Multa da ANPD ao TikTok: prova acima do papel

A maior sanção já aplicada pela Autoridade puniu falta de evidência de efetividade; entenda o que isso cobra de hospitais, escolas e operadoras.

O que aconteceu

A multa da ANPD ao TikTok, publicada no Diário Oficial da União em 25 de agosto de 2026, fixou em R$ 153,7 milhões a sanção aplicada à ByteDance por irregularidades no tratamento de dados pessoais de crianças e adolescentes. É a maior penalidade pecuniária já imposta pela Autoridade desde a entrada em vigor da LGPD.

A decisão decorre de Processo Administrativo Sancionador instruído a partir da Nota Técnica nº 50/2024/CGF/ANPD, da Superintendência de Fiscalização. Foram apuradas cinco condutas infracionais, distribuídas entre duas modalidades de acesso à plataforma: o feed sem cadastro, aberto a qualquer visitante, e o feed com cadastro, vinculado a perfil registrado.

Em ambas, a Autoridade concluiu ter havido tratamento de dados de crianças e adolescentes sem hipótese legal válida, com violação aos artigos 6º, incisos VIII e X, e 7º da Lei nº 13.709/2018. Além da multa, determinou a eliminação dos dados coletados irregularmente e homologou, em grau recursal, plano de conformidade obrigatório. Da decisão cabe recurso ao Conselho Diretor em dez dias úteis contados da notificação.

Por que isso importa muito além das plataformas digitais

Existe uma leitura confortável dessa decisão: “é caso de rede social, não alcança a minha operação”. Ela é equivocada, e por um motivo técnico preciso.

O que a ANPD sancionou não foi o modelo de negócio da plataforma. Foi a incapacidade da empresa de demonstrar que suas medidas técnicas e organizacionais eram eficazes. A área técnica consignou que faltavam evidências concretas de efetividade dos controles adotados. Esse é exatamente o teste que hospitais, operadoras de planos de saúde, instituições de ensino, indústrias e cartórios enfrentarão quando a fiscalização chegar.

O artigo 6º, inciso X, da LGPD consagra o princípio da responsabilização e prestação de contas. Ele não se satisfaz com a existência de uma política. Exige a demonstração de medidas eficazes e capazes de comprovar a observância das normas de proteção de dados. Já o inciso VIII, princípio da prevenção, cobra ação antes da materialização do dano, e não remediação posterior.

A decisão contra a ByteDance converte esses dois princípios, historicamente tratados como retórica de abertura de política de privacidade, em fundamento autônomo de sanção milionária.

O deslocamento do ônus: da política para a prova

Boa parte dos programas de adequação brasileiros foi construída sobre entregáveis documentais: política de privacidade publicada, ROPA preenchido, Encarregado nomeado, treinamento realizado uma vez. O acervo existe, mas raramente responde à pergunta que a fiscalização faz.

A pergunta é outra: o controle funcionou? Com que frequência foi testado? Quem registrou o teste? O que aconteceu quando ele falhou?

No caso concreto, a plataforma possuía mecanismos de barreira etária. A ANPD entendeu que não eram suficientes para evitar, desde a origem, o tratamento indevido. A existência do controle não afastou a infração porque sua efetividade não foi comprovada.

Traduzindo para a operação de saúde: ter política de controle de acesso ao prontuário eletrônico não é defesa. Defesa é a trilha de auditoria que demonstra revisão periódica de perfis, bloqueio de contas de profissionais desligados em prazo definido e tratamento formal dos acessos anômalos detectados.

Implicações práticas para o Encarregado

O contexto agrava a exposição. Em 2025, a ANPD recebeu 362 comunicações de incidentes de segurança, cerca de uma por dia, e instaurou 81 processos de fiscalização. Para o biênio 2026 a 2027, o Mapa de Temas Prioritários coloca dados de saúde, biométricos e financeiros entre os alvos declarados.

Três frentes merecem atenção imediata:

• Dados de menores fora das plataformas. Pediatria, obstetrícia, oncologia infantil, redes de ensino e programas de aprendizagem tratam dados de crianças e adolescentes rotineiramente. O artigo 14 da LGPD impõe o melhor interesse como vetor e, no § 1º, consentimento específico e destacado de um dos pais ou responsável legal quando essa for a base aplicável. Muitos formulários de admissão e de autorização de uso de imagem ainda não distinguem o titular menor do seu responsável legal.

• Aferição de idade em canais próprios. O ECA Digital, Lei nº 15.211/2025, em vigor desde março de 2026, sepultou a autodeclaração de idade como mecanismo válido. Agosto de 2026 abriu a Etapa II do cronograma da ANPD, que estende os parâmetros a novos setores. Portais do paciente, aplicativos de agendamento, plataformas de telemedicina e ambientes virtuais de aprendizagem entram nesse escopo.

• Evidência de efetividade. Todo controle relevante precisa de responsável definido, periodicidade de teste e registro do resultado. Sem esses três elementos, o programa permanece declaratório.

O que fazer a partir de agora

1. Levantar onde a organização trata dados de menores e sob qual hipótese legal, distinguindo prontuário, marketing, uso de imagem e pesquisa.
2. Revisar os mecanismos de aferição de idade em todos os canais digitais próprios, à luz das orientações preliminares publicadas pela ANPD.
3. Selecionar de cinco a dez controles críticos e definir, para cada um, a evidência objetiva, o responsável e a periodicidade de verificação.
4. Testar o fluxo de resposta a incidentes contra os prazos da Res. CD/ANPD nº 15/2024, com simulação registrada em ata.
5. Levar o resultado ao comitê de privacidade e formalizar plano de correção com prazos, porque plano de conformidade voluntário e tempestivo pesa na dosimetria, como o próprio caso demonstra.

Como o ecossistema HDPO pode ajudar

O PROTEGON sustenta justamente essa camada de prova: ROPA vinculado às bases legais, módulo de Gestão de Incidentes com registro tempestivo, Diagnósticos periódicos e Governança com evidências anexadas a cada controle. O advisory da HDPO e o DPO como serviço traduzem esse acervo em relatório defensável diante da Autoridade, e não em mais uma pasta de documentos.