A ANPD parou de avisar e começou a multar: o que os R$ 153,7 milhões do TikTok ensinam sobre a sua empresa

Em 25 de agosto de 2026, a ANPD publicou no Diário Oficial da União a maior multa da história da Lei Geral de Proteção de Dados: R$ 153,7 milhões à ByteDance, empresa responsável pelo TikTok. O valor é enorme, mas o recado é maior do que o número. A Autoridade que passou anos orientando e advertindo assumiu, de vez, o papel de fiscal. E, diferente do passado, agora ela tem estrutura para ir do menor ao maior.

Este artigo não é sobre o TikTok. É sobre o que essa decisão significa para a sua empresa, seja qual for o porte dela.

O que a ANPD decidiu

A sanção reúne cinco infrações à LGPD, nos artigos 6º, inciso VIII (prevenção), 6º, inciso X (responsabilização e prestação de contas) e 7º (bases legais para o tratamento de dados). Em resumo, a Autoridade concluiu que houve tratamento de dados pessoais sem uma hipótese legal adequada que o sustentasse.

Além da multa, a ANPD determinou a eliminação dos dados coletados de forma irregular e a apresentação de um plano de conformidade. A decisão ainda cabe recurso, em 10 dias úteis. Guarde dois desses artigos, porque eles voltam para todas as empresas: base legal (art. 7º) e prestação de contas (art. 6º, X).

De R$ 14 mil a R$ 153,7 milhões

Para dimensionar a virada, um pouco de contexto. Até 2024, a maior multa aplicada pela ANPD a uma empresa privada tinha sido de R$ 14.400. O salto para R$ 153,7 milhões não é obra do acaso: é consequência de uma mudança estrutural na Autoridade.

• A ANPD virou agência reguladora (Lei nº 15.352/2026), com mais autonomia, orçamento próprio e ampliação do quadro de pessoal.
• Em junho de 2026, abriu 19 novos processos administrativos sancionadores, a maior leva da sua história.
• O Mapa de Temas Prioritários 2026-2027 prevê 75 ações de fiscalização, com foco em dados biométricos, de saúde, financeiros, de crianças e adolescentes e em inteligência artificial.

A leitura é direta: para a fiscalização, não é mais uma questão de "se", e sim de "quando".

"Mas isso é problema de gigante da tecnologia"

É a primeira reação de quase todo empresário, e é justamente aí que mora o risco. Sim, a régua do valor da multa é calculada sobre o faturamento, então uma multinacional paga cifras que uma média empresa não pagaria. Mas o gatilho da sanção não é o porte: é a conduta.

E aqui está a novidade que muda o jogo. Por muito tempo, faltou braço à ANPD para fiscalizar além dos casos de grande repercussão. Com mais orçamento e mais pessoas, ela agora alcança do pequeno ao grande. Se a sua empresa trata dados de clientes, de colaboradores, biometria no controle de ponto, saúde ocupacional ou informações de crédito, ela está no mapa.

O que realmente pega: não basta dizer que faz

Repare no coração das infrações do caso: base legal (art. 7º) e, principalmente, prestação de contas (art. 6º, X). Prestar contas, na LGPD, significa uma coisa só: provar. Não basta afirmar que a empresa respeita a privacidade. É preciso demonstrar, com documento vivo e atualizado, que respeita.

Numa fiscalização, o que separa quem se defende bem de quem toma multa é ter, atualizado e à mão:

• Inventário de dados e Registro das Operações de Tratamento (RoPA) que refletem o que a empresa realmente faz com os dados.
• Bases legais mapeadas para cada operação de tratamento.
• Relatório de Impacto à Proteção de Dados (RIPD/DPIA) atualizado onde há risco relevante.
• Políticas, avisos de privacidade e gestão de consentimento coerentes com a prática.
• Plano de resposta a incidentes e a solicitações de titulares, pronto antes de precisar.
• Evidências e trilhas de tudo isso, com data, responsável e versão.

O detalhe que derruba a maioria: esses documentos não podem estar vencidos. Um RIPD de dois anos atrás, que não acompanhou a mudança do processo, vale quase nada diante do auditor. Prestação de contas é manutenção contínua, não um documento feito uma única vez.

A diferença entre tomar multa e sair ileso

A boa notícia para quem se organiza: a própria ANPD calcula as multas por um Regulamento de Dosimetria, que classifica a infração em leve, média ou grave e pesa fatores como a extensão do dano, a reincidência e a cooperação da empresa durante a fiscalização.

Ou seja, chegar com a casa organizada e as provas na mão não serve só para evitar a infração. Serve para, quando algo dá errado, conversar de outro lugar: com boa-fé demonstrada, histórico de conformidade e resposta rápida. Quem improvisa na hora da fiscalização não tem esse repertório.

Como a GovSimplix deixa a sua empresa pronta

É exatamente aqui que a GovSimplix trabalha. A plataforma organiza a governança de privacidade com evidência viva, no lugar da planilha que envelhece:

• Inventário de dados, RoPA e bases legais estruturados e sempre atualizados.
• RIPD/DPIA, políticas e avisos de privacidade versionados, com aprovação e assinatura.
• Alertas do que está vencendo ou a revisar, para nenhum documento essencial ficar desatualizado.
• Resposta a titulares e a incidentes com fluxo e trilha, do pedido à conclusão.
• Maturidade de privacidade medida em níveis, com plano de ação priorizado.
• Trilha de evidências pronta para o dia em que a ANPD perguntar.

Não é sobre parecer em conformidade. É sobre estar, e ter como provar. Com a governança viva, quando a fiscalização chegar, a resposta da sua empresa já está pronta.

Perguntas frequentes

Minha empresa é pequena. Ainda preciso me preocupar?

Sim. O tamanho influencia o valor da multa, não o dever de cumprir a lei. E, com mais estrutura, a ANPD passou a alcançar empresas de todos os portes, não só as grandes.

A multa é mesmo calculada sobre o faturamento?

Sim. O Regulamento de Dosimetria usa uma alíquota sobre o faturamento como base, ajustada por gravidade, extensão do dano, reincidência e cooperação.

O que é "prestação de contas" na prática?

É a capacidade de comprovar, com documentos e registros atualizados, que a empresa cumpre a LGPD. Sem prova, a conformidade não existe para o auditor.

A ANPD avisa antes de multar?

Há etapas de fiscalização e medidas preventivas, mas contar com o aviso é arriscado. A preparação precisa vir antes, não depois da notificação.

Conteúdo informativo, não constitui orientação jurídica. Valores, artigos e determinações conforme a decisão da ANPD publicada no Diário Oficial da União em 25 de agosto de 2026.