A decisão. O Despacho Decisório nº 27/2026/CGS/SFI, publicado no Diário Oficial de 25 de agosto de 2026, aplicou à ByteDance Brasil multa de R$ 153.769.671,33 por cinco condutas relacionadas ao tratamento de dados de crianças e adolescentes. A empresa pediu redução do valor invocando o plano de conformidade que já tramitava na ANPD, e a área técnica recusou o pedido. O critério usado nessa recusa vale para qualquer organização que trate política aprovada como prova de conformidade.
O que a ANPD decidiu?
Aplicou cinco multas simples, somando R$ 153.769.671,33, no processo administrativo sancionador nº 00261.006648/2024-02. A decisão é assinada pelo superintendente de fiscalização Fabrício Guimarães Madruga Lopes e acolhe como motivação as razões do Relatório de Instrução nº 2/2026/CGS/SFI.
Duas condutas tratam do feed sem cadastro, a experiência em que qualquer pessoa assiste a vídeos sem criar conta, punidas em R$ 35.760.388,68 cada uma: tratar dados de crianças e adolescentes menores de 18 anos sem hipótese legal válida (artigo 7º) e deixar de adotar medidas para prevenir o tratamento de dados de menores de 13 anos nessa experiência (artigo 6º, VIII). Duas tratam do cadastro, punidas em R$ 27.416.297,99 cada uma, pelos mesmos dispositivos. A quinta, também em R$ 27.416.297,99, imputa violação ao artigo 6º, X, por deixar de demonstrar medidas eficazes e capazes de comprovar a observância das normas de proteção de dados.
A diferença de patamar acompanha o grau de dano atribuído em cada caso, 3 no feed sem cadastro e 2 nas demais condutas. Todas as cinco foram classificadas como médias e elevadas a graves pelos critérios do artigo 8º, § 3º, do Regulamento de Dosimetria. Como não foram reconhecidos agravantes nem atenuantes, o valor final de cada multa ficou igual ao valor-base, que resulta da alíquota-base aplicada sobre o faturamento, mascarado na versão pública por sigilo fiscal.
A decisão determinou ainda a eliminação dos dados de adolescentes entre 13 e 18 anos cuja representação ou assistência legal não seja regularizada em sessenta dias úteis, com relatório técnico instruído por logs e declaração assinada pelo encarregado nos cinco dias úteis seguintes. Cada uma das quatro obrigações associadas tem multa diária própria de R$ 137.081,49, equivalente a 0,5% da multa aplicada à conduta do cadastro. Cabe recurso em dez dias úteis, e a renúncia ao recurso com pagamento em vinte dias úteis reduz o total para R$ 115.327.253,49.
Por que o plano de conformidade não reduziu a multa?
Porque a atenuante exige execução comprovada. A ByteDance pleiteou três circunstâncias atenuantes do artigo 13 do Regulamento de Dosimetria, todas ancoradas na apresentação do novo plano de conformidade no processo de fiscalização: cessação da infração, implementação de política de boas práticas e governança, e adoção de medidas capazes de reverter ou mitigar os efeitos sobre os titulares.
A área técnica recusou as três. O item 7.41 do relatório de instrução expõe o critério comum:
"As circunstâncias atenuantes mencionadas [...] possuem um ponto em comum: exigem comprovação por parte do infrator. É isso o que preconiza o art. 13, § 3º, ao estabelecer que 'cabe ao infrator o ônus de comprovar perante a ANPD o cumprimento dos requisitos previstos neste artigo'."
O item 7.42 registra que seria indispensável que o plano estivesse "comprovadamente cumprido e implementado na prática, com o devido ateste da ANPD". E o item 7.43 conecta o raciocínio ao artigo 36, § 2º, do Regulamento de Fiscalização, que atribui ao agente de tratamento o dever de comprovar o atendimento ao resultado esperado dentro do prazo, para concluir que "a mera apresentação do Plano, que ainda precisaria ser aprovado pela ANPD, executado pelo agente de tratamento e ter seu cumprimento atestado pela Agência, não preenche os requisitos legais para a redução da sanção pecuniária".
Três etapas, portanto: aprovação, execução e ateste. O plano da ByteDance havia cumprido a primeira. O Despacho Decisório nº 32/2025/FIS/CGF já o havia aprovado de forma condicionada aos requisitos do item 6.7 da Nota Técnica nº 60/2025/FIS/CGF/ANPD, e a empresa recorreu dessas condições. O recurso foi julgado pelo Conselho Diretor no Despacho Decisório PR/ANPD nº 37/2026, publicado no mesmo Diário Oficial da multa, com base no Voto nº 4/2026/GABDIR3/CD/ANPD, da relatora Lorena Giuberti Coutinho. A decisão manteve a aprovação e acrescentou a ressalva de que a empresa observará o regime de aferição etária do Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025), com os prazos do cronograma do Despacho Decisório CD/ANPD nº 35/2026 e as orientações do Guia Orientativo de Mecanismos de Aferição de Idade.
Nenhuma das duas decisões faz referência à outra. Elas correm em processos distintos, com objetos distintos, e é justamente por isso que a aprovação do plano não teve efeito sobre a dosimetria. O que reduz sanção é a segunda e a terceira etapas, e elas ainda não tinham acontecido.
Essa régua tem efeito prático sobre quem já está sob fiscalização. O ateste depende de o plano percorrer o rito no processo em que tramita, e o processo sancionador corre em separado, com prazo próprio. O agente que apresenta plano depois de instaurada a fiscalização tende a chegar à decisão com a primeira etapa cumprida e as outras duas em aberto, e é nessa situação que as três atenuantes do artigo 13 ficam fora de alcance. A conclusão da área técnica acompanha o texto do regulamento, que põe o ônus da comprovação no infrator. Para quem opera, isso desloca a exigência para trás no tempo: o registro que sustenta uma atenuante precisa ser anterior à fiscalização.
O que a ANPD cobrou como prova de eficácia?
Documentação idônea, registro técnico e indicador objetivo. O item 7.212 fixa o padrão:
"Não se admite, nessa perspectiva, comprovação baseada exclusivamente em autodeclarações genéricas ou alegações abstratas de conformidade; é necessário demonstrar, mediante documentação idônea, registros técnicos e indicadores objetivos, que tais medidas existem, operam adequadamente e produzem resultados compatíveis com os objetivos de proteção estabelecidos pela legislação."
Ao tratar do volume de contas excluídas no feed com cadastro, o item 7.219 lista o que faltava saber:
"não se sabe por quanto tempo os milhões de usuários tiveram seus dados tratados de maneira irregular, com qual frequência ou em quais contextos; não se sabe, ademais, qual a relação entre usuários excluídos e os conjuntos de dados produzidos a partir da sua interação, se foram excluídos de fato e qual a forma de exclusão, tampouco quanto tempo permaneceram ativos até sua exclusão definitiva."
Tempo de exposição, frequência, contexto, destino dos dados derivados, forma da exclusão e latência entre entrada e remoção. Um relatório que traz apenas o total de contas removidas não responde a nenhum desses pontos.
A conduta imputada tem dois fundamentos, e o item 7.221 dá o peso de cada um. O primeiro é probatório, a falha em apresentar evidências de que o controle de idade inicial funcionava. O segundo, que o texto marca com a palavra "sobretudo", é substantivo: a ausência de política estruturada para exigir de anunciantes e parceiros comerciais a exclusão dos dados de crianças já repassados. O item 7.220 traz o exemplo. Questionada sobre política para comunicar parceiros, a empresa respondeu que não compartilharia dados no futuro, o que a área técnica registrou como prestação de contas omissa e evasiva sobre o passado.
Por que a tabela de 7,75 milhões de contas não serviu?
Porque a ANPD havia pedido um relatório sobre as medidas de remoção, e o que chegou foi uma tabela mês a mês, de outubro de 2022 a setembro de 2023, somando 7,75 milhões de contas de crianças removidas no Brasil. O parágrafo 6.59 da Nota Técnica nº 50/2024 registra que a resposta era insuficiente por dois outros motivos, além dos já apontados: não houve a análise solicitada, e a tabela, ainda que fosse considerada relatório, era "desprovida de contexto que permita avaliá-la, visto que não há qualquer explicação sobre a metodologia utilizada para a sua construção ou quais parâmetros possam servir como referência para compreender seus números".
O número acabou pesando contra a empresa. O parágrafo 6.5 da mesma nota técnica registra que a quantidade de contas removidas reflete esforço e, ao mesmo tempo, "evidencia a ineficácia das salvaguardas existentes, bem como o conhecimento do agente regulado sobre essa fragilidade". A fragilidade do age gate já era achado da autoridade desde a Nota Técnica nº 6/2023, e o dado apresentado pela controladora corroborou a conclusão anterior.
O que isso muda para quem opera um programa?
Muda o registro exigido antes de o relatório sair da organização, e altera o valor probatório do que já foi aprovado.
| O que costuma bastar | O que a decisão cobra |
|---|---|
| Volume de acessos ou contas bloqueadas no período | O mesmo volume em série, com metodologia e critério de contagem declarados, e a latência entre entrada e detecção |
| Ferramenta de verificação implantada | Em que ponto do fluxo ela atua, com bloqueios na entrada separados dos posteriores ao acesso |
| Dados excluídos após pedido ou banimento | Forma da exclusão, destino dos dados derivados, e comprovação de que terceiros que receberam os dados também excluíram |
| Plano, política ou comitê aprovado | Registro datado de execução, com logs e responsável nomeado, mais o resultado alcançado no prazo previsto |
A última linha é a que a decisão trabalha com mais detalhe. Programas maduros produzem política, comitê e plano, e costumam parar na aprovação. O artigo 6º, X pede a etapa seguinte, e o artigo 13, § 3º do Regulamento de Dosimetria coloca o ônus dessa etapa em quem quer o benefício da redução.
Um teste rápido serve para começar. No último relatório enviado a um cliente, a um conselho ou a uma autoridade, quantas linhas resistiriam à pergunta "como você comprova isso?" com um documento anexado como resposta. Se menos da metade das linhas resiste, o relatório está apoiado em instrumentação que ainda não existe, e instrumentação leva meses de coleta antes de virar série.
Vale registrar o limite da decisão. O item 8.4 do relatório de instrução consigna que a classificação das infrações e a dosimetria se restringem às circunstâncias deste caso concreto e não vinculam a análise em futuros processos sancionadores.
Sobre a distância entre usar um sistema e conseguir prestar contas dele, escrevemos em A lacuna de comprovação da IA. Sobre o que um programa precisa registrar para sustentar o que afirma, em Vazaram 500 mil prontuários do SUS: o raio-x do que faltou no programa de governança.
Transparência: esta peça foi pesquisada e estruturada com apoio de IA, sob edição e responsabilidade do autor. As citações entre aspas e os valores foram extraídos do Despacho Decisório nº 27/2026/CGS/SFI, do Despacho Decisório PR/ANPD nº 37/2026, do Relatório de Instrução nº 2/2026/CGS/SFI (versão pública) e da Nota Técnica nº 50/2024/FIS/CGF/ANPD. A capa, gerada por IA, carrega Content Credentials (C2PA).
