A decisão da Autoridade Nacional de Proteção de Dados (ANPD) de aplicar uma multa de R$ 153,7 milhões à ByteDance, empresa responsável pelo aplicativo TikTok, pode se tornar um dos casos mais relevantes da história da LGPD no Brasil. Mas o principal aprendizado não está no valor da penalidade. O caso reforça uma mensagem que toda organização deveria observar com atenção:
Estar em conformidade com a LGPD não significa apenas possuir políticas, procedimentos e controles. É preciso demonstrar que eles são efetivos.
Para DPOs, profissionais de Compliance, equipes de Privacidade e líderes de Segurança da Informação, a decisão mostra uma evolução importante na forma como a ANPD avalia programas de conformidade.
A pergunta já não é apenas: “Existe um controle para esse risco?”, mas sim “é possível comprovar que esse controle funciona?”
O que aconteceu?
A Superintendência de Fiscalização da ANPD aplicou sanções à ByteDance Brasil Tecnologia Ltda., responsável pela operação do TikTok no país, por infrações relacionadas ao tratamento de dados pessoais de crianças e adolescentes.
Segundo a decisão, foram identificadas violações relacionadas a:
- Ausência de hipótese legal adequada para determinadas operações de tratamento;
- Falhas na adoção de medidas preventivas;
- Descumprimento dos princípios de responsabilização e prestação de contas.
Além da multa financeira, a empresa recebeu determinações relacionadas à eliminação de dados pessoais e à apresentação de evidências técnicas que demonstrem o cumprimento das exigências da Autoridade.
O verdadeiro recado da ANPD
Embora o caso envolva especificamente uma grande plataforma digital, os aprendizados se aplicam a organizações de qualquer porte e segmento. Seja uma indústria, um hospital, uma instituição financeira ou uma empresa de tecnologia, a decisão evidencia que programas de privacidade precisam ir além da documentação.
A conformidade passou a ser analisada sob três perspectivas:
✅ Base jurídica adequada
✅ Controles efetivos
✅ Evidências verificáveis
Sem esses três elementos funcionando em conjunto, a maturidade do programa de privacidade pode ser questionada.
1. A hipótese legal precisa ser compatível com a realidade
Um dos pontos centrais da decisão foi a utilização da execução de contrato como fundamento para determinadas operações de tratamento envolvendo crianças e adolescentes.
Segundo o entendimento da Autoridade, a simples indicação de uma hipótese legal não é suficiente.
Ela precisa ser:
- Juridicamente adequada;
- Compatível com a operação realizada;
- Compatível com o perfil dos titulares envolvidos.
Esse ponto traz uma reflexão importante para as empresas.
Muitas iniciativas de adequação concentram esforços em preencher matrizes, inventários e registros de tratamento.
Mas a simples existência desses documentos não garante que a base legal escolhida seja a mais adequada.
A conformidade exige análise crítica e contextualizada.
2. Controles formais podem não ser suficientes
Outro aspecto relevante do caso foi a discussão sobre os mecanismos utilizados para verificar a idade dos usuários.
A análise da ANPD indicou que determinadas medidas adotadas não eram suficientes para mitigar adequadamente os riscos associados ao tratamento de dados de crianças e adolescentes.
Isso reforça um conceito muito importante:
Controles precisam ser proporcionais ao risco.
Quando o tratamento envolve grupos vulneráveis ou operações de grande impacto, controles meramente formais podem não atender às expectativas regulatórias.
Em outras palavras:
Não basta implementar uma medida.
É necessário avaliar se ela realmente reduz o risco que pretende controlar.
3. Contexto e volume importam
Outro aspecto observado pela ANPD foi o contexto da operação.
A Autoridade considerou fatores como:
- Tratamento em larga escala;
- Alcance nacional da plataforma;
- Grande volume de titulares;
- Participação de crianças e adolescentes;
- Existência de exploração econômica relacionada ao tratamento.
Isso reforça um princípio importante da governança de dados: nem todos os tratamentos possuem o mesmo nível de risco.
Quanto maior o volume de informações processadas e quanto mais sensível for o contexto, maior tende a ser a expectativa regulatória sobre os mecanismos de proteção.
4. O ponto mais importante: provar a eficácia dos controles
Talvez este seja o principal aprendizado para organizações que investem em programas de privacidade.
Segundo os documentos que fundamentaram a decisão, a ANPD identificou dificuldades na demonstração da efetividade de determinadas medidas adotadas.
Ou seja, o problema não se limitava à existência dos controles.
O desafio estava na capacidade de demonstrar:
- Como funcionavam;
- Como eram monitorados;
- Como eram auditados;
- Quais resultados produziam na prática.
Essa exigência está diretamente relacionada ao princípio da responsabilização e prestação de contas previsto na LGPD.
Na prática, a Autoridade espera que as empresas consigam apresentar evidências claras e verificáveis de suas ações.
5. Um plano de conformidade não garante conformidade
Outro aprendizado relevante diz respeito aos planos de adequação.
Muitas organizações acreditam que a existência de um plano, um roadmap ou um programa de implementação é suficiente para demonstrar maturidade.
O caso mostra que isso não necessariamente será aceito como evidência de conformidade.
Para que um programa produza efeitos concretos, é necessário demonstrar que:
- As medidas foram implementadas;
- Os controles estão operando;
- Os resultados são monitorados;
- A organização consegue comprovar sua efetividade.
A lógica é simples:
Não basta dizer que existe um processo. É preciso demonstrar que ele funciona.
O que sua empresa pode aprender com esse caso?
Independentemente do porte ou segmento de atuação, existem algumas perguntas que toda organização deveria responder:
- As hipóteses legais utilizadas estão devidamente validadas?
- Os controles de privacidade são proporcionais aos riscos existentes?
- Há monitoramento contínuo dos controles?
- Existem evidências da efetividade dessas medidas?
- É possível demonstrar conformidade em caso de fiscalização?
Se alguma dessas respostas gerar dúvidas, provavelmente existe uma oportunidade de evolução no programa de privacidade.
Um marco histórico
O caso TikTok representa um marco importante para a aplicação da LGPD no Brasil.
Mais do que uma discussão sobre documentos ou requisitos formais, a decisão reforça uma visão cada vez mais presente nas melhores práticas de governança e proteção de dados:
Conformidade não é documentação. Conformidade é evidência.
Políticas, procedimentos, RIPDs, registros de tratamento e controles de Privacy by Design continuam sendo fundamentais.
Mas a verdadeira maturidade está na capacidade de demonstrar que esses mecanismos fazem parte da operação e reduzem efetivamente os riscos aos titulares.
Para DPOs, profissionais de Compliance e líderes de Privacidade, fica uma reflexão importante:
Se a ANPD solicitasse hoje evidências da eficácia dos controles da sua organização, sua empresa conseguiria demonstrá-las?
