Como a multa de R$ 14 mil à Telekall escalou aos R$ 153 milhões do TikTok
Em fevereiro de 2024, ao analisar as primeiras sanções aplicadas pela ANPD aqui no JOTA, sustentei que a multa do caso Telekall (de R$ 14,4 mil) era muito mais grave do que parecia, pois definira a interpretação do art. 52, II, da LGPD, aplicando uma multa simples de 2% do faturamento bruto para cada infração à lei. Naquela ocasião, alertei que o teto legal de R$ 50 milhões não seria global: era o limite para cada sanção individualmente considerada e a soma de sanções poderia alcançar uma fatia substancial do faturamento.
Pois bem. A multa aplicada à plataforma do TikTok por meio do Despacho Decisório, no dia 25 de agosto, não deixa dúvida: R$ 153.769.671,33. Trata-se da soma de cinco multas simples contra a ByteDance Brasil (TikTok), correspondentes a cinco infrações autônomas, cumuladas com determinação de eliminação de dados pessoais e multa diária de R$ 137.081,49 por descumprimento. A ANPD mostra a que veio em grande escala, mas sem surpresas se resgatarmos a ratio empregada na decisão do caso Telekall.
O recente processo administrativo sancionador apurou o tratamento irregular de dados pessoais de crianças e adolescentes na plataforma TikTok, em duas frentes: de um lado, a experiência do chamado feed sem cadastro; de outro, a experiência do feed com cadastro. O processo teve origem em denúncia recebida em março de 2021. No relatório da ANPD consta que, desde então, a própria ByteDance removeu mais de 7,75 milhões de contas de menores de 13 anos no Brasil (entre 2022 e 2023), o que torna difícil aceitar a alegação de que o tratamento de dados desse público seria “incidental” na plataforma[1].
Cinco condutas, cinco multas autônomas
O Relatório de Instrução identificou cinco condutas infracionais, cada uma gerando uma sanção própria. O aspecto mais relevante da decisão para o mercado está em a ANPD ter aplicado uma multa simples por infração, e não por processo, exatamente como a interpretação firmada no caso Telekall já sinalizava.
A condenação envolveu cinco infrações à LGPD, analisadas separadamente e relacionadas ao tratamento de dados de crianças e adolescentes pelo TikTok. A primeira foi o tratamento de dados de crianças e adolescentes sem base legal válida no feed sem cadastro; a segunda, a falta de medidas preventivas para impedir o tratamento de dados de menores de 13 anos nesse mesmo ambiente; a terceira, o tratamento de dados de menores de 18 anos para cadastro na plataforma sem contrato válido; a quarta, a ausência de mecanismos eficazes para impedir o cadastro de menores de 13 anos; e a quinta, a falta de medidas capazes de demonstrar e comprovar o cumprimento das normas de proteção de dados.
A base de cálculo da multa foi o faturamento bruto da ByteDance Brasil excluindo-se os tributos, dado mantido sob sigilo fiscal nos autos[2]. Sobre esta base, aplicou-se uma alíquota que varia conforme a gravidade da infração e o grau do dano (em escala de 0 a 3). As Condutas 1 e 2 (feed sem cadastro) receberam grau de dano 3 (irreversibilidade), resultando em valor-base de R$ 35,7 milhões cada. As Condutas 3, 4 e 5 (feed com cadastro e prestação de contas) receberam grau de dano 2, resultando em R$ 27,4 milhões cada.[3]
Note-se que cada multa, individualmente, respeitou os limites de R$ 50 milhões e de 2% do faturamento; foi a soma das cinco que ultrapassou R$ 150 milhões, e este era o ponto que já se anunciava no caso Telekall. Assim, quanto maior o número de infrações, maior a exposição financeira, e uma questão de compliance pode rapidamente se transformar em problemas de caixa e de balanço.
O art. 6º como fonte autônoma de obrigações: deveres imediatos dos princípios
A construção jurídica pela qual a ANPD extraiu deveres concretos e sancionáveis diretamente dos princípios enunciados no art. 6º da LGPD chama a atenção. Três das cinco condutas punidas (Condutas 2, 4 e 5) não decorrem da violação expressa a comandos específicos, mas da inobservância dos princípios da prevenção (inciso VIII) e da responsabilização e prestação de contas (inciso X). Portanto, a ANPD não se limitou a invocar esses princípios como reforço argumentativo, tomando-os como fonte normativa de obrigações autônomas com conteúdo próprio, cuja violação enseja sanção independente. Aí, mais um efeito relevante da decisão: o efeito interpretativo que define o conteúdo concreto de princípios abstratos na lei.
É sabido que princípios, diferentemente de regras, não prescrevem condutas determinadas. Eles enunciam fins a serem alcançados, deixando ao destinatário certa margem de escolha quanto aos meios. A individualização de condutas omissivas como “deixar de adotar medidas preventivas para impedir o tratamento de dados de menores de 13 anos” e “não implementar mecanismos eficazes para prevenir o cadastro de menores de 13 anos sem devida assistência” mostra que a discricionariedade quanto à escolha dos meios não inclui a omissão.
O princípio da prevenção, por exemplo, não diz quais medidas o controlador deve adotar, mas exige que alguma medida eficaz seja implementada antes, e não depois, da ocorrência do dano. No caso TikTok, a ANPD considerou que a ausência de qualquer mecanismo de verificação de idade no feed sem cadastro e a manutenção de um controle de idade (age gate) reconhecidamente falho no feed com cadastro (mesmo após alerta expresso da autoridade) configuravam omissão incompatível com o dever de prevenção. A mensagem é bastante contundente: quando o controlador conhece o risco e opta por não agir, o princípio se converte em dever violado.
O mesmo raciocínio se aplica ao princípio da responsabilização e prestação de contas. A falta de demonstração de efetividade, de forma documentada e verificável, chamou a atenção da agência, que rejeitou expressamente as alegações genéricas e exigiu documentação idônea, registros técnicos e indicadores objetivos da implementação do compliance, o que inclui no princípio do art. 6º, X, um ônus probatório permanente para o controlador.
Para os agentes de tratamento, fica a lição de que os princípios do art. 6º são fontes diretas de deveres jurídicos, cujo descumprimento gera infrações independentes e multas próprias. Isso exige dos controladores um exercício permanente de tradução de cada um dos princípios, identificando quais ações concretas são razoavelmente esperadas no contexto das suas atividades. O princípio da prevenção demanda avaliação contínua de riscos e salvaguardas proporcionais e o da responsabilização exige o desempenho eficiente das ações esperadas, além da respectiva documentação, que deve ser robusta e auditável. Trata-se de dura lição, pois a omissão nessas frentes não será tratada como lacuna regulatória, e sim como infração autônoma.
E agora?
Esta decisão marca o primeiro grande processo sancionador da ANPD contra uma big tech e o maior valor já aplicado no Brasil. Por meio dela, a agência estabeleceu precedentes relevantes em termos de ações necessárias à proteção dos dados pessoais, notadamente de menores, não cabendo invocar o “padrão da indústria” como excludente de ilicitude.
A ByteDance pode recorrer ao Conselho Diretor da ANPD e, de acordo com o Regulamento de Dosimetria (art. 18), se renunciar ao recurso, pode obter desconto de 25%. Ainda assim, o saldo representará a maior multa já imposta pela agência. Se, com o valor irrisório do caso Telekall, a ANPD já sinalizava sua disposição em fixar rigorosa interpretação ao art. 52 da LGPD, a decisão contra o TikTok confirma, em grande escala, que o racional de cálculo foi severo e previsível: cada conduta é uma infração, cada infração é uma multa de até 2% do faturamento, e o somatório não encontra teto global na lei.
Com isso, a adequação à LGPD não é mais detalhe de compliance restrito ao DPO. O potencial sancionatório das multas simples cumuladas segundo o número de infrações à lei tende a levar a questão para a mesa do CFO, com problemas para o caixa e para o balanço da empresa, impactando o desempenho do agente perante investidores e outros stakeholders.
[1] Dados do RELATÓRIO DE INSTRUÇÃO (PUB) Nº 2/2026/CGS/SFI, seção 7.5.
[2] Não é possível determinar com precisão o percentual exato aplicado sobre o faturamento bruto da ByteDance Brasil. Isso porque o Relatório de Instrução manteve sob sigilo fiscal, em atenção ao art. 198 do CTN, tanto o valor do faturamento bruto da empresa quanto os percentuais aplicáveis e cálculos intermediários da alíquota-base, para evitar a identificação indireta do valor do faturamento. Todos os trechos relevantes foram suprimidos ou tarjados como “ACESSO RESTRITO”. Infere-se que o percentual aplicável em cada multa simples individual foi inferior a 2% (limite máximo) do faturamento bruto em razão de fragmentos da decisão no sentido de que “2% do faturamento da infratora corresponderia a [valor tarjado], que é superior ao valor da multa calculado” (seções 7.46, 7.47,7.109, 7.153, 7.201, 7.243).
[3] Dados do RELATÓRIO DE INSTRUÇÃO (PUB) Nº 2/2026/CGS/SFI, seção 7.5.