ANPD aplica a maior multa da sua história: o que muda para quem trata dados de crianças e adolescentes

A Autoridade Nacional de Proteção de Dados foi criada em 2018, pela Medida Provisória nº 869, convertida na Lei nº 13.853 em julho de 2019. A LGPD entrou em vigor em setembro de 2020, mas as sanções administrativas só passaram a valer a partir de 1º de agosto de 2021.

Passados pouco mais de cinco anos de atuação sancionadora, a Agência aplicou, em 25 de agosto de 2026, a maior multa em dinheiro de sua história: R$ 153.769.671,33, imposta a uma plataforma digital largamente conhecida e de grande porte, por falhas no tratamento de dados pessoais de crianças e adolescentes.

Até então, a única multa em dinheiro já aplicada ao setor privado somava R$ 14.400,00, referente a um caso de 2023. O novo valor representa um salto de mais de dez mil vezes e confirma que a fase apenas orientativa da Agência ficou definitivamente para trás.

O que a decisão determinou

O processo administrativo sancionador foi aberto em novembro de 2024 e apurou o tratamento de dados de usuários menores de idade em duas formas de acesso à plataforma: uma sem necessidade de cadastro e outra vinculada a um perfil registrado. Em ambas, a fiscalização concluiu que não havia base legal válida para o tratamento desses dados, entre cinco infrações identificadas ao todo.

A multa foi dividida em três parcelas, aplicadas em conjunto por infrações a dispositivos distintos da LGPD, o que fez o valor total ultrapassar o teto de R$ 50 milhões previsto para cada infração isolada. Além da sanção pecuniária, a empresa terá de eliminar os dados de adolescentes cujo cadastro não tenha representação legal regularizada, comunicar terceiros que receberam esses dados para que também os excluam e comprovar tecnicamente o cumprimento dessas medidas. Ainda cabe recurso ao Conselho Diretor da Agência.

O salto de patamar em números

O gráfico abaixo compara a primeira multa em dinheiro já aplicada ao setor privado, o teto legal previsto para uma infração isolada e o valor total da sanção mais recente. A diferença de escala é o principal recado da decisão para empresas que ainda tratam a LGPD como risco distante.

Três pontos de atenção

1. Da fase apenas orientativa às multas somadas

Antes da multa mais recente, a atuação sancionadora da Agência se concentrou principalmente em órgãos públicos, aos quais a lei veda a aplicação de multa em dinheiro. Nesses casos, foram aplicadas sanções não pecuniárias, como advertência, determinação de correção e publicização da infração, geralmente por falhas do tipo comunicação tardia de incidente de segurança, ausência de relatório de impacto à proteção de dados e descumprimento de solicitações feitas durante a fiscalização. Eram sinais de que a Agência já vinha testando seus instrumentos, mesmo sem repercussão financeira direta.

Quando uma mesma conduta viola mais de um dispositivo da LGPD, a ANPD pode aplicar uma sanção para cada infração, e o teto de R$ 50 milhões passa a valer por infração, não para o processo inteiro. Foi esse mecanismo que levou o valor total, no caso mais recente, a mais de R$ 150 milhões.

Vale lembrar ainda que a multa simples convive com outro instrumento, a multa diária, usada para forçar o cumprimento de uma determinação específica enquanto a irregularidade não é corrigida. É um valor à parte, cobrado apenas em caso de descumprimento, que pode se somar ao risco financeiro de forma continuada.

2. Por que dados de crianças e adolescentes exigem cuidado redobrado

A LGPD já reservava, desde sua origem, um regime especial para esse público. O art. 14 estabelece que o tratamento de dados de crianças e adolescentes deve ocorrer sempre em seu melhor interesse, seguindo as faixas etárias do Estatuto da Criança e do Adolescente: crianças são as pessoas com até 12 anos incompletos, e adolescentes, as de 12 a 18 anos. Para o tratamento de dados de crianças, o §1º do mesmo artigo exige consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, o que torna essa hipótese uma das mais rígidas de toda a lei.

Esse regime ganhou uma segunda camada com o Estatuto Digital da Criança e do Adolescente Digital (ECA Digital), sancionado em setembro de 2025 e em vigor desde 17 de março de 2026. A nova lei não substitui a LGPD, soma-se a ela, e traz obrigações próprias, como o fim da autodeclaração de idade, a exigência de mecanismos técnicos confiáveis de verificação etária, a vinculação de contas de menores de 16 anos a um responsável legal, com ferramentas de controle de tempo de uso, gastos e contatos, e relatórios semestrais para plataformas com mais de um milhão de usuários. O descumprimento dessas obrigações específicas pode gerar multa de até R$ 10,00 por usuário cadastrado, também limitada a R$ 50 milhões por infração, conforme o inciso II, do artigo 35 do ECA Digital e assim, em um regime sancionador distinto do previsto na LGPD.

A ANPD fiscaliza as duas leis ao mesmo tempo, o que significa que uma única investigação sobre dados de menores pode gerar sanções cumulativas pelos dois caminhos. Empresas com produtos, aplicativos ou serviços acessados por esse público não podem mais tratar o tema como item de rodapé da política de privacidade.

3. A multa é apenas uma parte do custo

Além do valor pecuniário, da eliminação de dados e comunicação a terceiros que receberam esses dados, a decisão determinou publicização da infração  e possibilidade de auditoria externa independente caso a documentação apresentada seja considerada insuficiente. Cada uma dessas medidas tem custo próprio de implementação e monitoramento, que normalmente não entra na conta que a empresa faz ao pensar em risco regulatório.

Há ainda a exposição civil, que corre em paralelo e de forma independente do processo administrativo. O art. 42 da LGPD prevê que o controlador responde por danos patrimoniais e morais causados ao titular de dados em razão de tratamento que viole a lei, o que pode ensejar ações individuais e coletivas, inclusive por dano moral. O Ministério Público e órgãos de defesa do consumidor também podem atuar sobre o mesmo caso, com fundamentos próprios e sanções que se somam, não substituem, a atuação da ANPD.

Por fim, há o custo reputacional, difícil de quantificar, mas real. A própria publicização da infração é pensada para tornar o caso conhecido do público, o que tende a afetar a confiança de usuários, parceiros comerciais e investidores, muito além do prazo de vigência da sanção administrativa.

Pontos de atenção para as empresas

Diante desse cenário, recomenda-se que as empresas:

① revisem se o tratamento de dados de crianças e adolescentes tem base legal válida e documentada, especialmente em produtos digitais, aplicativos e redes sociais acessados por esse público;

② implementem mecanismos de verificação de idade e configurações de privacidade mais restritivas para contas de menores de idade, alinhados ao cronograma do Estatuto Digital da Criança e do Adolescente;

③ atualizem o relatório de impacto à proteção de dados pessoais sempre que houver tratamento de dados de público vulnerável;

④ revisem contratos com fornecedores e parceiros que também tratem esses dados, garantindo que eliminação e portabilidade sejam tecnicamente viáveis;

⑤ estruturem um plano de resposta a incidentes e de atendimento à fiscalização, reduzindo o risco de agravantes no cálculo de eventual multa.

A Equipe de Proteção de Dados do escritório Araújo e Policastro Advogados está à disposição para esclarecimentos.

Autores:

Ana Lúcia Pinke Ribeiro de Paiva – apinke@araujopolicastro.com.br

Marcos Rafael Carneiro  – mcarneiro@araujopolicastro.com.br