A Autoridade Nacional de Proteção de Dados (ANPD) impôs uma multa de R$ 153.769.671,33 à plataforma TikTok, operada pela ByteDance Brasil, por graves violações à Lei Geral de Proteção de Dados (LGPD), especialmente no tratamento de dados de crianças e adolescentes. A decisão, proferida em 25 de agosto, representa a maior sanção já aplicada pela agência reguladora no Brasil e a primeira de grande porte contra uma big tech.
A penalidade bilionária é resultado da soma de cinco multas simples, correspondentes a infrações autônomas, cumuladas com a determinação de eliminação de dados pessoais e uma multa diária de R$ 137.081,49 em caso de descumprimento. A medida reforça a postura rigorosa da ANPD na fiscalização da LGPD, seguindo uma interpretação já sinalizada em casos anteriores, como a multa à Telekall.
Precedente da ANPD: como a interpretação da LGPD escalou
A decisão da ANPD contra o TikTok não surpreende aqueles que acompanham a evolução da interpretação da LGPD pela agência. Em fevereiro de 2024, a análise de sanções iniciais, como a aplicada à Telekall (de R$ 14,4 mil), já indicava que o Art. 52, II, da LGPD seria interpretado com rigor. Naquela ocasião, a ANPD definiu que a multa de 2% do faturamento bruto seria aplicada para cada infração à lei, e não por processo.
Esse entendimento prévio alertava que o teto legal de R$ 50 milhões não seria global, mas sim o limite para cada sanção individualmente considerada. A soma dessas sanções poderia, portanto, alcançar uma fatia substancial do faturamento das empresas, como agora se confirma no caso TikTok. A ANPD demonstra sua capacidade de atuação em grande escala, mantendo a coerência com a ratio empregada em decisões anteriores.
As cinco infrações que levaram à multa do TikTok
O processo administrativo sancionador que culminou na multa apurou o tratamento irregular de dados pessoais de crianças e adolescentes na plataforma TikTok, abordando duas frentes principais: a experiência do feed sem cadastro e a do feed com cadastro. A investigação teve início em março de 2021, após uma denúncia.
O Relatório de Instrução da ANPD identificou cinco condutas infracionais distintas, cada uma gerando uma sanção própria. A condenação envolveu:
- Tratamento de dados sem base legal válida: Relacionado a crianças e adolescentes no feed sem cadastro.
- Falta de medidas preventivas: Ausência de ações para impedir o tratamento de dados de menores de 13 anos no feed sem cadastro.
- Cadastro de menores de 18 anos sem contrato válido: Tratamento de dados para cadastro na plataforma sem a devida base legal.
- Ausência de mecanismos eficazes: Falha em impedir o cadastro de menores de 13 anos.
- Falta de comprovação de conformidade: Não demonstração de cumprimento das normas de proteção de dados.
A base de cálculo da multa foi o faturamento bruto da ByteDance Brasil, excluindo-se os tributos, dado mantido sob sigilo fiscal nos autos. As Condutas 1 e 2 (relacionadas ao feed sem cadastro) foram consideradas de grau de dano 3 (irreversibilidade), resultando em um valor-base de R$ 35,7 milhões cada. Já as Condutas 3, 4 e 5 (relacionadas ao feed com cadastro e prestação de contas) receberam grau de dano 2, com valor-base de R$ 27,4 milhões cada. É importante notar que, individualmente, cada multa respeitou os limites de R$ 50 milhões e de 2% do faturamento, sendo a soma das cinco que ultrapassou os R$ 150 milhões.
Princípios da LGPD como fonte autônoma de obrigações
Um dos aspectos mais relevantes da decisão da ANPD é a construção jurídica pela qual a agência extraiu deveres concretos e sancionáveis diretamente dos princípios enunciados no Art. 6º da LGPD. Três das cinco condutas punidas (Condutas 2, 4 e 5) não decorrem da violação expressa a comandos específicos, mas da inobservância dos princípios da prevenção (inciso VIII) e da responsabilização e prestação de contas (inciso X).
A ANPD não se limitou a invocar esses princípios como reforço argumentativo, mas os tomou como fonte normativa de obrigações autônomas com conteúdo próprio, cuja violação enseja sanção independente. Isso estabelece um importante efeito interpretativo, definindo o conteúdo concreto de princípios abstratos na lei. A agência considerou que a ausência de qualquer mecanismo de verificação de idade no feed sem cadastro e a manutenção de um controle de idade (age gate) falho no feed com cadastro configuravam omissão incompatível com o dever de prevenção.
Para os agentes de tratamento, a lição é clara: os princípios do Art. 6º são fontes diretas de deveres jurídicos, cujo descumprimento gera infrações independentes e multas próprias. Isso exige dos controladores um exercício permanente de tradução desses princípios, identificando ações concretas razoavelmente esperadas no contexto de suas atividades. A omissão nessas frentes não será tratada como lacuna regulatória, mas como infração autônoma.
Impacto da decisão e próximos passos para o TikTok
Esta decisão marca um ponto de virada na atuação da ANPD, estabelecendo precedentes relevantes em termos de ações necessárias à proteção dos dados pessoais, notadamente de menores. A agência deixa claro que não cabe invocar o “padrão da indústria” como excludente de ilicitude.
A ByteDance, empresa controladora do TikTok, tem a possibilidade de recorrer ao Conselho Diretor da ANPD. De acordo com o Regulamento de Dosimetria (Art. 18), se a empresa renunciar ao recurso, poderá obter um desconto de 25% sobre o valor da multa. Mesmo com o desconto, o saldo representará a maior multa já imposta pela agência no Brasil.
O caso TikTok reforça que a adequação à LGPD transcende o mero detalhe de compliance restrito ao DPO (Encarregado de Dados). O potencial sancionatório das multas simples cumuladas, conforme o número de infrações à lei, tende a levar a questão para a mesa dos diretores financeiros (CFOs), com problemas para o caixa e para o balanço das empresas, impactando o desempenho do agente perante investidores e outros stakeholders. A mensagem da ANPD é contundente: a proteção de dados é uma prioridade e sua inobservância terá consequências financeiras significativas.