Observatório IA + Direito · Nota de conjuntura nº 5
A ANPD publicou o quanto e não publicou o porquê
A multa de R$ 153,7 milhões ao TikTok sai em três valores agregados por dispositivo, e a dosimetria que os explica está num relatório de instrução que não é público
O que mudou
Em 25 de agosto de 2026 a Superintendência de Fiscalização da ANPD publicou no Diário Oficial da União, Edição 160, Seção 1, p. 132, o Despacho Decisório nº 27/2026/CGS/SFI, no Processo Administrativo Sancionador nº 00261.006648/2024-02, contra a ByteDance Brasil Tecnologia Ltda., CNPJ nº 27.415.911/0001-36. O ato foi assinado pelo Superintendente de Fiscalização, Fabrício Guimarães Madruga Lopes, e a ANPD informa que a notificação da penalidade ocorreu em 24 de agosto de 2026.
As multas. O item 1.1 aplica multa simples em três parcelas, todas transcritas por extenso no ato. R$ 63.176.686,67 por infrações ao art. 7º da LGPD, R$ 63.176.686,67 por infrações ao art. 6º, VIII, e R$ 27.416.297,99 pela infração ao art. 6º, X, totalizando R$ 153.769.671,33. O item 1.1.1 prevê fator de redução de 25 por cento em caso de renúncia expressa ao direito de recorrer, com pagamento no prazo de vinte dias úteis, o que levaria o montante a R$ 115.327.253,49. O prazo de recurso ao Conselho Diretor é de dez dias úteis.
As condutas. Segundo a comunicação oficial da Agência, são cinco. No feed sem cadastro, tratar dados pessoais de crianças e adolescentes sem hipótese legal válida e deixar de adotar medidas para prevenir esse tratamento. No feed com cadastro, tratar dados desse público para realizar o cadastro sem hipótese legal válida e deixar de adotar medidas eficazes para prevenir o cadastro irregular. E, nas duas experiências, deixar de demonstrar medidas eficazes e capazes de comprovar a observância das normas de proteção de dados. Os valores publicados no DOU, porém, não são individualizados por conduta, e sim agregados por dispositivo infringido.
A motivação. O preâmbulo do despacho declara que acolhe e integra à decisão, inclusive como motivação, o Relatório de Instrução nº 2/2026/CGS/SFI, SEI nº 0316190, com fulcro no art. 50, § 1º, da Lei nº 9.784/1999. É motivação por remissão. O teor do relatório não consta do ato publicado, e não foi localizada versão pública indexada dele em busca realizada nesta data.
A eliminação de dados. O item 1.2 determina a eliminação dos dados pessoais de adolescentes entre 13 e 18 anos cadastrados na plataforma cuja regularização da representação ou assistência legal não ocorra em sessenta dias úteis, com comunicação da obrigação aos terceiros que receberam esses dados. Nos cinco dias úteis seguintes, a empresa deve apresentar relatório técnico circunstanciado instruído com registros de auditoria de sistema e declaração formal do Encarregado, e a Agência reservou a possibilidade de requisitar auditoria externa e independente se considerar a documentação insuficiente. O descumprimento de cada uma dessas obrigações sujeita a empresa a multa diária de R$ 137.081,49, equivalente a 0,5 por cento da multa simples fixada para a Conduta 3, definida no próprio ato como tratar dados de menores de 18 anos para cadastro sem hipótese legal válida, diante da inexistência de um contrato válido.
O destino do valor. O item 4 do despacho encaminha o processo para emissão de Guia de Recolhimento da União e o item 5 prevê, no descumprimento, inscrição no Cadin e na Dívida Ativa da União. Por força do art. 52, § 5º, da LGPD, o produto da arrecadação das multas aplicadas pela ANPD, inscrito ou não em dívida ativa, é destinado ao Fundo de Defesa de Direitos Difusos de que tratam o art. 13 da Lei nº 7.347/1985 e a Lei nº 9.008/1995.
A segunda decisão. No mesmo Diário Oficial saiu o Despacho Decisório PR/ANPD nº 37/2026, do Conselho Diretor, assinado pelo Diretor-Presidente Waldemar Gonçalves Ortunho Júnior. Ele julga o recurso da ByteDance contra o Despacho Decisório nº 32/2025/FIS/CGF, que já havia aprovado o plano de conformidade de forma condicionada aos requisitos do item 6.7 da Nota Técnica nº 60/2025/FIS/CGF/ANPD, e decide aprovar o plano nos mesmos termos, com uma ressalva quanto à implantação de aferição etária robusta. A recorrente passa a observar o regime de aferição etária do ECA Digital, submetendo-se aos prazos do cronograma do Despacho Decisório CD/ANPD nº 35/2026 e às orientações definitivas sobre aferição etária a serem publicadas no Guia Orientativo de Mecanismos de Aferição de Idade. O ato determina ainda que a Superintendência de Fiscalização analise, no acompanhamento do plano, os identificadores IDFA, GAID, IDFV e Android ID e os indícios levantados pela Nota Técnica nº 1/2026/CPCA/CGF/SFI/ANPD.
O Despacho nº 37/2026 não descreve nenhuma medida do plano. O conteúdo das medidas, entre elas a limitação da experiência sem cadastro a doze horas, a indisponibilidade de comentário, mensagem direta e transmissão ao vivo, a suspensão total de anúncios no Brasil e a configuração mais restritiva por padrão para menores de 16 anos, é conhecido apenas pela comunicação de imprensa da Agência publicada na mesma data.
O antecedente. A Nota Técnica nº 50/2024/CGF/ANPD, de novembro de 2024, já havia determinado, no item 13.5, suspender imediatamente o funcionamento do feed sem cadastro, sem recorte etário, exigido plano de conformidade no item 13.6 e concluído pela instauração do processo sancionador no item 13.7. A ANPD registra que a sanção agora aplicada corresponde a condutas passadas.
Apreciação
O ato publica três números e nenhuma conta. O art. 52, II, da LGPD limita a multa simples, no total, a R$ 50 milhões por infração, e dois dos três valores que saíram no Diário Oficial superam esse teto quando lidos isoladamente. A explicação provável é aritmética e simples, cada dispositivo reúne mais de uma das cinco condutas, de modo que nenhuma infração isolada passaria do limite. Ocorre que provável não é uma categoria jurídica, e a demonstração está inteira no Relatório de Instrução nº 2/2026, que não é público. Afirmo, e posso estar errado, que com os documentos públicos disponíveis em 25 de agosto de 2026 nenhum terceiro consegue verificar se o teto legal foi respeitado, nem se os onze parâmetros de dosimetria do art. 52, § 1º, da LGPD foram valorados, entre eles a boa-fé do infrator, a cooperação e a pronta adoção de medidas corretivas, que neste caso não são hipóteses abstratas, porque a funcionalidade questionada estava desligada no Brasil desde fevereiro de 2025 e o plano de conformidade já vinha aprovado, ainda que sob condição, desde 2025. Motivação por remissão é técnica lícita e corriqueira no processo administrativo. Ela deixa de ser inócua quando o documento para o qual se remete não é publicado, porque então o ato informa a consequência e sonega a razão, e o controle externo da sanção fica dependendo da boa vontade de quem sancionou.
O segundo ponto é o critério, e ele é mais grave do que a aritmética. A infração central do caso é não ter conseguido aferir idade com eficácia. O parâmetro de eficácia não existia quando as condutas ocorreram e continua não existindo hoje, o que a própria autoridade reconhece no ato irmão, ao submeter a empresa a orientações definitivas a serem publicadas. O que vale hoje é o documento preliminar de março de 2026, que a ANPD declara sujeito a modificação e que fixa três qualidades, acurácia, robustez e confiabilidade, sem um único limiar numérico. Ele registra que a autodeclaração de data de nascimento tem baixo grau de confiabilidade e, na mesma publicação, recomenda cautela com biometria facial por risco de vigilância, viés algorítmico e coleta excessiva de dado sensível. O regulado fica entre um método declarado insuficiente e outro desestimulado, sem saber qual patamar o aprova. O ECA Digital não fecha a lacuna, porque não fixa critério, delega. O art. 16, § 1º, III manda apenas aprimorar de maneira contínua, o § 2º remete a avaliação de efetividade a regulamentação específica, e a vedação de autodeclaração do art. 9º, § 1º alcança somente o conteúdo impróprio a menores de 18 anos que o § 2º define como material pornográfico, e não a rede social em geral. Levanto a hipótese, que é minha e pode ser refutada, de que a indeterminação aqui não é falha de redação e sim consequência do desenho, porque conceito indeterminado preserva a discricionariedade de quem fiscaliza e transfere ao regulado o custo de adivinhar o patamar, com a diferença de que a big tech contrata quem adivinhe e o pequeno agente não.
O terceiro ponto é o remédio. Em 2024 a autoridade não descreveu uma conduta vedada, ela mandou desligar uma funcionalidade inteira, sem recorte etário, e o feed sem cadastro saiu do ar no Brasil também para o adulto capaz. Em 2026 a mesma funcionalidade volta com duração máxima, sem comentário, sem mensagem direta, sem transmissão ao vivo, sem publicidade e com personalização mínima. Chame-se isso de conformidade negociada ou de intervenção regulatória no desenho do produto, o fato é que a arquitetura de um serviço passou a ser definida em processo administrativo sancionador, e o parâmetro dessa definição não está em lei, está em nota técnica e em plano aprovado por remissão. Registro por fim um dado estrutural que a cobertura inteira ignorou. Os R$ 153,7 milhões vão para o Fundo de Defesa de Direitos Difusos, por força do art. 52, § 5º, da LGPD. Nenhum centavo se destina ao adolescente cujos dados foram tratados sem base legal, e nada no ato vincula o valor a política alguma de proteção de crianças no ambiente digital. Isso não prova intenção arrecadatória, e não é disso que se trata. Prova que, no desenho vigente, punir e reparar são coisas separadas, e que apenas a primeira delas aconteceu.
Fábio Cabral ORCID 0009-0005-6669-0424