anpd

A Agência Nacional de Proteção de Dados (ANPD) aplicou uma multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, por falhas graves no tratamento de dados pessoais de crianças e adolescentes. Publicada no Diário Oficial da União nesta terça-feira (25), a punição representa a primeira sanção do órgão a uma grande plataforma sob o respaldo do ECA Digital e da Lei Geral de Proteção de Dados (LGPD).

A fiscalização da ANPD identificou cinco infrações aos artigos 6º e 7º da LGPD, divididas entre a navegação com e sem conta registrada. Para os feeds sem cadastro, a entidade identificou a coleta e tratamento de dados de menores sem hipótese legal válida e ausência de medidas preventivas para proteger esse público. Em perfis com cadastro, foi apontada a falta de mecanismos eficazes para impedir o registro indevidode crianças e adolescentes. Em parâmetros gerais, houve falha em demonstrar a eficácia das medidas adotadas para cumprir a legislação de proteção de dados.

Além do valor financeiro, a decisão exige a eliminação imediata de todos os dados coletados de forma irregular e a implementação de um plano de conformidade. As determinações incluem:

• Para contas de menores de 16 anos: Aplicação automática das configurações de privacidade mais restritivas (com alterações sujeitas à aprovação dos pais), reforço na supervisão parental e filtros de conteúdo mais rigorosos.

• Para o feed sem cadastro: Suspensão total de anúncios no Brasil, limite de navegação de até 12 horas, restrição a conteúdos livres para todas as idades e bloqueio de interações sociais (como comentar, seguir perfis, postar ou assistir a transmissões ao vivo). A coleta de dados nessa modalidade deverá ser reduzida ao mínimo técnico para funcionamento e prevenção de fraudes.

A ByteDance foi notificada e tem prazo de dez dias úteis para recorrer da decisão junto ao Conselho Diretor da agência. Segundo a ANPD, as medidas previstas no plano reduzem os riscos identificados no processo, entre elas a suspensão de anúncios, a desativação de transmissões ao vivo e das mensagens diretas no acesso sem cadastro.

O Discord começou a suspender nesta segunda-feira (17) os recursos de compartilhamento de tela e de chamadas de vídeo no Brasil, para cumprir uma determinação da Agência Nacional de Proteção de Dados (ANPD). A medida atende a uma exigência do órgão federal ligada à proteção de dados dos usuários.

A empresa havia informado à agência que não conseguiria implementar a medida no prazo de três dias úteis estabelecido pelo órgão. Na última sexta-feira (14), a plataforma pediu a reconsideração da decisão e questionou a competência da ANPD para determinar a suspensão. O pedido ainda aguarda análise.

O cofundador e diretor de tecnologia do Discord, Stanislav Vishnevskiy, afirmou que a empresa está cumprindo a ordem e trabalhando "de boa-fé" com a agência. Segundo ele, a plataforma pretende restabelecer os recursos "o mais rápido possível".

Em reunião no Palácio do Planalto, o presidente Luiz Inácio Lula da Silva e os noves principais ministros do governo acertaram as principais diretrizes da nova proposta para regulação das plataformas digitais. Segundo a jornalista Renata Agostini, no texto, a Agência Nacional de Proteção de Dados (ANPD) deve ser a encarregada de atuar como gestora das redes, para multá-las e até bloqueá-las caso as ordens de remoção de conteúdo sejam descumpridas. 

O plano é que a Agência seja ampliada para atuar nos novos moldes. A definição sobre qual órgão faria essa fiscalização estava divida entre a ANPD ou à Agência Nacional de Telecomunicações (Anatel). Até a criação de uma nova agência chegou a ser discutida.

O texto já era debatido no Ministério da Justiça desde outubro do ano passado após um pedido do presidente Luiz Inácio Lula da Silva ao ministro Ricardo Lewandowski. A crise do PIX, e a defesa pública da primeira-dama Rosângela Janja da Silva com relação à regulação das redes no Brasil, impulsionaram o projeto. A ideia é que o novo projeto texto sobre "serviços digitais" seja enviado ao Congresso, para substituir o PL das Fake News. 

O texto não falará explicitamente sobre desinformação, moderação de conteúdo ou sobre a necessidade de as plataformas agirem diante de notificações extrajudiciais. Ele fará referência ao "dever de prevenção" das empresas que as obriga, assim, a atuarem de maneira imediata diante de conteúdos ilícitos como abuso e exploração sexual infantil, terrorismo, incentivo ao suicídio e violação ao direito do consumidor. 

O governo deseja usar como baliza para atuação da ANPD o que já está previsto na legislação, uma estratégia para evitar que ganhe corpo o discurso de tentativa de censura ou de cerceamento à liberdade de expressão.

Pesquisas recentes analisadas pelo time do ministro Sidônio Palmeira, da Secretaria de Comunicação da Presidência (Secom),  indicam que a maioria da população é favorável à regulação das plataformas - os índices de aceitação são altos até entre eleitores que desaprovam o governo. Esses dados dariam sustentação à nova investida do Planalto no tema.

O texto agora será finalizado no Ministério da Justiça e Segurança Pública e remetido pelo sistema do governo. O entendimento é que as principais balizadas já foram consensuadas entre os ministérios, incluindo a Casa Civil. O plano, portanto, é que seja encaminhado ao Congresso em breve. As informações são do Jornal O Globo. 

A Bahia é o estado do Nordeste com maior número de incidentes de segurança com dados pessoais, com 37 ocorrências entre 2021 e 2025. O número também coloca o território baiano como o 8º no recorte nacional, ficando atrás de São Paulo (437); Distrito Federal (182); Rio de Janeiro (117); Minas Gerais (83); Santa Catarina (61); Rio Grande do Sul (56) e Paraná (55).

Os dados foram disponibilizados pela Autoridade Nacional de Proteção de Dados (ANPD). No período apurado, o tipo de incidente com maior frequência foi o envio de dados a destinatários incorretos (7). Na sequência, a coordenação que trata dos casos listou seis ocorrências de sequestro de dados (ransomware) sem transferência de informações.

A plataforma acessada pelo Bahia Notícias mostra, ainda, outros seis registros de incidentes não cibernéticos. Na sequência aparece "divulgação indevida de dados pessoais" (5); "roubo de credenciais / engenharia social" (3); "exploração de vulnerabilidade em sistemas de informação" (3) e "sequestro de dados com transferência e/ou publicação de informações" (3). O levantamento também aponta ocorrências de publicação não intencional de dados pessoais.

No Brasil, na totalidade, entre 2021 e 2025 foram registrados 1.266 incidentes, sendo o sequestro de dados (ransomware) sem transferência de informações o tipo mais comum: 246. Fecham o pódio ainda "exploração de vulnerabilidade em sistemas de informação" (196) e "sequestro de dados (ransomware) com transferência e/ou publicação de informações" (163).

As informações foram disponibilizadas pela ANPD a pedido da Fiquem Sabendo, organização sem fins lucrativos especializada em transparência pública.

Conforme a Lei Geral de Proteção de Dados Pessoais (LGPD), eventos que podem comprometer a segurança, confidencialidade, integridade ou disponibilidade de dados devem ser informados aos titulares e à ANPD sob pena de sanções e multas.

Segundo a ANPD, incidentes de segurança com dados pessoais são eventos adversos confirmados que comprometam as propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais. Pode decorrer de ações voluntárias ou acidentais que resultem em divulgação, alteração, perda ou acesso não autorizado a dados pessoais, independentemente do meio em que estão armazenados.

"Incidentes podem ocorrer de forma acidental, como o envio de informações para o destinatário incorreto, ou em decorrência de atos intencionais, como a invasão de um sistema de informação ou o furto de um dispositivo de armazenamento de dados", diz a Autoridade Nacional de Proteção de Dados.

Os incidentes de segurança não se restringem às violações da confidencialidade, abrangem também eventos de perda ou indisponibilidade dados pessoais. São exemplos de incidentes de segurança o sequestro de dados (ransomware), o acesso não autorizado a dados armazenados em sistemas de informação e a publicação não intencional de dados dos titulares.

Veja exemplos de incidentes capazes de gerar risco ou dano relevante aos titulares:

• A invasão de uma rede de computadores de uma instituição financeira por um agente malicioso que realize a cópia não autorizada de uma base de dados contendo dados pessoais dos correntistas, tais como extratos bancários, números de cartões de crédito e senhas viola o sigilo bancário dos titulares e os expõe a risco de fraudes e danos morais e materiais;

• A indisponibilidade prolongada de um sistema utilizado por uma rede hospitalar em razão de um incidente de sequestro de dados, impedindo o acesso aos dados dos pacientes ou a realização de procedimentos médicos, pode expor dados pessoais sensíveis dos titulares e causar-lhes riscos ou danos à saúde;

• A perda ou roubo de documentos ou dispositivos de armazenamento de dados que contenham dados pessoais protegidos por sigilo profissional, cópia de documentos de identificação oficial e dados de contato dos titulares pode expô-los a riscos reputacionais e de sofrer fraudes financeiras.

A Autoridade Nacional de Proteção de Dados (ANPD) determinou, nesta sesta-feira (24), a interrupção da “oferta de criptomoeda ou de qualquer outra compensação financeira pela coleta de íris de titulares de dados no Brasil”. A ordem diz respeito as ações da empresa multinacional Tools for Humanity – TFH, que já coletou mais de 400 mil dados biométricos de brasileiros pelo escaneamento da íris. 

A decisão administrativa da ANDP ocorre dois meses e meio depois da entidade ter iniciado fiscalização sobre o tratamento de dados biométricos pela companhia, fundada em 2019 e sediada em São Francisco, na Califórnia, Estados Unidos, e Munique, na Alemanha. Segundo a reportagem da Agência Brasil, a mais de um milhão de pessoas já baixaram o aplicativo no Brasil e mais de 400 mil permitiram o escaneamento da íris.

A TFH se apresenta como uma “empresa de tecnologia que desenvolve projetos para humanos na era da inteligência artificial”. O propósito da coleta de íris humanas alimentaria a plataforma World ID útil para “a comprovação de que o titular é um ser humano único vivo” e assim “promoveria maior segurança digital em contexto de ampliação das ferramentas de inteligência artificial.”

Na avaliação da ANDP, a oferta de criptomoedas contraria a Lei Geral de Proteção de Dados, que estabelece que o “o consentimento para o tratamento de dados pessoais sensíveis, como é o caso de dados biométricos, precisa ser livre, informado, inequívoco e fornecido de maneira específica e destacada, para finalidades específicas”.

À Agência Brasil, Karen Borges, gerente Adjunta da Assessoria Jurídica do Núcleo de Informação e Coordenação do Ponto BR (NIC.br) alerta que "não sabemos ainda como essas informações serão utilizadas quando associadas em conjunto com algoritmos avançados, além da inteligência artificial (IA), podendo ser aberta uma porta para abusos, crimes e irregularidades”, conclui. 

A Autoridade Nacional de Proteção de Dados (Anpd) instaurou, nesta segunda-feira (4), um processo administrativo para apurar as “práticas de tratamento irregular de dados pessoais de crianças e adolescentes” pelo aplicativo TikTok. A Anpd é uma autarquia vinculada ao Ministério da Justiça e Segurança Pública responsável por criar um ambiente regulatório de privacidade e proteção de dados no Brasil. 

A autarquia também determinou que os executivos da ByteDance, empresa chinesa de tecnologia da internet e criadora do TikTok, adotem providências necessárias para corrigir situações que violem a Lei Geral de Proteção de Dados Pessoais. A ByteDance ainda não se manifestou sobre o caso.

Segundo a Agência Brasil, as medidas de regularização envolvem a desativação integral - em até dez dias úteis - do recurso feed sem cadastro da rede social TikTok no Brasil e a posterior implementação de um plano de conformidade, que deve ser apresentado para aprovação da Anpd em até 20 dias.

MEDIDAS SOLICITADAS 

A desativação do feed visa “assegurar que crianças e adolescentes não usem a plataforma sem cadastro prévio e sem passar pelos mecanismos de verificação de idade, dado grande risco de incompatibilidade dessa prática com o ordenamento jurídico vigente, sobretudo, em relação ao princípio do melhor interesse de crianças e adolescentes”.

Já a adoção do plano de conformidade servirá para “aprimorar os mecanismos de verificação de idade”, impedindo cadastros indevidos de crianças, e para aperfeiçoar os protocolos de exclusão de contas pertencentes a esse público, assegurando que os pais ou responsáveis acompanhem o todo o processo de cadastramento por adolescentes.

Fruto de um processo de fiscalização iniciado em 2021, o processo administrativo sancionador vai aprofundar a análise de eventuais práticas, como a coleta e o tratamento de dados de crianças e adolescentes sem respeitar suas idades, bem como a personalização de conteúdo destinado a este público.