Brazylijski ANPD nałożył na ByteDance, właściciela TikToka, karę w wysokości R$153,7 miliona. Decyzję opublikowano 25 sierpnia 2026 roku. Regulator uznał, że w pięciu przypadkach doszło do naruszeń artykułów 6 i 7 ustawy Lei Geral de Proteção de Dados (LGPD), dotyczących między innymi podstawy prawnej przetwarzania danych oraz obowiązku zapobiegania naruszeniom i wykazania skuteczności zabezpieczeń.
Brazylijski ANPD nakłada karę na ByteDance
Sprawa dotyczyła danych dzieci i nastolatków korzystających z TikToka. ANPD zakwestionował zarówno podstawę prawną przetwarzania tych danych, jak i to, czy platforma skutecznie uniemożliwiała osobom nieletnim rejestrację lub korzystanie z usługi. Regulator uznał również, że ByteDance nie wykazał skuteczności swoich technicznych i organizacyjnych zabezpieczeń.
To ważne rozróżnienie: kara nie dotyczy wyłącznie pojedynczej funkcji ani samego procesu zakładania konta. Postępowanie objęło dwa sposoby korzystania z platformy.
Sprawa obejmowała także feed bez rejestracji
ANPD analizował zarówno TikToka używanego po zalogowaniu, jak i feed dostępny bez tworzenia konta. Ten drugi tryb pozwalał oglądać treści bez rejestracji, ale również wiązał się z przetwarzaniem danych użytkownika.
Właśnie dlatego brazylijski przypadek wykracza poza typowe pytanie: „czy dziecko ma konto?”. Z perspektywy regulatora znaczenie ma także to, jakie dane są przetwarzane podczas samego oglądania treści i czy platforma potrafi skutecznie ograniczyć dostęp osób nieletnich. To podejście przesuwa akcent z deklaracji wieku na tak zwane age assurance, czyli mechanizmy pozwalające ocenić lub potwierdzić wiek użytkownika.
Co TikTok ma zmienić w Brazylii
Zatwierdzony przez ANPD plan zgodności przewiduje konkretne ograniczenia, a nie tylko ogólne zobowiązanie do „większej ochrony”. Konta osób poniżej 16 lat mają domyślnie otrzymywać najbardziej restrykcyjne ustawienia prywatności. Ich zmiana ma wymagać zgody rodzica.
W przypadku korzystania bez rejestracji w Brazylii plan przewiduje:
- ograniczenie sesji do 12 godzin;
- zawieszenie reklam;
- wyłączenie publikowania treści i komentowania;
- wyłączenie wiadomości bezpośrednich, obserwowania kont oraz transmisji na żywo;
- znaczne ograniczenie personalizacji i zakresu zbieranych danych.
Zakres danych zbieranych w trybie bez konta ma zostać ograniczony głównie do języka, regionu, podstawowych informacji o urządzeniu potrzebnych do zapobiegania oszustwom oraz danych koniecznych do działania aplikacji.
To przykład podejścia „safety by design”: zabezpieczenia mają być ustawione w produkcie z góry, zamiast opierać się wyłącznie na tym, że użytkownik albo rodzic samodzielnie znajdzie odpowiednią opcję w menu.
Jak interpretować najważniejsze liczby
Najpewniejsze dane dotyczą samej decyzji: R$153,7 miliona, pięć naruszeń LGPD i dwa analizowane tryby dostępu. ByteDance został powiadomiony o sankcji 24 sierpnia 2026 roku i zgodnie z informacją ANPD ma 10 dni roboczych na odwołanie do Rady Dyrektorów agencji.
W relacjach dotyczących sprawy pojawia się także szacunek mówiący o co najmniej 8 milionach potencjalnie objętych sprawą nieletnich. Nie należy jednak odczytywać tej liczby jako potwierdzonego spisu indywidualnych użytkowników. To szacunek skali potencjalnego przetwarzania danych, a nie zweryfikowana liczba konkretnych dzieci i nastolatków.
Co będzie dalej
Decyzja ANPD wyznacza ByteDance formalną ścieżkę odwoławczą i zatwierdza plan zmian dotyczących prywatności oraz korzystania z TikToka bez konta w Brazylii. Samo ogłoszenie wymagań nie jest jednak równoznaczne z potwierdzeniem ich późniejszego wdrożenia w każdym elemencie usługi.
Najważniejsza lekcja z tej sprawy jest szersza niż wysokość kary. Regulator potraktował ochronę nieletnich jako problem obejmujący cały przepływ danych — od rejestracji po oglądanie treści bez konta. Dla użytkowników oznacza to prosty wniosek: w przypadku platform społecznościowych prywatność dziecka zależy nie tylko od ustawień profilu, lecz także od tego, co aplikacja robi jeszcze przed zalogowaniem.
