Políticas de privacidade, relatórios de impacto à proteção de dados, equipes de conformidade, controles automatizados e planos de remediação são componentes importantes de uma estrutura de governança de dados. O caso sancionador envolvendo a ByteDance Brasil e o TikTok, contudo, ilustra que a existência desses elementos pode não ser suficiente quando uma empresa não consegue demonstrar como seus controles operam na prática.
Em 25 de agosto de 2026, a ANPD publicou no Diário Oficial da União sua decisão sancionadora (despacho decisório 27/26/CGS/SFI), proferida no processo administrativo sancionador 00261.006648/2024-02 contra a ByteDance Brasil Tecnologia Ltda., entidade responsável pelo TikTok no Brasil. A autoridade reconheceu cinco infrações aos arts. 6º (incisos VIII e X) e 7º da LGPD, abrangendo tratamento sem base legal válida, falhas de prevenção e ausência de comprovação da conformidade. As multas totalizam R$ 153.769.671,33, aproximadamente US$ 30 milhões à taxa de câmbio vigente na data da decisão. A decisão também determinou a eliminação dos dados coletados irregularmente e fixou multa diária por descumprimento.
A decisão ainda não é definitiva. A ByteDance Brasil foi notificada em 24 de agosto de 2026 e dispõe de dez dias úteis para interpor recurso ao Conselho Diretor da ANPD. Se a empresa renunciar expressamente ao recurso e efetuar o pagamento no prazo regulamentar, o total será reduzido em 25%, para aproximadamente R$ 115,3 milhões. A análise a seguir examina a fundamentação tornada pública pela autoridade e não se posiciona sobre o mérito do processo.
A análise da ANPD não se concentrou apenas em saber se a ByteDance possuía estruturas formais de governança. Uma questão central foi se essas estruturas haviam sido incorporadas ao produto, se eram adequadas aos riscos envolvidos e se sua eficácia podia ser demonstrada por meio de registros técnicos, indicadores, trilhas de auditoria e resultados documentados.
Foram apresentadas medidas de governança, mas as evidências foram consideradas insuficientes
A ByteDance não se apresentou como uma empresa sem governança de dados. Durante o processo, a empresa forneceu informações sobre os dados pessoais tratados pelo TikTok; finalidades do tratamento; compartilhamento de dados; bases legais invocadas; mecanismos de cadastro; segurança de jovens; segurança geral de dados; relatórios de impacto à proteção de dados; avaliações atualizadas das bases legais; e diferentes versões de um plano de conformidade, entre outros elementos.
A ANPD não concluiu que todas as medidas de governança estavam ausentes. Concluiu que a empresa não havia demonstrado sua eficácia com detalhamento técnico suficiente. Segundo o relatório, as informações fornecidas não estabeleceram plenamente a metodologia usada para avaliar a eficácia dos mecanismos de verificação etária; o contexto necessário para interpretar os números de remoção de contas; o período durante o qual contas de menores permaneceram ativas; a relação entre contas excluídas e dados comportamentais gerados por essas contas; se a eliminação alcançou todos os registros relacionados e informações derivadas; a rastreabilidade das atividades de compartilhamento de dados; se terceiros também haviam eliminado dados recebidos anteriormente; e o funcionamento técnico completo do feed sem cadastro.
O relatório considerou insuficientes descrições genéricas, políticas internas e autodeclarações quando não respaldadas por evidências verificáveis, registros técnicos ou indicadores objetivos de desempenho.
A conformidade com práticas do setor não foi aceita como defesa completa
A ByteDance alegou que seus controles relacionados à idade eram compatíveis com tecnologias e práticas comumente adotadas por plataformas digitais em todo o mundo. A ANPD não considerou esse argumento suficiente. Segundo o relatório, a conformidade deve ser avaliada à luz da legislação brasileira e dos riscos da atividade específica de tratamento, e não pela conduta média do mercado.
O fato de um controle ser amplamente utilizado em um setor não estabelece necessariamente que ele seja adequado a um caso específico. Isso é especialmente relevante quando o tratamento envolve crianças e adolescentes, para os quais a LGPD exige salvaguardas adicionais.
O relatório afirmou expressamente que o alinhamento a um padrão do setor não substitui a observância dos princípios legais e que o padrão esperado pode precisar ser mais elevado quando o tratamento afeta uma população vulnerável. Para empresas multinacionais, referências a padrões globais, práticas setoriais ou parâmetros internacionais ainda podem ser úteis no desenho dos controles.
Essas referências, porém, devem ser complementadas por uma avaliação sobre a adequação do controle ao arcabouço jurídico brasileiro; à população local de usuários; à escala do tratamento; às categorias de dados envolvidas; e aos riscos específicos do produto.
A inexistência de uma solução infalível não afastou o dever de prevenção
A ByteDance também alegou que não existe tecnologia universal e infalível para determinar a idade de todos os usuários em ambiente on-line. A empresa observou que alternativas baseadas em documentos de identidade, reconhecimento facial ou dados biométricos poderiam resultar em coleta excessiva de dados, tratamento de dados sensíveis e efeitos excludentes sobre determinados grupos.
A verificação etária exige equilíbrio entre proteção de menores, minimização de dados, segurança, acessibilidade e proporcionalidade. A ANPD, contudo, não exigiu um mecanismo totalmente isento de erros. Sua análise concentrou-se em saber se as medidas adotadas eram suficientemente eficazes e proporcionais a um risco conhecido.
A ByteDance declarou que seu bloqueio etário era complementado por restrições a tentativas reiteradas de cadastro; detecção automatizada de comportamento incompatível com a idade declarada; moderação humana; canais de denúncia; e posterior remoção de contas suspeitas de pertencer a usuários menores de 13 anos.
A ANPD considerou, porém, que os controles mais robustos eram em grande medida reativos. Em geral, eram aplicados após a criação de uma conta, a detecção de comportamento suspeito ou o recebimento de uma denúncia. Até que a conta fosse detectada e removida, uma criança que tivesse informado data de nascimento incorreta poderia ser tratada como usuário adulto.
O relatório entendeu que isso poderia afetar as configurações de privacidade aplicadas à conta; a recomendação de conteúdo; a formação de perfil comportamental; a publicidade; e o compartilhamento de dados. A ANPD também atribuiu relevância ao fato de a empresa ter sido previamente informada de que seus mecanismos de verificação de idade precisavam ser aprimorados. Segundo o relatório, a mesma deficiência persistia mais de um ano depois, sem evidências adequadas de que o problema tivesse sido efetivamente solucionado.
A distinção feita pela ANPD, portanto, não foi entre um controle imperfeito e um controle perfeito. Foi entre demonstrar que o controle era capaz de reduzir o risco de modo eficaz e não um controle cuja eficácia não havia sido adequadamente comprovada.
A terminologia interna não determinou a caracterização regulatória do tratamento
Em relação ao feed sem cadastro, a ByteDance alegou que não realizava formação de perfil. Segundo a defesa, a plataforma efetuava cálculos numéricos e personalização limitada de conteúdo sem criar um perfil formal vinculado a uma pessoa identificada.
A ANPD examinou o funcionamento prático, em vez de se apoiar apenas na terminologia adotada pela empresa. O relatório identificou o tratamento de informações como vídeos assistidos integralmente ou ignorados; tempo gasto na visualização de vídeos individuais; tentativas de curtir, comentar, compartilhar ou seguir contas; legendas, sons e hashtags; preferências de idioma; país e fuso horário; tipo e configurações do dispositivo. A ANPD constatou que as categorias de dados usadas nos ambientes cadastrado e não cadastrado eram substancialmente semelhantes.
Na visão da ANPD, a ausência de conta formal ou do nome do usuário não impedia a plataforma de associar sinais comportamentais a um dispositivo específico e utilizá-los para prever interesses e adaptar o conteúdo exibido. O relatório considerou, portanto, que os efeitos práticos do tratamento eram materialmente semelhantes à formação de perfil, ainda que a empresa empregasse expressões como “cálculos numéricos”, “personalização limitada” ou “ausência de classificação”.
Para negócios digitais, isso indica que a caracterização jurídica de uma atividade de tratamento geralmente dependerá dos dados utilizados; das correlações e inferências produzidas; da possibilidade de distinguir uma pessoa ou dispositivo; e dos efeitos do tratamento sobre o usuário. O nome interno atribuído a um modelo, funcionalidade ou categoria de dados não determinará necessariamente seu enquadramento na LGPD.
Os termos de uso não substituíram mecanismos operacionais de participação parental
A ByteDance alegou que a aceitação eletrônica de seus Termos de Uso era juridicamente válida e que a legislação brasileira não exigia forma específica para representação ou assistência parental. A empresa também sustentou que algum nível de autorização ou supervisão parental poderia ser presumido, pois o acesso à internet muitas vezes depende de dispositivo adquirido por pai, mãe ou responsável legal.
A ANPD não acolheu essa posição. Segundo o relatório, a empresa havia sido previamente obrigada a demonstrar um mecanismo capaz de comprovar que os adolescentes haviam sido devidamente representados ou assistidos no cadastro. A ANPD concluiu que nenhum mecanismo eficaz havia sido implementado.
Durante o cadastro, os usuários recebiam uma declaração geral indicando que, ao prosseguir, aceitavam os Termos de Uso e reconheciam a Política de Privacidade. Informações mais específicas sobre participação parental constavam de documentos mais extensos.
A ANPD considerou que a inclusão de uma declaração contratual não comprovava que a participação parental efetivamente ocorrera. Também entendeu que o ônus de conformidade não poderia ser transferido integralmente ao usuário adolescente. A implicação mais ampla é que, quando a validade de uma operação de tratamento depende de condição específica, essa condição deve normalmente estar refletida no desenho operacional do serviço.
Uma disposição contratual pode descrever o requisito, mas a empresa também deve considerar como ele é verificado; como a ação pertinente é registrada; como o registro pode ser recuperado; e como a conformidade poderá ser posteriormente demonstrada ao regulador.
Uma mudança posterior da base legal não regularizou o tratamento anterior
Durante o processo, a ByteDance informou à ANPD que havia reavaliado a base legal utilizada para o feed sem cadastro e concluído que o legítimo interesse poderia ser mais apropriado. A ANPD entendeu que essa reavaliação posterior não afastava a responsabilidade pelo tratamento anterior.
Segundo o relatório, alterar a base legal depois de realizado o tratamento não regularizou retroativamente operações anteriormente conduzidas sob uma base considerada inválida. O relatório também afirmou que a avaliação autônoma do legítimo interesse estava fora do escopo daquele processo sancionador específico. Isso reforça a importância de definir e documentar as bases legais antes do início do tratamento pertinente.
A base legal deve corresponder à finalidade efetiva do tratamento; ao funcionamento do produto; às categorias de dados pessoais envolvidas; às legítimas expectativas dos titulares; aos riscos associados; e às salvaguardas implementadas. Uma reavaliação posterior pode aprimorar a conformidade futura, mas pode não eliminar a exposição relativa ao período anterior.
A apresentação de um plano de conformidade não resultou automaticamente em atenuação
A ByteDance também requereu a aplicação de circunstâncias atenuantes com fundamento na alegada cessação das infrações, na implementação de medidas de governança e na adoção de medidas destinadas a reduzir danos. A ANPD rejeitou o pedido por entender que a apresentação formal de um plano de conformidade não comprovava sua implementação nem o alcance dos resultados pretendidos.
Segundo o relatório, a atenuação exigiria evidências de que o plano fora implementado na prática; produzira os resultados esperados; estivesse respaldado por evidências operacionais; e tivesse sido suficientemente verificado.
Um plano ainda sujeito à aprovação, execução, monitoramento e confirmação não foi considerado suficiente para reduzir a multa. O mesmo raciocínio pode se aplicar a políticas, projetos de remediação e cronogramas de implementação apresentados após o início de uma investigação.
Medidas futuras podem ser relevantes para regularizar a operação. Seu impacto em um processo sancionador, contudo, provavelmente dependerá da capacidade da organização de demonstrar implementação efetiva e resultados mensuráveis.
Isso não deve ser interpretado como rejeição do próprio plano. Em decisão separada publicada na mesma data, o Conselho Diretor da ANPD aprovou o plano em grau de recurso, incluindo compromissos como suspensão de publicidade na experiência sem cadastro, desativação de transmissões ao vivo e mensagens diretas nesse ambiente e aplicação automática das configurações de privacidade mais restritivas às contas de usuários menores de 16 anos. As duas frentes tramitaram em paralelo e produziram resultados distintos. O plano foi aceito como fundamento para a operação futura da plataforma. Não reduziu a penalidade imposta pelo passado.
A boa-fé e a cooperação não substituíram respostas técnicas completas
A ByteDance também alegou ter atuado com transparência, cooperado com o processo e fornecido documentos e explicações de boa-fé. Ainda assim, o relatório concluiu que o material apresentado não permitia à ANPD compreender e verificar integralmente determinadas operações de tratamento.
A cooperação regulatória não é avaliada apenas pelo número de documentos entregues, reuniões realizadas ou prazos cumpridos. Ela também depende de as informações fornecidas permitirem à autoridade reconstruir e avaliar o tratamento de forma clara e tecnicamente confiável.
Essa questão pode ser particularmente relevante para grupos multinacionais. Uma subsidiária brasileira pode participar ativamente de uma investigação, mas continuar dependente da matriz ou de equipes globais de produto para acessar a arquitetura dos sistemas; documentação algorítmica; métricas do produto; registros de eliminação; regras de retenção; mapas de compartilhamento de dados; e alterações no código ou na experiência do usuário.
Quando essas informações não estão prontamente acessíveis à operação local, a empresa pode estar disposta a cooperar, mas ainda assim ser incapaz de demonstrar adequadamente a conformidade. As normas da ANPD exigem que os agentes regulados forneçam documentos e informações técnicas pertinentes, permitam acesso a sistemas e recursos tecnológicos, preservem a rastreabilidade, submetam-se a auditorias e disponibilizem representante com conhecimento e autonomia suficientes para apoiar as atividades da autoridade.
A ordem de correção mostra o que “demonstrar conformidade” significa agora na prática
A parte mais instrutiva da decisão talvez seja a ordem de correção, e não as multas. A ANPD determinou a eliminação dos dados pessoais de adolescentes entre 13 e 18 anos cadastrados na plataforma cuja representação ou assistência legal não seja regularizada em até 60 dias úteis e exigiu que a empresa notificasse os terceiros com quem esses dados foram compartilhados para que também os eliminassem de suas bases. Encerrado esse prazo, a empresa terá mais cinco dias úteis para apresentar relatório técnico detalhado, respaldado por logs de auditoria dos sistemas e declaração formal assinada por seu encarregado pelo tratamento de dados pessoais. A autoridade reservou-se o direito de exigir auditoria externa independente se considerar insuficientes as evidências e fixou multa diária de R$ 137.000,00 pelo descumprimento de qualquer dessas obrigações.
A forma dessa ordem é a resposta prática à questão suscitada pelo caso. A conformidade se expressa como um registro recuperável, produzido por sistemas, assinado por responsável sujeito à prestação de contas e capaz de resistir a uma auditoria independente.
Por que o caso é relevante para empresas internacionais
A nacionalidade de uma empresa não altera as obrigações impostas pela LGPD. Tampouco este caso sustenta a presunção de que empresas internacionais estejam menos comprometidas com a privacidade ou a proteção de dados. Sua relevância para essas empresas reside principalmente no modelo de governança comumente utilizado por grupos multinacionais de tecnologia.
Os produtos podem ser concebidos de forma centralizada, enquanto as decisões sobre algoritmos; publicidade; segurança; verificação etária; retenção e eliminação de dados; e arquitetura do produto permanecem com a matriz ou equipes globais.
A entidade brasileira pode ser responsável pela interlocução regulatória local, pelas operações comerciais e pelas interações com usuários, embora tenha acesso limitado à documentação técnica ou autoridade limitada para alterar o produto. Essa estrutura pode criar uma lacuna entre a governança global e a responsabilidade regulatória local.
Em uma investigação da ANPD, pode-se exigir que a operação brasileira explique quais dados pessoais são tratados em cada funcionalidade; como os algoritmos usam esses dados; a base legal aplicável a cada finalidade; como os riscos locais foram avaliados; quais indicadores demonstram a eficácia dos controles; onde são mantidos logs e registros de auditoria; como funcionam a retenção e a eliminação; quais empresas do grupo recebem os dados; e quem possui autoridade para implementar alterações no produto.
Uma estrutura local de conformidade sem acesso a esses elementos pode enfrentar dificuldades para atender às expectativas da ANPD, ainda que a empresa mantenha políticas de privacidade, encarregado pelo tratamento de dados pessoais, assessoria jurídica e programa formal de conformidade.
Localizar a governança exige mais do que traduzir documentos
Para empresas que operam no Brasil, traduzir políticas globais para o português é apenas um aspecto da localização. Uma estrutura de governança localizada também pode exigir a revisão dos fluxos do produto à luz da legislação brasileira; a avaliação das bases legais por finalidade e funcionalidade; a adaptação dos controles relativos a crianças e adolescentes; a documentação de decisões jurídicas e técnicas; o estabelecimento de métricas de eficácia; a preservação de logs e evidências; a implementação de procedimentos verificáveis de retenção e eliminação; o mapeamento de transferências internacionais e compartilhamentos intragrupo; a garantia de que a equipe brasileira possa acessar informações técnicas pertinentes; e o estabelecimento de canais de escalonamento capazes de produzir alterações nos sistemas globais.
Isso não exige necessariamente o desenvolvimento de um produto totalmente separado para o Brasil. Exige identificar quais requisitos legais locais afetam o desenho, a operação, a documentação e a governança do produto existente.
O padrão aplicável já foi além da LGPD
Uma segunda decisão publicada na mesma data completa o quadro. Ao julgar o recurso, o Conselho Diretor da ANPD aprovou o plano de conformidade apresentado pela ByteDance, afirmando expressamente que a empresa deve observar os requisitos de verificação etária do Estatuto Digital da Criança e do Adolescente (lei 15.211/25, conhecida como ECA Digital), vigente desde 17 de março de 2026 e regulamentado pelo decreto 12.880/26, conforme o cronograma de implementação definido pelo Conselho e as orientações a serem emitidas no Guia de Mecanismos de Verificação Etária. Orientações preliminares foram publicadas pela ANPD em 20 de março de 2026.
Para empresas que avaliam ingressar no mercado brasileiro, isso importa mais do que a multa. A conduta examinada no processo da ByteDance foi avaliada somente à luz da LGPD. Condutas atuais são avaliadas à luz da LGPD e de uma segunda lei, mais específica, que alcança verificação etária, ferramentas de supervisão parental, publicidade, moderação de conteúdo e relatórios de transparência. A autodeclaração de idade não é mais aceita quando o conteúdo, produto ou serviço é inadequado ou proibido para menores de 18 anos.
Uma abordagem ponderada para a revisão preventiva
O caso ByteDance indica que a ANPD provavelmente avaliará não apenas o conteúdo das políticas de privacidade, mas também a coerência entre declarações corporativas, funcionamento do produto e evidências disponíveis para demonstrar conformidade. Empresas internacionais que já operam no Brasil, assim como aquelas que planejam ingressar no mercado brasileiro, podem, portanto, considerar a revisão da capacidade de suas estruturas locais para responder a várias questões práticas:
- A base legal selecionada corresponde ao tratamento que efetivamente ocorre?
- Os controles preventivos operam antes da coleta ou utilização dos dados pessoais?
- As proteções de crianças e adolescentes estão incorporadas ao próprio produto?
- Os procedimentos de eliminação alcançam dados de origem, perfis, inferências, cópias de segurança e terceiros, quando aplicável?
- Existem logs, indicadores e metodologias capazes de demonstrar a eficácia dos controles?
- A entidade brasileira dispõe de conhecimento, acesso e autoridade suficientes para interagir com a ANPD?
Essa revisão não precisa ser motivada apenas pela perspectiva de fiscalização. Pode integrar processos regulares de desenvolvimento de produtos, entrada no mercado, governança e gestão de riscos. A implicação mais ampla do caso é relativamente simples: a governança de dados tem maior probabilidade de resistir ao escrutínio regulatório quando vai além de políticas e estruturas formais, alcança o desenho operacional do produto e produz evidências confiáveis de que os controles funcionam de maneira eficaz no contexto brasileiro.