Caso TikTok sinaliza nova fase da fiscalização da ANPD sobre privacidade

A decisão da Agência Nacional de Proteção de Dados (ANPD) de aplicar R$ 153,7 milhões em multas à ByteDance, controladora do TikTok, sinaliza às empresas que operam no ambiente digital que a existência de políticas e mecanismos de proteção de dados já não é suficiente. A tendência é que a efetividade desses controles, sua capacidade de prevenir riscos e a comprovação das medidas adotadas ganhem cada vez mais peso nas fiscalizações da agência, na avaliação de advogados.

Foto: Divulgação

Embora o processo tenha como foco o tratamento de dados de crianças e adolescentes pelo TikTok, a decisão apresenta questões que ultrapassam o caso específico e ajudam a indicar como a ANPD vem estruturando sua atuação. No processo, a agência primeiro determinou medidas de adequação, acompanhou sua implementação e, posteriormente, avaliou se os controles adotados eram efetivamente capazes de responder aos riscos identificados.

Negócio jurídico incerto

“Mais do que o valor da multa, o caso chama a atenção pela forma como a ANPD avaliou algumas decisões da empresa. A decisão traz um ponto muito específico sobre a execução de contrato como base legal: para utilizá-la, é preciso primeiro existir um contrato válido. No caso de adolescentes, isso exige considerar as regras de capacidade civil e a necessidade de representação ou assistência, conforme a idade”, afirma o advogado Filipe Ribeiro Duarte, sócio da área de Direito Digital e Propriedade Intelectual do Martinelli Advogados. “No acesso sem cadastro, a questão é ainda mais direta. Sem manifestação de vontade e aceite dos termos, a ANPD entendeu que não havia negócio jurídico que pudesse sustentar essa base legal.”

Um dos exemplos é o mecanismo de verificação de idade utilizado pelo TikTok. A plataforma adotava um age gate baseado na data de nascimento informada pelo próprio usuário. A ANPD, porém, considerou a efetividade do mecanismo insuficiente diante da possibilidade de ele ser burlado.

A própria empresa informou que aproximadamente 7,75 milhões de contas de crianças foram removidas no Brasil entre outubro de 2022 e setembro de 2023. Para o órgão regulador, o número indicava que uma quantidade significativa de crianças conseguia ultrapassar o mecanismo inicial de controle e utilizar a plataforma antes de o acesso indevido ser identificado e a conta removida.

O ponto central, segundo o Filipe Duarte, é que a implementação de um mecanismo de controle precisa ser acompanhada de testes, monitoramento e avaliação de resultados. “Na aferição de idade, não se trata de uma escolha entre autodeclaração ou uma tecnologia mais sofisticada. A análise precisa partir do risco do serviço, qual é a probabilidade de acesso por crianças, quais são os riscos associados ao tratamento e qual nível de confiabilidade o mecanismo precisa oferecer para mitigá-los”, observa Duarte. A partir daí, acrescenta, “podem ser combinadas diferentes camadas de aferição, monitoramento e resposta. A própria ANPD vem tratando a aferição de idade sob uma perspectiva baseada em risco no contexto do ECA Digital.”

Jornada do usuário

Outro aspecto relevante da decisão foi a análise do chamado “feed sem cadastro”. A ANPD considerou que usuários podiam acessar conteúdos sem criar uma conta e que, durante essa utilização, informações relacionadas à interação com vídeos e ao dispositivo poderiam ser tratadas para personalização do conteúdo.

Na avaliação do sócio do Martinelli, a questão reforça um ponto que deve ganhar espaço nas avaliações de privacidade: os riscos precisam ser analisados ao longo de toda a jornada do usuário, e não apenas no momento do cadastro.

Para as empresas, isso significa que funcionalidades, interfaces, fluxos de navegação, mecanismos de personalização e formas de acesso aos serviços também devem estar inseridos na estratégia de proteção de dados.

“A discussão sobre o feed sem cadastro é especialmente relevante porque mostra que o momento do cadastro não pode ser utilizado como único marco da análise de privacidade. Se a plataforma permite acesso ao conteúdo e coleta informações sobre a interação antes mesmo da criação de uma conta, é preciso definir qual é a hipótese legal aplicável àquela operação e quais mecanismos de proteção devem funcionar naquele momento”, explica o especialista do Martinelli.

Nesse contexto, documentos como Relatórios de Impacto à Proteção de Dados (RIPDs), avaliações de risco, registros de decisões, testes de controles, auditorias e indicadores de monitoramento passam a ter importância não apenas como instrumentos de governança, mas como evidências de conformidade.

“A distribuição da multa também merece atenção: a ANPD aplicou R$ 63,17 milhões por questões relacionadas às hipóteses legais, outros R$ 63,17 milhões por falhas de prevenção e R$ 27,4 milhões por responsabilização e prestação de contas. Isso mostra que, na prática, uma análise de conformidade precisa responder a três perguntas diferentes: ‘por que posso tratar esses dados?’, ‘quais medidas adotarei para reduzir os riscos desse tratamento?’ e ‘como consigo demonstrar que essas medidas foram efetivamente implementadas?’”, afirma o advogado.

Proteção de crianças e adolescentes

O tema ganha ainda mais relevância diante do avanço das regras voltadas à proteção de crianças e adolescentes no ambiente digital. Com o ECA Digital e a ampliação das obrigações relacionadas à aferição de idade e à proteção desse público, empresas que oferecem produtos ou serviços acessíveis a menores devem revisar seus mecanismos de prevenção e governança.

Entre os pontos que merecem atenção estão a efetividade dos mecanismos de aferição de idade, o monitoramento de toda a jornada do usuário, a revisão das bases legais utilizadas em tratamentos envolvendo crianças e adolescentes e a avaliação dos tratamentos realizados em ambientes sem cadastro.

Na avaliação do advogado, a principal mensagem do caso TikTok para o mercado é que privacidade e proteção de dados passam a exigir uma abordagem cada vez mais preventiva, integrada ao produto e baseada em evidências.

“A decisão mostra uma evolução importante da fiscalização, na medida em que não se trata apenas de verificar se a empresa possui determinado mecanismo de controle, mas se ele é adequado ao risco, se funciona na prática e se a organização consegue demonstrar isso. Essa mudança de perspectiva deve ser considerada por empresas de diferentes setores, especialmente aquelas que oferecem serviços digitais”, conclui Filipe Ribeiro Duarte.