Decisão envolvendo dados de crianças e adolescentes reforça uma mudança importante na fiscalização: conformidade com a LGPD precisa existir na prática e ser demonstrável.
A Agência Nacional de Proteção de Dados (ANPD) aplicou multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, após processo administrativo sancionador que apurou irregularidades no tratamento de dados pessoais de crianças e adolescentes.
Segundo a ANPD, foram identificadas práticas em desacordo com a Lei Geral de Proteção de Dados (LGPD) tanto no acesso à plataforma sem cadastro quanto na experiência vinculada a usuários cadastrados. A autoridade apontou cinco violações relacionadas aos artigos 6º, incisos VIII e X, e 7º da LGPD.
Além da penalidade financeira, houve determinação para eliminação de dados coletados irregularmente. A ByteDance também se comprometeu com a implementação de um plano de conformidade destinado a reforçar a proteção de crianças e adolescentes na plataforma.
A decisão, publicada em 25 de agosto de 2026, admite recurso ao Conselho Diretor da ANPD. Portanto, seus efeitos ainda devem ser acompanhados no âmbito administrativo.
Para além das particularidades do caso, a decisão oferece referências importantes para empresas de diferentes setores.
O ponto central é simples: conformidade com a LGPD não se resume à existência de políticas e documentos. Ela precisa ser preventiva, proporcional aos riscos e sustentada por evidências.
1. Base legal não pode ser presumida
Entre as irregularidades apontadas pela ANPD está o tratamento de dados pessoais sem hipótese legal adequada, tanto na experiência sem cadastro quanto naquela vinculada à criação de conta.
A questão ultrapassa o ambiente das plataformas digitais.
Toda operação envolvendo dados pessoais deve estar vinculada a uma finalidade determinada e a uma hipótese legal compatível. Isso vale para informações de clientes, consumidores, colaboradores, fornecedores, parceiros e demais titulares.
Na prática, argumentos como “o sistema coleta automaticamente”, “sempre foi feito dessa forma” ou “o dado é necessário para o negócio” não substituem a análise jurídica do tratamento.
Uma estrutura consistente de governança deve permitir que a organização responda, entre outras questões:
Quais dados são tratados? Para qual finalidade? Com qual base legal? Por quanto tempo são armazenados? Quem possui acesso? Há compartilhamento com terceiros?
Quanto maior o risco associado ao tratamento, mais robusta deve ser essa análise.
Ponto de atenção para as empresas: inventários de dados e registros das operações de tratamento precisam permanecer atualizados e refletir a operação real. Bases legais genéricas ou simplesmente reproduzidas de modelos podem criar uma falsa percepção de conformidade.
2. Prevenção precisa acontecer antes do problema
A ANPD também identificou falhas nas medidas destinadas a impedir o tratamento indevido de dados de crianças e adolescentes. Segundo a autoridade, os mecanismos adotados não foram suficientes para evitar o problema desde sua origem.
Esse aspecto reforça a dimensão preventiva da proteção de dados.
Privacidade não deve entrar na discussão apenas quando ocorre um incidente, uma reclamação ou uma fiscalização.
Novos produtos, sistemas, fornecedores, campanhas, ferramentas de inteligência artificial, integrações e mudanças relevantes em processos internos podem alterar substancialmente o risco relacionado ao tratamento de dados pessoais.
Por isso, privacidade e proteção de dados precisam fazer parte da tomada de decisão desde a concepção dessas iniciativas.
Ponto de atenção para as empresas: projetos que envolvam dados pessoais devem passar por avaliação prévia capaz de identificar finalidade, base legal, riscos, terceiros envolvidos, medidas de mitigação e responsáveis pelas decisões.
A lógica deixa de ser apenas corretiva e passa a integrar a gestão de riscos.
3. Não ter cadastro não significa não tratar dados pessoais
Um dos aspectos relevantes da decisão envolve justamente o chamado “feed sem cadastro”.
A ANPD entendeu que também nessa modalidade ocorria tratamento de dados pessoais de crianças e adolescentes sem hipótese legal adequada e sem medidas suficientes de prevenção.
O caso chama atenção para uma percepção ainda comum no mercado: associar dado pessoal exclusivamente a informações diretamente identificadoras, como nome, CPF, telefone ou e-mail.
Em ambientes digitais, o tratamento pode ocorrer antes do preenchimento de um formulário ou da criação de uma conta.
Identificadores digitais, registros de acesso, informações de dispositivos, cookies, logs, preferências e dados de navegação podem integrar operações de tratamento sujeitas às regras da LGPD, a depender do contexto e da possibilidade de associação a uma pessoa natural.
Ponto de atenção para as empresas: o mapeamento de dados deve contemplar toda a jornada digital, inclusive etapas anteriores ao login ou ao cadastro.
A inexistência de uma conta de usuário não elimina, por si só, obrigações relacionadas a finalidade, base legal, transparência, necessidade e segurança.
4. Política de privacidade não basta: é preciso demonstrar conformidade
Talvez esteja aqui uma das principais mensagens da decisão para o ambiente empresarial.
Entre as infrações apontadas pela ANPD está a ausência de demonstração de medidas eficazes capazes de comprovar a observância das normas de proteção de dados. A própria autoridade destacou a falta de evidências concretas sobre a efetividade das medidas técnicas e organizacionais adotadas.
É a aplicação prática do princípio da responsabilização e prestação de contas previsto na LGPD.
Política de privacidade, aviso de cookies, cláusulas contratuais e procedimentos internos são componentes relevantes de um programa de conformidade. Mas sua existência, isoladamente, não comprova que a organização controla adequadamente seus riscos.
É preciso demonstrar que as medidas foram implementadas, são utilizadas, monitoradas e revisadas.
Em uma eventual fiscalização, a diferença entre “ter um documento” e “conseguir comprovar uma prática” pode ser determinante.
Ponto de atenção para as empresas: programas de privacidade devem produzir e preservar evidências. Registros das operações de tratamento, avaliações de risco, treinamentos, contratos, decisões internas, registros de incidentes, planos de ação e controles de fornecedores ajudam a demonstrar como a governança funciona efetivamente.
5. Maior risco exige governança reforçada
O processo envolve dados de crianças e adolescentes, grupo que demanda proteção específica. Mas a lógica de proporcionalidade observada no caso é relevante para outras atividades empresariais.
Nem todas as operações de tratamento apresentam o mesmo nível de risco.
Atividades envolvendo dados sensíveis, grande volume de informações, monitoramento sistemático, perfilamento, decisões automatizadas ou compartilhamento relevante com terceiros podem exigir controles mais robustos.
A governança deve acompanhar essa diferença.
Isso significa abandonar programas de privacidade uniformes, nos quais todos os tratamentos recebem exatamente o mesmo nível de análise e controle.
Ponto de atenção para as empresas: classificar operações de tratamento de acordo com seu risco permite direcionar recursos e controles de maneira proporcional. Atividades mais críticas podem demandar avaliações prévias aprofundadas, revisão jurídica, controles técnicos específicos, análise de fornecedores e monitoramento contínuo.
Da adequação formal à governança demonstrável
A decisão da ANPD reforça uma evolução importante na aplicação prática da LGPD.
O debate deixa de se concentrar apenas na pergunta “a empresa possui documentos de privacidade?” e avança para uma questão mais ampla:
a organização consegue demonstrar que seus controles funcionam?
Essa diferença muda a forma como empresas devem estruturar seus programas de proteção de dados.
Conformidade deixa de ser um projeto pontual, realizado para produzir políticas, contratos e avisos, e passa a integrar permanentemente a governança corporativa.
Isso exige conhecer os dados tratados, justificar juridicamente cada operação, antecipar riscos, controlar terceiros, documentar decisões e acompanhar a efetividade das medidas adotadas.
A maturidade em proteção de dados aparece justamente nessa capacidade de transformar obrigações jurídicas em processos verificáveis.
Para as empresas, a decisão da ANPD deixa um sinal relevante: na LGPD, estar em conformidade e conseguir demonstrar essa conformidade são partes da mesma obrigação.