Após cinco anos de investigação, a ANPD (Agência Nacional de Proteção de Dados) multou em R$ 153,7 milhões a empresa ByteDance, controladora do TikTok, em processo administrativo que apurou irregularidades no tratamento de dados de crianças e adolescentes.
As próprias informações disponibilizadas pela plataforma ajudaram os técnicos da agência a aplicar a sanção e a exigir medidas imediatas para coibir o uso indevido de dados dos menores de 13 anos.
Confira abaixo as principais respostas sobre o caso.
O que levou a ANPD a multar a empresa ByteDance, controladora do TikTok?
Após investigação, a ANPD calculou que o TikTok pode ter coletado dados pessoais de cerca de 20% das crianças brasileiras em um período de um ano. A estimativa foi feita a partir de dados fornecidos pela própria ByteDance, controladora da plataforma, que informou ter removido 7,75 milhões de contas de crianças no país de outubro de 2022 a setembro de 2023.
Para a ANPD, o volume de contas removidas mostra a fragilidade do mecanismo utilizado pela plataforma para impedir que menores de idade entrassem no serviço. A agência comparou os 7,75 milhões de contas com a estimativa de 43 milhões de crianças no país, feita a partir do Censo 2022.
Além disso, a nota técnica que embasou a fiscalização contra a plataforma mostra que o problema não se restringia às crianças que conseguiam criar uma conta. Mesmo sem cadastro, usuários podiam acessar o principal feed da rede social, enquanto o TikTok coletava informações sobre a utilização da plataforma e personalizava o conteúdo.
Qual é o valor da multa aplicada pela ANPD ao TikTok?
A sanção total é de R$ 153.769.671,33, valor que leva em conta o faturamento da ByteDance no Brasil. A LGPD (Lei Geral de Proteção de Dados) limita as multas a 2% do faturamento da empresa no país, com teto de R$ 50 milhões por infração. Como foram detectadas cinco infrações distintas, o percentual foi aplicado de forma cumulativa:
- R$ 63.176.686,67: por infração ao artigo 7º da LGPD (tratamento de dados sem hipótese legal válida);
- R$ 63.176.686,67: por descumprimento do artigo 6º, inciso 8º da LGPD (princípio da prevenção);
- R$ 27.416.297,99: por descumprimento do artigo 6º, inciso 10º da LGPD (princípio da responsabilização e prestação de contas).
Qual foi a reação e o posicionamento público da controladora ByteDance?
A ByteDance informou em nota oficial que avalia as medidas cabíveis, tendo o prazo legal de dez dias úteis para apresentar recurso administrativo ao Conselho Diretor da ANPD, a partir da notificação, feita nesta segunda-feira (24).
A empresa defendeu-se alegando que o processo administrativo em questão foi aberto em 2021 e refere-se a um período anterior à implementação de seu atual plano de conformidade (entregue e aprovado pela agência em 2025) e de outras medidas de proteção que já foram integradas de forma voluntária à plataforma desde então.
Por que a ANPD aplicou a multa cinco anos após o início das investigações?
A ANPD afirma que, inicialmente, adotou uma estratégia responsiva, tentando fazer com que a empresa corrigisse as irregularidades antes da aplicação de uma punição. Ao longo da fiscalização, porém, a área técnica da agência afirmou que a postura do TikTok “não parece sinalizar a busca da solução do problema, mas apenas tornar o processo de fiscalização mais moroso”, situação que motivou a aplicação da multa.
Quais foram as infrações detectadas pela ANPD na atuação do TikTok?
A ANPD identificou cinco infrações distintas à LGPD cometidas pela ByteDance (TikTok). Elas foram divididas de acordo com as modalidades de acesso à plataforma (“feed sem cadastro” e “feed com cadastro”), além de uma infração geral aplicável a ambas:
No feed sem cadastro (experiência sem conta registrada)
- Tratamento de dados pessoais sem base legal válida: Coleta e processamento de informações de crianças e adolescentes de forma inadequada, sem amparo em nenhuma das hipóteses legais previstas na LGPD.
- Falta de medidas preventivas: Ausência de salvaguardas ou mecanismos técnicos preventivos para evitar que os dados desse público fossem tratados indevidamente desde o primeiro acesso.
No feed com cadastro (contas registradas)
- Tratamento de dados no cadastro sem base legal: Coleta e uso de informações pessoais de menores de idade durante o processo de criação de contas sem uma justificativa jurídica válida.
- Mecanismos de controle de idade ineficazes: Falha em implementar barreiras e mecanismos eficazes para impedir o cadastro de crianças menores de 13 anos (idade mínima permitida). O TikTok utilizava de forma quase exclusiva a autodeclaração de idade, o que permitia que menores de 13 anos burlassem as barreiras etárias. Comprovação dessa prática é que o próprio TikTok relatou ter banido 7,75 milhões de contas de menores de 13 anos no Brasil entre outubro de 2022 e setembro de 2023.
Comum a ambas as modalidades
- Ausência de comprovação de conformidade: Falha da empresa em demonstrar e comprovar que as medidas de proteção adotadas eram efetivamente capazes de garantir o cumprimento das normas estabelecidas pela LGPD.
Quais informações o TikTok coletava dos usuários?
Segundo informações prestadas pelo TikTok, a plataforma registrava dados relacionados à utilização do serviço, como vídeos assistidos, hashtags, país, fuso horário, configurações e tipo de dispositivo, além de tentativas de utilizar recursos como curtidas e compartilhamentos.
O ponto é relevante porque a ByteDance tentou diferenciar a recomendação de vídeos de uma atividade de perfilização. A empresa argumentou que o sistema fazia cálculos para determinar quais conteúdos seriam mais relevantes, mas que isso não significaria a criação de perfis dos usuários.
A área técnica da ANPD discordou. Na avaliação da fiscalização, a personalização baseada nos dados coletados significa que há formação de perfis comportamentais, inclusive de crianças e adolescentes. A agência concluiu que o tratamento de dados permitia personalizar o conteúdo oferecido a esse público.
Na avaliação da ANPD, havia preocupação com a possibilidade de dados de crianças terem sido coletados, utilizados para formação de perfis e compartilhados com parceiros comerciais antes da exclusão das contas. A agência considerou que a empresa não havia apresentado uma estratégia suficiente para reduzir os impactos desse compartilhamento.
Por que a ANPD exigiu mecanismo de comprovação de autorização dos pais?
Em certo momento, o TikTok passou a defender que a legislação brasileira não exigiria autorização explícita dos pais para todas as atividades realizadas por adolescentes no ambiente digital. A ANPD rejeitou a ideia de que a simples utilização da plataforma ou a aceitação dos termos de serviço pudessem representar automaticamente autorização dos responsáveis. Assim, o órgão determinou que a empresa deveria apresentar mecanismos capazes de comprovar a representação ou assistência dos responsáveis nos casos em que isso fosse exigido.
Além da multa, quais as principais determinações de exclusão de dados feitas pela agência?
A ByteDance terá de eliminar todos os dados de crianças e adolescentes coletados irregularmente. Além disso, a empresa tem o prazo de 60 dias úteis para regularizar a representação ou assistência legal das contas de adolescentes cadastrados (entre 13 e 18 anos).
Caso a regularização parental não seja comprovada após o prazo, as contas e os dados desse grupo de usuários deverão ser apagados, e parceiros com quem as informações foram compartilhadas deverão ser informados para que também façam a exclusão em suas bases. O descumprimento dessas obrigações acarretará multa diária de R$ 137 mil.
Quais medidas práticas foram incluídas no Plano de Conformidade do TikTok?
O plano homologado pela agência exige profundas modificações de segurança no aplicativo para usuários no Brasil.
Para menores de 16 anos: As configurações de privacidade mais restritivas do aplicativo devem ser ativadas automaticamente por padrão. Estas configurações só poderão ser alteradas após autorização prévia e expressa dos responsáveis (via e-mail, SMS ou pareamento familiar). Deverá também implementar filtros de conteúdo mais rigorosos.
Para a experiência sem cadastro: O tempo de uso fica limitado a no máximo 12 horas cumulativas por dispositivo. Além disso:
- Usuários não podem criar conteúdo, comentar, enviar mensagens diretas ou interagir socialmente;
-
Não há possibilidade de seguir outros usuários ou ser seguido;
-
Usuários não podem postar ou assistir a transmissões ao vivo;
-
Experiência de personalização de conteúdo muito limitada;
-
Suspensão total de anúncios no Brasil;
-
Acesso somente a conteúdo apropriado para todas as idades.
-
Redução na coleta e processamento de dados: dados mínimos de idioma e região para relevância de conteúdo; informações básicas do dispositivo para proteção contra fraudes e dados para melhorar o desempenho do aplicativo.
noticia por : UOL