Multa de R$ 153,7 milhões ao TikTok reforça novo nível de risco da LGPD para empresas

ANPD aplica multa de R$ 153,7 milhões à controladora do TikTok

A Autoridade Nacional de Proteção de Dados aplicou uma multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, após processo administrativo que analisou irregularidades relacionadas ao tratamento de dados pessoais de crianças e adolescentes.

A decisão também determinou a eliminação dos dados coletados irregularmente e prevê a implementação de um plano de conformidade destinado a aperfeiçoar a proteção desse público na plataforma.

Segundo a ANPD, foram identificadas violações à Lei Geral de Proteção de Dados tanto na experiência disponibilizada sem necessidade de cadastro quanto naquela vinculada a usuários registrados.

Entre os problemas apontados estão o tratamento de dados sem hipótese legal adequada e a ausência de medidas suficientemente eficazes para impedir o tratamento irregular de informações de crianças e adolescentes.

Embora o caso envolva uma das maiores plataformas digitais do mundo e um público especialmente protegido, a decisão traz uma mensagem que ultrapassa o setor de tecnologia:

ter uma política de proteção de dados não significa, por si só, estar em conformidade com a LGPD.

A empresa precisa conseguir demonstrar que seus controles realmente funcionam.

Compliance precisa existir na prática

Muitas empresas iniciaram sua adequação à LGPD elaborando políticas de privacidade, termos de consentimento, procedimentos internos e documentos relacionados à proteção de dados.

Esses instrumentos são importantes.

Mas representam apenas uma parte da governança.

No caso envolvendo o TikTok, um dos pontos destacados pela fiscalização foi justamente a falta de evidências concretas capazes de demonstrar a efetividade das medidas técnicas e organizacionais adotadas.

Essa diferença é fundamental.

Não basta possuir uma política afirmando que determinados dados são protegidos.

É necessário demonstrar quais controles existem, como funcionam, quem é responsável por eles e como a empresa verifica sua eficácia.

A empresa sabe quais dados possui?

Uma das primeiras dificuldades de qualquer programa de proteção de dados está no próprio conhecimento sobre as informações tratadas pela organização.

Empresas acumulam dados em sistemas, ERPs, plataformas comerciais, ferramentas de marketing, documentos internos, serviços de nuvem e softwares fornecidos por terceiros.

Nesse ambiente, perguntas aparentemente simples podem ser difíceis de responder:

Quais dados pessoais são coletados?

Por qual motivo?

Onde são armazenados?

Quem possui acesso?

Por quanto tempo permanecem armazenados?

São compartilhados com terceiros?

Qual é a justificativa jurídica para o tratamento?

Sem esse mapeamento, torna-se difícil demonstrar que a empresa possui controle sobre seus próprios processos.

Fornecedores também representam risco

Outro ponto importante está na crescente dependência de fornecedores de tecnologia.

Softwares de gestão, plataformas de marketing, serviços de armazenamento, ferramentas de Inteligência Artificial e sistemas de atendimento podem tratar dados pessoais em nome ou no interesse das empresas contratantes.

Isso significa que proteção de dados também precisa fazer parte da gestão contratual.

Antes de contratar determinados fornecedores, empresas devem analisar questões relacionadas a segurança da informação, confidencialidade, compartilhamento de dados, responsabilidades, incidentes e subcontratação.

A LGPD, portanto, não deve permanecer restrita à política de privacidade publicada no site.

Ela precisa chegar aos contratos e à operação.

Dados de crianças e adolescentes exigem atenção especial

O caso do TikTok também evidencia a sensibilidade do tratamento de dados de crianças e adolescentes.

A ANPD identificou irregularidades tanto no acesso sem cadastro quanto no cadastro de usuários e determinou uma série de mudanças na plataforma.

Entre as medidas previstas estão configurações mais restritivas de privacidade para determinados usuários menores de idade, reforço de mecanismos de supervisão parental e limitações específicas para a experiência sem cadastro.

Empresas que oferecem produtos, serviços ou plataformas capazes de alcançar crianças e adolescentes precisam avaliar com especial atenção seus processos de coleta, utilização e proteção de dados.

Não considerar adequadamente o perfil do público pode criar uma exposição regulatória significativa.

Documentar pode ser tão importante quanto implementar

Uma empresa pode possuir bons procedimentos e ainda enfrentar dificuldades se não conseguir demonstrar sua existência e aplicação.

Por isso, documentação é parte fundamental do compliance.

Treinamentos realizados, auditorias, avaliações de risco, políticas internas, registros de incidentes, revisões de processos e decisões sobre tratamento de dados devem produzir evidências.

Em eventual fiscalização, a empresa precisa estar preparada para demonstrar como sua governança funciona.

Essa capacidade de comprovação reduz a distância entre aquilo que está previsto no papel e aquilo que efetivamente acontece na operação.

LGPD passou a ser uma questão de gestão empresarial

Proteção de dados não é responsabilidade exclusiva do departamento de tecnologia ou do jurídico.

Comercial coleta dados.

Marketing utiliza informações de clientes.

Recursos Humanos trata dados de funcionários e candidatos.

Financeiro administra informações pessoais.

Tecnologia controla sistemas e acessos.

Fornecedores externos também participam desse ecossistema.

Por isso, a governança precisa integrar diferentes áreas.

Quanto mais descentralizado for o tratamento de dados, maior a importância de responsabilidades claramente definidas.

O que as empresas deveriam revisar agora?

A decisão da ANPD oferece um bom momento para que administradores avaliem a maturidade de seus próprios programas de proteção de dados.

Algumas perguntas são especialmente importantes:

• a empresa conhece os dados pessoais que trata?
• existem bases jurídicas adequadas para esses tratamentos?
• políticas internas estão efetivamente implementadas?
• existem evidências capazes de comprovar o cumprimento dos procedimentos?
• contratos com fornecedores disciplinam adequadamente proteção de dados?
• funcionários recebem treinamento?
• existem procedimentos para incidentes de segurança?
• os controles são revisados periodicamente?
• a empresa trata dados de crianças ou adolescentes?

Se algumas dessas perguntas não possuem respostas claras, pode existir uma fragilidade de governança que ainda não se transformou em problema.

Como a Martins Zanchet Advocacia Empresarial pode ajudar

A Martins Zanchet Advocacia Empresarial pode auxiliar empresas na revisão e estruturação de programas de adequação à LGPD, mapeamento de riscos jurídicos, elaboração e revisão de políticas internas, análise de contratos com fornecedores e estruturação de mecanismos de governança e compliance.

A atuação preventiva também permite avaliar se os controles existentes são capazes de produzir evidências adequadas de conformidade.

O objetivo não deve ser simplesmente acumular documentos relacionados à LGPD, mas construir uma estrutura compatível com a realidade operacional da empresa e capaz de reduzir riscos regulatórios, contratuais e reputacionais.

Conclusão

A multa aplicada à controladora do TikTok reforça uma etapa importante da aplicação da LGPD no Brasil.

A proteção de dados precisa ser demonstrável.

Políticas, contratos e procedimentos continuam fundamentais, mas precisam estar acompanhados de controles efetivos e evidências de que são realmente aplicados.

Para empresários e administradores, a principal questão deixa de ser apenas perguntar se a empresa “está adequada à LGPD”.

A pergunta mais importante passa a ser:

se uma fiscalização acontecesse hoje, a empresa conseguiria provar essa adequação?