A Autoridade Nacional de Proteção de Dados aplicou multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, por irregularidades no tratamento de dados de crianças e adolescentes. A decisão foi publicada no Diário Oficial da União em 25 de agosto de 2026 e determina também a eliminação dos dados coletados de forma irregular.
O caso interessa a qualquer pessoa que usa redes sociais em casa, administra uma conta de família ou trabalha com produtos digitais no Brasil. A decisão não trata apenas de um valor financeiro: ela explica quais práticas de coleta podem ser consideradas inadequadas quando menores acessam uma plataforma. A notícia foi publicada pelo Tecnoblog e pode ser lida em ANPD multa TikTok em R$ 153,7 milhões.
O que a ANPD identificou
Segundo o Tecnoblog, a fiscalização encontrou cinco violações aos artigos 6º e 7º da Lei Geral de Proteção de Dados, a LGPD. O processo analisou duas formas de acesso ao TikTok: o feed sem cadastro, aberto a qualquer pessoa, e o feed com cadastro, ligado a um perfil registrado.
A agência concluiu que dados pessoais de crianças e adolescentes foram tratados sem uma hipótese legal válida nas duas modalidades. Também apontou a falta de medidas suficientes para prevenir esse tratamento e a ausência de comprovação de mecanismos eficazes de conformidade. Em linguagem simples, a plataforma precisava demonstrar por que coletava os dados, qual base legal sustentava a operação e como reduzia o risco para usuários menores.
A LGPD não proíbe todo tratamento de dados de crianças e adolescentes. Ela exige que a operação observe o melhor interesse desse público e que a empresa consiga justificar a coleta, a finalidade e as salvaguardas. Informações como identificadores de dispositivo, histórico de navegação, preferências e dados de interação podem revelar hábitos e relações mesmo quando o usuário não publica nada pessoal.
Por que o feed sem cadastro também importa
É comum imaginar que a privacidade começa apenas quando alguém cria uma conta. Na prática, um serviço pode registrar sinais técnicos antes do login, como endereço de rede, tipo de aparelho, idioma, horário de acesso e vídeos assistidos. Esses sinais ajudam a personalizar recomendações, medir audiência e detectar abuso, mas também podem formar um perfil de comportamento.
O feed sem cadastro amplia esse desafio porque permite o consumo de conteúdo sem uma identidade declarada. A pessoa pode não informar nome ou idade, mas a plataforma ainda pode observar ações realizadas no aplicativo ou no navegador. Para crianças e adolescentes, a ausência de cadastro não significa ausência de proteção. A empresa precisa considerar que menores podem estar usando o serviço e desenhar controles compatíveis com essa possibilidade.
Essa parte da decisão é relevante para desenvolvedores de aplicativos. Um produto que oferece conteúdo personalizado, anúncios ou recomendações deve mapear quais dados são coletados em cada etapa, inclusive antes da criação de uma conta. Também precisa definir por quanto tempo guarda essas informações, quem pode acessá-las e como o usuário ou responsável pode questionar o tratamento.
Maior multa da agência
A penalidade de R$ 153,7 milhões é a maior aplicada pela ANPD desde a criação da agência. O Tecnoblog ressalta que o montante reúne cinco infrações distintas, portanto não deve ser interpretado como uma única falha isolada. A ByteDance foi notificada em 24 de agosto e tem dez dias úteis para recorrer ao Conselho Diretor da ANPD.
Para o usuário, a parte mais concreta é o efeito sobre as configurações e os dados já coletados. A decisão determina a eliminação de informações obtidas de forma irregular. Ela também considera um plano de conformidade apresentado pela ByteDance, que prevê configurações de privacidade mais restritivas para contas de menores de 16 anos, supervisão parental reforçada e filtros de conteúdo mais rigorosos.
O que muda para famílias
O plano aprovado prevê que as configurações mais protetivas sejam aplicadas automaticamente a usuários com menos de 16 anos. Segundo o resumo publicado pelo Tecnoblog, a alteração só poderá ser revertida com autorização dos responsáveis. A plataforma também deverá cumprir a verificação de idade prevista no Estatuto Digital da Criança e do Adolescente, o ECA Digital, conforme o cronograma estabelecido.
Também é importante explicar que uma idade informada em um formulário não garante que a pessoa seja quem diz ser. Verificação de idade pode usar documentos, estimativas biométricas ou sinais de comportamento, cada opção com riscos de privacidade. A implementação precisa equilibrar proteção de menores com minimização de dados, evitando criar uma nova base sensível maior do que a necessária.
Um ambiente regulatório mais ativo
Para empresas de tecnologia, a mensagem é que conformidade não pode ficar restrita a documentos jurídicos. Ela precisa aparecer na arquitetura do serviço, nos padrões de coleta, nos testes de idade, nas ferramentas para responsáveis e nos registros que provam a execução dos controles. Uma função que aumenta engajamento pode ser tecnicamente eficiente e ainda assim criar risco regulatório se não considerar quem está usando o produto.
O que desenvolvedores podem aprender
O caso oferece um roteiro prático para equipes digitais. Primeiro, mapear dados coletados por usuários identificados e não identificados. Depois, separar o que é necessário para entregar o serviço do que serve apenas para recomendação ou publicidade. Em seguida, definir regras específicas para menores, com configurações seguras por padrão, retenção limitada e caminhos claros para contestação.
Também é essencial testar o produto com cenários reais. Uma equipe deve perguntar o que acontece quando uma criança acessa o feed sem cadastro, quando um adolescente altera a idade, quando um responsável pede exclusão e quando a plataforma detecta uma conta suspeita. Esses testes precisam gerar evidências, porque não basta afirmar que existe conformidade: é necessário mostrar como os controles funcionam.
A multa do TikTok transforma privacidade infantil em uma preocupação visível para toda a cadeia digital. Para as famílias, ela reforça a importância de revisar configurações. Para desenvolvedores, mostra que proteção de dados começa antes do login. E para o público brasileiro, confirma que a LGPD já produz consequências concretas para as maiores plataformas usadas no país.
