Multa de R$ 153,7 milhões da ANPD ao TikTok: o que toda empresa com cadastro digital precisa revisar agora
Publicado em 26 de agosto de 2026
A Autoridade Nacional de Proteção de Dados (ANPD) aplicou, em decisão publicada no Diário Oficial da União em 25 de agosto de 2026, multa de R$ 153,7 milhões à ByteDance Brasil, controladora do TikTok, por irregularidades no tratamento de dados pessoais de crianças e adolescentes. A sanção consolida cinco infrações distintas à Lei Geral de Proteção de Dados (LGPD) e determina, além do pagamento da multa, a eliminação dos dados coletados de forma irregular.
O valor chama atenção por si só — é uma das maiores sanções já aplicadas pela ANPD. Mas o que mais importa para empresas brasileiras que operam plataformas, aplicativos ou qualquer serviço digital com cadastro não é o tamanho da multa: é a tese jurídica por trás dela, que não tem nada de exclusivo de rede social.
O problema não era a rede social. Era o cadastro.
Parte central da decisão trata da validade do cadastro de adolescentes na plataforma. A ANPD entendeu que o simples aceite de termos de uso, por clique, não é suficiente para formar um contrato válido com um adolescente — porque, pelo Código Civil, menores de 18 anos são civilmente incapazes ou relativamente incapazes, e um contrato só é válido quando essa incapacidade é suprida por representação ou assistência dos pais ou responsáveis.
Sem um mecanismo real que comprove essa assistência — não bastando uma frase genérica nos Termos de Uso avisando que ela é necessária —, a base legal de "execução de contrato", usada para justificar a coleta e o uso dos dados, foi considerada inválida. E sem base legal válida, todo o tratamento de dados feito a partir daquele cadastro passa a ser irregular.
Essa lógica se aplica a qualquer empresa cujo produto digital permita o cadastro de adolescentes — não apenas redes sociais. E-commerces, plataformas de ensino, aplicativos de jogos, serviços de assinatura e qualquer sistema com cadastro online que não distingue adequadamente usuários menores de idade está potencialmente na mesma situação jurídica.
O ponto menos óbvio da decisão — e o mais relevante
Entre as cinco infrações apontadas, uma passa despercebida com facilidade, mas é a que mais expõe empresas que já acreditam estar em conformidade: a ANPD identificou que a empresa não demonstrou, com evidência técnica auditável, que as medidas de proteção que dizia adotar realmente funcionavam.
Em outras palavras, não bastou à empresa apresentar políticas escritas ou descrever mecanismos de verificação de idade. A ANPD exigiu prova concreta — registros, relatórios de eficácia, dados objetivos — de que esses mecanismos, na prática, impediam o acesso e o tratamento indevido de dados de menores. Essa exigência decorre do princípio da responsabilização e prestação de contas (art. 6º, X, da LGPD), que vem ganhando peso crescente nas decisões da autoridade: ter uma política não é suficiente se a empresa não consegue provar que ela é efetiva.
Um sinal de que a fiscalização vai continuar
A decisão foi proferida por uma coordenação da ANPD dedicada especificamente à proteção de crianças e adolescentes no ambiente digital, criada dentro da reestruturação recente da autarquia. A existência de uma unidade de fiscalização especializada nesse tema é, em si, um indicador relevante: a proteção de dados de menores deixou de ser um tópico entre outros e passou a ser prioridade formal de atuação da autoridade — o que sugere que novos casos, envolvendo outras empresas e outros setores, devem seguir surgindo.
O que vale revisar
Para empresas com qualquer produto digital acessado por público que pode incluir menores de idade, alguns pontos do caso valem como checklist inicial:
-
O cadastro distingue de forma efetiva usuários adultos de menores, ou depende apenas de autodeclaração de idade?
-
Existe um mecanismo real — não apenas uma cláusula contratual — para captar a assistência ou representação dos pais no cadastro de adolescentes?
-
A empresa consegue demonstrar, com registros e relatórios, que suas medidas de proteção de dados funcionam na prática, ou apenas descreve políticas em documentos internos?
-
Já foi realizado algum relatório de impacto à proteção de dados (RIPD) específico para o público infantojuvenil, quando aplicável?
Empresas que identifiquem lacunas nesses pontos podem se beneficiar de uma avaliação jurídica especializada para entender seu nível de exposição e organizar a documentação necessária antes que uma eventual fiscalização se inicie.