ANPD aplica multa recorde de R$ 153 milhões ao TikTok por cinco infrações à LGPD

A Autoridade Nacional de Proteção de Dados (ANPD) aplicou multa de R$ 153.769.671,33 à ByteDance Brasil, responsável pela plataforma TikTok, por cinco infrações à Lei Geral de Proteção de Dados (LGPD) relacionadas ao tratamento de dados pessoais de crianças e adolescentes. A decisão, proferida por meio de Despacho Decisório em 25 de agosto, é a maior sanção já aplicada pela agência desde sua criação.

O processo administrativo sancionador teve origem em denúncia recebida em março de 2021. Segundo o relatório da ANPD, a plataforma removeu mais de 7,75 milhões de contas de menores de 13 anos entre 2022 e 2023, o que contradiz a alegação de que o tratamento de dados desse público seria "incidental". As cinco condutas infracionais foram analisadas separadamente, cada uma resultando em uma sanção autônoma:

1. Tratamento de dados de crianças e adolescentes sem base legal no feed sem cadastro.
2. Falta de medidas preventivas para impedir o tratamento de dados de menores de 13 anos nesse mesmo ambiente.
3. Tratamento de dados de menores de 18 anos para cadastro sem contrato válido.
4. Ausência de mecanismos eficazes para impedir o cadastro de menores de 13 anos.
5. Falta de medidas para demonstrar e comprovar o cumprimento das normas de proteção de dados.

A base de cálculo da multa foi o faturamento bruto da ByteDance Brasil, excluídos os tributos, com alíquotas que variam conforme a gravidade e o grau do dano. As duas primeiras condutas receberam grau de dano 3, resultando em valor-base de R$ 35,7 milhões cada. As demais receberam grau 2, com valor-base de R$ 27,4 milhões cada. Cada multa individual respeitou os limites legais de 2% do faturamento e R$ 50 milhões, mas a soma das cinco ultrapassou R$ 150 milhões.

A decisão reforça a interpretação do art. 52, II, da LGPD, já sinalizada no caso Telekall (multa de R$ 14,4 mil em fevereiro de 2024), de que o teto legal de R$ 50 milhões não é global, mas sim o limite para cada sanção individualmente considerada. Com isso, quanto maior o número de infrações, maior a exposição financeira do controlador.

Além disso, a ANPD utilizou os princípios do art. 6º da LGPD como fontes autônomas de obrigações. Três das cinco condutas punidas decorrem da inobservância dos princípios da prevenção e da responsabilização e prestação de contas, sem violação expressa a comandos específicos. A autoridade entendeu que a omissão na adoção de medidas eficazes, como a falta de verificação de idade no feed sem cadastro e o age gate falho no feed com cadastro, configura infração autônoma.

Para os controladores, a decisão estabelece um precedente importante: a adequação à LGPD não pode ser tratada como detalhe de compliance, mas como obrigação contínua que exige documentação robusta e auditável. A ByteDance pode recorrer ao Conselho Diretor da ANPD, e a renúncia ao recurso pode gerar desconto de 25% na multa, conforme o Regulamento de Dosimetria.