A Agência Nacional de Proteção de Dados aplicou multa de R$ 153,7 milhões à ByteDance, responsável pelo TikTok, após identificar irregularidades relacionadas ao tratamento de dados pessoais de crianças e adolescentes.

A sanção foi publicada em 25 de agosto de 2026 e decorre de Processo Administrativo Sancionador instaurado após anos de fiscalização da plataforma.

Além da penalidade financeira, a ANPD determinou a eliminação dos dados coletados irregularmente. A empresa também assumiu compromissos relacionados à implementação de um plano de conformidade destinado a aprimorar a proteção do público infantojuvenil na plataforma.

A decisão ainda admite recurso ao Conselho Diretor da Agência, no prazo informado pela própria ANPD.

Quais irregularidades foram identificadas pela ANPD?

A fiscalização analisou duas modalidades de acesso ao TikTok.

A primeira é o feed sem cadastro, no qual o usuário consegue acessar conteúdos sem criar uma conta.

A segunda corresponde ao uso da plataforma por meio de perfil registrado.

De acordo com a ANPD, foram identificadas cinco violações aos artigos 6º, incisos VIII e X, e 7º da Lei Geral de Proteção de Dados.

No feed sem cadastro, a Agência apontou:

• tratamento de dados pessoais de crianças e adolescentes sem hipótese legal válida;
• ausência de medidas suficientes para prevenir o tratamento desses dados.

Nas contas cadastradas, foram identificados:

• tratamento de dados pessoais no processo de cadastro sem hipótese legal adequada;
• ausência de medidas eficazes para impedir o cadastro indevido desse público.

Além disso, nas duas experiências, a ANPD entendeu que a empresa não demonstrou a existência de medidas suficientemente eficazes para comprovar o cumprimento das normas de proteção de dados.

Por que a verificação de idade se tornou um ponto central?

A discussão sobre idade acompanha a fiscalização do TikTok há alguns anos.

Em Nota Técnica publicada em 2024, a ANPD analisou a efetividade dos mecanismos utilizados pela plataforma e registrou dados apresentados pela própria ByteDance.

Segundo essas informações, aproximadamente 7,75 milhões de contas de crianças foram removidas no Brasil entre outubro de 2022 e setembro de 2023.

Para a área técnica, esses números evidenciaram a escala do problema e levantaram questionamentos sobre a capacidade dos mecanismos existentes de impedir que menores de 13 anos chegassem a utilizar a plataforma.

A lógica regulatória é importante: mecanismos destinados a impedir determinado tratamento de dados devem atuar de maneira preventiva sempre que possível, e não apenas identificar e corrigir irregularidades depois de sua ocorrência.

Autodeclaração de idade ainda é suficiente?

O caso TikTok precisa ser analisado em conjunto com a evolução regulatória ocorrida após o início da fiscalização.

O ECA Digital, Lei nº 15.211/2025, introduziu obrigações específicas relacionadas à proteção de crianças e adolescentes em produtos e serviços digitais.

Em março de 2026, a ANPD também publicou orientações preliminares e um cronograma para implementação de mecanismos confiáveis de aferição de idade. A Agência afirma que esses mecanismos deverão ser adotados por fornecedores de produtos ou serviços direcionados a crianças e adolescentes ou de acesso provável por esse público.

Nesse contexto, a simples autodeclaração passa a enfrentar limitações evidentes quando utilizada como única barreira para serviços que apresentam riscos relevantes ou tratamento significativo de dados pessoais.

Isso não significa, entretanto, que exista uma solução tecnológica única aplicável a todas as empresas.

A escolha de mecanismos de aferição etária precisa considerar fatores como risco, proporcionalidade, privacidade, minimização de dados, segurança e características do produto.

O que muda no TikTok?

O plano de conformidade associado à fiscalização prevê diferentes medidas.

Para contas de usuários com menos de 16 anos, o TikTok deverá aplicar automaticamente configurações mais restritivas de privacidade, cuja alteração dependerá de autorização dos responsáveis.

Também estão previstos reforço dos mecanismos de supervisão parental e filtros de conteúdo mais rigorosos.

No feed sem cadastro, as restrições são mais amplas.

Entre as medidas divulgadas pela ANPD estão:

• suspensão integral de anúncios no Brasil;
• impossibilidade de criação de conteúdo;
• bloqueio de comentários e mensagens diretas;
• impossibilidade de seguir ou ser seguido;
• proibição de assistir ou realizar transmissões ao vivo;
• personalização significativamente limitada;
• acesso apenas a conteúdos apropriados para todas as idades;
• redução da coleta e do tratamento de dados pessoais.

O Conselho Diretor também determinou que a ByteDance observe as exigências de aferição de idade estabelecidas pelo ECA Digital, conforme o cronograma definido pela ANPD.

O caso indica uma mudança na fiscalização da ANPD?

A decisão é relevante pela dimensão econômica da penalidade, mas seu impacto regulatório não se resume ao valor da multa.

A ANPD destacou repetidamente a necessidade de evidências concretas de efetividade das medidas técnicas e organizacionais.

Esse ponto altera a forma como empresas precisam pensar conformidade.

Ter políticas, controles ou ferramentas implementadas não necessariamente demonstra que os riscos estão adequadamente gerenciados.

A organização também precisa ser capaz de responder perguntas como:

• Quantos usuários menores conseguem ultrapassar os controles existentes?
• Qual é a taxa de erro do mecanismo de aferição etária?
• Como são identificadas contas utilizadas por crianças?
• Quais dados são coletados antes da confirmação da idade?
• Quais funcionalidades permanecem disponíveis quando a idade não é conhecida?
• As configurações de privacidade mais protetivas são aplicadas por padrão?
• Como a eficácia dos controles é testada?
• Quais evidências dessas avaliações são mantidas?

Para C-levels e conselhos de administração, essas questões colocam proteção de dados de crianças dentro de uma agenda mais ampla de risco regulatório.

Privacy by design ganha uma nova dimensão

Empresas digitais tradicionalmente tratam proteção de dados por meio de políticas de privacidade, bases legais, contratos e procedimentos de atendimento a titulares.

Quando crianças e adolescentes podem utilizar o produto, essa estrutura precisa alcançar também o próprio desenho da experiência.

Isso envolve avaliar:

• cadastro;
• personalização;
• publicidade;
• sistemas de recomendação;
• comunicação entre usuários;
• transmissões ao vivo;
• geolocalização;
• perfilização;
• configurações de privacidade;
• mecanismos de supervisão parental;
• aferição de idade.

A análise passa a aproximar Privacy by Design, Safety by Design e Age-Appropriate Design.

O que empresas devem avaliar agora?

Organizações que possuem produtos digitais direcionados a menores ou de acesso provável por esse público podem considerar uma revisão específica de sua governança.

1. Mapear onde menores podem estar presentes

A análise não deve se limitar ao público-alvo declarado pelo negócio.

É relevante identificar quais produtos, funcionalidades e canais podem efetivamente ser acessados por crianças e adolescentes.

2. Avaliar os mecanismos de aferição de idade

A empresa deve compreender não apenas qual controle utiliza, mas sua efetividade.

Dependendo do risco do serviço, mecanismos baseados exclusivamente em autodeclaração podem demandar revisão.

3. Revisar bases legais

É necessário mapear quais dados são tratados em cada etapa da experiência e verificar se existe fundamento jurídico adequado, especialmente antes da confirmação da idade.

4. Implementar privacidade protetiva por padrão

Configurações relacionadas à publicidade, perfilização, comunicação, localização e compartilhamento precisam receber atenção específica quando envolvem menores.

5. Documentar decisões e evidências

Avaliações de risco, testes, métricas, decisões de produto e mecanismos implementados devem ser registrados.

A capacidade de demonstrar conformidade tornou-se parte relevante da própria conformidade.

Proteção de crianças entra definitivamente na agenda executiva

A penalidade aplicada ao TikTok ocorre em um ambiente regulatório que também inclui a entrada em vigor do ECA Digital e novas ações de fiscalização da ANPD sobre grandes plataformas.

O resultado é uma mudança de maturidade regulatória.

A discussão deixa de estar concentrada apenas em políticas de privacidade ou consentimento e passa a alcançar arquitetura de produto, mecanismos de idade, publicidade, recomendação algorítmica, segurança, governança e demonstração de efetividade.

Para empresas de tecnologia e organizações que oferecem serviços digitais, proteção de crianças e adolescentes passa a exigir coordenação entre Jurídico, DPO, Compliance, Segurança da Informação, Produto, Engenharia, Marketing e liderança executiva.