Em 25 de agosto de 2026 saiu no Diário Oficial da União a multa de R$ 153,7 milhões que a ANPD aplicou à ByteDance, dona do TikTok, por tratar dados de crianças e adolescentes sem base legal adequada.
É fácil ler isso como notícia de gente grande e virar a página. Mas as cinco infrações listadas pela agência descrevem, quase item por item, o que uma empresa pequena faz sem pensar no formulário de contato do próprio site.
O que exatamente foi punido
A decisão cita os artigos 6º (incisos VIII e X) e 7º da LGPD, e as cinco infrações se distribuem assim:
- Tratar dados de crianças e adolescentes sem hipótese legal válida no acesso ao feed sem cadastro.
- Não adotar medidas que impedissem esse tratamento no feed sem cadastro.
- Tratar dados de menores no cadastro de conta, também sem hipótese legal válida.
- Não adotar medidas efetivas para impedir o cadastro desse público.
- Não conseguir demonstrar medidas efetivas de conformidade, nas duas experiências.
Nas palavras da própria agência: “a sanção aplicada corresponde às condutas passadas e ao tratamento de dados realizado sem hipótese legal válida durante o período analisado”. A empresa tem 10 dias úteis para recorrer ao Conselho Diretor e prazo para eliminar os dados e apresentar plano de conformidade.
Leia a lista de novo: duas infrações são sobre não conseguir provar
Esse é o ponto que quase todo mundo pula. Das cinco, duas não descrevem uma ação errada — descrevem uma ausência: não adotar medida e não conseguir demonstrar que adotou.
O artigo 6º, inciso X, da LGPD chama isso de responsabilização e prestação de contas. Na prática significa que estar em conformidade não basta: é preciso conseguir provar que está. Se a sua empresa faz tudo certo e não tem registro de nada, do ponto de vista de uma fiscalização o resultado é parecido com não ter feito.
É a diferença entre “nós não vendemos dados de cliente” e “aqui está a política, a data em que entrou no ar, quem tem acesso ao banco e há quanto tempo guardamos cada coisa”.
O outro processo, que quase ninguém separou direito
Quatro dias antes, em 21 de agosto, a ANPD notificou 22 plataformas e ferramentas de IA, dando 10 dias úteis para responder. No segundo grupo estão nomes que a sua empresa provavelmente usa: App Store, Google Play, ChatGPT, Claude, Gemini, Copilot, Meta AI, DeepSeek e Perplexity.
⚠️ Vale separar as duas coisas, porque a imprensa juntou: a multa do TikTok é LGPD; a notificação das 22 é sobre o Marco Civil da Internet e o ECA Digital, com foco em conteúdo criminoso e proteção de crianças, adolescentes e mulheres. Não é “a ANPD fiscalizando o uso de IA nas empresas”.
O que os dois casos juntos dizem é outra coisa, e mais simples: o regulador brasileiro saiu do papel, e as ferramentas de IA que entraram na rotina das empresas entraram junto no radar dele.
Seu site coleta dados e você não sabe se está em conformidade?
A gente audita o que o site realmente faz antes de escrever qualquer política.
O erro que eu encontrei no nosso próprio site
Em agosto reescrevemos a política de privacidade deste site. Antes de escrever, fizemos o que quase ninguém faz: auditamos o que o site de fato executa — quais scripts carregam, quais cookies são gravados, o que vai para onde.
O resultado foi constrangedor e útil. A política antiga afirmava que usávamos cookies analíticos. Não usávamos. O site não tem Google Analytics, não tem gerenciador de tags, não tem pixel de rede social, não tem mapa de calor. Os únicos cookies são o que guarda o estado de um menu e o de sessão do painel. Terceiro com cookie, só o vídeo do YouTube incorporado, e apenas quando alguém dá play.
Ou seja: declarávamos uma coleta que não existia. Ninguém foi prejudicado, mas o princípio que isso viola é exatamente o do artigo 6º — a política não descrevia a realidade. Se a inconsistência fosse na direção contrária, seria o cenário da multa.
📌 A lição que ficou: política de privacidade não se copia de modelo, se escreve depois de olhar o que o sistema faz. Texto genérico costuma listar coisas que a empresa não faz — e omitir a que ela faz.
As cinco perguntas para responder hoje
1. Qual é a base legal de cada dado que você coleta? Para cada campo do formulário, uma resposta: consentimento, execução de contrato, legítimo interesse, obrigação legal. “Porque sempre pedimos” não é base legal — e foi exatamente isso que a ANPD chamou de tratamento sem hipótese válida.
2. Você coleta algum dado que não usa? Telefone que ninguém liga, CPF que não entra em nota, data de nascimento que não serve para nada. Cada campo a mais é risco sem contrapartida. O caminho mais rápido para reduzir exposição é apagar campo do formulário.
3. Você consegue provar o que afirma? Data em que a política entrou no ar, quem tem acesso ao banco, por quanto tempo cada dado fica, o que foi feito quando alguém pediu exclusão. Sem registro, a resposta à fiscalização vira palavra.
4. Menor de idade pode chegar até você? Se o seu produto alcança adolescente — escola, curso, jogo, loja de brinquedo —, essa é a área em que o regulador está olhando primeiro, nos dois processos.
5. Para onde vai o dado quando você usa IA? Colar a lista de clientes num chat gratuito é transferir dado de terceiro para fora da empresa. A responsabilidade perante o titular continua sendo sua. Antes de conectar qualquer ferramenta ao que é do cliente, vale a régua que escrevemos em antes de conectar a IA ao seu e-mail.
O que este texto não é
Não é consultoria jurídica, e a distinção importa. Nós somos uma agência de tecnologia: sabemos auditar o que um site executa, organizar o que ele coleta e escrever uma política que descreva a realidade. A leitura jurídica do seu caso é de advogado, e para empresa que trata dado sensível ou volume grande essa leitura não é opcional.
Também não é motivo para pânico. A multa saiu contra uma plataforma global, por conduta em massa envolvendo menores. Nada indica caça a pequeno negócio. O que mudou é o custo de não ter nada organizado — que deixou de ser zero.
O resumo honesto
A LGPD existe desde 2018 e virou piada de rodapé de site: uma barrinha de cookies que ninguém lê, copiada de um concorrente que copiou de outro.
A decisão de 25 de agosto mostra a régua real, e ela é mais simples do que o juridiquês sugere: tenha um motivo legal para cada dado, colete só o que usa, e seja capaz de mostrar as duas coisas. Quem tiver isso escrito e datado atravessa qualquer fiscalização com trabalho administrativo. Quem só tem a barrinha de cookies atravessa reescrevendo tudo às pressas.
Fontes
- ANPD — “ANPD multa TikTok em R$ 153,7 milhões por falhas na proteção de dados de crianças e adolescentes” (25 de agosto de 2026).
- ANPD — notificação de 22 plataformas digitais e ferramentas de IA (21 de agosto de 2026).
- Lei nº 13.709/2018 (LGPD), artigos 6º e 7º.
Perguntas frequentes
Por que a ANPD multou o TikTok em R$ 153,7 milhões?
Por cinco infrações relacionadas ao tratamento de dados de crianças e adolescentes sem base legal válida, tanto no acesso ao feed sem cadastro quanto na criação de conta. A decisão cita os artigos 6º, incisos VIII e X, e 7º da LGPD, e foi publicada no Diário Oficial da União em 25 de agosto de 2026.
A multa do TikTok afeta pequenas empresas?
Não diretamente: a sanção foi contra uma plataforma global por conduta em massa envolvendo menores. O que afeta qualquer empresa é a régua usada. Duas das cinco infrações não descrevem uma ação errada, e sim ausências: não adotar medidas efetivas e não conseguir demonstrar que as adotou.
O que é base legal na LGPD, na prática?
É o motivo jurídico que autoriza você a tratar aquele dado: consentimento, execução de contrato, obrigação legal, legítimo interesse, entre as hipóteses do artigo 7º. Para cada campo que o seu formulário coleta deve existir uma dessas respostas. “Porque sempre pedimos” não é base legal.
A ANPD está fiscalizando o uso de IA pelas empresas?
Não é isso. Em 21 de agosto de 2026 a ANPD notificou 22 plataformas e ferramentas de IA, incluindo ChatGPT, Claude, Gemini e Copilot, mas com base no Marco Civil da Internet e no ECA Digital, olhando conteúdo criminoso e proteção de crianças, adolescentes e mulheres. A multa do TikTok é o processo de LGPD, separado.
O que preciso ter registrado para provar conformidade?
A base legal de cada dado coletado, a data em que a política entrou no ar, quem tem acesso ao banco, o prazo de retenção de cada tipo de informação e o registro do que foi feito quando alguém pediu exclusão. O artigo 6º, inciso X, chama isso de responsabilização e prestação de contas: sem registro, a resposta à fiscalização vira palavra.
Posso usar um modelo pronto de política de privacidade?
É o erro mais comum. Modelo genérico costuma declarar práticas que a empresa não tem e omitir as que tem. Ao reescrever a política deste site descobrimos que o texto anterior afirmava usar cookies analíticos que nunca existiram aqui. Política se escreve depois de auditar o que o site de fato executa.