O visitante sem cadastro também tem dados protegidos: o que a multa do TikTok ensina a quem anuncia

Em agosto de 2026, a Autoridade Nacional de Proteção de Dados (ANPD) aplicou à dona do TikTok uma multa de R$ 153,7 milhões. A notícia circulou como assunto de rede social e de proteção de crianças, o que de fato ela é. Porém, um detalhe da decisão interessa diretamente a qualquer empresa que anuncia na internet, porque fala de um tipo de visitante que toda loja virtual, todo escritório e todo prestador de serviço recebe todos os dias: a pessoa que entra, navega e vai embora sem fazer cadastro.

Para quem anuncia, a principal lição da decisão da ANPD sobre o TikTok é que o comportamento de quem navega sem cadastro também pode ser dado pessoal. A LGPD já previa que os dados usados para formar o perfil de comportamento de uma pessoa podem ser considerados pessoais, e a decisão mostra a autoridade aplicando esse entendimento a quem usa um serviço sem fazer login. Na prática, isso alcança o público de remarketing de qualquer empresa: quem visitou o site, olhou um produto ou uma página de serviço e foi embora. Para tratar esses dados com segurança, a empresa precisa de uma base legal, que para cookies de publicidade costuma ser o consentimento, de um aviso de cookies que funcione e de tags de anúncio que obedeçam à escolha do visitante. E como a multa é calculada a partir do faturamento, o risco existe para empresas de qualquer tamanho.

Este artigo traz a leitura de marketing sobre o tema e não substitui a orientação jurídica da sua empresa.

O que a ANPD decidiu no caso do TikTok?

A ANPD multou a ByteDance, dona do TikTok, em R$ 153,7 milhões por falhas no tratamento de dados de crianças e adolescentes, em decisão publicada em 25 de agosto de 2026 (Tecnoblog). O valor soma três multas, uma delas por tratar dados sem uma base legal adequada, e a decisão também determinou a exclusão de dados de adolescentes cuja representação legal não estava regularizada (Mobile Time). A empresa informou que a decisão se refere a uma investigação iniciada em 2021 e que não reflete as medidas que adotou desde então.

Parte da análise recaiu sobre o uso do aplicativo sem conta, o chamado feed sem cadastro. Segundo a cobertura do caso, a plataforma registrava interações e informações do aparelho de quem assistia aos vídeos sem login, e a ANPD não aceitou o argumento de que esses dados não identificavam ninguém (Teletime).

Por que isso importa para quem faz remarketing?

Porque o remarketing funciona com o mesmo tipo de dado. Quando uma pessoa entra no seu site pelo anúncio, olha um produto e sai sem comprar, o pixel registra essa visita, e a plataforma passa a mostrar o seu anúncio para ela em outros lugares. Ela não fez cadastro, não deixou nome nem telefone, e mesmo assim faz parte de um público montado a partir do comportamento dela.

A LGPD trata desse ponto desde 2018. O artigo 12 diz que os dados usados para formar o perfil comportamental de uma pessoa podem ser considerados dados pessoais quando ela é identificada (Lei 13.709/2018). Além disso, o guia de cookies da ANPD trata os cookies de publicidade como não necessários e aponta o consentimento como a base legal mais apropriada para eles, principalmente quando há acompanhamento do visitante e formação de perfil (ANPD).

Isso significa que o visitante anônimo do seu site merece o mesmo cuidado de quem preencheu um formulário. Ele precisa ser informado de que o site usa cookies de anúncio, precisa poder recusar e precisa ter a recusa respeitada.

A multa só pesa para empresa grande?

Não. A multa simples da LGPD é calculada a partir do faturamento da empresa no Brasil, e é por isso que os valores variam tanto de um caso para outro (Lei 13.709/2018, art. 52). A primeira empresa privada multada pela ANPD, em 2023, foi a Telekall, uma microempresa de telemarketing, que recebeu duas multas de R$ 7.200, uma delas por tratar dados pessoais sem base legal (Tecnoblog).

Para uma empresa pequena, o valor da multa costuma ser apenas uma parte do problema. Uma fiscalização consome tempo, pede documentos que a empresa talvez nunca tenha organizado e pode exigir mudanças às pressas no site e nos anúncios. Por isso, a adequação feita com calma, antes de qualquer questionamento, tende a sair muito mais barata do que a feita sob pressão.

O que muda na prática para a sua empresa?

Muda o tratamento do público engajado e de quem só visitou o site por curiosidade. Na maioria das empresas que acompanhamos, o remarketing foi configurado uma vez, no começo das campanhas, e nunca mais foi revisto. Separamos os pontos que fazem diferença para quem quer continuar fazendo remarketing com segurança:

O erro que mais vemos

Achar que o anonimato do visitante dispensa o cuidado com os dados costuma ser o erro mais comum que percebemos. Em geral, a empresa pensa que só tem dados pessoais quando alguém preenche um formulário, e por isso trata o pixel como uma ferramenta técnica, sem relação com a LGPD. O resultado é um site que pede consentimento no formulário de contato e, ao mesmo tempo, envia a navegação de todo mundo para as plataformas de anúncio sem perguntar nada.

Perguntas frequentes