Multa de R$ 153,7 milhões contra o TikTok mostra por que empresas precisam compreender o processo administrativo sancionador e seus limites.
A multa de R$ 153.769.671,33 aplicada pela Agência Nacional de Proteção de Dados à ByteDance Brasil, responsável pelo TikTok, não é apenas um caso de proteção de dados pessoais. É um caso de exercício do poder punitivo da Administração Pública contra uma empresa privada.
Essa distinção muda a forma de compreender a decisão e, principalmente, de estruturar a defesa. A discussão não se encerra na identificação de uma obrigação prevista na Lei Geral de Proteção de Dados. Também exige exame da competência da autoridade, da definição das condutas, da prova produzida, da autonomia entre as infrações, da motivação, da dosimetria e da proporcionalidade das sanções.
O interesse público envolvido é evidente. Crianças e adolescentes possuem proteção reforçada no tratamento de seus dados pessoais. Essa relevância, contudo, não reduz as garantias do processo. Quanto maior a gravidade atribuída à conduta e mais intensa a sanção, maior deve ser o rigor da Administração na demonstração de cada elemento da responsabilidade.
A decisão foi proferida em primeira instância administrativa e ainda admite recurso ao Conselho Diretor da ANPD. Portanto, não se trata de sanção administrativa definitiva. Essa informação é indispensável para que a notícia não seja convertida, antes do encerramento do processo, em uma conclusão irrecorrível sobre a responsabilidade da empresa.
O que a ANPD decidiu no caso do TikTok
O Processo Administrativo Sancionador nº 00261.006648/2024-02 teve origem em uma fiscalização iniciada em março de 2021. O Auto de Infração nº 1/2024/FIS/CGF foi lavrado em 4 de novembro de 2024. A decisão sancionadora foi assinada em 24 de agosto de 2026 e publicada no dia seguinte.
Segundo a ANPD, foram identificadas cinco condutas infrativas em duas modalidades de uso da plataforma. Uma envolvia o acesso ao feed sem cadastro. A outra envolvia usuários com conta registrada.
No feed sem cadastro, a Agência considerou que houve tratamento de dados de crianças e adolescentes sem hipótese legal válida e ausência de medidas destinadas a prevenir esse tratamento. No feed com cadastro, concluiu que dados foram tratados sem base legal adequada e que os mecanismos disponíveis não impediram de forma eficaz o cadastro de menores de 13 anos. A quinta conduta consistiu na falta de demonstração de medidas eficazes de conformidade.
As imputações foram fundamentadas no artigo 7º e no artigo 6º, incisos VIII e X, da Lei nº 13.709/2018. O artigo 7º disciplina as hipóteses que autorizam o tratamento de dados pessoais. O artigo 6º, inciso VIII, estabelece o princípio da prevenção. O artigo 6º, inciso X, prevê a responsabilização e a prestação de contas.
O Relatório de Instrução nº 2/2026/CGS/SFI individualizou cinco multas. Os valores foram posteriormente consolidados por dispositivo legal. As duas violações ao artigo 7º da Lei nº 13.709/2018 somaram R$ 63.176.686,67. As duas violações ao artigo 6º, inciso VIII, alcançaram o mesmo valor. A infração ao artigo 6º, inciso X, resultou em multa de R$ 27.416.297,99.
O Despacho Decisório nº 27/2026/CGS/SFI também determinou a eliminação dos dados de adolescentes entre 13 e 18 anos cujo cadastro não seja regularizado mediante representação ou assistência legal no prazo fixado. A ordem alcança a comunicação aos terceiros com os quais esses dados tenham sido compartilhados. Em caso de descumprimento, foi estabelecida multa diária de R$ 137.081,49.
A ByteDance foi intimada em 24 de agosto de 2026 e recebeu prazo de dez dias úteis para recorrer, conforme o artigo 58 da Resolução CD/ANPD nº 1/2021. A empresa também pode renunciar ao recurso e obter redução de 25 por cento, nos termos do artigo 18 da Resolução CD/ANPD nº 4/2023. Nessa hipótese, o valor seria reduzido para R$ 115.327.253,49.
Por que esse processo pertence ao Direito Administrativo
A Lei nº 13.709/2018 criou obrigações materiais de proteção de dados, mas atribuiu a uma entidade administrativa a competência para fiscalizar e aplicar sanções. O fundamento está no artigo 55-J, inciso IV, da Lei nº 13.709/2018. O dispositivo exige processo administrativo com contraditório, ampla defesa e direito de recurso.
Desde a Lei nº 15.352/2026, a ANPD é uma autarquia de natureza especial e integra o sistema das agências reguladoras. A nova redação do artigo 55-A da Lei nº 13.709/2018 reconhece autonomia funcional, técnica, decisória, administrativa e financeira. Essa autonomia reforça a capacidade de regulação e fiscalização. Não afasta, porém, os controles jurídicos próprios da atividade sancionadora.
O artigo 5º, incisos LIV e LV, da Constituição Federal de 1988 assegura devido processo legal, contraditório e ampla defesa. O artigo 2º da Lei nº 9.784/1999 submete a Administração Federal aos princípios da legalidade, motivação, razoabilidade, proporcionalidade, segurança jurídica e ampla defesa. O artigo 50 da Lei nº 9.784/1999 exige motivação dos atos que imponham sanções.
Essas garantias não são periféricas. Elas definem o modo pelo qual a Administração pode transformar uma desconformidade regulatória em uma sanção de mais de R$ 153 milhões, acompanhada de obrigações operacionais e multa diária.
O esvaziamento do Direito Administrativo na advocacia empresarial
Na minha compreensão, a formação administrativa da advocacia privada foi esvaziada durante muito tempo. Parte dos profissionais passou a definir sua área de atuação pelo perfil do cliente, e não pelo objeto do conhecimento jurídico empregado para solucionar o problema.
O advogado que atende sociedades empresárias costuma apresentar-se como advogado empresarial, ainda que os conflitos enfrentados pertençam a ramos completamente distintos. Empresa, contudo, não é uma área do Direito. Uma sociedade empresária pode enfrentar problemas societários, trabalhistas, tributários, concorrenciais, ambientais, regulatórios ou administrativos.
Quando uma agência fiscaliza, lavra auto de infração, instrui processo e aplica multa, o elemento decisivo não é a natureza empresarial do cliente. O centro do problema é o exercício do poder estatal. A defesa precisa ser construída a partir das regras que autorizam, organizam e limitam a atuação da Administração Pública.
Enquanto isso, congressos, cursos e debates de Direito Administrativo permaneceram majoritariamente ocupados por gestores públicos, advogados públicos, procuradores, membros de carreiras jurídicas estatais e agentes de órgãos de controle. Essa presença é natural e necessária. O contrassenso está na ausência da advocacia privada, embora empresas e particulares sejam destinatários frequentes do poder de polícia, da regulação e das sanções administrativas.
Esse afastamento produz um problema intelectual e prático. O debate passa a ser desenvolvido, em grande medida, por profissionais que observam o ato administrativo como instrumento de execução da política pública, de fiscalização ou de controle. Falta a perspectiva de quem recebe esse ato como restrição de liberdade, imposição de obrigação ou exercício do poder de punir.
O Direito Administrativo perde densidade quando estuda apenas como o Estado deve agir e deixa em segundo plano a forma pela qual o cidadão ou a empresa podem resistir a uma atuação ilegal, desproporcional ou insuficientemente motivada. A advocacia privada não é uma presença externa a esse campo. Ela ocupa um de seus pontos centrais, o controle jurídico do poder administrativo diante do particular.
O Direito Administrativo interessa ao estadista e ao anarquista
O Direito Administrativo é frequentemente apresentado como o conjunto de regras que organiza a Administração Pública e permite a execução das escolhas estatais. Essa definição é correta, mas incompleta. O mesmo regime que entrega competências, prerrogativas e instrumentos ao Estado também estabelece limites para o seu exercício.
É nesse segundo movimento que o Direito Administrativo concretiza, em grande medida, os direitos fundamentais de primeira dimensão, especialmente as chamadas liberdades negativas. A legalidade administrativa, o devido processo, o contraditório, a ampla defesa, a motivação e a proporcionalidade transformam a liberdade abstratamente reconhecida pela Constituição em barreiras jurídicas contra a intervenção estatal indevida.
Não considero exagero afirmar que o Direito Administrativo deveria constituir uma fonte principal de estudo tanto para o estadista quanto para o anarquista. O estadista precisa compreendê-lo para organizar instituições, distribuir competências e executar políticas públicas dentro da legalidade. O anarquista, compreendido aqui como aquele que desconfia da concentração de poder e pretende resistir ao avanço da autoridade, precisa conhecer o mesmo sistema para identificar onde o Estado pode agir e onde deve ser contido.
Não se trata de aproximar projetos políticos incompatíveis. O ponto de contato está no objeto de estudo. Para governar o Estado, é necessário conhecer o seu regime. Para enfrentar o Estado, também é indispensável compreender o ecossistema jurídico que define suas competências, seus instrumentos, seus procedimentos e seus limites.
O processo sancionador da ANPD torna essa dupla função particularmente visível. Sob a perspectiva institucional, a Agência atua para proteger crianças e adolescentes diante do tratamento massivo de dados pessoais. Sob a perspectiva do regulado, o mesmo ordenamento deve assegurar que essa proteção seja promovida por autoridade competente, mediante procedimento regular, prova suficiente e sanção individualizada.
O conflito não se resolve escolhendo entre proteção de dados e garantias processuais. A legitimidade da sanção depende da presença simultânea das duas dimensões. Um Estado incapaz de proteger direitos fundamentais é insuficiente. Um Estado que pune sem respeitar os limites do próprio regime jurídico torna-se igualmente incompatível com esses direitos.
O caso do TikTok expõe, portanto, o vazio deixado pela advocacia privada. A defesa não pode ser limitada à equipe de privacidade, ao encarregado de dados ou ao consultor de compliance. Esses profissionais são fundamentais para a conformidade material. O processo sancionador, porém, exige outra camada de análise. É preciso compreender como a Administração acusa, produz prova, interpreta conceitos abertos, individualiza condutas e calcula a pena.
Os pontos do processo que podem alterar o resultado
A exigência de clareza antes da punição
Um dos argumentos apresentados pela ByteDance foi a inexistência, no período analisado, de regulamentação específica que definisse qual tecnologia deveria ser empregada para verificação de idade. A empresa também sustentou que não existia solução universal, infalível e proporcional, pois métodos baseados em documentos, biometria ou reconhecimento facial poderiam ampliar a coleta de dados e criar novos riscos.
A ANPD rejeitou o argumento. No Relatório de Instrução, afirmou que a Lei nº 13.709/2018 possui eficácia imediata, que o dever de prevenção já era exigível e que a empresa havia recebido alertas durante a fiscalização. A Agência também considerou insuficiente o uso predominante de autodeclaração de idade.
Esse é um problema típico do Direito Administrativo Sancionador. Uma norma regulatória pode estabelecer deveres abertos e baseados em risco. Para punir, contudo, a Administração precisa demonstrar com precisão qual conduta era exigível no momento dos fatos, qual medida tecnicamente possível foi omitida e por que a solução utilizada pelo regulado era insuficiente diante do conhecimento disponível.
Não basta concluir, depois do evento, que outro padrão seria mais seguro. É necessário afastar o risco de transformar uma preferência regulatória construída posteriormente em fundamento retroativo de punição. O artigo 2º, inciso XIII, da Lei nº 9.784/1999 veda a aplicação retroativa de nova interpretação administrativa.
O Estatuto Digital da Criança e do Adolescente reforça atualmente os deveres de aferição etária. O artigo 10 da Lei nº 15.211/2025 exige mecanismos destinados a proporcionar experiências adequadas à idade. O artigo 24, parágrafo 1º, inciso III, determina o aprimoramento contínuo dos mecanismos de verificação pelas redes sociais. Essa lei entrou em vigor em 17 de março de 2026, conforme o artigo 19 da Lei nº 15.352/2026.
As novas regras podem orientar o plano de conformidade e as obrigações futuras. Não podem, por si mesmas, definir retroativamente uma infração praticada antes de sua vigência. A sanção deve permanecer vinculada às obrigações vigentes durante o período efetivamente delimitado pela acusação.
A autonomia das cinco infrações
A ANPD extraiu cinco infrações de duas experiências operacionais do TikTok. A ausência de base legal, a falta de prevenção e a deficiência na prestação de contas foram tratadas como condutas autônomas.
Essa separação pode ser juridicamente possível. Pressupõe, no entanto, demonstração de que cada sanção corresponde a um dever distinto, a uma ação ou omissão própria e a um desvalor que não tenha sido integralmente considerado na outra infração.
O risco aparece quando o mesmo fato é utilizado para afirmar que o tratamento era irregular, que a empresa não o preveniu e que também não demonstrou tê-lo prevenido. Sem individualização rigorosa, uma única desconformidade pode ser multiplicada por diferentes princípios da mesma lei. A defesa precisa comparar a base fática de cada imputação, a prova correspondente e o dano utilizado no cálculo. É nesse ponto que se examina eventual sobreposição sancionatória e violação à proibição de dupla punição pelo mesmo fato.
A dosimetria precisa ser auditável
O artigo 52 da Lei nº 13.709/2018 autoriza multa simples de até dois por cento do faturamento da pessoa jurídica de direito privado, limitada a R$ 50 milhões por infração. A classificação da gravidade e a fórmula de cálculo seguem a Resolução CD/ANPD nº 4/2023.
No caso do TikTok, cada conduta foi classificada e calculada separadamente. O Relatório de Instrução informa a utilização do faturamento bruto, excluídos os tributos, e registra que não foram reconhecidas agravantes nem atenuantes. Partes relevantes da memória de cálculo aparecem ocultadas na versão pública por sigilo fiscal, com fundamento no artigo 198 da Lei nº 5.172/1966.
O sigilo perante terceiros é legítimo. Para a defesa, porém, a dosimetria deve ser integralmente acessível e reproduzível. Não basta saber o valor final. É necessário conferir o faturamento considerado, a alíquota base, o grau de dano, a duração, a quantidade de titulares afetados, as circunstâncias de cada conduta e a razão pela qual eventuais medidas corretivas não produziram atenuação.
Também deve existir coerência entre a gravidade afirmada e a prova do dano. A relevância do direito protegido não substitui a demonstração do alcance concreto ou potencial de cada infração. A vulnerabilidade de crianças e adolescentes aumenta o dever de cuidado, mas não autoriza que o mesmo elemento seja repetidamente usado para caracterizar a infração, elevá-la a grave e ampliar a multa sem justificativa autônoma.
O compliance deve produzir prova verificável
A ByteDance alegou ter adotado medidas de conformidade, cooperado com a fiscalização e apresentado plano para corrigir as práticas questionadas. A ANPD entendeu que a mera apresentação de um plano não demonstrava sua implementação nem sua eficácia.
Esse ponto do relatório é relevante para qualquer empresa regulada. Políticas internas, apresentações institucionais e compromissos futuros possuem valor limitado quando não estão acompanhados de registros capazes de demonstrar execução. O artigo 6º, inciso X, da Lei nº 13.709/2018 exige que o agente comprove a observância e o cumprimento das normas de proteção de dados. O artigo 13, parágrafo 3º, da Resolução CD/ANPD nº 4/2023 atribui ao infrator o ônus de comprovar as circunstâncias atenuantes.
A defesa começa antes do auto de infração. Decisões técnicas precisam ser documentadas. Testes devem possuir metodologia. Indicadores precisam ser preservados. Alterações de produto devem registrar causa, data, alcance e resultado. Sem essa trilha, uma medida efetivamente adotada pode ser tratada no processo como alegação genérica.
Isso não significa aceitar que todo déficit documental comprove automaticamente a ocorrência da infração principal. O dever de prestar contas não pode dispensar a Administração de provar os fatos constitutivos da acusação. A falta de um relatório específico pode caracterizar uma infração autônoma, quando prevista e individualizada, mas não deve funcionar como presunção absoluta de autoria, materialidade e dano em todas as demais imputações.
A escolha entre recorrer e obter desconto
A Resolução CD/ANPD nº 4/2023 estabelece, em seu artigo 18, redução de 25 por cento quando o autuado renuncia expressamente ao direito de recorrer e paga a multa no prazo. No caso concreto, a diferença supera R$ 38 milhões.
Essa escolha não pode ser tratada apenas como cálculo financeiro. A empresa precisa confrontar a economia imediata com a consistência das teses recursais, o impacto das sanções não pecuniárias, os efeitos reputacionais, a possível utilização da decisão em outras jurisdições e o risco de criação de precedente regulatório contra o próprio modelo de negócio.
O recurso administrativo também não encerra o controle jurídico. O artigo 5º, inciso XXXV, da Constituição Federal de 1988 assegura acesso ao Poder Judiciário. A revisão judicial pode alcançar competência, procedimento, prova, motivação, interpretação normativa, proporcionalidade e dosimetria, sem que isso signifique substituir de forma automática a avaliação técnica legítima da Agência.
Por que conformidade e defesa sancionadora não são a mesma atividade
O compliance procura evitar a infração e ajustar a operação às normas. A defesa sancionadora examina se a Administração demonstrou validamente a responsabilidade e aplicou uma consequência juridicamente adequada. As duas atividades se comunicam, mas não se confundem.
Uma boa política de proteção de dados pode reduzir riscos e produzir prova favorável. Ainda assim, a empresa pode enfrentar divergência sobre a interpretação de uma base legal, sobre a tecnologia razoavelmente exigível ou sobre o alcance de um princípio regulatório. Nesse momento, a defesa precisa atuar sobre o processo, e não apenas propor novas medidas de conformidade.
O erro mais comum é responder à fiscalização como se a empresa estivesse apenas em uma auditoria colaborativa. Informações são prestadas sem delimitação, documentos são enviados sem estratégia probatória e concessões técnicas são feitas sem avaliar seus efeitos sobre a tipificação. Quando o processo sancionador é instaurado, parte relevante da acusação já foi construída com as manifestações do próprio regulado.
Cooperar com a autoridade não significa renunciar à defesa. A empresa deve responder com precisão, preservar sigilos legítimos, contestar premissas incorretas, requerer provas necessárias e registrar desde o início as divergências jurídicas que poderão sustentar recurso administrativo ou ação judicial.
O caso interessa a empresas muito além do setor de tecnologia
O mesmo raciocínio vale para processos conduzidos por agências reguladoras, órgãos ambientais, autoridades de defesa do consumidor, entidades de defesa da concorrência, administrações tributárias e órgãos responsáveis por licitações e contratos.
Empresas de saúde, educação, energia, telecomunicações, transporte, saneamento, infraestrutura, finanças e tecnologia convivem diariamente com normas administrativas, deveres de informação, fiscalizações, medidas preventivas e sanções. Mesmo sociedades que não atuam em um setor formalmente regulado estão sujeitas ao poder de polícia da Administração.
Por isso, a advocacia de empresas não pode permanecer distante do Direito Administrativo. A iniciativa privada é hoje uma das principais destinatárias da regulação estatal. Quanto mais o Estado disciplina mercados, dados, plataformas, contratos e serviços, mais a defesa empresarial depende do conhecimento sobre processo administrativo e Direito Administrativo Sancionador.
A multa aplicada ao TikTok já é definitiva
Não. O Despacho Decisório nº 27/2026/CGS/SFI constitui decisão de primeira instância. A ByteDance recebeu prazo de dez dias úteis para apresentar recurso ao Conselho Diretor da ANPD, conforme o artigo 58 da Resolução CD/ANPD nº 1/2021. Até a conclusão da via recursal ou a renúncia ao recurso, não há decisão administrativa definitiva.
A ANPD pode aplicar multas superiores a R$ 50 milhões
O limite de R$ 50 milhões previsto no artigo 52, inciso II, da Lei nº 13.709/2018 incide por infração. Quando a Agência reconhece várias condutas autônomas, os valores podem ser somados. Foi o que ocorreu no caso. Justamente por isso, a individualização das infrações e o controle de eventual sobreposição tornam-se decisivos.
O Estatuto Digital fundamentou a multa
A decisão sancionadora indicou violações ao artigo 7º e ao artigo 6º, incisos VIII e X, da Lei nº 13.709/2018. A Lei nº 15.211/2025, conhecida como Estatuto Digital da Criança e do Adolescente, entrou em vigor em 17 de março de 2026 e foi considerada pela ANPD nas obrigações futuras do plano de conformidade. Ela não deve ser confundida com a base legal utilizada para punir as condutas passadas.
O precedente que a advocacia empresarial não pode ignorar
A multa contra o TikTok é um marco da atuação sancionadora da ANPD. O seu significado, porém, ultrapassa a proteção de dados. O caso demonstra que grandes controvérsias empresariais podem ser decididas inicialmente dentro de um processo administrativo, por uma autoridade dotada de competência regulatória e sancionadora.
A proteção de crianças e adolescentes deve ser efetiva. A legitimidade dessa finalidade não autoriza atalhos na definição da responsabilidade. A Administração precisa demonstrar a norma vigente, a conduta imputada, a prova, o nexo, a autonomia entre as infrações e a adequação da sanção.
Para a empresa, a consequência prática é direta. Conhecer a regulação material não basta. É necessário compreender o regime jurídico do poder punitivo estatal. A advocacia privada que ignora o Direito Administrativo entrega à Administração a definição unilateral dos limites do próprio poder de punir.
Sobre o autor
Jorge Fernandes é advogado inscrito na OAB/MS sob o nº 26.239, especialista em Direito Público (EDAMP) e Direito Administrativo (PUC Minas), Membro Titular do Conselho de Regulação da AGEREG e Presidente da Comissão de Direito Administrativo da OAB/MS no período de 2025 a 2027.
