Le Brésil inflige une amende de 153,7 millions de reais à ByteDance, propriétaire de TikTok, pour des violations de données concernant des mineurs

Décision réglementaire et sanction

L'Autorité nationale brésilienne de protection des données (ANPD) a infligé une amende de 153,7 millions de reais (environ 29,8 millions de dollars) à ByteDance, société mère de TikTok, le 25 août 2026. La décision, publiée au Journal officiel du pays, a conclu une enquête administrative de près de deux ans sur le traitement par la plateforme des données personnelles des enfants et des adolescents. Les enquêteurs ont identifié cinq infractions distinctes au titre des articles 6 et 7 de la loi générale brésilienne sur la protection des données (LGPD). Le régulateur a établi que ByteDance a collecté et traité les informations des jeunes utilisateurs âgés de 13 à 18 ans sans obtenir de base juridique valable ni fournir de garanties adéquates. Selon les termes de la décision administrative, ByteDance peut réduire la pénalité totale de 25 % à 115,3 millions de reais si elle accepte de renoncer à ses droits d'appel dans un délai de 10 jours ouvrables et d'effectuer le paiement dans un délai de 20 jours ouvrables.

Portée des violations liées aux comptes enregistrés et aux invités

La décision administrative visait deux modes distincts d'interaction des utilisateurs avec la plateforme de partage de vidéos au Brésil. L'enquête a révélé des défaillances systémiques de conformité tant dans les profils d'utilisateurs enregistrés que dans le flux d'invités non enregistrés, qui permet de naviguer dans les vidéos sans créer de compte. Dans les deux modes opérationnels, l'ANPD a déterminé que ByteDance n'a pas empêché les accès non autorisés et a traité des données de mineurs dès le premier point de contact. L'autorité a noté que les enquêtes initiales ont commencé en 2024 après la découverte que des enfants pouvaient accéder à l'application sans passer par des mécanismes de vérification de l'âge. Dans une communication officielle détaillant la mesure d'exécution, l'organe de régulation a clarifié le fondement juridique de l'amende.

La sanction appliquée correspond à des comportements passés et à un traitement de données effectué sans base juridique valable au cours de la période analysée.

Le président de l'ANPD, Waldemar Gonçalves Ortunho Júnior, et le surintendant de l'exécution, Fabrício Guimarães Madruga Lopes, ont confirmé lors d'une conférence de presse que l'agence avait agi parce que ByteDance manquait de preuves concrètes démontrant sa conformité technique.

Mesures correctives obligatoires et amendes journalières

Au-delà des sanctions financières, le régulateur a ordonné à ByteDance de mettre en œuvre des modifications techniques structurelles et de purger les enregistrements collectés illicitement. ByteDance Brasil doit supprimer toutes les données personnelles appartenant aux utilisateurs âgés de 13 à 18 ans dont la représentation légale reste non régularisée dans un délai de 60 jours ouvrables, tout en notifiant les tiers ayant reçu ces informations. Dans les cinq jours ouvrables suivant l'expiration de ce délai, l'entreprise doit soumettre un rapport de conformité signé par son délégué à la protection des données, accompagné des journaux d'audit du système technique. Le non-respect des suppressions ou la non-soumission des enregistrements de vérification entraînera des amendes journalières continues de 137,081.49 reais. Pour les comptes enregistrés appartenant à des utilisateurs de moins de 16 ans, TikTok doit appliquer automatiquement les paramètres de confidentialité les plus restrictifs, exigeant une autorisation parentale explicite pour toute modification, ainsi que des outils de supervision parentale renforcés et des filtres de contenu plus stricts.

Restrictions du mode invité et surveillance élargie

La décision d'exécution impose des limites opérationnelles étendues au mode de navigation déconnecté de TikTok dans tout le Brésil. ByteDance doit suspendre toute publicité dans le flux non enregistré, désactiver les fonctionnalités de diffusion en direct et de publication des utilisateurs, limiter les recommandations algorithmiques strictement au contenu tous publics, et plafonner les sessions de visionnage des invités à 12 heures. L'agence a choisi de ne pas bloquer ou suspendre complètement la plateforme, se concentrant plutôt sur la gouvernance des données et les ajustements architecturaux. Cette décision fait suite à une action réglementaire antérieure au Brésil, où l'ANPD a ordonné au service de chat Discord de suspendre ses fonctionnalités de diffusion en direct en août 2026 pour des préoccupations de sécurité des enfants.