Uma multa de R$ 14,4 mil e uma multa de R$ 153 milhões saíram da mesma LGPD, do mesmo artigo e da mesma fórmula de cálculo. A diferença entre o valor pago pela Telekall, uma microempresa de telemarketing, e o valor aplicado à ByteDance, dona do TikTok, não é sinal de que a Autoridade Nacional de Proteção de Dados (ANPD) trata empresas pequenas e gigantes de tecnologia com regras diferentes.

É o contrário: é a prova de que a mesma regra, aplicada com a mesma fórmula, produz resultados proporcionais ao porte e à gravidade de cada caso.

Este artigo compara os dois processos ponto a ponto: o que cada empresa fez, qual artigo da LGPD foi usado, como a ANPD chegou a cada valor. E explica por que isso é, na prática, o rigor da lei funcionando como deveria.

Em março de 2022, a ANPD abriu um processo contra a Telekall Infoservice depois de a empresa oferecer, a candidatos da eleição municipal de 2020 em Ubatuba (SP), uma listagem de contatos de WhatsApp de eleitores para disseminação de material de campanha. A empresa tratou dados pessoais sem nenhuma hipótese legal que justificasse esse uso.

A decisão final saiu publicada no Diário Oficial da União em 6 de julho de 2023, no processo administrativo sancionador nº 00261.000489/2022-62. Foi a primeira sanção com multa aplicada pela ANPD a uma empresa privada desde que a LGPD entrou em vigor. As penalidades:

• Advertência, por falta de Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD), sem multa.
• Multa simples de R$ 7.200,00, por tratar dados pessoais sem base legal válida (art. 7º da LGPD).
• Multa simples de R$ 7.200,00, por não responder aos ofícios da ANPD que pediam esclarecimentos (art. 5º do Regulamento de Fiscalização, Resolução CD/ANPD nº 1/2021).
  Total: R$ 14.400,00. Como a Telekall é uma microempresa, o teto de 2% do faturamento bruto anual (o limite que a própria LGPD impõe para multa simples, no art. 52, inciso II) já produz, nesse porte, um valor nessa faixa.

Em 25 de agosto de 2026, a ANPD publicou o Despacho Decisório nº 27/2026/CGS/SFI, no processo nº 00261.006648/2024-02, aplicando à ByteDance Brasil Tecnologia Ltda a maior multa da história da LGPD.

É importante começar corrigindo um mal-entendido comum: essa sanção não trata de cookies nem de banner de consentimento. O caso é sobre como o TikTok tratava dados de crianças e adolescentes dentro do próprio aplicativo: no feed sem login e no cadastro da conta.

A ANPD identificou que a plataforma permitia acesso a um feed de vídeos sem exigir cadastro, e nesse feed coletava e processava dados de comportamento de usuários, incluindo menores de idade, sem nenhuma hipótese legal que amparasse esse tratamento. O mesmo problema de base legal apareceu no fluxo de cadastro, que não impedia de forma eficaz que crianças e adolescentes criassem contas.

A multa foi dividida por artigo da LGPD infringido:

Além da multa, a decisão determinou a eliminação dos dados pessoais de adolescentes entre 13 e 18 anos cujo cadastro não fosse regularizado com representação legal em até 60 dias úteis, sob pena de multa diária de R$ 137.081,49. Em grau recursal, o Conselho Diretor da ANPD aprovou o plano de conformidade apresentado pela empresa, mantendo a exigência de verificação de idade prevista no ECA Digital.

Vale entender melhor o pano de fundo desse caso: a decisão nasceu de um processo específico sobre dados de menores, não de uma fiscalização genérica de cookies.

Quem quer entender os riscos que essa mesma decisão acende para lojas virtuais e sites com cadastro de usuário pode ver essa análise em TikTok, cookies e e-commerce: como adequar a sua loja virtual à LGPD. Ela detalha os riscos de consentimento que o caso expõe para quem opera um site, ainda que a multa em si não trate de banner de cookies.

A linha mais importante dessa tabela não é a dos valores: é a do "artigo central". As duas empresas foram punidas, antes de qualquer outra coisa, pela mesma falha: tratar dados pessoais sem ter uma das dez hipóteses legais que o artigo 7º da LGPD exige para qualquer tratamento de dado pessoal no Brasil.

Isso vale para uma empresa de telemarketing em Ubatuba e para o aplicativo mais baixado do mundo. Para o levantamento completo de valores e casos já julgados pela ANPD, vale conferir Multas na LGPD: quais são, valores e prazos de adequação.

A LGPD não cria uma régua para pequenas empresas e outra para big techs. Ela cria uma régua só: todo tratamento de dado pessoal precisa de uma hipótese legal que o justifique, documentada e demonstrável a qualquer momento. O que muda de caso para caso não é a regra, é a gravidade da conduta, o volume de dados e titulares afetados, e o porte econômico de quem a descumpriu.

É exatamente isso que o Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023) existe para calcular. Antes de chegar a um valor, a ANPD considera fatores como a gravidade e a natureza da infração, o número de titulares afetados, a vantagem obtida ou pretendida pelo infrator, sua condição econômica, se houve reincidência e se a empresa cooperou com a fiscalização.

E aplica, a todos esses fatores, o mesmo teto proporcional de até 2% do faturamento bruto no Brasil no último exercício, limitado a R$ 50 milhões por infração, previsto no artigo 52 da LGPD.

Uma empresa que fatura algumas centenas de milhares de reais por ano chega, com esse teto, a um valor de milhares de reais. Uma multinacional com faturamento bilionário chega, com o mesmo teto, a um valor de dezenas de milhões. A régua não muda. O resultado da régua, sim, porque o resultado é proporcional, não fixo.

A tentação, ao ler sobre uma multa de R$ 153 milhões, é achar que isso só interessa a quem opera em escala de big tech. O caso da Telekall mostra o oposto: a primeira sanção com multa da história da LGPD foi contra uma microempresa, por uma falha que qualquer empresa pequena pode cometer, que é tratar dado pessoal sem checar antes se existe base legal para aquilo.

Aqui vale uma distinção que esse tipo de notícia costuma embaralhar: privacidade é o direito do titular sobre seus próprios dados; consentimento é um dos gestos possíveis para viabilizar o tratamento desses dados, um entre as dez hipóteses legais da LGPD. Não é o único, e não é sinônimo de privacidade.

Uma empresa pode ter base legal sem depender de consentimento, como execução de contrato ou cumprimento de obrigação legal. Mas precisa, em qualquer caso, conseguir apontar qual delas está usando e documentar isso.

É aí que entra uma ferramenta como a AdOpt: não como um banner de cookies, mas como a camada que registra, para cada tratamento, qual base legal foi usada, quando e com que prova. É exatamente o tipo de registro que a Telekall não tinha e que a ANPD cobrou da ByteDance Brasil no item sobre conformidade demonstrável (art. 6º, X).

Ter esse histórico organizado é o que separa uma empresa que consegue responder a uma fiscalização em poucos dias de uma que leva uma advertência por não conseguir responder nada.

Se a sua empresa trata dados pessoais (de clientes, leads, funcionários ou visitantes do site), vale a pena agendar uma conversa com a AdOpt para mapear onde estão as bases legais do seu negócio antes que seja a ANPD fazendo essa pergunta.

• TikTok é multado pela ANPD: o que isso tem a ver com a minha empresa?
• Responsabilidades de um encarregado de dados

Não. A decisão da ANPD contra a ByteDance Brasil tratou do tratamento de dados de crianças e adolescentes no feed sem cadastro e no fluxo de criação de conta do TikTok, não de cookies, rastreadores ou banner de consentimento no site. Usar esse caso como precedente sobre banner de cookies é um erro comum que vale evitar.

Porque a LGPD limita a multa simples a até 2% do faturamento bruto da empresa no Brasil, no último exercício, com teto de R$ 50 milhões por infração. A Telekall é uma microempresa; a ByteDance Brasil é uma multinacional de tecnologia. O mesmo percentual, aplicado a faturamentos muito diferentes, produz valores muito diferentes. A fórmula é a mesma nos dois casos.

É a Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, que define como a ANPD calcula o valor de uma sanção. Ela leva em conta a gravidade e a natureza da infração, o número de titulares afetados, a vantagem obtida pelo infrator, sua condição econômica, reincidência e cooperação com a fiscalização, sempre dentro do teto de 2% do faturamento previsto no artigo 52 da LGPD.

Sim, e já foram. A Telekall, uma microempresa de telemarketing, foi a primeira empresa privada multada pela ANPD, em 2023, por tratar dados pessoais sem base legal e por não responder às solicitações da fiscalização. Porte pequeno reduz o valor possível da multa, mas não livra a empresa da obrigação de ter base legal para tratar dados pessoais.

Nos dois casos analisados aqui, a ANPD ofereceu a mesma opção: se a empresa renunciar ao direito de recorrer e pagar dentro do prazo de 20 dias úteis, ela recebe um desconto de 25% sobre o valor da multa. É mais uma regra que se aplica igualmente a uma microempresa e a uma multinacional.

O artigo 7º, que trata das dez hipóteses legais que autorizam o tratamento de dados pessoais, apareceu nos dois casos analisados aqui como a infração central. Também são recorrentes o artigo 41 (encarregado pelo tratamento), o artigo 6º (princípios, incluindo prevenção e responsabilização) e as regras do Regulamento de Fiscalização sobre cooperação com a ANPD.

Mapeando, para cada atividade de tratamento de dados que realiza, qual das dez hipóteses legais do artigo 7º da LGPD se aplica, documentando essa decisão e mantendo um encarregado pelo tratamento de dados acessível. Ferramentas de gestão de consentimento ajudam na parte que depende de consentimento, mas a exigência de base legal vale para todo tratamento, com ou sem consentimento envolvido.