Blog

Há poucos dias, a Agência Nacional de Proteção de Dados (ANPD) aplicou à ByteDance Brasil, operadora do TikTok, multas que somam R$ 153,7 milhões. O número não surpreende quem vinha acompanhando a atuação da ANPD, pois já na primeira multa aplicada à empresa Telekall, no valor de R$ 14.400 a agência deixara claro que a multa seria individualizada em relação a cada violação à Lei Geral de Proteção de Dados (LGPD).

Com a decisão do TikTok, torna-se inequívoco que o teto de R$ 50 milhões à sanção de multa simples, que pode ser fixada em até 2% do faturamento bruto, é para cada infração cometida pelos controladores de dados. Quem conhece a quantidade de deveres decorrentes da LGPD sabe que não estamos falando de pouca coisa.

No caso do TikTok, a ANPD identificou cinco condutas autônomas relacionadas ao tratamento irregular de dados de crianças e adolescentes na plataforma. Em apertada síntese, vejamos a estrutura da decisão:

Duas condutas referem-se ao feed sem cadastro. A Conduta 1 (tratar dados de crianças e adolescentes sem base legal válida) viola o artigo 7º da LGPD e resultou em multa de R$ 35.760.388,68. A Conduta 2 (deixar de adotar medidas preventivas para impedir o tratamento de dados de menores de 13 anos) viola o art. 6º, VIII (princípio da prevenção) e resultou em outra multa de idêntico valor.

Outras duas referem-se ao feed com cadastro. A Conduta 3 (tratar dados de menores de 18 anos para cadastro na plataforma sem contrato válido) viola novamente o artigo 7º e resultou em uma multa de R$ 27.416.297,99. A multa foi cumulada com a sanção de eliminação de dados pessoais de adolescentes entre 13 e 18 anos cujos cadastros não sejam regularizados pela assistência ou representação legal no prazo de 60 dias úteis, sob pena de multa diária de R$ 137.081,49. A Conduta 4 (não implementar mecanismos eficazes para prevenir o cadastro de menores de 13 anos) viola o artigo 6º, VIII e gerou nova multa de R$ 27.416.297,99.

A Conduta 5 (não demonstrar medidas eficazes e capazes de comprovar a observância das normas de proteção de dados) viola o artigo 6º, X (princípio da responsabilização e prestação de contas) e resultou em multa de R$ 27.416.297,99. Foi da soma de todas essas multas por artigo violado que resultou a cifra de R$ 153.769.671,33.

Spacca

A matemática corresponde ao mecanismo de dosimetria aprovado pela Resolução CD/ANPD nº 4/2023, o qual prevê a sanção de cada conduta. A própria redação do inciso II do artigo 52 da LGPD já não deixava dúvida: o limite é por infração. No caso TikTok, houve ainda circunstâncias agravantes que classificaram as infrações como graves porque, além de afetarem significativamente direitos fundamentais (critério de infração média), realizaram tratamento em larga escala (Regulamento de Dosimetria, artigo 8º, §3º, I, alínea “a”), com vantagem econômica (alínea “b”) e tratamento de dados de crianças e adolescentes (alínea “d”).

O Despacho Decisório nº 27/2026 consolida as cinco condutas em três rubricas por dispositivo violado: duas delas, resultantes da soma de duas condutas cada, somam R$ 63.176.686,67; a terceira, decorrente de conduta única, totaliza R$ 27.416.297,99. É a prova inequívoca de que o teto é aferido por conduta, e não por artigo, e também o argumento recursal previsível: se o limite é de R$ 50 milhões por infração, bastará à autuada sustentar que a infração, para efeito do teto, é por dispositivo violado, e não cada conduta violadora, reduzindo a multa a R$ 127,4 milhões.

Além do valor, também chama a atenção a fundamentação que justifica a imposição de três das cinco multas. As violações não decorreram de regras com comandos específicos da LGPD, mas diretamente de dois princípios do artigo 6º da lei: prevenção e responsabilização. A ANPD entendeu que esses princípios, mais que diretrizes interpretativas, constituem fontes autônomas de obrigações que, se o controlador não conhece, deveria conhecer. Embora o princípio da prevenção não diga explicitamente qual barreira tecnológica adotar, a decisão da agência considera que ele impõe ao controlador o dever de implementar alguma medida eficaz antes que o dano ocorra. De qual medida e de qual eficácia se trata, é algo a ser decidido pelo controlador ao realizar operações de tratamento de dados, sujeito ao controle pela ANPD ex post facto.

Chama ainda mais atenção o que ficou de fora: a nota técnica imputava também violação ao artigo 14, caput, e ao artigo 6º, I, e nenhuma consta da decisão final. Havia regra específica à mão, inclusive o artigo 14, §5º, sensível ao estado da técnica, mas ainda assim, preferiu-se a aplicação direta do princípio.

Já o princípio da responsabilização, na linha da decisão, exige que o agente de tratamento prove, com registros concretos e auditáveis, que suas práticas realmente protegem os titulares. A agência rejeitou argumentos genéricos no sentido da existência de um programa de conformidade e exigiu comprovação no sentido da eficácia do programa, que havia falhado na proteção de menores. Com isso, fica evidente que o princípio da responsabilização trata do ônus probatório e implica o dever de manter documentação adequada e auditável acerca de todas as medidas e cautelas adotadas para a conformidade do tratamento de dados pessoais em face da LGPD. A exigência é concreta: relatório circunstanciado, registros de auditoria e declaração assinada pelo encarregado, sob pena de auditoria externa.

Precisamos reconhecer que essa construção não se dá sem custo para a segurança jurídica. Os princípios jurídicos, por definição, não definem com precisão o que se deve ou não fazer, limitando-se a fixar um fim a ser perseguido, ou um ponto de chegada, sem indicar exatamente quais caminhos levam a ele. Na área de tecnologia, onde os padrões de conduta mudam em velocidade que contrasta com o ritmo da regulação, essa abertura gera um problema concreto: a empresa que hoje adota determinada estratégia disponível pode descobrir amanhã que ela já não satisfaz o regulador.

O caso presente traz o exemplo da verificação de idade por autodeclaração (age gate), que era uma prática difundida globalmente para acesso a websites e games, quando o TikTok a implementou como via de acesso à plataforma; agora, a ANPD considerou-a insuficiente, asseverando que “a alegação de adoção de práticas alinhadas ao ‘padrão da indústria’ não se sustenta como justificativa válida. A legislação exige conformidade com os princípios legais, e não a adequação ao comportamento médio do mercado” (seção 7.86 do relatório de instrução).

A questão não é se a agência tem razão — e provavelmente tem

A questão é que, sem regulamentação específica sobre quais mecanismos atendem ao dever de prevenção, o controlador fica obrigado a acertar um alvo móvel, sob risco de multas nada sutis que vão até 2% do faturamento por cada infração. Esse contraste entre a abertura dos princípios e a previsibilidade que deveria ser fornecida pela regulação parece ser o ponto mais delicado da decisão e aquele que mais exigirá atenção dos agentes de tratamento de dados pessoais nos casos futuros.

Há que reconhecer, porém, que no caso do age gate o alvo deixará de se mover em breve, pois o ECA Digital (Lei nº 15.211/2025), em vigor desde março de 2026, retirou a autodeclaração do rol de mecanismos aceitáveis, e a ANPD, competente para fiscalizá-lo, já publicou orientações preliminares e cronograma de aferição etária. Na mesma edição do Diário Oficial, o Conselho Diretor aprovou o plano de conformidade da ByteDance, ressalvando esses prazos. A crítica desloca-se do estrutural para o temporal: conduta de 2021 a 2024 julgada por parâmetro consolidado em 2026. Se o legislador entendeu necessário conceder seis meses de vacatio legis e a agência um cronograma escalonado para exigir aferição etária confiável, é no mínimo desconfortável sancionar como falha de prevenção o período em que nada disso existia.

A exigência de previsibilidade tem fundamento no princípio da segurança jurídica e na própria Lindb, a qual impõe à autoridade o dever de atuar para aumentar a segurança jurídica, por instrumentos que vinculam o próprio órgão que os edita (artigo 30), e exige regime de transição quando a decisão estabelece interpretação nova sobre norma de conteúdo indeterminado, impondo novo dever (artigo 23). Previsibilidade é, assim, dever do regulador, para além das aspirações do regulado.

A decisão contra o TikTok não é apenas a maior já proferida pela ANPD. É a confirmação de uma lógica que já se anunciava no primeiro processo sancionador que levou à primeira multa imposta à Telekall: cada dispositivo violado da LGPD pode gerar uma multa independente, e os princípios da lei têm o mesmo peso sancionatório que suas regras. Para controladores que ainda tratam conformidade com a LGPD como formalidade burocrática, o recado é direto: a omissão não é uma lacuna a ser preenchida quando conveniente, é um conjunto de infrações em formação que pode custar caro. Espera-se, contudo, que a mensagem alcance todos os destinatários: ao mercado, com a prova de que a fase pedagógica acabou; e à própria agência, com o lembrete de que um precedente dessa magnitude exige do próprio autor o rigor que ele cobra.

O post O recado de R$ 153 milhões da ANPD ao mercado apareceu primeiro em Consultor Jurídico.