Caso TikTok sinaliza mudança na fiscalização da ANPD, explica advogado

A decisão da ANPD – Agência Nacional de Proteção de Dados de aplicar R$ 153,7 milhões em multas à ByteDance, controladora do TikTok, indica às empresas que atuam no ambiente digital que a adoção de políticas e mecanismos de proteção de dados não é suficiente. Na avaliação de Filipe Ribeiro Duarte, sócio da área de Direito Digital e Propriedade Intelectual do Martinelli Advogados, a efetividade desses controles, a capacidade de prevenir riscos e a comprovação das medidas adotadas devem ganhar cada vez mais peso nas fiscalizações da agência.

Embora o processo tenha como foco o tratamento de dados de crianças e adolescentes pelo TikTok, a decisão também indica como a agência estrutura sua fiscalização: determina medidas de adequação, acompanha a implementação e verifica se os controles são capazes de responder aos riscos identificados.

"Mais do que o valor da multa, o caso chama a atenção pela forma como a ANPD avaliou algumas decisões da empresa. A decisão traz um ponto muito específico sobre a execução de contrato como base legal: para utilizá-la, é preciso primeiro existir um contrato válido. No caso de adolescentes, isso exige considerar as regras de capacidade civil e a necessidade de representação ou assistência, conforme a idade", afirma o advogado. "No acesso sem cadastro, a questão é ainda mais direta. Sem manifestação de vontade e aceite dos termos, a ANPD entendeu que não havia negócio jurídico que pudesse sustentar essa base legal."

Filipe exemplifica o mecanismo de verificação de idade utilizado pelo TikTok. A plataforma adotava um age gate baseado na data de nascimento informada pelo próprio usuário. A ANPD, porém, considerou a efetividade do mecanismo insuficiente diante da possibilidade de ele ser burlado.

A própria empresa informou que aproximadamente 7,75 milhões de contas de crianças foram removidas no Brasil entre outubro de 2022 e setembro de 2023. Para o órgão regulador, o número indicava que uma quantidade significativa de crianças conseguia ultrapassar o mecanismo inicial de controle e utilizar a plataforma antes de o acesso indevido ser identificado e a conta removida.

O ponto central, segundo o especialista, é que a implementação de um mecanismo de controle precisa ser acompanhada de testes, monitoramento e avaliação de resultados. "Na aferição de idade, não se trata de uma escolha entre autodeclaração ou uma tecnologia mais sofisticada. A análise precisa partir do risco do serviço, qual é a probabilidade de acesso por crianças, quais são os riscos associados ao tratamento e qual nível de confiabilidade o mecanismo precisa oferecer para mitigá-los", observa. E, acrescenta, "podem ser combinadas diferentes camadas de aferição, monitoramento e resposta. A própria ANPD vem tratando a aferição de idade sob uma perspectiva baseada em risco no contexto do ECA Digital."

Outro aspecto relevante da decisão para Duarte foi a análise do chamado "feed sem cadastro". A ANPD considerou que usuários podiam acessar conteúdos sem criar uma conta e que, durante essa utilização, informações relacionadas à interação com vídeos e ao dispositivo poderiam ser tratadas para personalização do conteúdo.

Na avaliação do sócio do Martinelli, a questão reforça um ponto que deve ganhar espaço nas avaliações de privacidade: os riscos precisam ser analisados ao longo de toda a jornada do usuário, e não apenas no momento do cadastro. "Para as empresas, isso significa que funcionalidades, interfaces, fluxos de navegação, mecanismos de personalização e formas de acesso aos serviços também devem estar inseridos na estratégia de proteção de dados", pontua.

"A discussão sobre o feed sem cadastro é especialmente relevante porque mostra que o momento do cadastro não pode ser utilizado como único marco da análise de privacidade. Se a plataforma permite acesso ao conteúdo e coleta informações sobre a interação antes mesmo da criação de uma conta, é preciso definir qual é a hipótese legal aplicável àquela operação e quais mecanismos de proteção devem funcionar naquele momento", explica o advogado.

Nesse contexto, documentos como RIPDs - Relatórios de Impacto à Proteção de Dados, avaliações de risco, registros de decisões, testes de controles, auditorias e indicadores de monitoramento passam a ser vistos não apenas como instrumentos de governança, mas também como evidências de conformidade.

"A distribuição da multa também merece atenção: a ANPD aplicou R$ 63,17 milhões por questões relacionadas às hipóteses legais, outros R$ 63,17 milhões por falhas de prevenção e R$ 27,4 milhões por responsabilização e prestação de contas. Isso mostra que, na prática, uma análise de conformidade precisa responder a três perguntas diferentes: 'por que posso tratar esses dados?', 'quais medidas adotarei para reduzir os riscos desse tratamento?' e 'como consigo demonstrar que essas medidas foram efetivamente implementadas?'", afirma o especialista.

O cenário também é marcado pelo avanço das regras de proteção de crianças e adolescentes no ambiente digital. Com o ECA Digital e a ampliação das obrigações relacionadas à aferição de idade e à proteção desse público, empresas que oferecem produtos ou serviços acessíveis a menores devem revisar seus mecanismos de prevenção e governança.

Entre os pontos que Duarte destaca estão a efetividade dos mecanismos de aferição de idade, o monitoramento de toda a jornada do usuário, a revisão das bases legais utilizadas em tratamentos envolvendo crianças e adolescentes e a avaliação dos tratamentos realizados em ambientes sem cadastro.

Segundo o sócio, a principal mensagem do caso TikTok para o mercado é que privacidade e proteção de dados passam a exigir uma abordagem cada vez mais preventiva, integrada ao produto e baseada em evidências.

"A decisão mostra uma evolução importante da fiscalização, na medida em que não se trata apenas de verificar se a empresa possui determinado mecanismo de controle, mas se ele é adequado ao risco, se funciona na prática e se a organização consegue demonstrar isso. Essa mudança de perspectiva deve ser considerada por empresas de diferentes setores, especialmente aquelas que oferecem serviços digitais", conclui.