Brazylijski organ nadzorczy nakłada na ByteDance 153,7 mln reali kary za naruszenia danych nieletnich

Decyzja regulacyjna i kara

Brazylijski Krajowy Urząd Ochrony Danych (ANPD) nałożył 25 sierpnia 2026 r. na spółkę macierzystą TikToka, ByteDance, karę w wysokości 153,7 mln reali (około 29,8 mln USD). Decyzja, opublikowana w dzienniku urzędowym, kończy trwające blisko dwa lata postępowanie administracyjne dotyczące sposobu przetwarzania przez platformę danych osobowych dzieci i młodzieży. Śledczy zidentyfikowali pięć odrębnych naruszeń artykułów 6 i 7 brazylijskiej Ogólnej Ustawy o Ochronie Danych (LGPD). Regulator ustalił, że ByteDance gromadził i przetwarzał informacje młodych użytkowników w wieku od 13 do 18 lat bez zapewnienia ważnej podstawy prawnej oraz odpowiednich zabezpieczeń. Zgodnie z warunkami decyzji, ByteDance może obniżyć łączną karę o 25% do 115,3 mln reali, jeśli zrzeknie się prawa do odwołania w ciągu 10 dni roboczych i dokona płatności w ciągu 20 dni roboczych.

Zakres naruszeń w kontach gościnnych i zarejestrowanych

Decyzja administracyjna dotyczy dwóch sposobów interakcji użytkowników z platformą wideo w Brazylii. Dochodzenie wykazało systemowe błędy w przestrzeganiu przepisów zarówno w przypadku zarejestrowanych profili, jak i niezarejestrowanego kanału gościnnego, który umożliwia przeglądanie wideo bez zakładania konta. W obu trybach ANPD stwierdził, że ByteDance nie zapobiegł nieautoryzowanemu dostępowi i przetwarzał dane nieletnich od momentu pierwszego kontaktu. Urząd zauważył, że wstępne dochodzenie rozpoczęto w 2024 r. po odkryciu, że dzieci mogą korzystać z aplikacji bez przechodzenia mechanizmów weryfikacji wieku. W oficjalnym komunikacie szczegółowo opisującym środek egzekucyjny organ regulacyjny wyjaśnił podstawę prawną nałożonej kary.

Zastosowana sankcja odnosi się do wcześniejszych działań i przetwarzania danych, które odbywały się bez ważnej podstawy prawnej w analizowanym okresie.

Prezes ANPD Waldemar Gonçalves Ortunho Júnior oraz superintendent ds. egzekwowania prawa Fabrício Guimarães Madruga Lopes potwierdzili podczas konferencji prasowej, że agencja podjęła działania, ponieważ ByteDance nie przedstawił konkretnych dowodów technicznej zgodności z przepisami.

Obowiązkowe środki naprawcze i kary dzienne

Poza karami finansowymi regulator nakazał ByteDance wdrożenie zmian technicznych i usunięcie nielegalnie zgromadzonych rekordów. ByteDance Brasil musi usunąć wszelkie dane osobowe użytkowników w wieku od 13 do 18 lat, których przedstawicielstwo prawne pozostaje nieuregulowane, w terminie 60 dni roboczych, powiadamiając jednocześnie strony trzecie, które otrzymały te informacje. W ciągu pięciu dni roboczych od upływu tego okresu firma musi przedłożyć raport zgodności podpisany przez inspektora ochrony danych wraz z logami audytu systemów technicznych. Niewykonanie usunięcia danych lub nieprzedłożenie dokumentacji weryfikacyjnej uruchomi naliczanie dziennych kar w wysokości 137 081,49 reali. W przypadku zarejestrowanych kont użytkowników poniżej 16. roku życia TikTok musi automatycznie stosować najbardziej restrykcyjne ustawienia prywatności, wymagające wyraźnej zgody rodziców na wszelkie modyfikacje, a także wprowadzić ulepszone narzędzia nadzoru rodzicielskiego i surowsze filtry treści.

Ograniczenia trybu gościnnego i szersza kontrola

Decyzja nakłada szerokie ograniczenia operacyjne na tryb przeglądania bez logowania w całej Brazylii. ByteDance musi zawiesić wszelkie reklamy w kanale niezarejestrowanym, wyłączyć funkcje transmisji na żywo i publikowania treści przez użytkowników, ograniczyć rekomendacje algorytmiczne wyłącznie do treści dla wszystkich grup wiekowych oraz ograniczyć sesje przeglądania dla gości do 12 godzin. Agencja zdecydowała się nie blokować ani nie zawieszać platformy całkowicie, koncentrując się na zarządzaniu danymi i dostosowaniach architektury. Orzeczenie następuje po wcześniejszych działaniach regulacyjnych w Brazylii, gdzie w sierpniu 2026 r. ANPD nakazał serwisowi Discord zawieszenie funkcji transmisji na żywo ze względu na obawy dotyczące bezpieczeństwa dzieci.