US$ 400 milhões: o preço de tratar privacidade infantil como detalhe de produto

A acusação central da denúncia de agosto de 2024 usava uma expressão pouco comum em peça jurídica: invasões da privacidade de crianças em escala massiva. Além da criação de contas por menores de 13 anos, o processo sustentava que a empresa deixou de atender pedidos de pais para excluir contas e dados dos filhos.

Na época, o TikTok contestou os argumentos, alegando que boa parte se referia a eventos e práticas do passado, e que as acusações eram factualmente imprecisas ou já haviam sido corrigidas. O acordo agora encerra a disputa sem admissão formal de culpa, no formato usual desse tipo de resolução.

O Departamento de Justiça classificou o valor como uma das maiores recuperações já obtidas sob a COPPA, a lei federal americana de proteção da privacidade infantil online. O órgão também registrou que a empresa implementou desde então medidas de proteção para usuários mais jovens, controles de faixa etária e supervisão parental.

Não é a primeira conta desse tipo

Ano	Autoridade	Valor	Objeto
2023	Comissão de Proteção de Dados da Irlanda (GDPR)	€ 345 milhões	Tratamento de dados pessoais de crianças na plataforma.
2024	DoJ e FTC (denúncia inicial)	—	Contas de menores de 13 anos e coleta em modo infantil.
2026	DoJ (acordo)	US$ 400 milhões	Encerramento da ação de 2024 sob a COPPA.

Somadas, as duas sanções passam de US$ 750 milhões em menos de três anos, em jurisdições diferentes, pelo mesmo tema de fundo. Esse é o dado que interessa a quem monta orçamento de privacidade: a exposição não é um evento único, ela se repete a cada regulador que decide olhar.

O que muda no cálculo de risco

Durante muito tempo, o argumento contra investir em governança de dados de menores era o mesmo: a multa sai mais barata que o produto. Esse cálculo vem envelhecendo mal. US$ 400 milhões é um número que aparece no resultado, atrai a atenção do conselho e desloca a discussão do time de compliance para a mesa da diretoria.

Há também um elemento que costuma passar despercebido em análises de mercado: a parcela condicionada de US$ 100 milhões está atrelada à anulação de um decreto de consentimento anterior, herdado da Musical.ly. Ou seja, uma obrigação regulatória adquirida junto com uma aquisição de 2017 continuou produzindo efeito quase uma década depois. Em due diligence de fusão e aquisição, passivo de privacidade raramente recebe o mesmo rigor que passivo trabalhista ou fiscal. Este caso é um argumento concreto para mudar isso.

Leitura LATAMSEC

O paralelo brasileiro é direto. A LGPD trata dados de crianças e adolescentes no artigo 14, exigindo consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal, e determinando que as informações sobre o tratamento sejam apresentadas de forma simples e clara. A ANPD tem competência sancionatória desde 2023 e vem estruturando fiscalização.

A diferença relevante não está no texto da lei, está na escala das sanções. O teto da LGPD é de 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração. Isso significa que uma empresa multinacional avalia o risco brasileiro em outra ordem de grandeza. Mas significa também que, para uma empresa de médio porte brasileira, o teto é perfeitamente capaz de inviabilizar o exercício.

Três perguntas práticas que este caso sugere para quem tem produto com público jovem na região. A primeira: existe mecanismo de verificação de idade que produza evidência auditável, ou o cadastro apenas pergunta a data de nascimento? A segunda: quando um responsável pede exclusão dos dados do filho, existe processo com prazo e registro, ou o pedido cai em uma caixa de e-mail? A terceira, e a mais incômoda: se a empresa foi adquirida ou adquiriu alguém nos últimos anos, alguém revisou os compromissos regulatórios que vieram junto?

O acordo do TikTok não muda a regulação de nenhum país da América Latina. Mudou o preço de referência que reguladores citam quando precisam justificar o tamanho de uma sanção. Isso, por si só, já mexe com o cálculo.