ANPD multa TikTok em R$ 153,7 milhões

Atualização 28 de agosto de 2026: a ANPD detalhou que as falhas ocorreram em dois modos de acesso ao TikTok, o "feed sem cadastro" e o "feed com cadastro", nos quais dados de crianças e adolescentes foram tratados sem base legal válida e sem medidas para impedir isso. Também foram divulgados mais detalhes sobre as multas, os prazos para pagamento ou recurso e as ordens de exclusão de dados e reporte de medidas técnicas.

A ANPD aplicou multa total de R$ 153,7 milhões à ByteDance Brasil, controladora do TikTok, por irregularidades no tratamento de dados pessoais de crianças e adolescentes. A sanção, publicada em 25 de agosto de 2026, inclui a exclusão de dados coletados de forma irregular e a exigência de um plano de conformidade específico para reforçar a proteção de menores na plataforma.

O que a ANPD decidiu no caso TikTok?

A autoridade brasileira aplicou sanções à ByteDance Brasil por infrações ligadas ao tratamento de dados pessoais de menores, segundo comunicado oficial e o Despacho Decisório nº 27/2026/CGS/SFI, publicado no Diário Oficial da União. A nota técnica nº 50/2024/CGF/ANPD apontou práticas em desacordo com a LGPD no "feed sem cadastro" e no "feed com cadastro", onde dados pessoais de crianças e adolescentes foram tratados sem base legal válida e sem medidas para impedir esse tratamento.

O processo menciona multas simples por infrações aos artigos 7º e 6º, VIII, e 6º, X, da LGPD, além da exclusão de dados pessoais de adolescentes entre 13 e 18 anos cadastrados na plataforma. Coberturas jornalísticas informam que a decisão em primeira instância prevê três multas simples, que somam R$ 153.769.671,33, com possibilidade de redução de 25% se a empresa abrir mão de recorrer e pagar no prazo previsto, além de multas diárias em caso de descumprimento das obrigações determinadas.

A cobertura do G1 informou que, além da multa, a ANPD determinou que a empresa apresente um plano de conformidade para reforçar a proteção de menores. A Exame detalhou que a sanção foi dividida em três parcelas associadas a violações distintas da LGPD, entre elas o artigo 6º, X, e que há desconto de 25% sobre o valor total se a empresa desistir do recurso e pagar em até 20 dias úteis.

Quais dados a autoridade ordenou apagar?

A ANPD determinou a exclusão de dados de adolescentes de 13 a 18 anos cujo representante legal não tenha sido regularizado em até 60 dias úteis e a comunicação aos terceiros com quem esses dados foram compartilhados. A medida também inclui um relatório técnico assinado pelo DPO e registros de auditoria do sistema, que devem ser apresentados em até cinco dias úteis após esse prazo, sob pena de multa diária.

Como se explica essa mudança de enforcement?

A multa ao TikTok se encaixa em uma fase de maior capacidade regulatória e fiscalizatória da ANPD, que desde maio de 2026 passou a ter competências de regulação, fiscalização e apuração de infrações no âmbito da LGPD e do Marco Civil da Internet, após a entrada em vigor dos Decretos nº 12.975 e 12.976.

Análises jurídicas recentes indicam que a autoridade vem consolidando seu papel como agência reguladora por meio de resoluções, guias e notas técnicas desde 2021, com foco em dosimetria de sanções em 2023 e em temas de incidentes de segurança, encarregado e transferência internacional de dados em 2024. A Cescon Barrieu também destacou que o ECA Digital, em vigor desde março de 2026, reconhece a ANPD como autoridade administrativa autônoma responsável por zelar pela proteção de crianças e adolescentes no ambiente digital, fiscalizar seu cumprimento e editar regulamentos e procedimentos.

Quais outras obrigações entraram na mira da ANPD?

A ANPD iniciou em 21 de agosto de 2026 ações de monitoramento sobre principais plataformas digitais, lojas de aplicativos e ferramentas de IA generativa para verificar o cumprimento do Marco Civil da Internet, alterado pelos Decretos 12.975/2026 e 12.976/2026, e do ECA Digital. Segundo a autoridade, o objetivo é confirmar a adoção de medidas proativas para prevenir conteúdos criminosos, violência digital e fraudes online.

Em paralelo, o Diario do Centro do Mundo informou que a ANPD notificará redes sociais, ferramentas de IA e lojas de aplicativos para responder em até dez dias a questionários sobre proteção de mulheres no ambiente digital e prevenção de golpes e fraudes. Essa linha de atuação mostra o uso da nova competência fiscalizatória por meio de requerimentos formais de informação.

O que muda para a comunicação de incidentes de dados?

A Resolução CD/ANPD nº 15/2024 mantém e detalha o prazo de três dias úteis para comunicar incidentes de segurança à ANPD e aos titulares quando houver risco ou dano relevante, contado a partir do conhecimento do incidente pelo controlador.

Gutemberg Amorim acrescentou que esse prazo vale apenas para eventos com potencial de risco ou dano relevante e que, para agentes de tratamento de pequeno porte, a prática dobra o tempo disponível para notificação. Sindhoesg e Jusdocs também afirmam que o prazo de três dias úteis segue vigente na LGPD para incidentes com esse nível de impacto.

Quais consequências regulatórias o caso expõe?

A LGPD prevê multas administrativas de até 2% do faturamento da empresa, do grupo ou conglomerado no Brasil, limitadas a R$ 50 milhões por infração, além de advertência, multa diária, publicidade da infração, bloqueio, eliminação de dados e suspensão de atividades de tratamento, segundo artigos especializados citados no material.

A BSA Advogados observou que a fiscalização da ANPD pode resultar em medidas adicionais e na aplicação de sanções administrativas sob a LGPD, o que amplia os desafios de conformidade para empresas que operam no Brasil. Em paralelo, veículos internacionais reportaram a multa à ByteDance Brasil no mesmo valor, equivalente a cerca de 25,57 milhões de euros, em linha com a LGPD e com foco na proteção de dados de crianças e adolescentes.

A cobertura do G1 também informou que a empresa tem 10 dias para apresentar recurso ou 20 dias úteis para pagar a multa, e que pode obter redução de 25% se desistir de recorrer e pagar dentro do prazo. A autoridade, segundo a mesma cobertura, mantém a ordem de excluir os dados coletados irregularmente e de apresentar um plano de conformidade.