ANPD multa a TikTok con R$ 153,7 millones

Actualización 28 de agosto de 2026: la ANPD precisó que las fallas ocurrieron en dos modos de acceso a TikTok, el "feed sem cadastro" y el "feed com cadastro", donde se trataron datos de niños y adolescentes sin base legal válida ni medidas para impedirlo. También se conocieron más detalles de las multas, los plazos para pagar o recurrir y las órdenes de borrar datos y reportar medidas técnicas.

La ANPD impuso una multa total de R$ 153,7 millones a ByteDance Brasil, controladora de TikTok, por irregularidades en el tratamiento de datos personales de niños y adolescentes. La sanción, publicada el 25 de agosto de 2026, incluye la eliminación de datos recabados de forma irregular y la exigencia de un plan de conformidad específico para reforzar la protección de menores en la plataforma.

¿Qué resolvió la ANPD en el caso TikTok?

La autoridad brasileña aplicó sanciones a ByteDance Brasil por infracciones ligadas al tratamiento de datos personales de menores, según su comunicado oficial y el Despacho Decisório nº 27/2026/CGS/SFI publicado en el Diario Oficial da União. La nota técnica nº 50/2024/CGF/ANPD señaló prácticas en desacuerdo con la LGPD en el "feed sem cadastro" y el "feed com cadastro", donde se trataron datos personales de niños y adolescentes sin una base legal válida y sin medidas para impedir ese tratamiento.

El expediente menciona multas simples por infracciones a los artículos 7º, 6º, VIII, y 6º, X, de la LGPD, además de la eliminación de datos personales de adolescentes entre 13 y 18 años cadastrados en la plataforma. Coberturas periodísticas detallan que la decisión de primera instancia aplica tres multas simples que totalizan R$ 153.769.671,33, con posibilidad de reducción de 25% si la empresa renuncia al derecho de recurrir y paga en el plazo previsto, además de multas diarias por descumplimiento de obligaciones determinadas.

La cobertura de G1 señaló que, además de la multa, la ANPD determinó que la empresa presente un plan de conformidad para reforzar la protección de menores. Exame detalló que la sanción está dividida en tres parcelas asociadas a violaciones distintas de la LGPD, entre ellas el artículo 6º, X, y que existe un descuento de 25% sobre el valor total si la empresa renuncia a recurrir y paga en hasta 20 días hábiles.

¿Qué datos ordenó borrar la autoridad?

La ANPD ordenó borrar datos de adolescentes de 13 a 18 años cuyo representante legal no haya sido regularizado dentro de 60 días hábiles y notificar a terceros con quienes esos datos fueron compartidos. La medida incluye, además, un informe técnico firmado por el DPO y registros de auditoría del sistema, que deben presentarse en hasta cinco días hábiles después de ese plazo, bajo pena de multa diaria.

¿Cómo se explica este giro de enforcement?

La multa a TikTok encaja en una etapa de mayor capacidad regulatoria y fiscalizadora de la ANPD, que desde mayo de 2026 pasó a tener competencias de regulación, fiscalización y apuración de infracciones en el marco de la LGPD y del Marco Civil da Internet, tras la entrada en vigor de los Decretos nº 12.975 y 12.976.

Análisis jurídicos recientes indican que la autoridad viene consolidando su rol como agencia reguladora mediante resoluciones, guías y notas técnicas desde 2021, con énfasis en dosimetría de sanciones en 2023 y en temas de incidentes de seguridad, encarregado y transferencia internacional de datos en 2024. Cescon Barrieu también remarcó que el ECA Digital, en vigor desde marzo de 2026, reconoce a la ANPD como autoridad administrativa autónoma responsable de velar por la protección de niños y adolescentes en el entorno digital, fiscalizar su cumplimiento y dictar reglamentos y procedimientos.

¿Qué otras obligaciones quedaron bajo la mira de la ANPD?

La ANPD inició el 21 de agosto de 2026 acciones de monitoreo sobre principales plataformas digitales, tiendas de aplicaciones y herramientas de IA generativa para verificar el cumplimiento del Marco Civil da Internet, modificado por los Decretos 12.975/2026 y 12.976/2026, y del ECA Digital. La autoridad dijo que busca confirmar la adopción de medidas proactivas para prevenir contenidos criminales, violencia digital y fraudes en línea.

En paralelo, Diario do Centro do Mundo informó que la ANPD notificará a redes sociales, herramientas de IA y tiendas de aplicaciones para que respondan en un plazo de diez días a cuestionarios sobre protección de mujeres en el entorno digital y prevención de golpes y fraudes. Esa línea de actuación muestra el uso de la nueva competencia fiscalizadora mediante requerimientos formales de información.

¿Qué cambia para el cumplimiento de incidentes de datos?

La Resolução CD/ANPD nº 15/2024 mantiene y precisa el plazo de tres días hábiles para comunicar incidentes de seguridad a la ANPD y a los titulares cuando exista riesgo o daño relevante, contado desde el conocimiento del incidente por el controlador.

Gutemberg Amorim añadió que ese plazo aplica solo a eventos con potencial de riesgo o daño relevante y que, para agentes de tratamiento de pequeño porte, la práctica duplica el tiempo disponible para notificar. Sindhoesg y Jusdocs también coinciden en que el plazo de tres días hábiles sigue vigente bajo la LGPD para incidentes con ese nivel de impacto.

¿Qué consecuencias regulatorias expone el caso?

La LGPD prevé multas administrativas de hasta el 2% del faturamento de la empresa, del grupo o conglomerado en Brasil, limitadas a R$ 50 millones por infracción, además de advertencia, multa diaria, publicización de la infracción, bloqueo, eliminación de datos y suspensión de actividades de tratamiento, según artículos especializados citados en el material.

BSA Advogados señaló que la fiscalización de la ANPD puede derivar en medidas adicionales y en la aplicación de sanciones administrativas bajo la LGPD, lo que eleva los desafíos de conformidad para empresas que operan en Brasil. En paralelo, medios internacionales reportaron la multa a ByteDance Brasil en el mismo monto, equivalente a unos 25,57 millones de euros, en línea con la LGPD y con foco en la protección de datos de niños y adolescentes.

La cobertura de G1 también indicó que la empresa tiene 10 días para interponer recurso o 20 días hábiles para pagar la multa, y que puede obtener una reducción del 25% si renuncia a recurrir y paga dentro del plazo. La autoridad, según esa misma cobertura, mantiene la orden de excluir los datos colectados irregularmente y de presentar un plano de conformidad.