O Despacho Decisório 27/2026 da ANPD aplicou R$ 153.769.671,33 em multas à ByteDance Brasil, reduzidos a R$ 115.327.253,49 pela renúncia ao recurso, e mandou eliminar em 60 dias úteis os dados de adolescentes sem assistência legal regularizada.

A maior sanção pecuniária já aplicada pela autoridade brasileira de proteção de dados não veio de vazamento nem de incidente de segurança: veio da base legal escolhida para tratar dados de menores. O Despacho Decisório 27/2026 da Coordenação-Geral de Fiscalização da ANPD, publicado no Diário Oficial da União de 25 de agosto de 2026, condensa em três condutas autônomas o que a autoridade entende ser o tratamento de dados de menores pela plataforma, e converte cada uma delas em valor.

A ficha

  • Ato: Despacho Decisório nº 27/2026/CGS/SFI, da Superintendência de Fiscalização da ANPD
  • Processo administrativo: 00261.006648/2024-02
  • Publicação: Diário Oficial da União de 25 de agosto de 2026, seção 1, p. 132
  • Sancionada: ByteDance Brasil Tecnologia Ltda., CNPJ 27.415.911/0001-36
  • Multa pelo art. 7º da LGPD: R$ 63.176.686,67
  • Multa pelo art. 6º, VIII (prestação de contas): R$ 63.176.686,67
  • Multa pelo art. 6º, X (não discriminação): R$ 27.416.297,99
  • Total: R$ 153.769.671,33
  • Valor após redução de 25% por renúncia ao recurso: R$ 115.327.253,49
  • Sanção acessória: eliminação dos dados de adolescentes de 13 a 18 anos sem regularização de representação ou assistência legal, em 60 dias úteis
  • Comprovação: relatório técnico com logs e declaração do Encarregado, nos 5 dias úteis seguintes
  • Multa diária por atraso: R$ 137.081,49 por obrigação descumprida
  • Prazo de pagamento: 20 dias úteis; recurso, 10 dias úteis, pelo art. 58 do Regulamento de Fiscalização
  • Fase: sanção aplicada, com renúncia ao recurso e prazos de cumprimento em curso
  • Documento: íntegra do Despacho Decisório 27/2026 no Diário Oficial

Três condutas, três multas

A arquitetura da decisão importa mais do que o total. A ANPD não somou tudo em uma infração só: separou o fundamento legal em três, e cada um recebeu valor próprio. A primeira multa ataca o art. 7º, o dispositivo das hipóteses de tratamento: a discussão é sobre qual base legal autoriza tratar dado de criança e adolescente, e o valor atribuído, R$ 63,1 milhões, é o mais alto do conjunto, empatado com o segundo.

A segunda multa, de valor idêntico, apoia-se no art. 6º, VIII, o princípio da responsabilização e prestação de contas. É o dispositivo que cobra do controlador a demonstração da adoção de medidas eficazes, não a alegação de que elas existem. A terceira, de R$ 27.416.297,99, invoca o art. 6º, X, o princípio da não discriminação. Somadas, as três chegam a R$ 153.769.671,33, valor que a renúncia ao recurso reduziu em 25%, levando a sanção efetiva a R$ 115.327.253,49.

A obrigação de fazer é mais dura que a multa

O desembolso é a parte administrável. A sanção acessória compromete operação. A ANPD determinou a eliminação dos dados pessoais de adolescentes de 13 a 18 anos cuja representação ou assistência legal não tenha sido regularizada, em 60 dias úteis. Nos 5 dias úteis seguintes, é preciso apresentar relatório técnico com logs e declaração do Encarregado, além de comunicar terceiros com quem os dados tenham sido compartilhados.

O descumprimento tem preço fixado: R$ 137.081,49 por dia, por obrigação. É o desenho que torna o cronograma de conformidade, e não o boleto, o centro da resposta jurídica. Para qualquer plataforma com público adolescente no Brasil, o precedente prático é este: a autoridade quer o dado eliminado e a eliminação comprovada com log, não um compromisso de melhoria.

O que a dosimetria diz para quem trata dados de menores?

Diz que a autoridade separa base legal de governança e cobra as duas. Os dispositivos efetivamente capitulados foram o art. 7º e os incisos VIII e X do art. 6º, ou seja, a hipótese que autoriza o tratamento, a capacidade de prestar contas sobre ele e o princípio da não discriminação, cada um com valor próprio. Quem opera serviço de acesso provável por adolescente precisa saber quantas contas na faixa de 13 a 18 anos existem na base, sob qual hipótese do art. 7º elas são tratadas e qual registro comprova a assistência legal de cada uma. É essa terceira resposta que a sanção acessória cobra em log.

O que vem agora

Está a uma semana. Segue de pé o prazo do Despacho Decisório CD/ANPD 122/2026, que fixa 17 de setembro de 2026 para a publicação do primeiro relatório semestral de transparência do Estatuto da Criança e do Adolescente Digital (ECA Digital) pelos provedores com mais de 1 milhão de usuários crianças e adolescentes registrados no país. Nenhum ato de prorrogação foi publicado entre 11 de agosto e 10 de setembro de 2026.

Em paralelo, a própria régua da fiscalização está em revisão: os Avisos de Consulta Pública 1/2026 e de Audiência Pública 1/2026 da ANPD, publicados no Diário Oficial de 9 de setembro de 2026, submeteram a debate a minuta que altera a Resolução CD/ANPD 1/2021, o regulamento do processo de fiscalização e do processo administrativo sancionador aplicado neste caso. As inscrições para a audiência de 24 de setembro vão até 18 de setembro, e a consulta recebe contribuições até 26 de outubro de 2026.