ANPD aplica multa de R$ 153,7 milhões ao TikTok por violações à LGPD envolvendo crianças e adolescentes

A Agência Nacional de Proteção de Dados (ANPD) aplicou multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, por irregularidades no tratamento de dados pessoais de crianças e adolescentes. A decisão foi publicada nesta terça-feira (25) no Diário Oficial da União.

Segundo a ANPD, a fiscalização identificou tratamento de dados de menores sem hipótese legal adequada tanto no acesso à plataforma com cadastro quanto no acesso sem cadastro. Além da multa, a empresa deverá eliminar dados coletados irregularmente e executar um plano de conformidade voltado à proteção desse público.

Para Eduardo Nery, CEO e sócio-fundador da Every Cybersecurity and GRC Solutions, a decisão representa mais um sinal de mudança na postura do órgão regulador diante das plataformas digitais. “Os R$ 153,7 milhões chamam atenção, mas o número mais importante desta decisão é outro: pela primeira vez a ANPD deixa de tratar verificação de idade como boa prática e passa a exigi-la como controle técnico auditável, com plano de conformidade e prazo. É o mesmo movimento que vimos no caso Discord há poucos dias: a autoridade está deixando de recomendar e passando a cobrar”, afirma Nery.

Entre as medidas previstas no plano de conformidade, contas de usuários com menos de 16 anos deverão receber automaticamente as configurações mais restritivas de privacidade, que só poderão ser alteradas com autorização dos responsáveis. A plataforma também deverá ampliar os mecanismos de supervisão parental e adotar filtros de conteúdo mais rigorosos.

Para usuários que acessam o TikTok sem cadastro, a experiência deverá ser limitada a 12 horas, sem anúncios, transmissões ao vivo e possibilidade de publicar, comentar, seguir outros usuários ou enviar mensagens.

Fiscalização sobre proteção de menores avança

A decisão contra a ByteDance ocorre poucos dias após a ANPD determinar a suspensão preventiva das transmissões ao vivo do Discord no Brasil diante de falhas relacionadas à proteção de crianças e adolescentes.

Na avaliação da Every Cybersecurity, os dois casos indicam que a proteção desse público está deixando de ser tratada apenas como uma obrigação formal e passa a exigir mecanismos técnicos capazes de demonstrar, na prática, como as empresas identificam, reduzem e acompanham os riscos.

A discussão também ocorre em meio à entrada em vigor do Estatuto Digital da Criança e do Adolescente (ECA Digital), que estabelece novas exigências para produtos e serviços digitais direcionados a crianças e adolescentes ou com possibilidade de acesso por esse público.

Segundo Nery, a simples declaração de idade feita pelo usuário durante o cadastro tende a deixar de ser suficiente diante das novas exigências regulatórias.

“Quem opera qualquer produto digital com potencial de acesso por menores no Brasil precisa parar de tratar isso como cláusula de termo de uso e passar a tratar como arquitetura: privacy by design, configuração restritiva por padrão para conta de menor de idade, autorização parental que realmente bloqueia mudança de configuração e um plano de conformidade documentado antes que a ANPD peça um. É mais barato construir isso do que pagar por não ter construído”, explica.

O que muda para as plataformas

Para a Every Cybersecurity, o caso também serve de alerta para empresas que oferecem aplicativos, redes sociais, jogos, plataformas de conteúdo e outros serviços digitais que possam ser acessados por menores de idade.

A expectativa é que as organizações passem a ser cobradas não apenas pela existência de políticas de privacidade ou termos de uso, mas pela capacidade de demonstrar que os controles adotados funcionam efetivamente.

Isso inclui mecanismos de aferição de idade, configurações de privacidade mais restritivas por padrão, ferramentas de controle parental, limitação da coleta de dados, monitoramento de riscos e documentação das medidas adotadas.

“A empresa precisa conseguir mostrar como identifica a presença de menores, quais dados coleta, por que coleta, quais controles utiliza e como verifica se esses controles realmente funcionam. A tendência é que esse nível de demonstração passe a fazer parte cada vez mais da fiscalização”, avalia Nery.

A ByteDance poderá recorrer da decisão ao Conselho Diretor da ANPD em até dez dias úteis.

Sobre a Every Cybersecurity

A Every Cybersecurity, GRC and Privacy Solutions é uma empresa brasileira, de capital 100% nacional, fundada em 2014, especializada em cibersegurança, privacidade, proteção de dados, governança, riscos e compliance. Com sede em Brasília (DF) e filial no Rio de Janeiro (RJ), atua como parceira estratégica de organizações públicas e privadas na construção de ambientes digitais seguros, resilientes e aderentes às exigências regulatórias.

Reconhecida como uma das referências nacionais em Lei Geral de Proteção de Dados Pessoais (LGPD) e governança de privacidade, teve neste ano suas certificações renovadas pela quinta vez consecutiva na ISO/IEC 27001 e pela quarta vez consecutiva na ISO/IEC 27701, e possui expertise em frameworks como NIST CSF, PCI DSS e nas normas e resoluções do Banco Central. Seu portfólio contempla serviços de adequação à LGPD, DPO as a Service, governança, riscos e compliance (GRC), gestão de vulnerabilidades e a Every Academy, braço dedicado à formação e certificação de profissionais.