A aplicação de uma multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, pela Agência Nacional de Proteção de Dados (ANPD) representa um dos acontecimentos mais relevantes da história recente da proteção de dados no Brasil.

A decisão, publicada em 25 de agosto de 2026, decorre de um processo de fiscalização iniciado em março de 2021 e apurou irregularidades relacionadas ao tratamento de dados pessoais de crianças e adolescentes. 

Mais do que o valor da multa, o caso chama atenção por outro motivo: a existência de mecanismos de privacidade não foi suficiente. A empresa precisava demonstrar que esses mecanismos eram efetivos.

E essa é uma mensagem que ultrapassa o universo das grandes plataformas digitais.

O QUE LEVOU À MULTA DA ANPD?

A fiscalização da ANPD identificou problemas em duas formas de utilização do TikTok: o chamado “feed sem cadastro”, que permitia o acesso à plataforma sem criação de uma conta e o “feed com cadastro”.

No feed sem cadastro, a ANPD identificou, entre outras questões:

• Tratamento de dados pessoais de crianças e adolescentes sem hipótese legal válida ao permitir o acesso ao feed do TikTok na experiência sem cadastro;
• Ausência de medidas suficientes para prevenir esse tratamento.

No feed com cadastro, foram identificadas:

• Tratamento de dados pessoais para realização de cadastro de crianças e adolescentes sem hipótese legal válida;
• Deixar de adotar medidas eficazes para prevenir o cadastro desse público na plataforma. 

Mas existe um ponto particularmente relevante para qualquer organização que possua um programa de privacidade: a ANPD também apontou que a empresa não demonstrou medidas eficazes capazes de comprovar a observância e o cumprimento das normas de proteção de dados nas experiências com e sem cadastro. 

É justamente aqui que o caso deixa de ser apenas uma notícia sobre o TikTok.

Não basta estar em conformidade. É preciso conseguir demonstrar.

Um dos principais aprendizados da decisão é a diferença entre ter controles de privacidade e ter controles efetivos de privacidade.

Uma empresa pode possuir Política de Privacidade, registros de operações de tratamento, avaliações de riscos, treinamentos, contratos com cláusulas de proteção de dados, procedimentos para atendimento de titulares e até um encarregado formalmente designado.

Isso, por si só, não significa que o programa esteja funcionando.

A pergunta que ganha força com a decisão da ANPD é outra:

A empresa consegue demonstrar que esses controles são aplicados, monitorados, atualizados e efetivos diante dos riscos reais do negócio?

Essa preocupação já aparece com força nas discussões do mercado. A decisão aponta justamente para uma mudança de momento da ANPD: de uma atuação inicialmente muito marcada pela orientação e pela construção da cultura de proteção de dados para uma fase de fiscalização e responsabilização mais efetiva.

Na prática, isso significa que um programa de privacidade criado há dois, três ou quatro anos não pode ser tratado como um projeto concluído. Na realidade, nuca pôde. Programa de conformidade é um processo contínuo.

QUANDO O PROGRAMA DE PRIVACIDADE DEIXA DE REFLETIR A REALIDADE DO NEGÓCIO

Um dos principais desafios dos programas de privacidade é evitar que suas diretrizes e controles fiquem desatualizados diante das mudanças do negócio.

Mapeiam-se os processos. Elaboram-se os registros. Publicam-se políticas. Criam-se procedimentos. Realizam-se treinamentos. E então o programa passa a ser considerado “implantado”. O grande problema é que o negócio continua mudando.

Novos sistemas são contratados. Novos fornecedores passam a tratar dados pessoais. Processos são automatizados. Ferramentas de inteligência artificial são incorporadas. Novos produtos são lançados. Dados passam a ser utilizados para novas finalidades. Sites e aplicativos são remodelados. Estratégias comerciais mudam. E o tratamento de dados acompanha todas essas mudanças.

Por isso, a decisão envolvendo o TikTok deve servir como um alerta para as empresas: a conformidade precisa acompanhar a operação.

Um ROPA desatualizado, por exemplo, pode deixar de refletir operações que efetivamente acontecem na empresa. Um RIPD elaborado antes da implementação de uma nova tecnologia pode não contemplar os riscos atuais. Uma política de privacidade pode não refletir as finalidades reais de tratamento. Um fornecedor pode passar a acessar dados pessoais sem que a avaliação de terceiros tenha sido revisitada. O programa continua existindo, mas pode deixar de representar a realidade.

A EFETIVIDADE DOS CONTROLES PASSA A SER UM ELEMENTO CENTRAL

A decisão da ANPD também reforça a importância dos princípios da prevenção e da responsabilização e prestação de contas, especialmente quando a organização precisa demonstrar que adotou medidas capazes de prevenir irregularidades.

Não se trata apenas de perguntar “temos uma política?”.

É necessário questionar:

• • A política é conhecida pelos colaboradores?
• • Os procedimentos são efetivamente seguidos?
• • Os controles técnicos correspondem às regras estabelecidas?
• • Os riscos identificados continuam atuais?
• • As medidas implementadas foram testadas?
• • Existem evidências de monitoramento?
• • Os responsáveis pelos processos sabem quais dados tratam e qual a finalidade?
• • As medidas corretivas identificadas em avaliações anteriores foram realmente implementadas?
• • A organização consegue comprovar tudo isso?

Essa última pergunta pode ser decisiva.

E POR QUE O CASO TIKTOK IMPORTA PARA EMPRESAS QUE NÃO SÃO PLATAFORMAS DIGITAIS?

É natural pensar que uma decisão envolvendo uma rede social, milhões de usuários e dados de crianças e adolescentes tenha pouca relação com uma empresa tradicional.

Mas o principal aprendizado não está no modelo de negócio do TikTok. Está na forma como a ANPD avaliou a efetividade das medidas adotadas pelo agente de tratamento. Qualquer empresa que trate dados pessoais pode enfrentar questionamentos semelhantes, ainda que em escala muito menor.

Uma empresa de serviços de marketing, por exemplo, pode tratar dados de clientes, colaboradores, candidatos, fornecedores e parceiros. Uma indústria pode utilizar sistemas de monitoramento, biometria ou tecnologias de automação. Uma instituição de ensino lida diretamente com dados de crianças e adolescentes. Uma empresa de tecnologia pode incorporar inteligência artificial aos seus produtos.

Os riscos mudam. E, consequentemente, o programa de privacidade também precisa mudar.

A revisão do programa de conformidade nunca foi uma boa prática, mas sim uma necessidade.

A decisão envolvendo o TikTok acontece em um cenário regulatório que também está se tornando mais complexo.

Em 2026, entrou em vigor o Estatuto Digital da Criança e do Adolescente (ECA Digital), estabelecendo novas obrigações para plataformas e serviços digitais, incluindo mecanismos relacionados à aferição de idade, supervisão parental e prevenção de riscos para crianças e adolescentes. A própria ANPD já publicou orientações preliminares sobre mecanismos confiáveis de aferição de idade. 

O cenário demonstra uma tendência clara: a proteção de dados está deixando de ser analisada apenas sob a perspectiva documental e passando a ser observada cada vez mais sob a perspectiva do risco e da efetividade.

O QUE SUA EMPRESA DEVERIA REVISAR AGORA?

O caso TikTok é uma boa oportunidade para transformar a discussão sobre sanções em uma avaliação prática do próprio programa de privacidade.

Alguns pontos merecem atenção:

1. Mapeamento de dados

O ROPA ainda representa fielmente as operações atuais da empresa?

Existem novos sistemas, fornecedores, processos ou finalidades que não foram incorporados ao mapeamento?

2. Avaliação de riscos

Os riscos foram avaliados quando o projeto foi implementado ou continuam sendo monitorados?

Mudanças relevantes no negócio geram uma nova avaliação?

3. RIPD 

Os tratamentos de maior risco possuem avaliações adequadas e atualizadas?

As premissas utilizadas nas avaliações ainda correspondem à realidade?

4. Privacy by Design

Novos produtos, sistemas e projetos passam por uma análise de privacidade antes de entrarem em produção?

Ou a privacidade é avaliada apenas depois que a solução já está implementada?

5. Gestão de terceiros

Os fornecedores que tratam dados pessoais continuam adequadamente avaliados?

Os contratos refletem os riscos atuais e estabelecem responsabilidades claras?

6. Direitos dos titulares

O processo de atendimento aos titulares funciona na prática?

A empresa consegue demonstrar prazos, solicitações recebidas, análises realizadas e respostas fornecidas?

7. Treinamento e cultura

Os colaboradores sabem o que fazer quando identificam um risco ou uma situação envolvendo dados pessoais?

Treinamento não deve ser apenas uma atividade anual obrigatória. Deve existir uma cultura capaz de sustentar o programa.

8. Evidências de conformidade

Talvez este seja um dos pontos mais importantes.

A empresa consegue apresentar evidências de que os controles estão funcionando?

Políticas, atas, registros, relatórios, avaliações, treinamentos, testes, indicadores, planos de ação e evidências de monitoramento podem ser fundamentais para demonstrar a maturidade do programa.

O PROGRAMA DE PRIVACIDADE PRECISA ACOMPANHAR O NEGÓCIO

A multa aplicada ao TikTok não deve ser interpretada apenas como uma penalidade de R$ 153,7 milhões. Ela representa um sinal importante para o mercado.

A ANPD não está olhando somente para a existência de políticas e procedimentos. A Agência está avaliando como os dados são efetivamente tratados, quais riscos existem, quais medidas foram adotadas e se essas medidas são capazes de produzir resultados concretos.

A pergunta não deveria ser apenas: “Minha empresa está adequada à LGPD?”, mas: “Se a ANPD questionar hoje meu programa de privacidade, eu consigo demonstrar, com evidências, que os controles estão funcionando?”

Se a resposta não for clara, talvez seja hora de revisar o programa. E essa revisão não precisa começar com um projeto completamente novo. Pode começar por aquilo que já existe: reavaliar riscos, atualizar documentos, testar controles, revisar processos, acompanhar mudanças regulatórias e verificar se aquilo que está escrito corresponde ao que realmente acontece dentro da organização.

Porque, em um cenário de fiscalização cada vez mais madura, conformidade não é apenas aquilo que a empresa declara ter, mas também aquilo que ela consegue demonstrar que faz.

COMO A SHIELD PODE AJUDAR

A revisão periódica do programa de privacidade permite identificar lacunas antes que elas se transformem em problemas regulatórios. 

A Shield Security apoia organizações na estruturação, implementação e evolução de seus programas de privacidade e proteção de dados, unindo expertise consultiva e soluções tecnológicas para tornar a governança mais eficiente e contínua. Nossa atuação contempla desde a gestão de riscos, mapeamento de dados, ROPA, RIPD e Teste de Balanceamento, até Privacy by Design, gestão de terceiros, atendimento aos direitos dos titulares e conscientização, com soluções que apoiam o monitoramento e a evolução do programa ao longo do tempo.

O caso TikTok deixa uma mensagem importante: o programa de conformidade precisa evoluir na mesma velocidade que o negócio.