Multa de R$ 153,7 milhões ao TikTok expõe falhas de governança e proteção de dados de crianças e adolescentes

Especialistas em tecnologia, governança, identidade e segurança analisam o que a decisão da ANPD ensina às empresas que tratam dados de públicos vulneráveis

A decisão da Agência Nacional de Proteção de Dados (ANPD) que aplicou multa de R$153,7 milhões ao TikTok coloca novamente no centro do debate a responsabilidade das plataformas digitais sobre o tratamento de dados pessoais de crianças e adolescentes.

A decisão, anunciada em 25 de agosto, não trata exatamente de um vazamento ou incidente de segurança. A ANPD identificou tratamento irregular de dados de crianças e adolescentes, sem base legal adequada e sem controles eficazes, inclusive no acesso ao TikTok sem cadastro. Além da multa, a decisão determinou a eliminação dos dados coletados irregularmente e a apresentação de um plano de conformidade.

O caso chama atenção porque amplia a discussão sobre privacidade para além da existência de políticas e termos de uso: os controles técnicos precisam funcionar efetivamente e a proteção de dados deve estar incorporada à arquitetura dos produtos e serviços desde sua concepção.

Para comentar os impactos da decisão e os principais aprendizados para empresas e plataformas digitais, a pauta pode contar com dois especialistas:

• Márcio Silva, Diretor de Operações da Moov4 e CEO da MOOnitor

Para Márcio Silva, a decisão mostra que empresas precisam ser capazes não apenas de declarar que possuem mecanismos de proteção, mas também de comprovar que eles funcionam na prática:

“A decisão da ANPD deixa uma mensagem importante para todas as empresas que trabalham com dados: não basta declarar que existe uma política de proteção ou possuir mecanismos de segurança no papel. É preciso demonstrar que os controles funcionam efetivamente e que o tratamento dos dados está adequado desde a sua origem.

No caso do TikTok, um dos pontos mais relevantes é o tratamento de dados de crianças e adolescentes sem uma hipótese legal adequada e a insuficiência dos mecanismos para impedir esse tratamento, inclusive no acesso à plataforma sem cadastro. Quando falamos de um público vulnerável, a responsabilidade das empresas precisa ser ainda maior.

A multa de R$153,7 milhões e a determinação de eliminar dados coletados irregularmente mostram também que falhas de governança de dados podem gerar consequências financeiras, regulatórias e reputacionais bastante significativas.

Para as empresas, o caso reforça a necessidade de adotar uma abordagem de privacy by design, com controles técnicos, governança, monitoramento e evidências capazes de comprovar a conformidade. A proteção de dados não pode ser uma etapa posterior ao desenvolvimento de um produto ou serviço; precisa fazer parte da arquitetura da operação desde o início.”

• Natalian Silva, Identity Advisor Partner na IAM Brasil e Co-Founder no CEC IAM Academy

Natalian Silva chama atenção para outro ponto central da decisão: mecanismos declaratórios, como simplesmente pedir que o usuário informe a própria idade, não são suficientes para proteger públicos vulneráveis. Para a especialista, o episódio evidencia uma falha de governança que envolve produto, tecnologia, segurança e negócio:

“A decisão da ANPD deixa um recado muito claro: quando falamos de crianças e adolescentes, pedir que o usuário apenas informe a própria idade não pode ser considerado um controle de segurança efetivo. Se a plataforma permite o acesso, coleta informações sobre o comportamento e personaliza conteúdos, ela está tratando dados pessoais e precisa comprovar que possui base legal e mecanismos capazes de proteger esse público.

Esse caso evidencia uma falha de governança desde a concepção do serviço. Identificação do usuário, aferição de idade, minimização da coleta, controle de acesso, transparência e exclusão dos dados precisam funcionar de forma integrada e gerar evidências auditáveis. Não basta incluir restrições nos termos de uso se os controles técnicos permitem que elas sejam facilmente contornadas.

A multa também mostra que privacidade e segurança não podem ser tratadas apenas como responsabilidade das áreas jurídica e de compliance. Precisam ser requisitos de produto, tecnologia e negócio. Para as plataformas digitais, especialmente de redes sociais, adotar segurança e privacidade desde a concepção deixou de ser uma recomendação e passou a ser uma condição para operar de forma responsável.”

Sobre a Moov4

A Moov4 é uma holding estratégica de tecnologia que atua como advisor e integradora de soluções, apoiando empresas na adoção segura e eficiente de tecnologias voltadas à inteligência artificial, cibersegurança, dados e infraestrutura. Seu ecossistema reúne a InfraDB, especializada em dados e ambientes corporativos; a Moonitor, plataforma de governança e operações de inteligência artificial; a TBRsafe, focada em cibersegurança; além da frente de Infraestrutura e Cloud, dedicada à modernização tecnológica, computação em nuvem e gestão de ambientes críticos. Com foco em inovação, governança e geração de valor, a Moov4 ajuda organizações a transformar tecnologia em vantagem competitiva.

Sobre a IAM Brasil

A IAM Brasil é uma empresa especializada em Segurança de Identidades, com atuação em IAM, IGA, PAM, AM, CIAM, RBAC, SoD, revisão de acessos, identidades não humanas, contas de serviço, governança de acessos e programas de maturidade em Identity Security. A empresa apoia organizações na estruturação de controles, processos, metodologias e planos estratégicos para reduzir riscos, fortalecer a governança e proteger identidades humanas, privilegiadas, técnicas e não humanas.