A multa de R$ 153,7 milhões ao TikTok: o que ela diz sobre os seus dados de saúde

Por Ramon Martins Andrade, advogado (OAB/RJ 188.374)

A Autoridade Nacional de Proteção de Dados multou nesta terça-feira a ByteDance, controladora do TikTok, em R$ 153,7 milhões, por tratar dados pessoais de crianças e adolescentes sem amparo legal. Não é um caso de saúde, e é exatamente por isso que ele interessa a quem acompanha este site: a decisão aplica, com um exemplo caro, a mesma régua que protege a categoria de dado mais delicada da lei brasileira, o dado referente à saúde. Entender o que a ANPD cobrou do TikTok é entender o que qualquer paciente pode cobrar de clínica, plano, laboratório e aplicativo.

O que a ANPD decidiu

A sanção saiu de um Processo Administrativo Sancionador e foi publicada no Diário Oficial da União de 25 de agosto de 2026. A ANPD identificou cinco infrações aos arts. 6º, incisos VIII e X, e 7º da LGPD, em duas formas de uso da plataforma: o feed sem cadastro, aberto a qualquer pessoa, e o feed com cadastro. Em ambas, houve tratamento de dados de crianças e adolescentes “sem hipótese legal adequada”. Além da multa, a agência determinou a eliminação dos dados coletados irregularmente. Cabe recurso ao Conselho Diretor em dez dias úteis.

A empresa também se comprometeu com um plano de conformidade que dá a medida do que a autoridade considera adequado: contas de menores de 16 anos receberão automaticamente as configurações mais restritivas de privacidade, alteráveis apenas com autorização dos responsáveis; a supervisão parental será reforçada; e o acesso sem cadastro fica limitado, sem comentários, mensagens diretas, transmissões ao vivo ou possibilidade de seguir alguém, com suspensão total de anúncios no Brasil nessa modalidade e coleta reduzida ao mínimo. O Conselho Diretor, ao aprovar o plano, ressalvou que a empresa deverá cumprir os prazos de aferição de idade previstos no cronograma do Estatuto Digital da Criança e do Adolescente, o ECA Digital.

Vale traduzir os fundamentos, porque eles são o coração da lei. “Hipótese legal” é a licença que o art. 7º exige para qualquer tratamento de dado pessoal: ninguém trata dado “porque sim”. O princípio da prevenção (art. 6º, VIII) manda adotar “medidas para prevenir a ocorrência de danos” antes que eles aconteçam. E o da responsabilização e prestação de contas (art. 6º, X) exige do agente a “demonstração (…) da adoção de medidas eficazes e capazes de comprovar a observância” das normas: não basta dizer que protege, é preciso provar que protege. Se a cifra parece alta, a explicação é aritmética: a lei admite multa de até R$ 50 milhões por infração (art. 52, II), e foram cinco.

A ponte com a saúde: o dado mais protegido da lei

A LGPD define como dado pessoal sensível, entre outros, o “dado referente à saúde ou à vida sexual, dado genético ou biométrico” (art. 5º, II), no mesmo grupo da origem racial e da convicção religiosa. Para essa categoria, o art. 11 traz um rol próprio e mais estreito de hipóteses: consentimento “específico e destacado” do titular, ou situações em que o tratamento é indispensável, entre elas a tutela da saúde, “em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias”.

Quem trata dado de saúde todos os dias não é o TikTok. É a clínica que fotografa o antes e depois, o consultório que envia exame pelo WhatsApp, a operadora que analisa pedidos de reembolso, o laboratório, o aplicativo de bem-estar, a farmácia com programa de desconto que pede CPF. Para todos eles vale o mesmo padrão cobrado da ByteDance, com um agravante: o dado é sensível, e a régua sobe. A finalidade precisa ser legítima e informada, a coleta limitada ao necessário, e a empresa precisa conseguir demonstrar que suas medidas funcionam.

O que o paciente pode exigir hoje

O art. 18 da LGPD garante ao titular, “a qualquer momento e mediante requisição”, a confirmação de que seus dados são tratados, o acesso a eles, a correção dos incompletos e a eliminação dos desnecessários ou excessivos. O art. 19 fixa o prazo: resposta imediata em formato simplificado, ou declaração completa em até 15 dias. Em termos práticos: a cópia do prontuário (que a Lei 15.378/2026 garante sem custo), a lista do que a clínica guarda sobre você, a retirada de uma foto usada sem autorização, o cancelamento de um cadastro de farmácia. A reclamação administrativa se faz no canal do titular de dados da própria ANPD; e o art. 42 obriga quem causa “dano patrimonial, moral, individual ou coletivo” em violação à lei a repará-lo, pela via judicial.

Uma clareza que evita frustração: a multa aplicada hoje não indeniza ninguém individualmente. Sanção administrativa e reparação ao titular correm por vias separadas. Quem teve dado de saúde exposto ou usado sem autorização precisa documentar o tratamento irregular e o dano antes de reclamar, prints, datas, protocolos, e o pedido formal à empresa é em geral o primeiro passo, porque cria o registro.

Crianças, adolescentes e saúde: o precedente que fica

O art. 14 da LGPD manda tratar dados de crianças e adolescentes “em seu melhor interesse”, e exige, para crianças, consentimento “específico e em destaque” de ao menos um dos pais ou responsáveis. O plano de conformidade aprovado transforma esse comando em desenho concreto: configuração mais protetiva por padrão, autorização parental para afrouxá-la, prova de eficácia. Em saúde pediátrica digital, telemedicina, aplicativos de acompanhamento, plataformas de escola que registram informações de saúde, esse é o padrão que responsáveis podem passar a exigir, com o cronograma de aferição de idade do ECA Digital ao fundo. O caso TikTok não é sobre saúde, mas fixa o precedente de que a infância digital não é terreno livre, e dado de saúde de criança acumula as duas proteções.

Se dados de saúde seus ou de seu filho foram expostos, usados sem autorização ou negados a você por clínica, plano ou aplicativo, escreva pelo WhatsApp relatando o ocorrido, com os registros que tiver. A equipe do escritório avalia se há viabilidade jurídica, do requerimento formal à reparação.

Ramon Martins Andrade (OAB/RJ 188.374) é advogado formado pela UFRJ em 2011, com mestrados pela Université Sorbonne Nouvelle e pela EGN (Marinha do Brasil). Atualmente pesquisador em Direitos Humanos e Saúde pela ENSP/Fiocruz.