A Agência Nacional de Proteção de Dados aplicou à ByteDance, controladora do TikTok no Brasil, multa de R$ 153,7 milhões por irregularidades no tratamento de dados pessoais de crianças e adolescentes, e determinou a eliminação de dados pessoais coletados de forma irregular. A decisão foi publicada no Diário Oficial da União em 25 de agosto e ainda cabe recurso ao Conselho Diretor da ANPD, mas o valor já sinaliza uma mudança de comportamento da autoridade que interessa a qualquer empresa que trate dados pessoais em escala.

Até este caso, a atuação sancionadora da ANPD contra o setor privado se manteve discreta. A única multa efetivamente aplicada a uma empresa privada antes deste episódio partiu de valor modesto, refletindo uma fase em que a autoridade priorizou orientação e a fiscalização de órgãos públicos, que não estão sujeitos a multa nos termos da LGPD. A sanção à ByteDance rompe esse padrão de forma expressiva e é resultado do processo de dosimetria aplicado a cinco violações distintas, relacionadas aos artigos 6º (incisos VIII e X) e 7º da LGPD, cujos valores se aproximam do teto legal de R$ 50 milhões por infração.

A mudança tem uma causa estrutural, não apenas um caso isolado. A ANPD deixou de ser autarquia vinculada e passou a operar como agência reguladora, com autonomia administrativa e financeira e estrutura de fiscalização ampliada. Para as empresas, isso significa que o risco de sanção por LGPD deixa de ser um item de compliance de baixo impacto orçamentário e passa a compor, de forma concreta, o mapa de riscos financeiros da organização.

Na prática, o valor da multa reposiciona a forma como a exposição a dados de titulares vulneráveis deve ser tratada internamente. Não se trata mais de mensurar apenas o risco reputacional de uma eventual notificação da autoridade, mas de considerar um passivo financeiro que pode ser material o suficiente para impactar resultado, provisionamento contábil e decisões de investimento em conformidade.

Áreas financeira, jurídica e de tecnologia passam a ter um argumento numérico concreto para priorizar orçamento de adequação à LGPD, especialmente em operações que tratam dados de crianças e adolescentes, tema já indicado pela ANPD como prioritário para os próximos ciclos de fiscalização.

O caso também estabelece um parâmetro de referência para a dosimetria de sanções em fiscalizações futuras. Empresas de grande porte que ainda tratam a LGPD como exigência documental, sem controles auditáveis de verificação etária, minimização de dados e comprovação de eficácia, passam a ter um número concreto para dimensionar o risco de manter essa postura.

O acompanhamento dos próximos casos julgados pela ANPD, e da forma como o valor desta multa se compara a eles, é o indicador mais direto de que essa mudança de fase veio para ficar.