TikTok: Brasil multa a ByteDance con US$29,9M por datos de menores

Brasil multa a TikTok con 29,9 millones de dólares por datos de menores, incluidas las sesiones sin cuenta

La Autoridad Nacional de Protección de Datos de Brasil (ANPD) impuso a ByteDance, propietaria de TikTok, una multa de 153,7 millones de reales (unos US$29,9 millones) por tratar datos personales de menores de edad sin base legal válida, tanto en cuentas registradas como en las denominadas sesiones de invitado —el acceso a la plataforma sin crear cuenta. La sanción, publicada en el Diario Oficial el 25 de agosto de 2026 según Associated Press y confirmada por UPI, Anadolu Agency y Bloomberg, es una de las más altas que ha dictado el regulador brasileño desde su creación en 2022, y la primera que pone en el centro de la infracción a los usuarios que nunca se registraron.

Lo relevante no es solo el monto: la ANPD identificó cinco violaciones a la Ley General de Protección de Datos (LGPD, en vigor desde 2020) y aprobó un plan de cumplimiento que obligará a ByteDance a rediseñar el comportamiento de TikTok en Brasil durante los próximos meses. Para cualquier startup que procese datos de usuarios jóvenes —o que simplemente permita navegación sin registro—, esta decisión marca una frontera operativa que ya no es opcional.

¿Qué sancionó exactamente la ANPD?

La investigación, documentada en la Nota Técnica Nº 50/2024 de la Superintendencia de Fiscalización de la ANPD, detectó prácticas contrarias a la LGPD en dos modalidades de acceso a TikTok:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Feed con registro: cuentas creadas por menores sin verificación de edad ni consentimiento parental verificable.
Feed sin registro: las guest sessions, donde un usuario puede ver contenido de TikTok sin crear cuenta, pero la plataforma igualmente recoge datos de dispositivo, comportamiento y consumo.

Según la ANPD, en ambos casos ByteDance "procesó datos personales de niños y adolescentes sin una base legal adecuada" y "no adoptó medidas efectivas para impedir ese procesamiento", recogió Anadolu Agency. La agencia también concluyó que ByteDance no presentó pruebas concretas de que sus medidas técnicas y organizativas fueran suficientes para cumplir la ley brasileña.

La multa llega al extremo superior del rango previsto por la LGPD, lo que sugiere que el regulador acumuló varias infracciones en el expediente en lugar de sancionarlas de forma individual.

¿Por qué las sesiones de invitado son el punto más delicado?

Hasta ahora, la mayoría de la regulación sobre menores se ha apoyado en la cuenta: edad declarada al registrarse, verificación posterior, ajustes de privacidad. La decisión brasileña rompe ese esquema. Como explicó The Next Web, "la lectura de la ANPD no depende de que la verificación de edad funcione: trata a la propia recolección como la infracción, sin importar quién esté al otro lado".

En la práctica, esto significa que un niño de 10 años que abre TikTok desde el navegador de un amigo, sin identificarse, tiene la misma protección legal que un usuario registrado. Y la plataforma, al no tener ningún punto de contacto explícito con ese usuario, no puede escudarse en el clásico "el usuario aceptó los términos". La opacidad deja de ser una ventaja técnica y pasa a ser una vulnerabilidad regulatoria.

Para los founders, la lección es directa: cualquier producto que permita consumir contenido o datos sin registro debe asumir que el tratamiento de información personal de ese usuario —incluso si es mínimo— cae bajo la LGPD y bajo regulaciones equivalentes en otras jurisdicciones.

¿Qué cambios tiene que implementar ByteDance en Brasil?

El plan de cumplimiento aprobado por la ANPD, recogido por UPI y Bloomberg, establece obligaciones específicas:

Para cuentas registradas:

Las cuentas de usuarios menores de 16 años recibirán por defecto la configuración de privacidad más restrictiva de TikTok.
Cualquier cambio en esos ajustes requerirá autorización explícita de un tutor legal.
Se reforzarán los sistemas de supervisión parental y los filtros de contenido inapropiado.

Para sesiones sin cuenta (guest sessions):

Sin publicidad en Brasil para usuarios no registrados.
Sin creación de contenido, comentarios, mensajes directos, follows, transmisiones en vivo ni visualización de lives.
Límite de 12 horas de sesión.
Recomendaciones menos personalizadas y restringidas a contenido considerado apto para todas las edades.
Reducción de los datos recogidos: solo idioma, región, información básica del dispositivo para prevenir fraude y datos necesarios para el funcionamiento de la app.

ByteDance también debe borrar los datos recolectados en violación de la LGPD. Ese punto —la supresión efectiva de información de sesiones sin cuenta— es técnicamente más complejo que borrar una cuenta registrada, porque no hay cuenta a la que apuntar. La propia ANPD lo sabe: la orden de borrado es uno de los apartados que ByteDance tiene más incentivos para cuestionar en su apelación.

La compañía dispone de 10 días hábiles desde la notificación para recurrir ante el directorio de la ANPD. Al cierre de esta nota, TikTok no había respondido públicamente, reportó G1.

¿Cómo encaja esta multa en la presión global contra TikTok?

La sanción brasileña llega en una semana en la que la presión regulatoria sobre TikTok se intensificó en varios frentes:

Dos semanas antes, la misma ANPD ordenó a Discord suspender las transmisiones en vivo en Brasil tras la muerte de una adolescente de 13 años. Discord apeló el 24 de agosto, según The Next Web.
En julio de 2026, la Comisión Europea imputó cargos a TikTok bajo la Ley de Servicios Digitales (DSA) por no proteger la privacidad de menores. El caso sigue abierto y aún no hay multa.
En marzo de 2026, Brasil implementó una ley que obliga a las plataformas a restringir el acceso de menores a contenido ilegal o potencialmente dañino.
El 6 de agosto, la primera dama brasileña Rosangela Lula da Silva pidió públicamente que TikTok fuera retirada del aire.
En paralelo, Nueva Zelanda se sumó este lunes a la ola de países que buscan mantener a los menores de 16 años fuera de redes sociales, según The Next Web. Australia mantiene una prohibición total; el Reino Unido propuso un toque de queda; Hong Kong debate una medida similar; Indonesia forzó a TikTok y YouTube a cerrar 4,7 millones de cuentas de menores en junio.

El patrón es claro: la multa brasileña no prohíbe TikTok, pero establece que la protección de menores debe estar incorporada al diseño del producto —no como una opción que el usuario debe descubrir— y que esa obligación se extiende también a quien navega sin cuenta. Es el mismo principio que la Agencia Española de Protección de Datos y varias autoridades europeas vienen aplicando bajo el RGPD.

¿Qué significa esto para tu startup?

Tres cosas concretas que puedes aplicar esta semana, sin esperar a que un regulador llame a tu puerta:

Diseña con la presunción de menor. Si tu producto permite navegar, ver contenido o usar funciones sin registro, asume que una parte de esos usuarios puede ser menor. Documenta qué datos recoges en ese modo y reduce la recolección al mínimo indispensable —idioma, región, antifraude— tal como hizo la ANPD al ordenar a TikTok.
Haz verificable el consentimiento parental. Cuando sepas que un usuario es menor de 16 (o 18, según tu jurisdicción), aplica por defecto la configuración más restrictiva y exige autorización del tutor para cualquier cambio. Esto es lo que ya exige Brasil con la nueva ley y lo que la LGPD lleva seis años requiriendo.
Prepara un plan de borrado real. "Eliminar la cuenta" es fácil; "eliminar los datos de navegación sin cuenta" es otra cosa. Mapea ahora qué información almacenas de usuarios no autenticados, dónde vive y cuánto tardarías en purgarla bajo orden regulatoria. Es el punto que más cuesta defender y el que más一亮一亮brilla en una auditoría.

Si tu stack usa proveedores que ofrecen "guest mode" o sesiones anónimas —lo cual es práctica común en e-commerce, media y SaaS B2C—, repasa sus términos sobre datos de menores. La multa a ByteDance deja claro que la responsabilidad final sobre el cumplimiento no se delega: la tuya, no la del proveedor.