Na terça-feira, 25 de agosto de 2026, a ANPD publicou no Diário Oficial da União a primeira multa pesada da LGPD contra uma big tech no Brasil: R$ 153,7 milhões contra a ByteDance Brasil, controladora do TikTok. Eu li o comunicado oficial da agência, a cobertura da imprensa, a nota do TikTok e o que a própria Adopt escreveu sobre o caso. E cheguei a uma conclusão que interessa a qualquer dono de agência: a fiscalização da LGPD deixou de ser teoria, e isso abriu uma linha de receita que a maioria das agências ainda não vende.
Neste artigo eu explico o que aconteceu, o que a decisão exige do TikTok, por que o motivo da multa importa mais do que o valor e como aqui na Agência Mestre transformamos esse assunto em serviço, com a Adopt como parceira.
O que aconteceu com o TikTok
Para você ter noção do tamanho da virada: até agosto de 2026, a ANPD tinha aplicado uma única multa em dinheiro no setor privado brasileiro. Foi em julho de 2023, contra a Telekall Infoservice, uma microempresa de São Paulo que vendia listas de contatos de WhatsApp para campanhas eleitorais. Valor: R$ 14.400. As outras sanções foram advertências a órgãos públicos, que por lei não podem ser multados.
Agora, numa decisão só, foram R$ 153.769.671,33.
O processo não é novo. A denúncia chegou à Coordenação-Geral de Fiscalização da ANPD em 23 de março de 2021. A fiscalização produziu a Nota Técnica nº 50/2024, o processo sancionador foi instaurado em novembro de 2024 e a decisão saiu em agosto de 2026. Cinco anos entre a denúncia e a multa. Isso diz muito sobre o ritmo da agência até aqui, e também sobre o que muda daqui para frente.
Como a ANPD chegou a R$ 153,7 milhões
A LGPD limita cada multa a 2% do faturamento da empresa no Brasil, com teto de R$ 50 milhões por infração. O total passou desse teto porque a ANPD apurou cinco infrações e aplicou três penalidades separadas:
- R$ 63,1 milhões por tratar dados sem hipótese legal (artigo 7º da LGPD);
- R$ 63,1 milhões por descumprir o princípio da prevenção (artigo 6º, inciso VIII);
- R$ 27,4 milhões por descumprir o princípio da responsabilização e prestação de contas (artigo 6º, inciso X).
Guarde esse terceiro item. Ele é o que interessa para o site do seu cliente.
As cinco infrações
A fiscalização olhou dois jeitos de usar o aplicativo.
O primeiro é o feed sem cadastro. No Brasil dava para assistir vídeos sem criar conta, algo que não existia nos Estados Unidos nem na Europa. A ANPD entendeu que, mesmo sem login, o TikTok coletava dados de comportamento (tempo assistindo cada vídeo, o que a pessoa pulava, tentativas de curtir e seguir) e usava isso para personalizar conteúdo e publicidade. Para crianças e adolescentes, esse tratamento não tinha base legal válida. Daí as duas primeiras infrações: tratar dados de menores sem hipótese legal e não adotar medidas preventivas nesse modo de uso.
O segundo é o feed com cadastro. A ANPD concluiu que a verificação de idade era frágil demais. O TikTok perguntava a data de nascimento e confiava na resposta. E o dado que expôs o problema veio da própria empresa: a ByteDance informou ter removido cerca de 7,75 milhões de contas de crianças no Brasil entre outubro de 2022 e setembro de 2023. Com base no Censo de 2022, a nota técnica estimou que o TikTok pode ter tratado dados de aproximadamente 20% das crianças brasileiras em um ano. Se a barreira funcionasse, esse número não existiria. Aí estão a terceira e a quarta infrações: cadastrar menores sem base legal e não ter medidas eficazes para impedir esse cadastro.
A quinta infração vale para os dois modos e é a que a ANPD chamou de “deixar de demonstrar medidas eficazes capazes de comprovar a observância” da lei. Em outras palavras: o TikTok dizia que protegia menores, mas não conseguiu provar que a proteção funcionava.
O que o TikTok precisa fazer, além de pagar
A decisão vai além da multa. O TikTok tem que:
- eliminar os dados coletados de forma irregular;
- para adolescentes de 13 a 18 anos já cadastrados, regularizar a representação legal em 60 dias úteis ou apagar as contas, avisando terceiros que receberam esses dados para que apaguem também;
- entregar um relatório técnico em 5 dias úteis depois desse prazo, comprovando o cumprimento;
- aplicar configurações de privacidade restritivas por padrão para menores de 16 anos, que só o responsável pode alterar, com reforço de controle parental e filtros de conteúdo;
- no feed sem cadastro, limitar a experiência a 12 horas, suspender totalmente os anúncios no Brasil, bloquear criação de conteúdo, mensagens diretas, lives e recomendações personalizadas, e reduzir a coleta a idioma, região e dados básicos do dispositivo;
- implantar verificação de idade conforme o cronograma do ECA Digital.
Se descumprir qualquer uma dessas obrigações, a multa diária é de R$ 137.081,49 por obrigação. O prazo para pagar é de 20 dias úteis, e há desconto de 25% (a multa cai para cerca de R$ 115,3 milhões) se a empresa abrir mão do recurso e pagar no prazo. O recurso ao Conselho Diretor da ANPD tem prazo de 10 dias úteis contados da notificação, que aconteceu em 24 de agosto.
O que o TikTok respondeu
Em nota, o TikTok disse que mantém diálogo com a ANPD há cinco anos, chamou a segurança de jovens de prioridade absoluta e afirmou que a multa se refere a um período anterior, de 2021, e não reflete as medidas adotadas desde então, incluindo um plano de conformidade aprovado pela própria ANPD em 2025. Resumindo: a ANPD multou o passado, e a empresa diz que o presente já está ajustado.
Se quiser a leitura da Adopt sobre a decisão, publicada no mesmo dia, está aqui: TikTok é multado pela ANPD. O que isso tem a ver com a minha empresa?
Por que o motivo pesa mais do que o valor
Poucas empresas no Brasil têm faturamento para tomar uma multa desse tamanho. Então a pergunta natural do dono de um e-commerce, de uma clínica ou de uma escola é: “isso me afeta?”.
Afeta, por causa da terceira penalidade. A ANPD cobrou R$ 27,4 milhões do TikTok porque a empresa não demonstrou medidas técnicas e organizacionais eficazes para provar que cumpria a LGPD. O famoso princípio da prestação de contas. A empresa dizia que barrava menores de 13 anos, mas não tinha como provar que a barreira funcionava.
Esse é o ponto que serve para qualquer site, mesmo sem menor de idade envolvido. A pergunta da ANPD mudou. Antes era “você tem uma política de privacidade?”. Agora é “você consegue provar que o seu processo de consentimento funciona, com data, registro e efetividade comprovada?”.
O que responde a essa pergunta é um registro de cada consentimento, com valor jurídico, e um site que faz o que a política diz que faz. Um aviso de cookies bonito no rodapé, sozinho, fica devendo.
O próprio superintendente de fiscalização da ANPD, Fabrício Guimarães Madruga Lopes, disse à imprensa que a agência espera que a decisão sirva de sinal para as outras empresas se anteciparem à conformidade em vez de esperar a sanção. Isso veio duas semanas depois de a ANPD suspender as lives do Discord no Brasil, em 12 de agosto, por falhas de proteção a menores. E veio cinco meses depois de o ECA Digital (Lei nº 15.211/2025) entrar em vigor, em 17 de março de 2026, proibindo verificação de idade por autodeclaração e prevendo multas de até 10% do faturamento no Brasil, com teto de R$ 50 milhões por infração.
Na minha visão, o Brasil está entrando no mesmo ponto que a Europa viveu com a GDPR entre 2018 e 2021: anos de multas pequenas e depois uma escalada rápida quando a estrutura de fiscalização amadurece. A diferença é que a ANPD agora tem lei nova, precedente e músculo. Quem só reage quando a multa aparece grande já está atrasado.
Onde a sua agência entra nessa história
Agora pense na carteira de clientes da sua agência. Quantos sites têm um pop-up de consentimento que registra cada aceite? Quantos têm termos de uso e política de privacidade que refletem o que o site faz de verdade? Quantos disparam as tags do Google Ads e do Meta antes de o visitante aceitar qualquer coisa?
Eu apostaria que a resposta, na maioria das agências, é “quase nenhum”. E o seu cliente não vai resolver isso sozinho. Ele não sabe o que é uma base legal, não sabe o que é Consent Mode e não vai contratar um escritório de advocacia para configurar um banner. Ele vai perguntar para quem cuida do site dele. Ou seja, para você.
Querendo ou não, adequação à LGPD virou um serviço de agência. E é um serviço que combina com o que você já entrega:
- Implantação do pop-up de consentimento, com bloqueio dos scripts de terceiros até o visitante aceitar.
- Termos de uso, política de privacidade e política de cookies, gerados e publicados no site do cliente.
- Configuração do Google Consent Mode e do Google Tag Manager, para que as campanhas continuem medindo sem coletar dado sem autorização.
- Gestão recorrente: revisão das tags, novos scripts, relatórios de consentimento e resposta a solicitações de titulares.
Repare que os três primeiros itens são projeto, e o quarto é recorrência. Você cobra pela implantação e cobra de novo pela manutenção. O mesmo site que já está na sua carteira passa a gerar mais uma linha de receita.
A Adopt tem um artigo de 2022 que já defendia essa tese: LGPD: uma oportunidade para agências de marketing digital. Na época, soava como aposta. Depois da multa do TikTok, virou argumento de venda.
Como fazemos isso aqui na Agência Mestre
Aqui na Agência Mestre nós somos parceiros da Adopt e já estamos implantando o pop-up de consentimento e os termos de uso nos sites dos nossos clientes. Escolhi a Adopt por três razões práticas.
A primeira é a implantação. É copiar e colar um código no site, e funciona em WordPress, Shopify, VTEX, sites customizados e aplicativos. A equipe que já cuida do site do cliente resolve sem precisar de desenvolvedor dedicado.
Inclusive, eu criei um vídeo no meu canal do Youtube mostrando o quão fácil é instalar a tag de consentimento da Adopt:
A segunda é o registro. Cada consentimento fica gravado com data e evidência, que foi o que a ANPD cobrou do TikTok na terceira penalidade. Quando o cliente precisar mostrar que o processo funciona, a resposta está no painel.
A terceira é o modelo de parceria, que eu explico a seguir.
Como funciona o AdOpters Program
O AdOpters Program é o programa de parceria da Adopt para agências de marketing, desenvolvimento web, agências 360, consultorias e profissionais de tráfego. Resumo do que eu achei mais relevante ao analisar as regras:
- Entrada gratuita. Não há taxa de adesão nem mensalidade. A agência ganha quando o cliente indicado assina a Adopt.
- Comissão recorrente e progressiva. Bronze paga 10% do 1º ao 10º cliente; Prata, 20% do 11º ao 30º; Ouro, 30% do 31º ao 50º; Diamante, 40% a partir do 51º. A comissão cai todo mês enquanto o cliente continuar ativo, com repasse mínimo de R$ 200.
- Duas fontes de receita. Além da comissão, a agência vende os próprios serviços de implantação, configuração e gestão. Esse valor é 100% da agência.
- Kit de lançamento. Playbook de vendas, apresentações, modelos de e-mail e posts prontos para você não começar do zero.
- Suporte em português. A agência faz o suporte de primeiro nível (implantação, configurações e dúvidas comuns) e escala para a Adopt questões técnicas mais complexas ou jurídicas.
- Base atual conta. Você pode apresentar a Adopt para os clientes que já tem, cadastrando cada um pelo seu link de indicação.
Segundo a própria Adopt, parceiros engajados costumam fechar os primeiros clientes entre 30 e 90 dias, e o potencial de receita no primeiro ano chega a R$ 50 mil. Trate esse número como projeção da Adopt. O que eu posso dizer pela nossa experiência é que o argumento de venda ficou fácil: você mostra a decisão da ANPD, mostra o site do cliente disparando tags sem consentimento e pergunta o que ele quer fazer a respeito.
O processo de entrada tem três etapas: você agenda uma conversa com o time da Adopt, eles avaliam se há fit com a sua agência e, aprovado, você assina o contrato e recebe o kit de lançamento.
Minha leitura para os próximos meses
O TikTok deve recorrer, e o valor final pode mudar. Isso não altera o que importa para a sua agência. A ANPD mostrou que sabe fiscalizar, que sabe somar multas por infração e que vai cobrar prova.
Cada cliente da sua carteira tem um site que hoje coleta dados de alguém. A pergunta que ele vai fazer, cedo ou tarde, é se consegue provar que faz isso do jeito certo. Você pode ser quem responde a essa pergunta e cobra por isso, ou pode deixar outra agência responder.
Se você quer entender o programa em detalhe, a página oficial está aqui: AdOpters Program, o programa de parceria da Adopt.
