La ANPD de Brasil multa a TikTok con 153,7 millones de reales por tratar datos de niños y adolescentes sin base legal

La Agencia Nacional de Protección de Datos de Brasil, la ANPD, multó a ByteDance, la empresa controladora de TikTok, con 153,7 millones de reales por tratar datos de niños y adolescentes sin una base legalFundamento previsto en una ley de protección de datos que autoriza a una organización a tratar datos personales, como el consentimiento del titular o la ejecución de un contrato. válida. La sanción salió en el Diário Oficial da União este martes 25 de agosto y llega con dos obligaciones más: la ANPD ordenó eliminar los datos recogidos de forma irregular, y TikTok deberá cumplir un plan que recorta la versión que se usa sin cuenta hasta dejarla sin anuncios, sin mensajes, sin transmisiones en vivo y con un límite de 12 horas.

Según el comunicado de la agencia, la fiscalización encontró cinco infracciones a la Ley General de Protección de Datos, la LGPD, repartidas entre las dos formas de entrar a la aplicación. Una es el feed sin registro, que cualquiera puede mirar sin crear un perfil. La otra es el feed con registro, atado a una cuenta. En la primera, TikTok trató datos de menores sin respaldo legal y no tomó medidas para evitarlo. En la segunda, usó esos datos para registrar a adolescentes sin una base válida y no hizo lo necesario para impedir que se anotaran niños. En las dos, además, no pudo demostrar que sus controles funcionaran.

Lo que TikTok anotaba aunque no hubiera cuenta

El informe técnico que sostiene la multa, citado por O Globo, describe qué recogía la aplicación de quien entraba sin registrarse: la región, el huso horario y el tipo de teléfono, pero también cuánto tiempo se quedaba en cada video, cuáles saltaba y hasta los intentos de dar me gusta, compartir o seguir a un creador. Sin cuenta, esos botones no funcionaban. El intento igual quedaba registrado.

Para la ANPD, ese conjunto de datos alcanzaba para trazar un perfil de comportamiento y alimentar el algoritmo de recomendaciónSistema automático que usa una plataforma digital para decidir qué publicaciones, videos o anuncios muestra a cada usuario, a partir de su actividad y de otros datos. de la plataforma, aunque nadie hubiera abierto una cuenta. Esa versión también mostraba publicidad. TikTok sostuvo durante el proceso que los anuncios no eran personalizados, y la agencia concluyó que igual eran una forma de ganar dinero con esa experiencia, según el relato de O Globo.

La edad atraviesa todo el expediente. TikTok no admite usuarios menores de 13 años, pero, según la agencia, los niños podían eludir la simple declaración de edad que pedía la aplicación. El propio documento recoge que la plataforma eliminó casi ocho millones de cuentas de niños en Brasil entre octubre de 2022 y septiembre de 2023.

Fabrício Lopes, superintendente de Fiscalización de la ANPD, le dijo a O Globo que la agencia eligió dialogar antes que castigar y que esa elección no tuvo respuesta del otro lado: "no había empeño suficiente de la empresa", afirmó. Contó que las respuestas llegaban incompletas y que había que pedir la misma información más de una vez, hasta que la apertura del proceso sancionador cambió la actitud de TikTok.

Cinco años de expediente y un borrado con plazos

El caso arrancó con una denuncia recibida el 23 de marzo de 2021, que acusaba a TikTok de recoger datos de personas que todavía no se habían registrado. Siguieron pedidos de información, notas técnicas y reuniones durante 2022 y 2023. El 1 de noviembre de 2024, la ANPD ordenó suspender por completo el feed sin registro en Brasil y le exigió a ByteDance un plan de conformidad con mecanismos eficaces de verificación de edadConjunto de mecanismos que usa un servicio digital para comprobar o estimar la edad de una persona antes de darle acceso a contenidos o funciones.. Tres días después se labró el auto de infracción que abrió el proceso sancionador.

El informe de instrucción enumera cinco sanciones de multa simple. Según O Globo y Agência Brasil, el grueso del monto se concentra en dos multas de 63,1 millones de reales cada una y una tercera de 27,4 millones. O Globo detalla que las dos mayores corresponden a tratar datos sin base legal y a violar el principio de prevención, que la tercera castiga la falta de rendición de cuentas y que el valor es proporcional a la facturación de la empresa en Brasil. UOL la describe como la mayor multa aplicada por la ANPD desde su creación, un dato que la agencia no menciona en su comunicado.

La orden de borrado viene con plazos. De acuerdo con O Globo y Agência Brasil, ByteDance deberá eliminar los datos de los adolescentes de 13 a 18 años registrados en TikTok si en 60 días hábiles no se regulariza la representación o asistencia de un adulto responsable, y avisar a los terceros con los que compartió esa información para que también la borren. Después tendrá cinco días hábiles para entregar un informe técnico con registros de auditoría y una declaración firmada por su encargado de protección de datos, y la ANPD podrá exigir una auditoría externa si la evidencia no le alcanza. Si incumple, la multa diaria ronda los 137.000 reales por cada obligación.

Un plan aprobado el mismo martes

En otra decisión publicada el mismo día, el Consejo Directivo de la ANPD aprobó, en instancia de recurso, el plan de conformidad que presentó ByteDance. Las cuentas de menores de 16 años tendrán por defecto la configuración de privacidad más restrictiva, que solo podrá cambiarse con autorización de los padres, y la plataforma deberá reforzar la supervisión parental y endurecer los filtros de contenido.

El cambio más visible está en la versión sin cuenta. Quien entre así tendrá un límite de 12 horas, no podrá publicar, comentar, mandar mensajes directos, seguir a nadie ni ver transmisiones en vivo, y solo verá contenido apto para todas las edades, con una personalización muy limitada. La aplicación deberá recoger lo mínimo: idioma, región y datos básicos del teléfono para prevenir fraudes y mejorar su funcionamiento. Y en esa versión, TikTok tendrá que suspender por completo los anuncios en Brasil. Lorena Coutinho, directora de la ANPD, le dijo a O Globo que esa es una de las medidas centrales, porque el uso de datos de menores para dirigir publicidad fue una de las principales preocupaciones del proceso.

TikTok respondió a g1 que la seguridad de niños y adolescentes es "una prioridad absoluta", que dialoga con la ANPD desde hace cinco años y que ese trabajo terminó en un plan aprobado en 2025. Según la empresa, la multa se refiere a un período anterior, 2021, y no refleja las medidas que tomó desde entonces. A Mobile Time le aseguró que el límite de 12 horas y la experiencia sin anuncios para usuarios no registrados ya están en marcha. La compañía agregó que seguirá en contacto con la agencia mientras evalúa sus próximos pasos.

Diez días hábiles y una verificación de edad pendiente

La decisión admite recurso. ByteDance tiene diez días hábiles, contados desde la notificación del lunes 24 de agosto, para recurrir ante el Consejo Directivo de la ANPD. Según Agência Brasil, si renuncia al recurso y paga dentro del plazo puede acceder a una reducción del 25 por ciento, y la cifra bajaría a unos 115 millones de reales.

El plan tampoco cierra el tema de la edad. El Consejo Directivo lo aprobó con una condición: TikTok deberá cumplir la verificación de edad que exige el Estatuto Digital del Niño y del Adolescente, conocido como ECA Digital, según el cronograma que fijó la propia agencia y las pautas de una guía sobre mecanismos de verificación que todavía no se publicó. Por ahora solo hay orientaciones preliminares, y Mobile Time informó que la versión definitiva debería conocerse antes de fin de año.

Lopes dijo esperar que el caso sirva de alerta para otras plataformas, que a su juicio deberían adelantarse a las exigencias en lugar de esperar un proceso sancionador. El expediente deja por escrito una idea que cualquier regulador de la región puede leer: en el feed sin registro, no tener cuenta nunca significó no dejar datos.

Para quien quiera revisar el expediente, la decisión corresponde al Proceso Administrativo Sancionador 00261.006648/2024-02, abierto contra Bytedance Brasil Tecnologia Ltda. La base técnica es la Nota Técnica nº 50/2024 de la Coordinación General de Fiscalización, y el cálculo de la multa está en el Relatorio de Instrucción nº 2/2026, publicado en el sistema de la ANPD. Las infracciones se encuadran en el artículo 7 de la LGPD, que fija las bases legales para tratar datos, y en los incisos VIII y X del artículo 6, que recogen los principios de prevención y de responsabilidad y rendición de cuentas.