Em 25 de agosto de 2026 saíram no Diário Oficial da União (DOU) duas decisões da Autoridade Nacional de Proteção de Dados (ANPD) sobre o TikTok. A primeira, o Despacho Decisório nº 27/2026/CGS/SFI, da Superintendência de Fiscalização, é o ato sancionador. Ele aplica multa simples em três parcelas, R$ 63.176.686,67 (isso mesmo, mais de 60 milhões de reais) por infrações ao art. 7º da LGPD, R$ 63.176.686,67 (mais 63 milhões) por infrações ao art. 6º, VIII, e R$ 27.416.297,99 (mais 27 milhões) pela infração ao art. 6º, X, e ainda determina a eliminação dos dados de adolescentes entre 13 e 18 anos cujo cadastro não tenha representação ou assistência regularizada em sessenta dias úteis. A segunda, o Despacho Decisório PR/ANPD nº 37/2026, do Conselho Diretor, julga recurso da empresa e mantém a aprovação do plano de conformidade, com uma ressalva sobre aferição de idade à qual eu volto adiante.
São cinco condutas, segundo a comunicação oficial da Agência. Duas no feed sem cadastro, aquela experiência em que se assistia a vídeos sem criar conta, duas no feed com cadastro e uma que vale para as duas e é a de não conseguir demonstrar que os controles funcionavam.
Até aqui, nada que justifique um artigo. O que justifica é o que falta.
O teto que aparenta ter sido rompido, e que provavelmente não foi
O art. 52, II, da LGPD estabelece a multa simples em até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, "limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração". O limite é por infração, e não por processo. Isso é claro no texto e não comporta discussão.
Agora repare nos números publicados. R$ 63,17 milhões pelo art. 7º. R$ 63,17 milhões pelo art. 6º, VIII. Dois valores que, lidos isoladamente, passam do teto legal em mais de treze milhões cada um.
A explicação provável é simples e aritmética. As condutas são cinco e cada um desses dois dispositivos abriga duas delas, uma no feed sem cadastro e outra no feed com cadastro. Dividido por dois, cada valor cai para R$ 31,58 milhões e fica confortavelmente dentro do limite. É quase certo que foi isso.
Quase certo não é uma categoria jurídica. E aqui está o ponto do artigo, porque o despacho não publica essa divisão. Ele publica valores agregados por dispositivo infringido, e no preâmbulo declara que acolhe e integra à decisão, inclusive como motivação, o Relatório de Instrução nº 2/2026/CGS/SFI, com fulcro no art. 50, § 1º, da Lei nº 9.784/1999. É a chamada motivação por remissão, técnica lícita, antiga e corriqueira no processo administrativo brasileiro.
Ela só tem um requisito implícito, que é o documento para o qual se remete estar acessível a quem precisa controlar o ato. O Relatório de Instrução nº 2/2026 não está. Procurei, e ele não aparece em versão pública indexada. O que se publicou foi a consequência. A razão ficou dentro do processo.
O resultado prático é que ninguém fora dos autos consegue verificar três coisas. 1) Não se verifica se o teto por infração foi respeitado. 2) Não se verifica como foram valorados os onze parâmetros do art. 52, § 1º, da LGPD, entre eles a boa-fé do infrator, a cooperação e a pronta adoção de medidas corretivas, e, 3) não se verifica a proporcionalidade entre a gravidade da falta e a intensidade da sanção, que é o inciso XI do mesmo parágrafo.
Os três últimos não são hipóteses abstratas neste caso. A funcionalidade questionada estava desligada no Brasil desde fevereiro de 2025. O plano de conformidade já vinha aprovado, ainda que sob condição, desde 2025, o que o próprio Despacho nº 37/2026 registra ao descrever de que decisão a empresa recorreu. Ou seja, existiam elementos concretos de cooperação e de correção pronta para pesar na dosimetria. Podem ter pesado. Podem não ter pesado. O ato não diz, e o documento que diria não é público.
Sanção administrativa de nove dígitos que informa o quanto e sonega o porquê tem um nome técnico, e o nome é falta de controle externo do ato.
Punir pelo padrão que a autoridade ainda vai publicar
O segundo problema é mais grave que a aritmética, e é aquele que qualquer advogado de empresa vai reconhecer imediatamente.
A infração central do caso é não ter conseguido aferir idade com eficácia. Muito bem. Qual é o critério objetivo de eficácia? Quantos por cento de acerto aprovam? Qual taxa de contorno é tolerável? Qual documento comprova que uma criança de doze anos não conseguiu entrar? Como se faz essa prova?
A resposta desconfortável é que não existe critério, e quem diz isso não sou eu, é a própria Agência, no ato irmão publicado no mesmo Diário Oficial. O Conselho Diretor determinou que a empresa se submeta aos prazos do cronograma do Despacho Decisório CD/ANPD nº 35/2026 e "às orientações definitivas sobre aferição etária a serem publicadas no Guia Orientativo de Mecanismos de Aferição de Idade". A serem publicadas. No dia em que aplicou uma multa de R$ 153,7 milhões por falha de aferição etária, a autoridade registrou por escrito que a orientação definitiva sobre aferição etária ainda vai sair.
O que existe hoje é o documento de março de 2026 chamado "Mecanismos confiáveis de aferição de idade: orientações preliminares". Ele se declara preliminar, diz que serve até que sejam editadas orientações definitivas, após consulta à sociedade, e admite que pode ser modificado nesse processo. E o conteúdo dele é exatamente o que se esperaria de um documento assim. Fixa três qualidades: a) acurácia, b) robustez e c) confiabilidade. Recomenda mensurar e documentar a acurácia "utilizando métricas claras e adequadas". Não há um único número em lugar nenhum.
Pior que a ausência de número é a pinça. O mesmo documento registra que soluções baseadas exclusivamente em autodeclaração possuem baixo grau de confiabilidade, porque data de nascimento é dado facilmente dedutível e de simples falsificação. Certo. E, algumas páginas antes, recomenda cautela com métodos baseados em biometria facial, por riscos de vigilância, vieses algorítmicos e coleta excessiva de dados sensíveis, exigindo fundamentação mais robusta sempre que existirem alternativas menos intrusivas capazes de alcançar resultado equivalente.
Some as duas coisas. Perguntar a idade é insuficiente. Verificar o rosto é desaconselhado. O caminho do meio não foi descrito. O regulado fica no vão, e o vão só é preenchido depois, por quem vai julgá-lo.
Quem espera que o ECA Digital resolva também se decepciona. A Lei nº 15.211/2025 não fixa critério, ela delega. O art. 16, § 1º, III impõe apenas "aprimorar, de maneira contínua" os mecanismos de verificação de idade, e o § 2º diz que o grau de efetividade e o progresso serão avaliados pela autoridade "nos termos de regulamentação específica". A única vedação categórica de autodeclaração está no art. 9º, § 1º, e alcança somente o conteúdo impróprio, inadequado ou proibido para menores de 18 anos, que o § 2º define como material pornográfico. Rede social em geral não está ali.
Não me interpretem mal. Aferir idade na internet é um problema genuinamente difícil, e provavelmente não existe solução limpa. Nenhuma técnica hoje disponível é ao mesmo tempo precisa, barata, pouco intrusiva e não discriminatória. Reconhecer a dificuldade é honesto.
O que não é honesto é converter um problema sem solução conhecida em infração administrativa de nove dígitos, sem antes dizer qual patamar aprova. Conceito indeterminado tem uma propriedade que precisa ser dita em voz alta. Ele preserva integralmente a discricionariedade de quem fiscaliza e transfere ao regulado o custo de adivinhar. E ele nunca falha a favor do regulado, porque quem define o conteúdo do conceito, depois do fato, é a mesma autoridade que decide se houve infração.
O regulador entrou no desenho do produto
O terceiro ponto passou quase despercebido, e é o de maior densidade constitucional.
Em novembro de 2024 a Nota Técnica nº 50/2024/CGF/ANPD não descreveu uma conduta vedada. Ela determinou, no item 13.5, "suspender imediatamente o funcionamento do feed sem cadastro". Sem recorte etário. Sem distinção entre usuário adulto e usuário criança. A funcionalidade inteira, para todo mundo.
E foi o que aconteceu. Em fevereiro de 2025 o feed sem cadastro saiu do ar no Brasil, inclusive para o adulto plenamente capaz que nunca teve o menor interesse em criar conta e que, até onde qualquer norma alcança, tinha o direito de assistir a vídeos públicos sem se cadastrar em lugar nenhum.
Repare no desenho do raciocínio. Como não era possível saber quem estava do outro lado, e como parte dos usuários poderia ser criança, suprimiu-se o acesso de todos. A impossibilidade de identificar o titular protegido converteu-se em restrição para o universo inteiro. É uma decisão defensável em tese, e é uma decisão que normalmente se espera de lei, não de nota técnica.
O epílogo fecha o argumento. O plano aprovado agora devolve a experiência sem cadastro em uma versão redesenhada, com duração máxima de doze horas, sem criação de conteúdo, sem comentário, sem mensagem direta, sem seguir ninguém, sem assistir a transmissão ao vivo, sem publicidade alguma no Brasil e com personalização mínima. Não estou dizendo que essas medidas sejam ruins. Estou dizendo o que elas são. São especificações de produto.
E há um detalhe que merece registro próprio. Essa lista não está no ato publicado. O Despacho nº 37/2026 aprova o plano por remissão a um despacho de 2025 e ao item 6.7 de uma nota técnica de 2025, e não descreve uma única medida. As doze horas, a suspensão de anúncios, a configuração restritiva por padrão para menores de 16 anos, tudo isso é conhecido pelo comunicado de imprensa da Agência. Quem quiser saber o que o TikTok brasileiro passou a poder fazer não encontra a resposta no Diário Oficial, encontra na sala de imprensa.
Duas vezes no mesmo caso, o essencial ficou fora do ato. Na multa, a conta. No plano, o conteúdo.
Arrecadar não é reparar
Agora a parte que nenhuma cobertura mencionou, e que eu considero a mais reveladora.
Para onde vão os R$ 153,7 milhões?
O art. 52, § 5º, da LGPD responde. O produto da arrecadação das multas aplicadas pela ANPD, inscrito ou não em dívida ativa, é destinado ao Fundo de Defesa de Direitos Difusos, aquele do art. 13 da Lei nº 7.347/1985 e da Lei nº 9.008/1995. O despacho, coerentemente, manda emitir Guia de Recolhimento da União e prevê, no descumprimento, inscrição no Cadin e na Dívida Ativa da União.
Ou seja, nenhum centavo vai para o adolescente cujos dados foram tratados sem base legal. Nenhum centavo está vinculado a política de proteção de crianças no ambiente digital, a educação digital, a fiscalização, a nada que se relacione com a infração punida. O dinheiro entra num fundo de destinação genérica gerido no âmbito federal, e o titular lesado, que é a razão declarada da existência inteira do processo, sai dele exatamente como entrou.
Quero ser preciso aqui, porque o argumento fácil está à mão e ele é ruim. Isso não demonstra que a ANPD agiu com propósito arrecadatório. Não há elemento nenhum nos autos públicos que sustente essa acusação, e fazê-la seria barato. O que os documentos demonstram é outra coisa, e é pior, porque não depende de intenção. No desenho vigente, punir e reparar são operações separadas, e apenas a primeira delas acontece. A sanção pune conduta passada, já corrigida, e o produto dela vai para um fundo. A proteção efetiva das crianças, no caso concreto, veio da medida preventiva de 2024 e do plano de conformidade, que não custaram nada da multa e que já estavam produzindo efeito antes dela.
Vale contrastar com o PL 2338/2023, que é o objeto de que me ocupo há mais tempo. O art. 50, § 5º do projeto diz que a aplicação das sanções "não exclui, em qualquer hipótese, a obrigação da reparação integral do dano". A LGPD tem regra equivalente no art. 52, § 2º. Em ambos os casos, a reparação continua sendo problema de quem foi lesado, a ser buscado por conta própria, em outra porta. Ninguém está errado tecnicamente. Só que, somando tudo, o sistema produz o seguinte resultado. A infração é declarada pela autoridade, o valor é arrecadado pela União e a vítima que se vire.
E se não fosse uma big tech?
Aqui o caso deixa de ser sobre o TikTok.
A ByteDance vai recorrer, e tem departamento jurídico, escritório contratado, consultoria de privacidade e capacidade técnica para produzir a prova de efetividade que a Agência exige, com métrica, com registro de auditoria e com declaração do Encarregado. Se a multa cair pela metade no Conselho Diretor, ela terá valido a pena. Se não cair, a empresa paga.
Pense agora numa plataforma educacional brasileira com quarenta funcionários, ou num aplicativo de jogos com público adolescente, ou numa startup de conteúdo com dois anos de vida. A régua que se firma neste caso alcança todos eles, porque a LGPD não distingue por porte. Conformidade deixou de ser ter o controle e passou a ser conseguir provar que o controle funciona, o que significa métrica documentada, teste periódico, taxa de falso positivo e de falso negativo, registro de auditoria e capacidade de responder a ofício com evidência técnica. Esse é o novo piso.
E o critério de aprovação desse piso, repito, ainda vai ser publicado.
O PL 2338 pelo menos enxergou o problema. O art. 67 manda as autoridades setoriais definirem critérios diferenciados para microempresas, empresas de pequeno porte e startups, considerando o impacto concorrencial, o número de usuários afetados e a natureza da atividade. A LGPD não tem válvula equivalente no capítulo sancionador. É uma boa notícia sobre o projeto e uma má notícia sobre a lei que já está em vigor.
Isso não é defesa de plataforma. É o argumento que sustento desde sempre e que continua valendo. Custo regulatório não é neutro, ele seleciona quem pode participar. Regulação exaustiva e de critério indeterminado favorece quem tem departamento jurídico, não quem tem ideia melhor. E quando a norma fecha todas as portas, o que ela produz não é conformidade, é caminho obscuro fora do alcance de quem regulou.
O que o PL 2338 promete, e por que a promessa não basta
Chego ao que me parece a lição transportável do caso.
O art. 50, § 6º, II, do PL 2338 determina que a autoridade competente defina por regulamento próprio o procedimento de apuração e os critérios de aplicação das sanções, e que esse regulamento seja objeto de "publicação de metodologias que apresentará objetivamente as formas e as dosimetrias das sanções, devendo conter fundamentação detalhada de todos os seus elementos e demonstração da observância dos critérios previstos nesta Lei".
É um dispositivo bom e pouco comentado. Ele antecipou exatamente o problema que apareceu agora.
Só que ele não basta, e o caso da ANPD é a demonstração empírica disso. A metodologia abstrata já existe no regime da LGPD. Chama-se Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4/2023, e o despacho o invoca no preâmbulo. Publicar a metodologia, portanto, já foi feito. E ainda assim a conta do caso concreto ficou invisível.
A conclusão é que publicar como se calcula em tese não substitui publicar como se calculou naquele caso. São coisas diferentes, e apenas a segunda permite controle. O que precisa ser público não é a fórmula, é a aplicação da fórmula, com a infração individualizada, o valor-base, cada fator de agravamento e de atenuação e a demonstração de que o teto legal foi respeitado em cada uma das infrações reconhecidas.
Uma redação possível seria acrescentar ao § 6º do art. 50 um inciso III assim redigido.
III - publicação, junto com a decisão sancionadora e como parte integrante dela, do demonstrativo de cálculo de cada infração reconhecida, contendo o valor-base, os fatores de agravamento e de atenuação aplicados com a respectiva fundamentação, e a demonstração do respeito ao limite previsto no inciso II do caput deste artigo, vedada a remissão a documento não publicado.
Quatro linhas. Custo zero para quem já fez a conta, porque a conta existe, está no relatório de instrução e foi feita por servidor público no exercício de função pública. E resolve o problema inteiro, porque transforma em ato publicado aquilo que hoje depende de acesso aos autos.
Faço questão de registrar o alcance modesto da proposta. Ela não protege o infrator, não reduz multa nenhuma e não cria recurso novo. Ela apenas obriga a autoridade a mostrar a conta que ela já fez. Quem age corretamente não tem nada a perder com isso, e é exatamente esse o teste que eu aplico a qualquer dispositivo, o de saber se ele orienta quem quer cumprir ou apenas descreve o que será punido.
Uma nota final, sobre o que este texto não está dizendo
Não estou dizendo que o TikTok é vítima. Havia crianças na plataforma, a ANPD vinha alertando desde 2023, e uma empresa daquele porte tem obrigação de fazer melhor.
Não estou dizendo que a multa é ilegal. Provavelmente não é, e a decisão ainda comporta recurso ao Conselho Diretor em dez dias úteis, de modo que pode ser reformada, reduzida, anulada ou confirmada.
Não estou dizendo que a ANPD agiu de má-fé. Não há nada nos documentos públicos que autorize isso.
Estou dizendo três coisas verificáveis, e todas elas saem dos próprios atos publicados. Que a conta não foi publicada e por isso não pode ser conferida por ninguém. Que a autoridade puniu por descumprimento de um padrão que, no mesmo Diário Oficial, ela declara que ainda vai publicar. E que o dinheiro não vai para quem foi lesado.
Regulação não se avalia pelo tamanho da multa que ela produz. Avalia-se pela capacidade de dizer, antes do fato, o que se espera de quem quer acertar, e de demonstrar, depois do fato, por que se decidiu como se decidiu. Nas duas pontas, este caso ficou devendo.