ANPD multó a TikTok con R$ 153,7 millones

La Agência Nacional de Proteção de Dados, ANPD, multó a ByteDance Brasil, responsable de TikTok en el país, con un total de R$ 153,7 millones por irregularidades en el tratamiento de datos personales de niños y adolescentes. La decisión también ordena la eliminación de datos tratados en desacuerdo con la LGPD y exige un plan de conformidad específico para reforzar la protección de menores en la plataforma.

¿Qué detectó la ANPD en TikTok?

La superintendencia de fiscalización de la ANPD identificó prácticas incompatibles con la LGPD tanto en el acceso al feed sem cadastro como en el feed com cadastro, en lo relativo al tratamiento de datos de niños y adolescentes. Según la Nota Técnica nº 50/2024/CGF/ANPD, también hubo fallas graves en los mecanismos de verificación de edad, que permitían el uso masivo de la plataforma por menores de 13 años, incluso sin registro.

El despacho decisório nº 27/2026/CGS/SFI, publicado en el Diário Oficial da União, detalla que la autoridad aplicó tres multas simples contra ByteDance Brasil. De acuerdo con ese documento, las infracciones alcanzan el artículo 7º de la LGPD, sobre hipótesis legales de tratamiento de datos personales, y el artículo 6º, inciso VIII, que consagra el principio de prevención.

¿Cómo quedó desglosada la sanción?

La ANPD dividió la sanción en tres multas simples, con un total de R$ 153,7 millones, según el despacho publicado en el Diário Oficial da União. Exame informó que una de ellas asciende a R$ 63.176.686,67 por infracción al artículo 7º de la LGPD, vinculada al uso de base legal inválida para el registro de menores.

Exame también precisó que la empresa puede obtener un descuento del 25% si renuncia a recurrir y paga en hasta 20 días hábiles, lo que reduciría el total a R$ 115.327.253,49. La misma cobertura añadió que la ANPD ordenó eliminar en hasta 60 días hábiles los datos personales de adolescentes entre 13 y 18 años cuyos responsables legales no hayan regularizado la representación o asistencia en la plataforma.

¿Qué otras exigencias le impuso el regulador?

Además de la multa y de la eliminación de datos tratados irregularmente, la ANPD exigió a ByteDance o TikTok implementar un plan de conformidad específico para mejorar la protección de niños y adolescentes, con medidas futuras de adecuación bajo supervisión del regulador. G1 contextualizó esta sanción dentro de una línea de enforcement más amplia, en la que la autoridad aplica multas y órdenes de eliminación de datos cuando identifica violaciones sistemáticas de la LGPD.

Metropoles agregó que la Nota Técnica de la ANPD detectó fallas graves de verificación de edad y que ese punto fue considerado un factor agravante en la dosimetría de la sanción. HDPO, por su parte, señaló que la autoridad observó una arquitectura técnica que dificulta la detección de violaciones en tiempo real y la ausencia de medidas razonables de prevención y mitigación de riesgos para niños y adolescentes.

¿Cómo encaja este caso en la agenda reciente de la ANPD?

La multa a TikTok se conoció pocos días después de que la ANPD iniciara dos acciones de supervisión sobre 22 servicios digitales, entre redes sociales, plataformas de IA y tiendas de apps. Esa fiscalización temática pide informar las medidas adoptadas o en desarrollo para cumplir nuevas reglas de protección enfocadas especialmente en niños, adolescentes y mujeres en el entorno digital.

Correio do Povo indicó que el monitoreo quedó formalizado en el Proceso nº 00261.005031/2026-23 e incluye, entre otros, a Discord, TikTok, Facebook, Instagram, Telegram, WhatsApp, X y YouTube. UOL Tilt explicó que el foco está puesto en contenidos criminales o ilícitos que puedan afectar a menores y mujeres, mientras que Cescon Barrieu y el Ministerio de Derechos Humanos vincularon esa agenda con el ECA Digital, que exige informes semestrales en portugués para proveedores con más de 1 millón de usuarios menores registrados en Brasil.

De acuerdo con Cescon Barrieu, ese primer Informe Semestral de Transparencia deberá publicarse hasta el 17 de septiembre de 2026. El Ministerio de Derechos Humanos precisó que esos informes deberán incluir datos sobre denuncias, remoción de contenidos, herramientas de control parental y otras medidas de protección, en un esquema que complementa las obligaciones de la LGPD.

JusDocs recordó además que la LGPD fija un tope de R$ 50 millones por infracción para multas simples y que, en este caso, la ANPD sumó varias infracciones para alcanzar el total sancionado. Ese mismo análisis señaló que, tras la Resolução CD/ANPD nº 15/2024, los incidentes con potencial de causar riesgo o daño relevante deben notificarse en tres días hábiles, y que los registros de incidentes deben conservarse por al menos cinco años, puntos que la autoridad puede exigir en auditorías o fiscalizaciones.

Más datos del expediente y del alcance de la sanción

La ANPD también ordenó notificar a los terceros con los que esos datos hayan sido compartidos, para que los eliminen. Además, vencido el plazo de cumplimiento, ByteDance deberá presentar en cinco días hábiles un informe técnico con evidencia de cumplimiento, registros de auditoría y una declaración firmada por el encarregado.

Según la nota oficial del regulador, el proceso identificó cinco infracciones a la LGPD vinculadas a los artículos 6, incisos VIII y X, y 7, con tratamientos sin hipótesis legal válida y ausencia de medidas de prevención adecuadas. La Superintendência de Fiscalização también observó prácticas fuera de regla tanto en el feed sem cadastro como en el feed com cadastro.

Agência Mestre informó que las tres penalidades fueron de aproximadamente R$ 63,1 millones, R$ 63,1 millones y R$ 27,4 millones, y que se apoyaron en infracciones asociadas al tratamiento sin base legal, al incumplimiento del principio de prevención y a la falta de responsabilização y prestação de contas. O Globo agregó que la ANPD estima que TikTok llegó a tratar datos de al menos 20% de las niñas y niños de Brasil, aunque el número real podría ser mayor por subregistro y problemas de trazabilidad.

El Despacho Decisório nº 27/2026, publicado en el Diário Oficial da União el 25 de agosto de 2026, además de la multa, ordenó la eliminación de los datos de niños y adolescentes recolectados de forma irregular y la adopción de cambios operativos específicos en el funcionamiento del aplicativo en Brasil. Entre ellos figuran configuraciones de privacidad más restrictivas por defecto para usuarios menores de 16 años, herramientas de supervisión parental y suspensión de publicidad para quienes usan la app sin registro.

Agência Mestre precisó que la fiscalización originó la Nota Técnica nº 50/2024, el proceso sancionador fue instaurado en noviembre de 2024 y la decisión se publicó en agosto de 2026. También detalló que ByteDance deberá, en un plazo de 60 días hábiles, regularizar la representación legal de las cuentas de adolescentes de 13 a 18 años ya registrados o borrar esas cuentas, y notificar a terceros que hayan recibido esos datos para que también los eliminen.

El mismo portal agregó que, para el denominado feed sem cadastro de TikTok en Brasil, la ANPD ordenó limitar la experiencia de uso a un máximo de 12 horas, suspender totalmente los anuncios, bloquear la creación de contenido, mensajes directos, lives y recomendaciones personalizadas, y reducir la recolección de datos a información de idioma, región y datos básicos del dispositivo.

Fronteira Livre detalló que la decisión sancionadora también prevé una multa diaria de aproximadamente R$ 137.081,49 por cada obligación incumplida, ya sea la exclusión de datos, la entrega de informes o la notificación a terceros que hayan recibido información de los adolescentes afectados.

La Resolução CD/ANPD nº 19/2024 exige una protección adecuada, formal y materialmente equivalente a la LGPD en transferencias internacionales, con salvaguardas frente a accesos de terceros no autorizados o por compulsión de leyes extranjeras. Tras la decisión de adecuación Brasil-UE de enero de 2026, ese estándar opera en la práctica con parámetros equivalentes a los europeos.

La Resolução CD/ANPD nº 18/2024 refuerza la obligación de divulgar de forma pública y clara la identidad y los contactos del encarregado, preferentemente en el sitio del controlador. Ese encuadre fue reforzado por la modificación del artículo 41 de la LGPD vía la Lei 15.352/2026, que pasa a hablar de "Agência" en lugar de "Autoridade".

La revisión de la Resolução CD/ANPD nº 4/2023 busca unificar criterios para LGPD, ECA Digital y Marco Civil da Internet, con 19 dispositivos a modificar y una arquitectura integrada para clasificar infracciones, conducir procesos y definir penalidades. El Parecer nº 00045/2026 de la Procuradoria Federal Especializada junto a la ANPD consideró jurídicamente válida la propuesta y la habilitó para seguir a consulta pública tras la deliberación del Conselho Diretor, pero las modificaciones todavía no están vigentes.

Según un relevamiento periodístico, la ANPD mantiene al menos 10 procesos en curso contra siete big techs y plataformas digitales, entre ellas Meta, Google, Microsoft, Apple, WhatsApp, Telegram y X/Grok, con expedientes vinculados a posibles violaciones de la LGPD, protección de niños y adolescentes y combate a contenidos ilegales. Ocho seguirían en trámite y dos ya habrían sido concluidos.

En declaraciones recogidas por Poder360, el presidente de la ANPD afirmó que la sanción contra TikTok debe leerse como un alerta para otros aplicativos y que el diálogo de la autoridad con las empresas "tem limite". Dijo además que la fase de orientación ya dio lugar a una etapa de fiscalización más dura frente a reincidencias y fallas graves en la protección de datos de niños y adolescentes.

O Globo informó que la decisión fue publicada en el Diário Oficial da União el 25 de agosto y que la plataforma fue cuestionada por tratar datos de menores sin respaldo legal adecuado, incluso en la experiencia sin cadastro. TecNois añadió que TikTok no fue prohibido en Brasil, pero que la ANPD cerró en agosto de 2026 un proceso administrativo abierto en 2021 y exigió 11 cambios en la plataforma, entre ellos la suspensión total de anuncios para usuarios que acceden al feed sin login.

Ese punto tiene impacto directo en la monetización, porque la orden sobre el feed sin registro limita la creación de contenido, los mensajes directos, los lives, las recomendaciones personalizadas y la publicidad. También reduce la recolección a datos de idioma, región y del dispositivo, mientras las autoridades siguen cruzando esos hallazgos con otras líneas de control sobre contenido y publicidad dirigida.

El caso quedó asociado a un estándar regulatorio más exigente para servicios digitales que operan con menores, porque la Lei nº 15.211/2025 y el Decreto nº 12.880/2026 refuerzan la protección de niños y adolescentes en entornos digitales y empujan a las plataformas a alinearse con reglas específicas además de la LGPD.

Según Portal R7 y Portal EdiCase, ese encuadre eleva la exigencia de compliance para empresas como ByteDance, ya que no alcanza con ajustar políticas de privacidad o bases legales bajo la LGPD. La lectura regulatoria pasa a exigir convergencia entre el régimen general de datos personales y la normativa especial de protección infantil digital.

En ese sentido, la multa de la ANPD no aparece como un caso aislado, sino como una pieza dentro de un entorno normativo que viene endureciendo controles sobre diseño de producto, tratamiento de datos y monetización de servicios usados por niños y adolescentes.

La Resolução CD/ANPD nº 15/2024 fija que, cuando la comunicación de un incidente es necesaria, debe ir a la ANPD y a los titulares afectados en hasta tres días útiles desde el conocimiento del hecho. La norma también permite complementar después la información inicial y obliga a mantener un registro de incidentes, reportados o no, por al menos cinco años. Fuentes especializadas remarcan que este plazo difiere del estándar de 72 horas corridas del GDPR.