ECA Digital•

10 de setembro de 2026

•

Together Team

Multa ao TikTok: proteção de dados de crianças e adolescentes

A proteção de dados de crianças e adolescentes deixou de ser uma promessa genérica de termos de uso. Em 25 de agosto de 2026, a Agência Nacional de Proteção de Dados (ANPD) publicou decisão de primeira instância que aplicou à ByteDance Brasil, responsável pelo TikTok no país, multas simples que somam R$ 153.769.671,33. A decisão também determinou a eliminação de determinados dados coletados irregularmente e estabeleceu obrigações de comprovação.

O valor chama atenção, mas não é a principal lição para outras empresas. Na proteção de dados de crianças e adolescentes, uma organização precisa conseguir responder a três perguntas concretas: como evita o tratamento irregular desde o primeiro acesso, como mede a efetividade dos controles e como prova o que fez.

Essa leitura interessa a redes sociais, jogos, aplicativos, plataformas educacionais, serviços de streaming, marketplaces e outros produtos digitais com acesso provável por menores de idade. A decisão é dirigida à ByteDance, foi proferida em primeira instância e previa recurso em dez dias úteis da notificação. As fontes oficiais consultadas até 10 de setembro não informam se houve recurso nem permitem afirmar que a sanção já transitou em julgado. A fundamentação já revela um padrão de fiscalização relevante: política escrita, botão de confirmação e autodeclaração de idade não bastam quando a operação real mostra que o controle falha.

O que a ANPD decidiu no caso TikTok

O Despacho Decisório nº 27/2026/CGS/SFI, publicado no Diário Oficial da União, aplicou três multas simples:

R$ 63.176.686,67 por infrações ao artigo 7º da LGPD, relacionado às hipóteses legais para o tratamento de dados pessoais;
R$ 63.176.686,67 por infrações ao princípio da prevenção, previsto no artigo 6º, inciso VIII;
R$ 27.416.297,99 por infração ao princípio da responsabilização e prestação de contas, previsto no artigo 6º, inciso X.

Somadas, as multas chegam aos R$ 153,7 milhões divulgados pela Agência. A decisão abriu prazo de dez dias úteis para recurso. Também previu redução de 25% se houvesse renúncia expressa ao direito de recorrer e pagamento nas condições regulamentares. Como não foi localizada atualização oficial sobre eventual recurso no processo sancionador, não se deve apresentar a sanção como definitivamente encerrada.

A decisão foi além da multa. Determinou a eliminação dos dados de adolescentes entre 13 e 18 anos cadastrados cuja representação ou assistência legal não seja regularizada no prazo indicado. A obrigação alcança também a comunicação aos terceiros que receberam esses dados, para que façam a exclusão em suas próprias bases.

A comprovação deverá envolver relatório técnico circunstanciado, registros de auditoria e declaração formal assinada pelo encarregado. Se a documentação for insuficiente, a Agência poderá requisitar auditoria externa e independente. Há ainda previsão de multa diária para o descumprimento das obrigações de eliminação, documentação e comunicação aos terceiros.

Essa combinação — correção da base, rastreabilidade do compartilhamento e evidência técnica — torna o caso especialmente relevante para a proteção de dados de crianças e adolescentes. Não basta desativar uma conta ou alterar uma tela. A organização deve saber onde os dados foram parar, quem precisa agir e como demonstrar que a medida foi executada.

Cinco condutas analisadas pela fiscalização

Segundo a notícia oficial da ANPD, a sanção corresponde a cinco violações relacionadas a duas experiências distintas.

No chamado feed sem cadastro, a fiscalização apontou tratamento de dados de crianças e adolescentes sem hipótese legal válida e ausência de medidas eficazes para prevenir esse tratamento.

No feed com cadastro, apontou tratamento de dados para cadastrar crianças e adolescentes sem hipótese legal válida, além de controles insuficientes para prevenir o cadastro desse público nas condições analisadas.

Nas duas experiências, a ANPD concluiu que faltavam medidas eficazes e evidências capazes de comprovar a observância das normas de proteção de dados. É uma diferença importante: o problema não foi descrito apenas como falha documental. A autoridade examinou se os mecanismos conseguiam produzir o resultado prometido.

A Nota Técnica nº 50/2024/FIS/CGF/ANPD, que antecedeu o processo sancionador, registrou que a simples autodeclaração de idade era uma barreira insuficiente no contexto analisado. O documento também distinguiu o acesso sem cadastro do acesso por conta registrada. Essa separação é útil para qualquer empresa que trate da proteção de dados de crianças e adolescentes: cada modo de entrada pode envolver dados, finalidades, riscos e hipóteses legais diferentes.

A proteção de dados de crianças e adolescentes começa antes do cadastro

Muitos programas de privacidade concentram controles na criação da conta. Porém, cookies, identificadores de dispositivo, logs, endereço IP, região, idioma, eventos de navegação e mecanismos antifraude podem começar a operar antes que o usuário conclua qualquer cadastro.

Foi justamente o acesso sem conta que tornou o caso mais instrutivo. A pessoa podia consumir conteúdo sem se registrar, mas isso não significava ausência de tratamento de dados. Para a proteção de dados de crianças e adolescentes, a primeira pergunta não deve ser “o usuário criou uma conta?”, e sim “quais operações de dados começam quando alguém abre o produto?”.

O diagnóstico precisa considerar, pelo menos:

carregamento inicial do site ou aplicativo;
SDKs de analytics, publicidade e prevenção a fraude;
identificadores do dispositivo e da sessão;
personalização e recomendação de conteúdo;
criação, validação e recuperação de conta;
controles parentais e mecanismos de idade;
compartilhamentos com fornecedores e parceiros;
retenção após bloqueio, exclusão ou regularização da conta.

Sem esse mapa, a empresa pode acreditar que protege menores porque impede uma etapa do cadastro, enquanto continua tratando dados em fluxos anteriores ou paralelos.

Autodeclaração de idade não é sinônimo de controle eficaz

Pedir uma data de nascimento pode fazer parte de uma estratégia de proteção de dados de crianças e adolescentes, mas não prova, sozinho, que o sistema consegue distinguir públicos ou impedir usos incompatíveis. A adequação depende do risco do produto, de suas funcionalidades, da atratividade para menores e das consequências de um erro.

Isso não significa que toda empresa deva exigir documento, reconhecimento facial ou biometria de cada usuário. Uma resposta desproporcional também pode ampliar a coleta e criar novos riscos. O próprio Estatuto Digital da Criança e do Adolescente proíbe que a regulamentação resulte em vigilância massiva, genérica ou indiscriminada.

A saída é uma abordagem em camadas, proporcional ao contexto. Ela pode combinar sinais de idade fornecidos por lojas de aplicativos ou sistemas operacionais, configurações do dispositivo, supervisão parental, restrições por funcionalidade, detecção de inconsistências e revisão de contas sinalizadas. Cada mecanismo deve ser avaliado quanto a precisão, inclusão, segurança, minimização e possibilidade de contestação.

Na proteção de dados de crianças e adolescentes, o objetivo não é coletar o máximo possível para descobrir a idade. É obter segurança suficiente com o menor impacto possível sobre todos os usuários.

O plano de conformidade é diferente da multa

A atuação da ANPD envolveu dois processos relacionados, mas distintos. O processo sancionador tratou das condutas passadas e resultou na decisão de primeira instância sobre multa e eliminação. Em outro processo de fiscalização, a ByteDance apresentou um plano de conformidade para corrigir práticas e reorganizar as experiências oferecidas no Brasil.

Em decisão também publicada em 25 de agosto de 2026, o Conselho Diretor aprovou o plano em grau recursal, com ressalva sobre a implantação de aferição etária robusta. O Despacho Decisório PR/ANPD nº 37/2026 determinou que a empresa observe os prazos do cronograma do ECA Digital e as orientações definitivas que serão publicadas pela Agência.

Entre as medidas divulgadas estão configurações mais restritivas de privacidade por padrão para contas de pessoas com menos de 16 anos, reforço da supervisão parental e limitações profundas no feed sem cadastro. Nessa experiência, o plano prevê suspensão de anúncios no Brasil, menor personalização, limitação temporal, conteúdo apropriado para todas as idades e redução dos dados tratados.

A distinção evita duas conclusões erradas sobre a proteção de dados de crianças e adolescentes. A primeira seria dizer que todas essas medidas compõem a sanção pecuniária. A segunda seria supor que a aprovação formal do plano já prova sua efetividade. O próprio voto do Conselho Diretor registra que o cumprimento e a eficácia devem ser avaliados em etapa posterior de monitoramento.

Privacidade por padrão precisa mudar o produto

A proteção de dados de crianças e adolescentes não se resolve com uma política de privacidade isolada. Ela pode exigir decisões de produto que reduzam exposição, interação, publicidade, personalização e coleta.

O ECA Digital, em vigor desde 17 de março de 2026, estabelece proteção prioritária, melhor interesse e medidas adequadas e proporcionais para produtos ou serviços direcionados a crianças e adolescentes ou de acesso provável por eles. A lei também exige, por padrão, a configuração mais protetiva disponível de privacidade e proteção de dados.

Na prática, a proteção de dados de crianças e adolescentes por padrão pode se traduzir, conforme o serviço, o público e o risco, em medidas como:

conta privada ou exposição restrita desde a entrada;
geolocalização, contato e descoberta desativados quando não necessários;
publicidade e perfilamento limitados conforme o público e o contexto;
mensagens, transmissões ao vivo e interações sociais condicionadas ao risco;
coleta mínima antes da confirmação da faixa etária;
explicações adequadas à idade, sem transferir todo o ônus para responsáveis;
caminhos seguros de regularização, contestação e exclusão.

Esses itens não formam uma lista universal de obrigações idênticas. Alguns refletem deveres previstos no ECA Digital para serviços e situações específicos; outros aparecem no plano particular da ByteDance ou funcionam como boas práticas dependentes do risco. Para equipes de produto, isso significa aceitar que algumas funcionalidades talvez não devam existir para todos os públicos. O caso TikTok mostra que a proteção de dados de crianças e adolescentes pode exigir limitar a experiência, e não apenas acrescentar uma camada de aviso.

Prestação de contas é demonstrar resultado

A multa ligada ao princípio da responsabilização e prestação de contas merece atenção. Em privacidade, guardar políticas, atas e avaliações é necessário, mas documentação sem teste pode apenas registrar uma intenção.

Uma empresa precisa definir indicadores que mostrem se os controles de proteção de dados de crianças e adolescentes funcionam. Alguns exemplos:

percentual de acessos classificados em cada faixa de risco;
contas de menores identificadas após o cadastro;
reincidência após bloqueio ou exclusão;
tempo para regularização ou encerramento da conta;
volume e motivo de contestações sobre idade;
falhas por dispositivo, região ou grupo de usuários;
terceiros notificados e confirmações de eliminação;
incidentes e desvios encontrados em testes periódicos.

Esses indicadores não devem virar metas cegas. Uma taxa menor de detecção, por exemplo, pode indicar melhoria real ou simplesmente um controle menos sensível. A análise precisa combinar métricas, amostras, testes técnicos e revisão humana.

Para a proteção de dados de crianças e adolescentes, evidência robusta conecta quatro elementos: o risco identificado, a medida escolhida, o resultado observado e a correção realizada quando o controle não funciona.

Eliminar dados exige alcançar fornecedores e cópias

A ordem de eliminação evidencia outro desafio frequente: apagar na base principal não encerra o tratamento. Dados podem estar em ferramentas de analytics, plataformas publicitárias, sistemas de suporte, data lakes, backups, fornecedores de moderação e ambientes de desenvolvimento.

Antes de prometer exclusão, a empresa deve conhecer seus fluxos e contratos. Na proteção de dados de crianças e adolescentes, também precisa definir como propaga uma ordem aos operadores, como recebe confirmação, quais cópias ficam bloqueadas por obrigação legal ou limitação técnica e como documenta exceções.

No caso analisado, a decisão exige relação dos terceiros que receberam os dados e comprovação de que foram comunicados sobre a exclusão. Essa medida é específica para a ByteDance, mas ilustra uma capacidade operacional necessária em qualquer programa de proteção de dados de crianças e adolescentes: rastrear o ciclo completo, não apenas a tabela mais visível do sistema.

O que empresas digitais devem revisar agora

A sanção não transforma automaticamente todas as medidas impostas ao TikTok em obrigação idêntica para qualquer empresa. Porte, funcionalidade, público, risco, modelo de negócio e grau de interferência precisam ser considerados. Ainda assim, há um roteiro prático que pode ser aplicado desde já.

1. Classifique o acesso provável

Não limite a análise ao público-alvo declarado. A proteção de dados de crianças e adolescentes exige avaliar atratividade, facilidade de acesso, dados reais de uso, denúncias, suporte e funcionalidades sociais. Um serviço “para maiores de 18” pode continuar sendo acessado por menores quando o desenho facilita esse uso.

2. Mapeie dados antes e depois do cadastro

Separe site, aplicativo, versão sem conta, criação de perfil, login, recuperação, personalização e publicidade. Para cada etapa, registre dados, finalidade, hipótese legal, retenção e destinatários.

3. Teste o mecanismo de idade

Documente cenários de contorno, falsos positivos, falsos negativos e impactos de acessibilidade. Reavalie quando houver novas funcionalidades, fontes de dados ou mudanças no comportamento dos usuários.

4. Reduza a experiência quando houver incerteza

Quando a faixa etária não estiver suficientemente estabelecida, aplique o padrão mais protetivo compatível com o produto. Isso pode significar desativar anúncios, mensagens, localização, personalização ou compartilhamento até que a situação seja regularizada.

5. Construa supervisão parental utilizável

Controles escondidos, complexos ou dependentes de configurações extensas têm pouca efetividade para a proteção de dados de crianças e adolescentes. Pais e responsáveis precisam compreender o que podem limitar e receber informações úteis sem acesso indevido à intimidade progressiva do adolescente.

6. Prepare exclusão rastreável

Mantenha inventário de terceiros, responsáveis, prazos e evidências. Teste periodicamente se uma ordem de eliminação percorre todos os ambientes previstos.

7. Leve evidências à governança

Produto, jurídico, DPO, segurança, marketing e liderança devem analisar indicadores e incidentes de proteção de dados de crianças e adolescentes em conjunto. A decisão de aceitar um risco precisa ter responsável, prazo e medida corretiva; não pode ficar escondida em uma planilha sem acompanhamento.

O recado da ANPD vai além das grandes plataformas

A multa foi aplicada em um caso de grande escala e alto impacto. Isso não significa que pequenas e médias empresas receberão a mesma resposta nem que todas estão sujeitas ao mesmo conjunto de medidas. Significa, porém, que a proteção declarada deve corresponder ao funcionamento real do produto.

A LGPD já exigia prevenção, prestação de contas, base legal e consideração do melhor interesse no tratamento de dados de crianças e adolescentes. O ECA Digital adicionou deveres específicos para produtos e serviços digitais abrangidos por seu escopo. A ANPD também mantém um cronograma de adaptação e monitoramento sobre mecanismos de aferição de idade.

Empresas que esperarem uma fiscalização para descobrir os próprios fluxos terão pouco tempo para reconstruir produto, contratos, métricas e exclusões. A preparação mais segura começa com uma avaliação objetiva: onde menores entram, o que o sistema coleta, quais funcionalidades são liberadas e que prova existe de que os controles funcionam.

Como a TOGETHER pode apoiar essa revisão

A TOGETHER ajuda empresas a transformar a proteção de dados de crianças e adolescentes em decisões executáveis, sem reduzir o tema a um aviso legal ou adotar coleta excessiva em nome da segurança.

Em um projeto de consultoria em LGPD, o trabalho pode incluir inventário de fluxos, análise de acesso provável, revisão de hipóteses legais, avaliação de fornecedores, contratos, retenção, exclusão e configuração de privacidade por padrão. Também pode envolver revisão de RIPD, testes de controles de idade e definição de indicadores para prestação de contas.

Com o DPO as a Service, a empresa mantém apoio contínuo para acompanhar mudanças do produto, orientar times internos, responder a titulares e responsáveis, organizar evidências e monitorar a evolução das orientações da ANPD e do ECA Digital.

O caso TikTok deixa uma mensagem clara: proteger exige mais do que declarar intenção. É preciso desenhar limites, medir resultados e conseguir provar que eles funcionam.

Se sua empresa oferece produtos ou serviços digitais acessíveis a crianças e adolescentes, fale com a TOGETHER. Podemos revisar os pontos de entrada, as configurações, os parceiros e as evidências antes que uma falha de controle se transforme em um problema maior.