Seis perguntas e respostas para entender a multa de R$ 153,7 milhões ao TikTok
A multa de R$ 153,7 milhões aplicada pela Agência Nacional de Proteção de Dados – ANPD ao TikTok chamou atenção pelo valor e rapidamente ganhou espaço no noticiário. No entanto, para as empresas em geral, mais importante do que o tamanho da multa, é a oportunidade de compreender como uma fiscalização iniciada anos atrás terminou na maior sanção pecuniária já aplicada por descumprimento da LGPD e o que isso pode significar para o futuro da proteção de dados no Brasil. Como costumamos dizer em treinamentos, ao analisar casos em que os riscos já se materializaram em outras organizações, quando possível, é sempre melhor aprender com a dor do outro (e o caso TikTok serve para isso).
Embora o caso envolva crianças e adolescentes e características específicas de uma grande plataforma digital, as infrações que geraram as penalidades alcançam questões que fazem parte do dia a dia de diversas organizações, independentemente do porte e do público com quem se relacionam. Bases legais, prevenção de riscos, efetividade dos controles e capacidade de demonstração prática de conformidade são temas centrais da decisão e presentes em qualquer programa de proteção de dados.
Confira abaixo as perguntas e respostas que preparamos para que seja possível extrair algum aprendizado a partir do caso.
1. Afinal, quais infrações à LGPD geraram a multa?
A primeira foi a realização de tratamento de dados sem uma hipótese legal válida, tanto no chamado “feed sem cadastro” quanto no cadastro de adolescentes. A segunda envolveu falhas na adoção de medidas preventivas capazes de evitar o tratamento irregular de dados de crianças e adolescentes. A terceira foi a incapacidade de demonstrar, com evidências suficientes, que as medidas de conformidade adotadas pela empresa eram efetivamente capazes de produzir os resultados alegados.
Para a ANPD, não basta apenas possuir políticas, procedimentos e controles formalmente estabelecidos. As empresas precisam demonstrar que as diretrizes previstas em tais documentos e que os controles funcionam, inclusive por meio de evidências técnicas, indicadores e outros elementos verificáveis.
Embora a condenação esteja fundamentada na violação de três dispositivos da LGPD (relacionados às bases legais e aos princípios da prevenção e da responsabilização e prestação de contas), a ANPD individualizou cinco infrações, como detalhamos na resposta da próxima pergunta. Isso ocorreu porque algumas das violações foram analisadas separadamente conforme o ambiente em que ocorreram, havendo distinção expressa de condutas nos chamados “feed sem cadastro” e “feed com cadastro”, enquanto a violação ao dever de demonstrar conformidade (princípio da responsabilização e prestação de contas) correspondeu a uma quinta conduta infracional.
2. Por que o valor ultrapassou R$ 150 milhões se o limite previsto na LGPD é de R$ 50 milhões por infração?
Essa talvez seja uma das informações mais relevantes do caso para o mercado, já que o limite previsto pela LGPD para a multa simples (50 milhões de reais por infração) não significa necessariamente que a exposição financeira de uma empresa estará limitada a esse valor em um processo sancionador.
Cada regra violada da LGPD, individualmente considerada, corresponde a uma infração. Confira abaixo as infrações e os valores das multas atribuídos a cada uma delas:
Conduta 1 – Tratar dados pessoais de crianças e adolescentes menores de 18 anos sem hipótese legal válida, com a finalidade de fornecer a experiência do “feed sem cadastro” – art. 7º da LGPD. Multa simples de R$ 35.760.388,68.Conduta 2 – Deixar de adotar medidas para prevenir o tratamento de dados pessoais de crianças e adolescentes menores de 13 anos na experiência do “feed sem cadastro” – art. 6º, VIII, da LGPD. Multa simples de R$ 35.760.388,68.Conduta 3 – Tratar dados pessoais de crianças e adolescentes menores de 18 anos com a finalidade de realizar o cadastro na plataforma TikTok sem hipótese legal válida, diante da inexistência de contrato válido – art. 7º da LGPD. Multa simples de R$ 27.416.297,99,além deeliminação de dados pessoaisConduta 4 – Deixar de adotar medidas eficazes para prevenir o cadastro de crianças e adolescentes menores de 13 anos na plataforma TikTok – art. 6º, VIII, da LGPD. Multa simples de R$ 27.416.297,99.Conduta 5 – Deixar de demonstrar medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados – art. 6º, X, da LGPD. Multa simples de R$ 27.416.297,99.Valor consolidado das multas simples: R$ 153.769.671,33.
Assim, as cinco multas indicadas acima correspondem às cinco condutas individualizadas pela ANPD: as Condutas 1 e 3 decorrem da violação ao art. 7º da LGPD, respectivamente nos ambientes “sem cadastro” e “com cadastro”, ao passo que as Condutas 2 e 4, referentes à violação ao princípio da prevenção (art. 6º, VIII), seguem a mesma divisão entre os tipos de feeds. Já a Conduta 5, por sua vez, corresponde à violação autônoma ao princípio da responsabilização e prestação de contas (art. 6º, X). O somatório das cinco multas resulta no valor consolidado de R$ 153.769.671,33.
Ou seja, o limite de R$ 50 milhões não se aplica ao processo sancionador como um todo, mas a cada infração individualmente considerada. Assim, a violação de diferentes dispositivos da LGPD pode resultar na aplicação de múltiplas multas, cada uma sujeita ao limite legal de R$ 50 milhões.
3. A multa decorre apenas da LGPD ou também do ECA Digital?
Embora o caso esteja diretamente relacionado à proteção de crianças e adolescentes, o ECA Digital não foi utilizado como fundamento para a aplicação das sanções. O Relatório de Instrução identificou violações aos artigos 7º e 6º, VIII e X, da LGPD, relacionados às bases legais, à prevenção e à responsabilização e prestação de contas.
A ANPD já dispunha de instrumentos relevantes para fiscalizar o tratamento de dados de crianças e adolescentes antes mesmo das novas competências decorrentes do ECA Digital. O novo marco amplia e complementa esse sistema de proteção, mas não foi necessário para fundamentar a multa aplicada neste caso.
4. A multa foi aplicada de uma hora para outra?
Não! O caso começou com uma denúncia recebida pela ANPD em março de 2021 e tramitou por mais de cinco anos até a decisão que aplicou as penalidades. Nesse período, a Agência solicitou informações, analisou documentos, realizou reunião técnica e apontou insuficiências nos mecanismos utilizados pela empresa.
O TikTok também teve diferentes oportunidades para apresentar esclarecimentos e defender suas práticas. Foram apresentadas respostas a ofícios, defesa acompanhada de Relatórios de Impacto à Proteção de Dados Pessoais e outros documentos, alegações finais e até uma proposta de celebração de Termo de Ajustamento de Conduta.
No entanto, para a ANPD, o conjunto de documentos e manifestações apresentados foi insuficiente para demonstrar que o tratamento de dados de crianças e adolescentes estava amparado por hipótese legal válida, que haviam sido adotados controles preventivos adequados aos riscos envolvendo esse público e, ainda, que as medidas de conformidade implementadas eram efetivas e passíveis de comprovação.
5. O que todas as empresas podem aprender com o caso?
Uma das principais lições do caso TikTok é que algumas questões que ainda são vistas como discussões técnicas ou burocráticas da LGPD precisam ser tratadas com seriedade pelas empresas. A definição das bases legais é um bom exemplo, já que qualquer atividade envolvendo dados pessoais precisa estar associada a uma das hipóteses autorizativas previstas pela legislação.
Nesse contexto, o Registro de Operações de Tratamento de Dados (comumente referido por sua sigla em inglês, RoPA) é um requisito regulatório muito importante. É nesse documento e em suas atualizações (que precisam acompanhar as mudanças nos próprios processos da empresa) que ficam registrados quais dados são tratados, para quais finalidades, com quem são compartilhados e, entre outras informações, qual base legal sustenta cada operação. Por isso, o RoPA não deve ser tratado como um simples registro, elaborado apenas para atender formalmente à LGPD e ser arquivado. Este caso demonstra que o RoPA deve refletir o que efetivamente acontece na organização e sua elaboração e atualização exigem acompanhamento atento do DPO.
Fica o recado para todas as empresas de que não basta escolher uma das bases legais da LGPD e simplesmente registrá-la no RoPA. É indispensável avaliar se a base legal escolhida combina com a operação e se os pressupostos jurídicos necessários para sua utilização estão presentes. Por exemplo, se a base legal indicada for o cumprimento de obrigação legal, deve ser possível identificar qual norma estabelece essa obrigação e demonstrar a relação entre ela e os dados tratados. Se a base legal for execução de contrato, é necessário que o contrato seja válido e que o tratamento dos dados tenha relação efetiva com a sua execução.
Vale destacar que mapeamentos de processos em que dados pessoais são tratados, avaliações de risco, fluxos de atendimento aos titulares, treinamentos, gestão de terceiros e medidas de segurança precisam sair do papel. Quanto maior o risco da atividade, maior tende a ser a expectativa de que existam evidências de implementação, acompanhamento e revisão dos controles. No caso do TikTok, a dificuldade em demonstrar a eficácia das medidas adotadas foi, por si só, considerada uma infração ao princípio da responsabilização e prestação de contas.
6. O TikTok já foi multado em outros países?
O caso brasileiro não é um episódio isolado na trajetória recente do TikTok envolvendo a falta de adoção de boas práticas de proteção de dados. Em diferentes países, a plataforma já enfrentou sanções de grande porte, especialmente em investigações relacionadas ao uso de dados pessoais de crianças e adolescentes.
A autoridade de proteção de dados da Irlanda aplicou uma multa de € 345 milhões ao TikTok em 2023, após analisar questões relacionadas às configurações das contas de crianças, mecanismos de verificação de idade, transparência e proteção de dados por padrão. Também naquele ano, o Information Commissioner’s Office, autoridade britânica de proteção de dados, multou o TikTok em £ 12,7 milhões por violações envolvendo o tratamento de dados pessoais de menores. Mais recentemente, o Departamento de Justiça dos Estados Unidos anunciou um acordo de US$ 400 milhões com TikTok para encerrar processo em que eram discutidas alegações de descumprimento da legislação norte-americana de privacidade de menores.
O caso TikTok chama atenção pelos R$ 153,7 milhões, mas talvez sua maior contribuição para outras empresas esteja em uma pergunta muito mais simples: se a ANPD pedisse hoje evidências de que o seu programa de proteção de dados funciona, o que a sua empresa conseguiria apresentar?
IMAGEM: K2L Family Stock / Shutterstock