Após cinco anos de investigação, a ANPD (Agência Nacional de Proteção de Dados) multou em R$ 153,7 milhões a empresa ByteDance, controladora do TikTok, em processo administrativo que apurou irregularidades no tratamento de dados de crianças e adolescentes.
As próprias informações disponibilizadas pela plataforma ajudaram os técnicos da agência a aplicar a sanção e a exigir medidas imediatas para coibir o uso indevido de dados dos menores de 13 anos.
Confira abaixo as principais respostas sobre o caso.
O QUE LEVOU A ANPD A MULTAR A EMPRESA BYTEDANCE, CONTROLADORA DO TIKTOK?
Após investigação, a ANPD calculou que o TikTok pode ter coletado dados pessoais de cerca de 20% das crianças brasileiras em um período de um ano. A estimativa foi feita a partir de dados fornecidos pela própria ByteDance, controladora da plataforma, que informou ter removido 7,75 milhões de contas de crianças no país de outubro de 2022 a setembro de 2023.
Para a ANPD, o volume de contas removidas mostra a fragilidade do mecanismo utilizado pela plataforma para impedir que menores de idade entrassem no serviço. A agência comparou os 7,75 milhões de contas com a estimativa de 43 milhões de crianças no país, feita a partir do Censo 2022.
Além disso, a nota técnica que embasou a fiscalização contra a plataforma mostra que o problema não se restringia às crianças que conseguiam criar uma conta. Mesmo sem cadastro, usuários podiam acessar o principal feed da rede social, enquanto o TikTok coletava informações sobre a utilização da plataforma e personalizava o conteúdo.
QUAL É O VALOR DA MULTA APLICADA PELA ANPD AO TIKTOK?
A sanção total é de R$ 153.769.671,33, valor que leva em conta o faturamento da ByteDance no Brasil. A LGPD (Lei Geral de Proteção de Dados) limita as multas a 2% do faturamento da empresa no país, com teto de R$ 50 milhões por infração. Como foram detectadas cinco infrações distintas, o percentual foi aplicado de forma cumulativa:
– R$ 63.176.686,67: por infração ao artigo 7º da LGPD (tratamento de dados sem hipótese legal válida);
– R$ 63.176.686,67: por descumprimento do artigo 6º, inciso 8º da LGPD (princípio da prevenção);
– R$ 27.416.297,99: por descumprimento do artigo 6º, inciso 10º da LGPD (princípio da responsabilização e prestação de contas).
QUAL FOI A REAÇÃO E O POSICIONAMENTO PÚBLICO DA CONTROLADORA BYTEDANCE?
A ByteDance informou em nota oficial que avalia as medidas cabíveis, tendo o prazo legal de dez dias úteis para apresentar recurso administrativo ao Conselho Diretor da ANPD, a partir da notificação, feita nesta segunda-feira (24).
A empresa defendeu-se alegando que o processo administrativo em questão foi aberto em 2021 e refere-se a um período anterior à implementação de seu atual plano de conformidade (entregue e aprovado pela agência em 2025) e de outras medidas de proteção que já foram integradas de forma voluntária à plataforma desde então.
POR QUE A ANPD APLICOU A MULTA CINCO ANOS APÓS O INÍCIO DAS INVESTIGAÇÕES?
A ANPD afirma que, inicialmente, adotou uma estratégia responsiva, tentando fazer com que a empresa corrigisse as irregularidades antes da aplicação de uma punição. Ao longo da fiscalização, porém, a área técnica da agência afirmou que a postura do TikTok “não parece sinalizar a busca da solução do problema, mas apenas tornar o processo de fiscalização mais moroso”, situação que motivou a aplicação da multa.
QUAIS FORAM AS INFRAÇÕES DETECTADAS PELA ANPD NA ATUAÇÃO DO TIKTOK?
A ANPD identificou cinco infrações distintas à LGPD cometidas pela ByteDance (TikTok). Elas foram divididas de acordo com as modalidades de acesso à plataforma (“feed sem cadastro” e “feed com cadastro”), além de uma infração geral aplicável a ambas:
No feed sem cadastro (experiência sem conta registrada)
– Tratamento de dados pessoais sem base legal válida: Coleta e processamento de informações de crianças e adolescentes de forma inadequada, sem amparo em nenhuma das hipóteses legais previstas na LGPD.
– Falta de medidas preventivas: Ausência de salvaguardas ou mecanismos técnicos preventivos para evitar que os dados desse público fossem tratados indevidamente desde o primeiro acesso.
No feed com cadastro (contas registradas)
– Tratamento de dados no cadastro sem base legal: Coleta e uso de informações pessoais de menores de idade durante o processo de criação de contas sem uma justificativa jurídica válida.
– Mecanismos de controle de idade ineficazes: Falha em implementar barreiras e mecanismos eficazes para impedir o cadastro de crianças menores de 13 anos (idade mínima permitida). O TikTok utilizava de forma quase exclusiva a autodeclaração de idade, o que permitia que menores de 13 anos burlassem as barreiras etárias. Comprovação dessa prática é que o próprio TikTok relatou ter banido 7,75 milhões de contas de menores de 13 anos no Brasil entre outubro de 2022 e setembro de 2023.
Comum a ambas as modalidades
– Ausência de comprovação de conformidade: Falha da empresa em demonstrar e comprovar que as medidas de proteção adotadas eram efetivamente capazes de garantir o cumprimento das normas estabelecidas pela LGPD.
QUAIS INFORMAÇÕES O TIKTOK COLETAVA DOS USUÁRIOS?
Segundo informações prestadas pelo TikTok, a plataforma registrava dados relacionados à utilização do serviço, como vídeos assistidos, hashtags, país, fuso horário, configurações e tipo de dispositivo, além de tentativas de utilizar recursos como curtidas e compartilhamentos.
O ponto é relevante porque a ByteDance tentou diferenciar a recomendação de vídeos de uma atividade de perfilização. A empresa argumentou que o sistema fazia cálculos para determinar quais conteúdos seriam mais relevantes, mas que isso não significaria a criação de perfis dos usuários.
A área técnica da ANPD discordou. Na avaliação da fiscalização, a personalização baseada nos dados coletados significa que há formação de perfis comportamentais, inclusive de crianças e adolescentes. A agência concluiu que o tratamento de dados permitia personalizar o conteúdo oferecido a esse público.
O QUE ACONTECIA COM OS DADOS COLETADOS?
Na avaliação da ANPD, havia preocupação com a possibilidade de dados de crianças terem sido coletados, utilizados para formação de perfis e compartilhados com parceiros comerciais antes da exclusão das contas. A agência considerou que a empresa não havia apresentado uma estratégia suficiente para reduzir os impactos desse compartilhamento.
POR QUE A ANPD EXIGIU MECANISMO DE COMPROVAÇÃO DE AUTORIZAÇÃO DOS PAIS?
Em certo momento, o TikTok passou a defender que a legislação brasileira não exigiria autorização explícita dos pais para todas as atividades realizadas por adolescentes no ambiente digital. A ANPD rejeitou a ideia de que a simples utilização da plataforma ou a aceitação dos termos de serviço pudessem representar automaticamente autorização dos responsáveis. Assim, o órgão determinou que a empresa deveria apresentar mecanismos capazes de comprovar a representação ou assistência dos responsáveis nos casos em que isso fosse exigido.
ALÉM DA MULTA, QUAIS AS PRINCIPAIS DETERMINAÇÕES DE EXCLUSÃO DE DADOS FEITAS PELA AGÊNCIA?
A ByteDance terá de eliminar todos os dados de crianças e adolescentes coletados irregularmente. Além disso, a empresa tem o prazo de 60 dias úteis para regularizar a representação ou assistência legal das contas de adolescentes cadastrados (entre 13 e 18 anos).
Caso a regularização parental não seja comprovada após o prazo, as contas e os dados desse grupo de usuários deverão ser apagados, e parceiros com quem as informações foram compartilhadas deverão ser informados para que também façam a exclusão em suas bases. O descumprimento dessas obrigações acarretará multa diária de R$ 137 mil.
QUAIS MEDIDAS PRÁTICAS FORAM INCLUÍDAS NO PLANO DE CONFORMIDADE DO TIKTOK?
O plano homologado pela agência exige profundas modificações de segurança no aplicativo para usuários no Brasil.
Para menores de 16 anos: As configurações de privacidade mais restritivas do aplicativo devem ser ativadas automaticamente por padrão. Estas configurações só poderão ser alteradas após autorização prévia e expressa dos responsáveis (via e-mail, SMS ou pareamento familiar). Deverá também implementar filtros de conteúdo mais rigorosos.
Para a experiência sem cadastro: O tempo de uso fica limitado a no máximo 12 horas cumulativas por dispositivo. Além disso:
– Usuários não podem criar conteúdo, comentar, enviar mensagens diretas ou interagir socialmente;
– Não há possibilidade de seguir outros usuários ou ser seguido;
– Usuários não podem postar ou assistir a transmissões ao vivo;
– Experiência de personalização de conteúdo muito limitada;
– Suspensão total de anúncios no Brasil;
– Acesso somente a conteúdo apropriado para todas as idades.
– Redução na coleta e processamento de dados: dados mínimos de idioma e região para relevância de conteúdo; informações básicas do dispositivo para proteção contra fraudes e dados para melhorar o desempenho do aplicativo.
São Paulo, FolhaPress – Claudinei Queiroz
