A recente decisão da Autoridade Nacional de Proteção de Dados (ANPD), que aplicou multa de R$ 153,7 milhões à controladora do TikTok por irregularidades no tratamento de dados pessoais de crianças e adolescentes, traz um importante alerta para as empresas: em matéria de proteção de dados, a conformidade não se resume à existência formal de políticas, procedimentos e controles.
Além da sanção financeira, a ANPD determinou a eliminação dos dados pessoais coletados irregularmente. Além disso, determinou a implementação de um plano de conformidade. Nesse sentido, o objetivo é aprimorar as medidas de proteção de crianças e adolescentes na plataforma.
Entre as irregularidades identificadas pela Autoridade, destacam-se a realização de operações de tratamento sem hipótese legal válida e a insuficiência de medidas destinadas a prevenir danos aos titulares. Além disso, a ANPD identificou a ausência de evidências concretas capazes de demonstrar a efetividade das medidas técnicas e organizacionais adotadas pela empresa.
Um dos aspectos mais relevantes da decisão está justamente na avaliação da efetividade dos mecanismos adotados pela plataforma.
A LGPD estabelece, entre seus princípios, a responsabilização e a prestação de contas, exigindo dos agentes de tratamento não apenas a adoção de medidas eficazes para assegurar o cumprimento das normas de proteção de dados, mas também a capacidade de demonstrar a eficácia dessas medidas. Nesse contexto, a existência de uma política de privacidade, de procedimentos internos ou de controles formalmente instituídos representa apenas uma parte da estrutura necessária à conformidade.
É preciso incorporar efetivamente esses mecanismos às operações, adequá-los aos riscos envolvidos e acompanhar sua aplicação com evidências que demonstrem sua efetividade prática. Isso exige uma lógica contínua de governança: identificar riscos, estabelecer controles, implementálos, monitorar sua efetividade, documentar os resultados e revisar as medidas sempre que necessário.
O caso também evidencia que a proteção de dados não pode permanecer restrita à área jurídica ou de compliance.As empresas precisam considerar os riscos relacionados ao tratamento de dados pessoais na própria estrutura dos produtos, serviços, processos e jornadas dos usuários.
No caso analisado pela ANPD, a autoridade avaliou, entre outros aspectos, os mecanismos utilizados pela plataforma. Esses mecanismos buscavam impedir o tratamento inadequado de dados de crianças e adolescentes. Também tinham como objetivo prevenir o acesso ou cadastro desse público em situações incompatíveis com as regras aplicáveis.
A discussão, portanto, ultrapassa o conteúdo dos documentos jurídicos e alcança a efetividade dos controles existentes na própria operação. Para empresas que desenvolvem produtos e serviços digitais, essa perspectiva reforça a importância de incorporar a proteção de dados desde a concepção dos processos e soluções. Nesse contexto, as empresas devem adotar medidas técnicas e organizacionais proporcionais aos riscos identificados.
Outro aspecto relevante é o público diretamente envolvido no caso. A proteção de dados pessoais de crianças e adolescentes vem ocupando espaço crescente na agenda regulatória brasileira, especialmente diante da entrada em vigor do Estatuto Digital da Criança e do Adolescente (ECA Digital) e da intensificação da atuação fiscalizatória da ANPD no ambiente digital.
Empresas cujos produtos ou serviços possam ser acessados por crianças e adolescentes devem, portanto, avaliar de forma específica os riscos associados a esse público. Essa análise pode envolver, conforme a natureza da atividade, mecanismos de aferição de idade, configurações de privacidade, controles parentais, regras relacionadas à publicidade, medidas de prevenção de riscos e procedimentos capazes de demonstrar a efetividade das salvaguardas implementadas.
A decisão envolvendo o TikTok reforça uma tendência importante na atuação regulatória: a conformidade em proteção de dados deve ser não apenas implementada, mas também demonstrável.
Na prática, empresas que tratam dados pessoais devem ser capazes de responder a questões como:
Essas questões ajudam a transformar programas de privacidade essencialmente documentais em estruturas efetivas de governança e gestão de riscos. Mais do que possuir políticas adequadas, portanto, o desafio passa a ser construir uma estrutura capaz de demonstrar que as medidas de proteção de dados são proporcionais aos riscos, que a empresa as incorpora efetivamente à operação e que realiza seu monitoramento de forma contínua.
O caso TikTok sinaliza que, diante do amadurecimento da atuação da ANPD, a capacidade de comprovar a efetividade dos controles tende a ocupar posição cada vez mais relevante na avaliação da conformidade das organizações.
Publicado por:
© 2024 Vanzin & Penteado Advogados Associados.
