LGPD no cooperativismo

Notícias Destaque

16/09/2026

Seis perguntas e respostas para entender a multa de R$ 153,7 milhões ao TikTok

A multa de R$ 153,7 milhões aplicada pela Agência Nacional de Proteção de Dados – ANPD ao TikTok chamou atenção pelo valor e rapidamente ganhou espaço no noticiário. No entanto, para as cooperativas em geral, mais importante do que o tamanho da multa, é a possibilidade de compreender como uma fiscalização iniciada anos atrás terminou na maior sanção pecuniária já aplicada por descumprimento da LGPD. Embora o caso envolva crianças e adolescentes e características específicas de uma grande plataforma digital, as infrações que geraram as penalidades envolvem questões que fazem parte do dia a dia de diversas cooperativas, independentemente do porte e do público com quem se relacionam. Bases legais, prevenção de riscos, efetividade dos controles e capacidade de demonstrar conformidade são temas presentes em qualquer programa de proteção de dados. Confira abaixo as perguntas e respostas que preparamos para que seja possível extrair algum aprendizado a partir do caso. 1. Afinal, quais infrações à LGPD geraram a multa? A primeira foi a realização de tratamentos sem uma hipótese legal válida, tanto no chamado “feed sem cadastro” quanto no cadastro de adolescentes. A segunda envolveu falhas na adoção de medidas preventivas capazes de evitar o tratamento irregular de dados de crianças e adolescentes. A terceira foi a incapacidade de demonstrar, com evidências suficientes, que as medidas de conformidade adotadas pela empresa eram efetivamente capazes de produzir os resultados alegados. Para a ANPD, não basta apenas possuir políticas, procedimentos e controles formalmente estabelecidos. A organização precisa demonstrar que as diretrizes previstas nesses documentos são efetivamente observadas e que os controles funcionam, inclusive por meio de evidências técnicas, indicadores e outros elementos verificáveis. 2. Por que o valor ultrapassou R$ 150 milhões se o limite previsto na LGPD é de R$ 50 milhões por infração? Essa talvez seja uma das informações mais relevantes do caso para as cooperativas, já que o limite previsto pela LGPD para a multa simples (50 milhões de reais por infração) não significa necessariamente que a exposição financeira de uma cooperativa estará limitada a esse valor em um processo sancionador. Cada regra violada da LGPD, individualmente considerada, corresponde a uma infração. Confira abaixo as infrações e os valores das multas atribuídos a cada uma delas: Infração Sanção aplicada Conduta 1 – Tratar dados pessoais de crianças e adolescentes menores de 18 anos sem hipótese legal válida, com a finalidade de fornecer a experiência do “feed sem cadastro” – art. 7º da LGPD Multa simples de R$ 35.760.388,68 Conduta 2 – Deixar de adotar medidas para prevenir o tratamento de dados pessoais de crianças e adolescentes menores de 13 anos na experiência do “feed sem cadastro” – art. 6º, VIII, da LGPD Multa simples de R$ 35.760.388,68 Conduta 3 – Tratar dados pessoais de crianças e adolescentes menores de 18 anos com a finalidade de realizar o cadastro na plataforma TikTok sem hipótese legal válida, diante da inexistência de contrato válido – art. 7º da LGPD Multa simples de R$ 27.416.297,99, além de eliminação de dados pessoais Conduta 4 – Deixar de adotar medidas eficazes para prevenir o cadastro de crianças e adolescentes menores de 13 anos na plataforma TikTok – art. 6º, VIII, da LGPD Multa simples de R$ 27.416.297,99 Conduta 5 – Deixar de demonstrar medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados – art. 6º, X, da LGPD Multa simples de R$ 27.416.297,99 Valor consolidado das multas simples R$ 153.769.671,33 Ou seja, o limite de R$ 50 milhões não se aplica ao processo sancionador como um todo, mas a cada infração individualmente considerada. Assim, a violação de diferentes dispositivos da LGPD pode resultar na aplicação de múltiplas multas, cada uma sujeita ao limite legal de R$ 50 milhões. 3. A multa decorre apenas da LGPD ou também do ECA Digital? Embora o caso esteja diretamente relacionado à proteção de crianças e adolescentes, o ECA Digital não foi utilizado como fundamento para a aplicação das sanções. O Relatório de Instrução identificou violações aos artigos 7º e 6º, VIII e X, da LGPD, relacionados às bases legais, à prevenção e à responsabilização e prestação de contas. A ANPD já dispunha de instrumentos relevantes para fiscalizar o tratamento de dados de crianças e adolescentes antes mesmo das novas competências decorrentes do ECA Digital. O novo marco amplia e complementa esse sistema de proteção, mas não foi necessário para fundamentar a multa aplicada neste caso. 4. A multa foi aplicada de uma hora para outra? Não! O caso começou com uma denúncia recebida pela ANPD em março de 2021 e tramitou por mais de cinco anos até a decisão que aplicou as penalidades. Nesse período, a Agência solicitou informações, analisou documentos, realizou reunião técnica e apontou insuficiências nos mecanismos utilizados pela empresa. O TikTok também teve diferentes oportunidades para apresentar esclarecimentos e defender suas práticas. Foram apresentadas respostas a ofícios, defesa acompanhada de Relatórios de Impacto à Proteção de Dados Pessoais e outros documentos, alegações finais e até uma proposta de celebração de Termo de Ajustamento de Conduta. No entanto, para a ANPD, o conjunto de documentos e manifestações apresentados não foi suficiente para demonstrar que o tratamento de dados de crianças e adolescentes estava amparado por hipótese legal válida, que haviam sido adotados controles preventivos adequados aos riscos envolvendo esse público e, ainda, que as medidas de conformidade implementadas eram efetivas e passíveis de comprovação. 5. O que todas as cooperativas podem aprender com o caso? Uma das principais lições do caso TikTok é que algumas questões que ainda são vistas como discussões técnicas ou burocráticas da LGPD precisam ser tratadas com seriedade pelas cooperativas. A definição das bases legais é um bom exemplo, já que as operações de tratamento de dados pessoais devem estar devidamente registradas no Registro das Operações de Tratamento de Dados Pessoais – ROPA e associadas às respectivas hipóteses legais. É nesse documento e em suas atualizações, que precisam acompanhar as mudanças nos próprios processos da cooperativa, que ficam registrados quais dados são tratados, para quais finalidades, com quem são compartilhados e, entre outras informações, qual base legal sustenta cada operação. Fica o recado para todas as cooperativas de que não basta escolher uma das bases legais da LGPD e simplesmente registrá-la no ROPA. É indispensável avaliar se a base legal escolhida combina com a operação e se os pressupostos jurídicos necessários para sua utilização estão presentes. Por exemplo, se a base legal indicada for o cumprimento de obrigação legal, deve ser possível identificar qual norma estabelece essa obrigação e demonstrar a relação entre ela e os dados tratados. Se for execução de contrato, é necessário que o contrato seja válido e que o tratamento dos dados tenha relação efetiva com a sua execução. Vale destacar que mapeamentos de processos em que dados pessoais são tratados, avaliações de risco, fluxos de atendimento aos titulares, treinamentos, gestão de terceiros e medidas de segurança precisam sair do papel. Quanto maior o risco da atividade, maior tende a ser a expectativa de que existam evidências de implementação, acompanhamento e revisão dos controles. No caso do TikTok, a dificuldade em demonstrar a eficácia das medidas adotadas foi, por si só, considerada uma infração ao princípio da responsabilização e prestação de contas. 6. O TikTok já foi multado em outros países? O caso brasileiro não é um episódio isolado na trajetória recente do TikTok envolvendo a não adoção de boas práticas de proteção de dados. Em diferentes países, a plataforma já enfrentou sanções de grande porte, especialmente em investigações relacionadas ao uso de dados pessoais de crianças e adolescentes. A autoridade de proteção de dados da Irlanda aplicou uma multa de € 345 milhões ao TikTok em 2023, após analisar questões relacionadas às configurações das contas de crianças, mecanismos de verificação de idade, transparência e proteção de dados por padrão. Também naquele ano, o Information Commissioner’s Office, autoridade britânica de proteção de dados, multou o TikTok em £ 12,7 milhões por violações envolvendo o tratamento de dados pessoais de menores. Mais recentemente, o Departamento de Justiça dos Estados Unidos anunciou um acordo de US$ 400 milhões com TikTok para encerrar processo em que eram discutidas alegações de descumprimento da legislação norte-americana de privacidade de menores. Parte superior do formulário O caso TikTok chama atenção pelos R$ 153,7 milhões, mas talvez sua maior contribuição para outras empresas esteja em uma pergunta muito mais simples: se a ANPD pedisse hoje evidências de que o programa de proteção de dados da sua cooperativa funciona, o que ela conseguiria apresentar?

09/09/2026

ECA Digital: ANPD publica orientações preliminares sobre aferição de idade

Como já abordado em edições anteriores deste informativo a Lei nº 15.211/2025 (ECA Digital), estabelece uma série de medidas para prevenção de riscos e proteção integral de menores no ambiente digital, impactando diretamente cooperativas que mantêm plataformas digitais, aplicativos, e-commerces e sites potencialmente acessíveis por menores. Afinal, quais cooperativas precisam implementar as medidas previstas no ECA Digital? Cooperativas que disponibilizem produtos ou serviços digitais direcionados ou de “acesso provável” por crianças e adolescentes, tais como: sites institucionais com áreas interativas; aplicativos; plataformas educacionais; e-commerces; ambientes digitais voltados à capacitação; programas sociais ou de relacionamento com jovens; canais digitais com possibilidade de interação entre usuários. A avaliação sobre “acesso provável” deve ser realizada individualmente por cada cooperativa, considerando fatores como público potencial da solução digital, funcionalidades disponíveis, atratividade para menores, possibilidade de interação entre usuários, dentre outros. O próprio ECA Digital utiliza conceitos amplos, motivo pelo qual a ANPD reconhece que o tema exige aprofundamento regulatório. Além disso, determinadas atividades exigem medidas de aferição de idade independentemente da discussão sobre “acesso provável”. É o caso de cooperativas que comercializam produtos proibidos para menores de 18 anos em ambiente digital, como bebidas alcoólicas ou outros itens sujeitos à restrição etária. Nesses casos, mecanismos confiáveis de verificação de idade tornam-se medida necessária para impedir acesso ou aquisição indevida por menores. Quais são as novidades relacionadas ao tema? Recentemente, a Agência Nacional de Proteção de Dados (ANPD) publicou o documento “Mecanismos confiáveis de aferição de idade – Orientações Preliminares”, trazendo as primeiras diretrizes oficiais sobre um dos temas considerados mais prioritários para implementação do ECA Digital: a verificação confiável da idade dos usuários em ambientes digitais. A aferição de idade é um dos aspectos mais importantes já que a partir da correta identificação etária, é possível aplicar medidas proporcionais de proteção, como restrição de acesso a conteúdos inadequados, ativação de mecanismos de supervisão parental, limitação de funcionalidades, adoção de configurações mais protetivas de privacidade, dentre outras. Sobre o ponto, a ANPD destaca no documento recentemente publicado que a simples autodeclaração da idade não é considerada mecanismo confiável. Segundo as orientações preliminares, soluções baseadas exclusivamente em informação fornecida pelo próprio usuário possuem baixo grau de confiabilidade e podem ser facilmente burladas. O documento apresenta os principais requisitos que deverão orientar os mecanismos de aferição de idade: proporcionalidade entre o método adotado e o risco do serviço; acurácia, robustez e confiabilidade da solução; proteção da privacidade e minimização de dados; inclusão e não discriminação; transparência e auditabilidade; e interoperabilidade entre soluções tecnológicas. As orientações reforçam que os mecanismos implementados devem observar os princípios da LGPD, especialmente minimização de dados, finalidade e segurança. A ANPD recomenda evitar coleta excessiva de informações e priorizar soluções capazes de validar apenas o atributo etário necessário, reduzindo impactos à privacidade dos usuários. Além disso, a Agência demonstra preocupação com mecanismos excessivamente invasivos, especialmente soluções baseadas em biometria facial. Embora o tema ainda dependa de regulamentações complementares, as orientações preliminares deixam claro que a aferição de idade deverá ser uma das primeiras medidas alvo de fiscalização pela ANPD. Logo, cooperativas que disponibilizam ambientes digitais acessados ou potencialmente acessíveis por menores devem iniciar imediatamente avaliações de risco e planos de adequação.

10/04/2026

Shadow AI e proteção de dados pessoais: desafios para a governança cooperativista

A rápida disseminação da inteligência artificial no ambiente corporativo tem proporcionado ganhos relevantes de produtividade e eficiência, mas também evidenciou um novo e significativo risco para a conformidade com Lei Geral de Proteção de Dados Pessoais (LGPD) e as boas práticas Segurança da Informação: a chamada Shadow AI. Esse fenômeno ocorre quando, por exemplo, colaboradores utilizam ferramentas de inteligência artificial (como chatbots públicos, geradores de texto ou soluções de análise de dados e código) sem aprovação formal, supervisão técnica ou governança institucional, muitas vezes motivados pela intenção legítima de otimizar tarefas do dia a dia. No contexto das cooperativas esse uso não controlado representa um risco direto à conformidade legal e à segurança das informações. Some-se a isso o fato de que o modelo cooperativista é fundamentado na confiança mútua entre cooperados e gestão: um incidente de segurança não representa apenas um problema jurídico, mas pode abalar a própria essência do vínculo cooperativo. Na prática, a Shadow AI se materializa quando dados pessoais e informações institucionais, como relatórios, contratos, dados cadastrais, informações financeiras ou registros de atendimento, são inseridas em ferramentas de IA não homologadas para obtenção de análises, resumos ou sugestões. O risco não está na tecnologia em si, mas no fato de que, ao realizar esse procedimento, as informações e dados pessoais ultrapassam o “perímetro de segurança” sem qualquer controle técnico, garantias de confidencialidade ou clareza quanto ao armazenamento, reutilização ou descarte dessas informações, que podem ser utilizadas para treinamento de modelos, ampliando significativamente os riscos de exposição. Diferentemente dos ataques cibernéticos tradicionais, não há indícios claros de violação, como malware ou invasões e a exposição ocorre de forma silenciosa, decorrente de ações internas aparentemente inofensivas. Sob a perspectiva da LGPD, a Shadow AI cria um conjunto relevante de vulnerabilidades. O uso não autorizado de dados pessoais viola princípios fundamentais desta legislação, como finalidade, necessidade, segurança, prevenção e responsabilização, além da ausência de rastreabilidade sobre onde e como as informações e dados pessoais foram processados, fragilizando a governança corporativa como um todo. Para cooperativas, cuja cultura é baseada em colaboração e confiança, a abordagem mais eficaz envolve a adoção de políticas institucionais bem definidas com participação ativa do Encarregado pelo tratamento de dados pessoais (DPO) e das áreas de TI, sendo fundamental a orientação sobre o uso adequado de tecnologias de IA. Nesse contexto, o maior risco já não reside apenas em agentes externos maliciosos, mas em práticas internas que podem comprometer a governança institucional. Antecipar esses riscos, estruturar uma governança para uso inteligência artificial e fortalecer a cultura de proteção de dados pessoais são medidas essenciais para preservar a confiança dos cooperados, a reputação institucional e os princípios fundamentais do cooperativismo.

23/03/2026

Decretos regulamentam o ECA Digital

Em 18 de março de 2026, o Governo Federal publicou três decretos que regulamentam o Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025), trazendo maior clareza sobre como as obrigações legais devem ser implementadas. De forma geral, a regulamentação não traz muitas orientações práticas (indicando que a Agência Nacional de Proteção de Dados – ANPD o fará oportunamente), mas define competências institucionais, estrutura a atuação estatal e indica caminhos para a adoção das medidas exigidas. Os decretos tratam, essencialmente, de três frentes: Detalhamento da aplicação do ECA Digital (Decreto nº 12.880/2026) Estabelece diretrizes para sua execução, reforçando a necessidade de adoção de medidas como verificação de idade, controles parentais, gestão de riscos e proteção de dados de crianças e adolescentes. Ainda que não esgote todos os aspectos técnicos, o decreto orienta a implementação com base em uma abordagem de risco e no melhor interesse do menor, indicando que as soluções adotadas devem ser proporcionais ao nível de risco das atividades. Na prática, isso significa que as cooperativas passam a ter maior previsibilidade sobre como estruturar seus programas de adequação, ainda que persistam lacunas que dependerão de regulamentação complementar pela ANPD. Reestruturação da ANPD e fortalecimento da fiscalização (Decreto nº 12.881/2026) Promove alterações relevantes na estrutura da ANPD, responsável pela fiscalização do ECA Digital. Destaca-se a criação de superintendências especializadas, o que tende a ampliar a capacidade técnica e operacional da Autoridade, especialmente para lidar com temas relacionados à proteção de dados de crianças e adolescentes e à regulação de ambientes digitais. Com isso, a ANPD se consolida como protagonista na interpretação e aplicação prática do ECA Digital, inclusive com competência para editar normas complementares — que serão essenciais para esclarecer pontos ainda abertos, como critérios técnicos de verificação de idade e supervisão parental. Centralização de denúncias e atuação repressiva (Decreto nº 12.882/2026) O terceiro decreto institui o Centro Nacional de Proteção à Criança e ao Adolescente, vinculado à Polícia Federal, com a função de centralizar denúncias de violações ocorridas no ambiente digital. A medida busca integrar e agilizar a resposta estatal, permitindo o encaminhamento mais eficiente de casos envolvendo exploração, violência ou outras violações de direitos de crianças e adolescentes em plataformas digitais. A regulamentação representa um avanço importante para que as cooperativas que disponibilizam soluções de acesso provável para menores ou que comercializam produtos proibidos para esse público (ex.: bebidas alcoólicas) implementem os controles previstos na lei. Ainda assim, o cenário ainda é de regras e parâmetros desconhecidos e que demandarão regulação complementar pela ANPD. Para as cooperativas, tal realidade reforça a necessidade de adotar uma abordagem estruturada de adequação, baseada em avaliação de riscos, decisões justificadas e documentação das medidas implementadas (que, neste momento, talvez não sejam as ideais, mas as possíveis diante da ausência de regras mais claras).

Acesse todas notícias