MULTA DE R$ 153,7 MILHÕES AO TIKTOK: O QUE A DECISÃO DA ANPD REVELA SOBRE A MATURIDADE DOS PROGRAMAS DE PRIVACIDADE
A aplicação de uma multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, pela Agência Nacional de Proteção de Dados (ANPD) representa um dos acontecimentos mais relevantes da história recente da proteção de dados no Brasil. A decisão, publicada em 25 de agosto de 2026, decorre de um processo de fiscalização iniciado em março de 2021 e apurou irregularidades relacionadas ao tratamento de dados pessoais de crianças e adolescentes. Mais do que o valor da multa, o caso chama atenção por outro motivo: a existência de mecanismos de privacidade não foi suficiente. A empresa precisava demonstrar que esses mecanismos eram efetivos. E essa é uma mensagem que ultrapassa o universo das grandes plataformas digitais. O QUE LEVOU À MULTA DA ANPD? A fiscalização da ANPD identificou problemas em duas formas de utilização do TikTok: o chamado “feed sem cadastro”, que permitia o acesso à plataforma sem criação de uma conta e o “feed com cadastro”. No feed sem cadastro, a ANPD identificou, entre outras questões: No feed com cadastro, foram identificadas: Mas existe um ponto particularmente relevante para qualquer organização que possua um programa de privacidade: a ANPD também apontou que a empresa não demonstrou medidas eficazes capazes de comprovar a observância e o cumprimento das normas de proteção de dados nas experiências com e sem cadastro. É justamente aqui que o caso deixa de ser apenas uma notícia sobre o TikTok. Não basta estar em conformidade. É preciso conseguir demonstrar. Um dos principais aprendizados da decisão é a diferença entre ter controles de privacidade e ter controles efetivos de privacidade. Uma empresa pode possuir Política de Privacidade, registros de operações de tratamento, avaliações de riscos, treinamentos, contratos com cláusulas de proteção de dados, procedimentos para atendimento de titulares e até um encarregado formalmente designado. Isso, por si só, não significa que o programa esteja funcionando. A pergunta que ganha força com a decisão da ANPD é outra: A empresa consegue demonstrar que esses controles são aplicados, monitorados, atualizados e efetivos diante dos riscos reais do negócio? Essa preocupação já aparece com força nas discussões do mercado. A decisão aponta justamente para uma mudança de momento da ANPD: de uma atuação inicialmente muito marcada pela orientação e pela construção da cultura de proteção de dados para uma fase de fiscalização e responsabilização mais efetiva. Na prática, isso significa que um programa de privacidade criado há dois, três ou quatro anos não pode ser tratado como um projeto concluído. Na realidade, nuca pôde. Programa de conformidade é um processo contínuo. QUANDO O PROGRAMA DE PRIVACIDADE DEIXA DE REFLETIR A REALIDADE DO NEGÓCIO Um dos principais desafios dos programas de privacidade é evitar que suas diretrizes e controles fiquem desatualizados diante das mudanças do negócio. Mapeiam-se os processos. Elaboram-se os registros. Publicam-se políticas. Criam-se procedimentos. Realizam-se treinamentos. E então o programa passa a ser considerado “implantado”. O grande problema é que o negócio continua mudando. Novos sistemas são contratados. Novos fornecedores passam a tratar dados pessoais. Processos são automatizados. Ferramentas de inteligência artificial são incorporadas. Novos produtos são lançados. Dados passam a ser utilizados para novas finalidades. Sites e aplicativos são remodelados. Estratégias comerciais mudam. E o tratamento de dados acompanha todas essas mudanças. Por isso, a decisão envolvendo o TikTok deve servir como um alerta para as empresas: a conformidade precisa acompanhar a operação. Um ROPA desatualizado, por exemplo, pode deixar de refletir operações que efetivamente acontecem na empresa. Um RIPD elaborado antes da implementação de uma nova tecnologia pode não contemplar os riscos atuais. Uma política de privacidade pode não refletir as finalidades reais de tratamento. Um fornecedor pode passar a acessar dados pessoais sem que a avaliação de terceiros tenha sido revisitada. O programa continua existindo, mas pode deixar de representar a realidade. A EFETIVIDADE DOS CONTROLES PASSA A SER UM ELEMENTO CENTRAL A decisão da ANPD também reforça a importância dos princípios da prevenção e da responsabilização e prestação de contas, especialmente quando a organização precisa demonstrar que adotou medidas capazes de prevenir irregularidades. Não se trata apenas de perguntar “temos uma política?”. É necessário questionar: Essa última pergunta pode ser decisiva. E POR QUE O CASO TIKTOK IMPORTA PARA EMPRESAS QUE NÃO SÃO PLATAFORMAS DIGITAIS? É natural pensar que uma decisão envolvendo uma rede social, milhões de usuários e dados de crianças e adolescentes tenha pouca relação com uma empresa tradicional. Mas o principal aprendizado não está no modelo de negócio do TikTok. Está na forma como a ANPD avaliou a efetividade das medidas adotadas pelo agente de tratamento. Qualquer empresa que trate dados pessoais pode enfrentar questionamentos semelhantes, ainda que em escala muito menor. Uma empresa de serviços de marketing, por exemplo, pode tratar dados de clientes, colaboradores, candidatos, fornecedores e parceiros. Uma indústria pode utilizar sistemas de monitoramento, biometria ou tecnologias de automação. Uma instituição de ensino lida diretamente com dados de crianças e adolescentes. Uma empresa de tecnologia pode incorporar inteligência artificial aos seus produtos. Os riscos mudam. E, consequentemente, o programa de privacidade também precisa mudar. A revisão do programa de conformidade nunca foi uma boa prática, mas sim uma necessidade. A decisão envolvendo o TikTok acontece em um cenário regulatório que também está se tornando mais complexo. Em 2026, entrou em vigor o Estatuto Digital da Criança e do Adolescente (ECA Digital), estabelecendo novas obrigações para plataformas e serviços digitais, incluindo mecanismos relacionados à aferição de idade, supervisão parental e prevenção de riscos para crianças e adolescentes. A própria ANPD já publicou orientações preliminares sobre mecanismos confiáveis de aferição de idade. O cenário demonstra uma tendência clara: a proteção de dados está deixando de ser analisada apenas sob a perspectiva documental e passando a ser observada cada vez mais sob a perspectiva do risco e da efetividade. O QUE SUA EMPRESA DEVERIA REVISAR AGORA? O caso TikTok é uma boa oportunidade para transformar a discussão sobre sanções em uma avaliação prática do próprio programa de privacidade. Alguns pontos merecem atenção: 1. Mapeamento de dados O ROPA ainda representa fielmente as
