Foram quase seis anos de espera desde a entrada em vigor da LGPD. Cinco, se contarmos apenas a partir do momento em que suas sanções administrativas se tornaram aplicáveis. Durante esse período, empresas amadureceram seus programas de privacidade, encarregados se multiplicaram, relatórios de impacto foram produzidos e políticas foram publicadas. Mas uma pergunta permanecia atravessada no mercado: afinal, quando a ANPD começaria a punir de verdade, de forma exemplar?
Leia também:
Os 10 Princípios para tratamento de dados da LGPD;
Fiscalização da ANPD sinaliza fim da conformidade superficial com a LGPD
Urgência na LGPD: caminhos para a adequação e políticas corporativas eficazes
A pergunta, apesar de compreensível, não era exatamente justa. A Autoridade nunca esteve completamente inerte. Regulamentou a aplicação da lei, publicou guias, respondeu consultas, realizou fiscalizações, instaurou processos e adotou algumas medidas preventivas relevantes. Ainda assim, não dá para negar que existiu um longo hiato entre fiscalizar e sancionar. É que, de fato, entre apontar a irregularidade e impor uma consequência econômica compatível com a dimensão do agente fiscalizado, existe um universo de transformação cultural e normativa.
Da primeira multa à maior sanção já aplicada pela ANPD
A primeira multa da história da ANPD, aplicada em 2023 à Telekall Infoservice, somou míseros R$ 14,4 mil, o que foi visto à época, com razão, com imenso pessimismo. Era para ser um marco simbólico, inaugurando a fase fiscalizadora do trabalho, mas dificilmente operou como marco dissuasório. Para uma empresa de pequeno porte, o valor poderia até ser relevante, mas, para o restante do mercado, a mensagem não foi mais do que institucional.
A ANPD parecia finalmente ter aprendido a puxar o gatilho, mas a arma permanecia apontada para o chão. O fato é que isso acaba de mudar, e a agência, ao que tudo indica, passa a mirar nas cabeças.
Em decisão de primeira instância administrativa, ainda sujeita a recurso, a ANPD aplicou à ByteDance Brasil, responsável pelo TikTok no país, multas que totalizam R$ 153.769.671,33. A sanção decorre de cinco violações à LGPD relacionadas ao tratamento de dados pessoais de crianças e adolescentes, identificadas tanto na experiência de navegação com cadastro quanto no chamado feed sem cadastro.
Estamos falando da maior multa já aplicada pela Autoridade, por uma margem incomensurável, e, claro, trata-se da primeira sanção capaz de produzir aquele efeito coercitivo que toda penalidade regulatória pretende obter, mas poucas efetivamente alcançam: o silêncio fúnebre na sala de reuniões.
O valor é impactante, especialmente se levarmos em consideração que até poucos dias atrás a percepção geral era de que a ANPD não teria “bala na agulha” para aplicar, sequer, a sanção máxima de R$50.000.000, quanto mais três vezes esse valor. E, mesmo assim, não é a história toda.
A multa da ANPD à ByteDance vai muito além do valor financeiro
A ByteDance também deverá eliminar dados tratados irregularmente, comunicar terceiros com quem essas informações foram compartilhadas, apresentar evidências técnicas do cumprimento das determinações e implementar um plano de conformidade capaz de alterar o próprio funcionamento do TikTok no Brasil. Tudo isso sob pena de multa diária no valor de quase 10 vezes aquele aplicado na Telekall há 3 anos atrás. Sim, eu disse DIÁRIA.
Existe, ainda, um impacto esperado direto na operação da empresa, já que, no feed sem cadastro, as medidas acabam abrangendo a suspensão de anúncios, a redução da personalização, a limitação das interações sociais e a minimização dos dados coletados.
A medida é extrema quando comparada ao histórico da ANPD, mas a parte mais assustadora é que nem mesmo configura o pior cenário possível, que poderia envolver a interrupção permanente das atividades de tratamento de dados pessoais, essencialmente destruindo a plataforma.
Talvez seja justamente isso que a torne mais relevante, não me soa como uma cifra escolhida aleatoriamente apenas para produzir manchetes, mas sim o resultado da cumulação de diferentes infrações, calculadas segundo o regulamento de dosimetria da Autoridade e limitadas individualmente pelos tetos da LGPD. Ou seja, tudo nos exatos termos dos regulamentos e normas complementares que a agência vem divulgando há muito tempo.
Por que a atuação educativa da ANPD importou?
Durante seus primeiros anos, a ANPD apostou intensamente em educação, conscientização e regulação responsiva. Antes de punir, orientou e abriu espaços para adequação, não exigiu maturidade sem ajudar, primeiro, a construir o vocabulário básico por meio do qual o mercado passaria a discutir privacidade.
Essa estratégia pode ter, ainda que temporariamente, custado parte da credibilidade da LGPD, que por anos foi taxada de “norma para inglês ver”, mas neste momento torna a sanção aplicada muito mais difícil de se chamar de injusta.
Uma lei transversal, aplicável da “Padaria do Zé” ao TikTok, não poderia ser implementada “na porrada”, a missão sempre foi indescritivelmente mais complexa que isso. A LGPD introduziu conceitos desconhecidos para boa parte das organizações brasileiras (convenhamos, a privacidade nunca havia sido prioridade regulatória no Brasil até 2018) e exigiu mudanças que ultrapassavam os departamentos jurídicos, incluindo medidas técnicas difíceis e, muitas vezes, caras, como inventários de dados, gestão de fornecedores, segurança da informação e atendimento aos titulares.
Punir antes de explicar poderia ter produzido medo, mas dificilmente produziria maturidade. Na verdade, corria um sério risco de violar o princípio da legalidade de forma ideológica, ainda que pré-existente a norma.
O problema é que a educação regulatória não pode se transformar numa sala de espera eterna, e, por um momento, pareceu que estávamos seguindo nessa direção.
Com o passar dos anos, parte do mercado começou a interpretar a parcimônia da ANPD como falta de vontade sancionadora. Programas de privacidade tiveram sua prioridade drasticamente reduzida, ao ponto de vários terem sido congelados. Comitês que, à época da publicação da norma, se tornaram a nova moda, deixaram de se reunir com qualquer frequência. Até mesmo o privacy by design, jargão tantas vezes repetido em apresentações corporativas, raramente passava pela cabeça das equipes de produto.
Responsabilização e prestação de contas: políticas não bastam
A assimetria tornou-se evidente, já que enquanto algumas empresas investiam seriamente em conformidade, outras descobriam que declarar comprometimento era consideravelmente mais barato do que demonstrá-lo. Sem consequência material, a diferença entre as duas permanecia difícil de enxergar.
É justamente nesse ponto que a sanção contra a ByteDance se torna exemplar. O princípio da responsabilização e prestação de contas nunca significou apenas escrever e publicar políticas, mas sim a capacidade de demonstrar, por meio de um acervo robusto e auditável de evidências, que controles foram implementados, testados e considerados eficazes.
Não basta afirmar que a plataforma é proibida para menores de 13 anos se crianças continuam conseguindo acessá-la sem absolutamente nenhum obstáculo técnico. E não estou, aqui, falando de simplesmente solicitar uma data de nascimento, como se isso representasse qualquer tipo de efetividade.
A conformidade não se mede pela elegância ou pelo latim dos documentos elaborados, mas por sua capacidade de reduzir, ao máximo, a chance de que o risco se materialize. Nenhuma empresa é capaz de garantir a completa inexistência de riscos, mas isso também não é exigido delas pela LGPD.
Ao sancionar a ByteDance, a ANPD está passando uma mensagem para muito além do TikTok, está falando com bancos que tratam dados de crianças, empresas de jogos, plataformas educacionais, redes sociais, serviços de streaming, desenvolvedores de inteligência artificial e qualquer organização cujo produto possa ser acessado por menores.
Mais do que isso: está falando com toda e qualquer empresa que ainda trata a prestação de contas como um exercício retórico.
Qual é a relação entre o ECA Digital e a nova fase da ANPD?
Um ponto importante a ser destacado é que seria um erro atribuir a sanção ao ECA Digital, que sequer existia à época das supostas infrações. Mas erro igualmente grave seria ignorar o impacto que a nova lei tem ao criar um novo contexto institucional para a ANPD.
A Lei nº 15.211/2025 colocou a ANPD no centro da proteção de crianças e adolescentes no ambiente digital, e, poucos meses depois, a Autoridade foi formalmente transformada em agência reguladora. Isso representa uma mudança de expectativa considerável.
A ANPD deixou de ser responsável exclusivamente pela aplicação de uma lei geral de proteção de dados e passou a ocupar uma posição central na regulação do ambiente digital brasileiro. Com o ECA Digital, recebeu não apenas novas competências, mas novos holofotes. A sociedade, o Congresso, o sistema de Justiça e os próprios titulares passaram a esperar dela respostas mais rápidas, intervenções mais visíveis e consequências mais severas.
Uma autoridade exclusivamente educativa poderia conduzir os primeiros anos da LGPD, mas jamais seria capaz de atender ao que se espera de uma agência encarregada de proteger crianças e adolescentes contra riscos sistêmicos de plataformas globais, e a ANPD parece ter entendido isso muito rápido.
Tornou-se necessário, mais do que nunca, punir. Punir exemplarmente.
A sanção contra a ByteDance é anterior, em sua origem, a essa nova fase. Mas chega no momento exato em que a ANPD precisa demonstrar que possui musculatura institucional para ocupá-la. É, ao mesmo tempo, o encerramento de sua infância regulatória e a apresentação das credenciais com que pretende ingressar nos próximos anos.
O precedente da ByteDance ainda depende do recurso
O efeito exemplar da medida dependerá, naturalmente, de sua sobrevivência ao recurso. Uma decisão de primeira instância não é uma condenação definitiva, e o valor ainda poderá ser reduzido, revisto ou até anulado pelo Conselho Diretor. O verdadeiro precedente não será medido apenas pela manchete de hoje, mas pela consistência jurídica com que a ANPD defenderá sua decisão amanhã.
E essa consistência precisa existir para além das fronteiras deste processo administrativo específico. De nada adianta que a ANPD aplique essa sanção exemplar e, na sequência, recolha-se novamente à sua hibernação por muitos outros anos. Precisaremos aguardar para ver, mas, ainda assim, alguma coisa já mudou, isso é inegável.
Por que revisar o programa de privacidade agora?
Durante os últimos anos, a pauta regulatória das empresas foi progressivamente ocupada por inteligência artificial, cibersegurança, sustentabilidade, integridade e novas obrigações setoriais. Em muitas organizações, a LGPD foi silenciosa e progressivamente rebaixada, mesmo levando em consideração que integra, de forma basilar, vários desses outros tópicos de compliance.
Deixou de ser um programa contínuo de governança, com PDCA, e passou a ser tratada como um projeto concluído e entregue.
A multa contra a ByteDance tem o condão de destruir essa ilusão com retumbar trovejante. Programas de privacidade não são monumentos construídos para permanecer imóveis, são sistemas vivos, que precisam acompanhar mudanças institucionais e sociais. Um programa que não foi revisto nos últimos doze meses provavelmente está fatalmente defasado, opera como uma fotografia antiga de uma organização que já não existe mais.
É hora de nos perguntarmos novamente se as bases legais utilizadas pela empresa ainda correspondem às operações realizadas. É hora de retomar a importância de segurança da informação para dados pessoais. É hora de regressarmos, agora com mais experiência e maturidade, ao foco em privacidade dos primeiros anos de publicação da LGPD.
Depois de tanto tempo, com a LGPD sendo apresentada como uma revolução cultural, e, posteriormente, convertida em reles obrigação documental, estamos diante de uma terceira fase que, finalmente, encontra equilíbrio nos eixos teleológicos esperados.
Ela volta ao posto que nunca deveria ter abandonado, o de prioridade regulatória MÁXIMA, mas volta com prudência e gabarito. Nunca foi tão fácil estar adequado, mas essa facilidade só existe para quem se move.
Nem toda empresa será multada em R$ 150 milhões, isso é óbvio, a maioria jamais sequer será alvo de processo administrativo. Mas é fato que a ANPD finalmente demonstrou que pode percorrer toda a escada regulatória, partindo de orientar e chegando a sancionar.
Para quem ainda esperava um sinal de que era hora de revisar seu programa de privacidade, ele chegou. Na verdade, chegaram 153.769.671 deles.
