De Braziliaanse privacytoezichthouder ANPD heeft ByteDance, het moederbedrijf van TikTok, op 25 augustus 2026 een boete van R$153,7 miljoen opgelegd. Volgens de toezichthouder verwerkte TikTok gegevens van kinderen en jongeren zonder passende wettelijke grondslag, schoot het tekort in het voorkomen van gebruik door minderjarigen en kon het de werking van zijn beschermingsmaatregelen niet voldoende aantonen.
Brazilië beboet ByteDance
De sanctie bestaat uit vijf overtredingen van artikelen 6 en 7 van de Braziliaanse Lei Geral de Proteção de Dados, meestal afgekort tot LGPD. Die wet vormt het Braziliaanse kader voor de bescherming van persoonsgegevens.
De zaak gaat dus niet alleen over een privacyinstelling die verkeerd stond. De ANPD keek ook naar de vraag of TikTok minderjarigen effectief buiten de dienst kon houden en of ByteDance kon onderbouwen dat de technische en organisatorische waarborgen daadwerkelijk werkten. Daarmee schuift de nadruk op van algemene beloften naar aantoonbare bescherming in het product zelf.
Ook de feed zonder account viel onder het onderzoek
Nee, de sanctie betreft niet alleen mensen met een geregistreerd TikTok-account. De ANPD onderzocht twee manieren om TikTok te gebruiken: via een geregistreerd account en via de feed zonder registratie.
Dat tweede scenario is belangrijk. Wie zonder account video’s bekijkt, heeft mogelijk geen profiel op TikTok, maar gebruikt nog steeds een dienst die informatie over het gebruik en de werking van de app kan verwerken. Volgens de ANPD ontbrak voor de verwerking van gegevens van minderjarigen in beide toegangsmodi een geldige wettelijke grondslag.
De toezichthouder stelde daarnaast vast dat TikTok niet voldoende voorkwam dat kinderen en jongeren zich registreerden of de dienst gebruikten. Leeftijdscontrole en gegevensbescherming hangen hier dus direct samen: alleen vragen naar een leeftijd is niet hetzelfde als aantoonbaar voorkomen dat minderjarigen in een minder beschermde omgeving terechtkomen.
Welke TikTok-functies moeten in Brazilië veranderen?
Het door de ANPD goedgekeurde nalevingsplan vertaalt de sanctie naar concrete productregels. Voor accounts van gebruikers jonger dan 16 jaar moeten de strengste privacyinstellingen standaard worden toegepast. Een wijziging daarvan vereist toestemming van een ouder.
Voor gebruik zonder registratie in Brazilië gelden volgens het plan bovendien deze beperkingen:
- de sessie duurt maximaal 12 uur;
- advertenties worden opgeschort;
- personalisering en gegevensverzameling worden aanzienlijk verminderd;
- gebruikers kunnen geen video’s plaatsen of reacties achterlaten;
- directe berichten, het volgen van accounts en livestreams zijn niet beschikbaar.
De gegevens die in deze modus nog worden verzameld, zijn volgens de beschrijving van het plan voornamelijk beperkt tot taal, regio, basisinformatie over het apparaat voor fraudepreventie en informatie die nodig is om de app te laten werken.
Dat is de praktische betekenis van privacy-by-design in deze zaak: bescherming moet niet alleen in voorwaarden staan, maar ook zichtbaar worden in standaardinstellingen, functies en de hoeveelheid gegevens die een dienst nodig heeft.
De schaal van de zaak
De ANPD legde vijf overtredingen vast. Daarnaast wordt bij de zaak een schatting genoemd van minstens 8 miljoen mogelijk betrokken minderjarigen. Dat cijfer moet voorzichtig worden gelezen: het is een schatting van mogelijke blootstelling aan gegevensverwerking, geen bevestigd individueel aantal kinderen of jongeren.
ByteDance werd op 24 augustus 2026 van de sanctie op de hoogte gebracht. Vanaf die kennisgeving gold een termijn van tien werkdagen om beroep aan te tekenen bij de raad van bestuur van de ANPD. De publicatie van de sanctie volgde op 25 augustus 2026; dat zijn twee verschillende momenten.
Wat volgt hierna?
De Braziliaanse beslissing laat zien hoe een toezichthouder naast een geldboete ook concrete ontwerpkeuzes voor een platform kan voorschrijven. In dit geval gaat het om strengere standaardprivacy voor jongeren, ouderlijke toestemming en een veel beperktere feed voor bezoekers zonder account.
De boete zelf staat daarmee niet los van het product. De kern van de zaak is dat leeftijd, toegang en gegevensverzameling samen moeten worden aangepakt. Voor Nederlandse gebruikers verandert deze Braziliaanse beslissing niet automatisch de regels van TikTok in Nederland of de Europese Unie. Wel maakt de zaak duidelijk welke onderdelen toezichthouders kunnen bekijken: niet alleen wat een platform belooft, maar ook wat het standaard toestaat.
Kort gezegd: Brazilië heeft ByteDance beboet voor vijf LGPD-overtredingen rond minderjarigendata, waarbij zowel accounts als gebruik zonder registratie onder de loep lagen. De belangrijkste ontwikkeling zit naast het bedrag in de verplichte productbeperkingen die de bescherming van jongeren concreet moeten maken.
