pela LGPD em determinadas situações envolvendo adolescentes da capacidade para celebrar contratos. A previsão do art. 14 da LGPD não poderia ser utilizada para afastar as regras de capacidade civil aplicáveis aos negócios jurídicos.

4. Falhas na prevenção do tratamento de dados de crianças menores de 13 anos

A quarta conduta também envolve o princípio da prevenção, mas no ambiente com cadastro.

Nesse caso, a plataforma possuía um mecanismo de verificação de idade, o age gate. Para a ANPD, porém, o mecanismo não era suficiente para impedir que crianças menores de 13 anos criassem contas e tivessem seus dados tratados.

A empresa argumentou que seu sistema estava alinhado às práticas disponíveis no mercado e que nenhum método de verificação seria completamente infalível. Também apontou os riscos de métodos mais invasivos, como reconhecimento facial, biometria ou exigência de documentos oficiais.

A ANPD não centrou sua análise na existência de uma tecnologia infalível. Um dos pontos decisivos foi o fato de que a empresa já havia sido alertada pela Agência sobre a insuficiência de seus mecanismos e, ainda assim, a irregularidade permanecia.

Além disso, mecanismos destinados a identificar ou remover contas depois da criação foram considerados insuficientes para cumprir uma obrigação de natureza preventiva.

Prevenir o tratamento irregular significa atuar antes que o risco se concretize, e não apenas remediar seus efeitos posteriormente.

5. Falta de demonstração da eficácia das medidas

A quinta conduta está relacionada ao princípio da responsabilização e prestação de contas, previsto no art. 6º, X, da LGPD.

Aqui, a questão não era simplesmente saber se a ByteDance possuía políticas, ferramentas ou procedimentos de proteção. Era necessário demonstrar, de forma concreta e verificável, que essas medidas funcionavam.

A empresa apresentou documentos, Relatórios de Impacto à Proteção de Dados Pessoais e informações sobre a exclusão de contas de menores de 13 anos. Segundo a análise da Agência, porém, parte relevante dessas informações não apresentava detalhamento metodológico suficiente para permitir a avaliação de sua efetividade.

Um exemplo foi a informação de que aproximadamente 7,75 milhões de contas de crianças haviam sido removidas no Brasil entre outubro de 2022 e setembro de 2023. O número, isoladamente, não permitia avaliar adequadamente como essas contas haviam sido identificadas ou qual era a efetividade do mecanismo.

Também houve deficiências na demonstração de medidas relacionadas aos dados que já haviam sido compartilhados com parceiros comerciais.

Aqui aparece um dos principais recados da decisão:

Não basta afirmar que uma medida de proteção existe. É preciso demonstrar que ela foi implementada e que funciona.

Como a multa chegou a R$ 153,7 milhões?

O valor da multa não resulta simplesmente da aplicação de uma porcentagem única sobre o faturamento da empresa.

A ANPD classificou as cinco infrações como graves e, em seguida, diferenciou o grau de dano associado a cada uma.

A distinção é importante. A gravidade considera as características da conduta do controlador. O grau de dano, por sua vez, considera a intensidade da lesão e a dificuldade de sua reversão.

As condutas 1 e 2, relacionadas ao feed sem cadastro, receberam grau de dano 3, o nível mais elevado utilizado na fórmula do Regulamento de Dosimetria e Aplicação de Sanções Administrativas (RDASA). As condutas 3, 4 e 5 receberam grau de dano 2.

Para infrações graves, o RDASA estabelece uma faixa de alíquota entre 0,45% e 1,5%. No caso TikTok, foram aplicadas:

A aplicação dessas alíquotas ao faturamento considerado pela Agência para fins de dosimetria resultou em R$ 35.760.388,68 para cada uma das duas primeiras infrações e R$ 27.416.297,99 para cada uma das três seguintes.

A soma chega a aproximadamente R$ 153,7 milhões.

A ByteDance ainda solicitou a aplicação de circunstâncias atenuantes relacionadas à cessação das infrações, à adoção de boas práticas e governança e à implementação de medidas de mitigação.

A ANPD, contudo, considerou que a simples apresentação de um plano de conformidade não era suficiente. Para produzir efeitos como circunstância atenuante, seria necessário comprovar a implementação efetiva das medidas e, quando aplicável, seus resultados.

Um plano de correção não equivale, por si só, à comprovação da correção.

A resposta da ANPD vai além da multa

A decisão também estabeleceu medidas destinadas a corrigir as irregularidades e lidar com os dados que já haviam sido tratados.

Uma delas é a eliminação dos dados pessoais de adolescentes maiores de 13 anos coletados no feed com cadastro quando a situação não tiver sido regularizada.

A obrigação alcança também a cadeia de compartilhamento. Se esses dados tiverem sido compartilhados com terceiros, a empresa deverá comunicar a necessidade de eliminação e apresentar à ANPD evidências de que essas comunicações foram realizadas.

A comprovação deverá incluir relatório técnico circunstanciado, assinado pelo Encarregado pelo Tratamento de Dados Pessoais, além de registros de auditoria dos sistemas.

Essa dimensão é importante porque mostra que a correção de um tratamento irregular não termina necessariamente na base de dados do controlador.

Quando os dados já foram compartilhados, a resposta regulatória precisa considerar o percurso que eles fizeram.

A decisão também determinou a implementação de um plano de conformidade destinado a corrigir as irregularidades identificadas e aprimorar as práticas relacionadas à proteção de crianças e adolescentes.

Um novo desenho para o TikTok

Entre as medidas previstas no plano estão mecanismos de verificação de idade, aprimoramento da identificação e exclusão de contas de crianças, mecanismos de assistência e representação de adolescentes, acompanhamento contínuo da eficácia das medidas e apresentação de relatórios periódicos.

O feed sem cadastro também foi redesenhado.

A proposta prevê uma experiência limitada a 12 horas, sem possibilidade de comentar, criar conteúdo ou enviar mensagens diretas, além de restrições a outras funcionalidades sociais. Também prevê ausência de anúncios no Brasil, acesso apenas a conteúdos apropriados para todas as idades e redução da coleta e do processamento de dados.

A retirada dos anúncios merece atenção porque reduz uma das dimensões de risco associadas ao perfilamento e à personalização de conteúdo e publicidade nessa modalidade.

O novo desenho combina ainda a autodeclaração de idade com modelos de inteligência artificial para estimativa etária. No feed sem cadastro, a proposta inclui uma etapa adicional de verificação, o chamado math gate, para usuários identificados como possivelmente menores de 13 anos.

A aprovação das medidas, contudo, não significa que a Agência tenha declarado definitivamente a adequação de todos os mecanismos. A implementação deverá observar o regime jurídico estabelecido pelo ECA Digital e permanecerá sujeita ao acompanhamento da Superintendência de Fiscalização.

Para adolescentes, especialmente aqueles com menos de 16 anos, o plano também prevê camadas adicionais de proteção, como contas privadas por padrão, restrições a mensagens diretas e transmissões ao vivo, configurações de privacidade mais restritivas e mecanismos de participação dos responsáveis.

O que a decisão ensina sobre conformidade?

O caso TikTok permite identificar alguns entendimentos que ultrapassam a situação específica da plataforma.

O primeiro é que ausência de cadastro não significa ausência de tratamento. Mesmo quando uma pessoa acessa um serviço sem criar uma conta, a plataforma precisa identificar o fundamento jurídico que sustenta as operações realizadas.

O segundo é que proteção exige prevenção. Mecanismos destinados a identificar e excluir usuários menores de idade depois que o tratamento ocorreu não substituem medidas capazes de reduzir o risco na entrada da plataforma.

O terceiro é que a conformidade deve ser analisada a partir dos efeitos materiais da tecnologia. A maneira como uma empresa descreve determinado mecanismo não é suficiente para definir seu impacto. É preciso observar o que o sistema efetivamente faz com os dados.

O quarto é que crianças e adolescentes demandam proteção reforçada. A escala do tratamento, a capacidade de perfilamento e os riscos associados à personalização de conteúdo e publicidade assumem uma dimensão específica quando os titulares são pessoas em desenvolvimento.

O quinto é que conformidade não se presume. O princípio da responsabilização e prestação de contas exige evidências capazes de demonstrar que as medidas existem, foram implementadas e são eficazes.

O sexto é que corrigir uma irregularidade pode exigir mais do que interromper o tratamento. Quando dados já foram coletados ou compartilhados, a resposta pode alcançar esses dados e a própria cadeia de compartilhamento.

O sétimo é que medidas posteriores de conformidade não apagam automaticamente infrações anteriores. Um novo plano ou uma promessa de correção não produz, por si só, os efeitos de uma circunstância atenuante.

Por fim, a decisão reforça que conformidade é um processo contínuo. Ferramentas e políticas precisam ser acompanhadas, testadas e avaliadas ao longo do tempo.

Mais do que uma multa

Os R$ 153,7 milhões representam apenas uma dimensão da resposta da ANPD.

A relevância do caso está também nos parâmetros construídos para a proteção de dados de crianças e adolescentes em plataformas digitais. A decisão articula fundamento jurídico, prevenção, proteção reforçada, responsabilização, eliminação de dados, rastreabilidade e acompanhamento contínuo.

Em conjunto, esses elementos apontam para uma compreensão de conformidade que não se limita à existência formal de políticas ou ferramentas.

Tratar dados exige base legal. Proteger exige prevenção. Afirmar conformidade exige comprovação. Corrigir exige considerar os dados já tratados e sua cadeia de compartilhamento. E cumprir a LGPD exige demonstrar resultados, não apenas apresentar mecanismos formalmente existentes.