El regulador de protección de datos de Brasil (ANPD, Autoridade Nacional de Proteção de Dados) ha sancionado a ByteDance —la empresa china propietaria de TikTok— con 153,7 millones de reales brasileños (aproximadamente 29,9 millones de dólares al tipo de cambio actual) por recopilar y tratar datos personales de menores de edad sin el consentimiento parental requerido por la ley brasileña.
La multa, confirmada por la agencia de noticias AP, tiene un alcance más amplio de lo que la sanción sugiere a primera vista: la ANPD no solo investigó las cuentas registradas de menores, sino también las llamadas «sesiones de invitado» (guest sessions), que permiten usar TikTok y ver contenido sin estar registrado en la plataforma. La agencia concluyó que incluso en esas sesiones sin cuenta, ByteDance recogía datos de comportamiento de usuarios que podrían ser menores, sin ningún mecanismo para verificar la edad o obtener consentimiento.
¿Por qué las sesiones de invitado son el punto más delicado?
La práctica de recopilar datos en sesiones sin cuenta es técnicamente más difícil de regular porque el argumento habitual de las plataformas —»el usuario aceptó los términos de uso al registrarse»— no aplica cuando no hay registro. En las sesiones de invitado, TikTok puede inferir características del usuario (dispositivo, operador, localización aproximada, comportamiento de consumo de contenido) sin ningún punto de contacto explícito con el usuario.
Para los datos de menores, esa opacidad es especialmente problemática: un niño de 10 años que ve TikTok sin cuenta tiene tanto derecho a la protección de sus datos como uno que tiene cuenta registrada, pero el mecanismo de obtención de consentimiento convencional no existe para el primero. La ANPD evaluó que ByteDance debía haber implementado mecanismos de protección tanto en sesiones registradas como no registradas, y no lo hizo.
El contexto legal en Brasil: LGPD y protección de menores
Brasil tiene desde 2020 la LGPD (Lei Geral de Proteção de Dados Pessoais), una ley de privacidad modélicamente similar al RGPD europeo. La norma requiere consentimiento parental explícito para el tratamiento de datos de menores de 18 años, y establece que el consentimiento en el ámbito digital debe ser afirmativo, informado y específico para cada finalidad de uso.
La multa de 29,9 millones de dólares a ByteDance es una de las más grandes que la ANPD ha impuesto hasta la fecha. El regulador brasileño, que lleva desde 2022 activo y ha estado acumulando jurisprudencia sobre privacidad digital, está señalando con esta sanción que las sesiones sin cuenta no son una zona exenta de obligaciones de protección de datos.
TikTok bajo presión global por datos de menores
La sanción de Brasil se suma a un historial de multas significativas contra TikTok por el mismo tipo de conducta en otras jurisdicciones. En Europa, el RGPD ya ha generado sanciones sustanciales contra ByteDance, incluida la multa de 345 millones de euros que el DPC irlandés impuso en 2023 por transferir datos de menores europeos a China sin garantías suficientes. En EE.UU., la FTC y el Departamento de Justicia presentaron en 2024 una demanda contra TikTok por violaciones de la Coppa (Children’s Online Privacy Protection Act).
El patrón que emerge de todas estas sanciones es coherente: ByteDance diseñó sus sistemas de recogida de datos de forma que la protección de menores era una excepción opt-in en lugar de un requisito estructural opt-out. La carga de proteger a los menores recaía sobre los padres que supieran activar las opciones de control parental, no sobre la plataforma que los activara por defecto.
La ANPD también ha abierto investigaciones paralelas sobre el uso de datos para personalización del feed, que podría derivar en sanciones adicionales. ByteDance no ha comentado públicamente la multa al cierre de este artículo. El debate sobre cómo más de 20 países prohiben o restringen las redes sociales para menores tiene en esta multa brasileña su expresión regulatoria más concreta de la semana: no prohibición de la plataforma, sino exigencia de que el diseño proteja activamente a sus usuarios más vulnerables. El mapa global de restricciones a redes sociales para menores muestra que la multa brasileña no es un caso aislado: más de 20 países han actuado con instrumentos distintos —prohibición total, franja de edad verificada, multas administrativas— pero el argumento de fondo es el mismo. Y la guía de privacidad en redes sociales que documentamos en abril —sobre los ajustes que los usuarios deberían cambiar— cobra más urgencia cuando los propios reguladores confirman que las plataformas no los protegen por defecto.
¿29,9 millones de dólares es una multa significativa para TikTok?
En perspectiva económica, 29,9 millones de dólares representa una fracción pequeña de los ingresos globales de ByteDance: la empresa generó unos 150.000 millones de dólares en ingresos en 2025. La multa brasileña equivale aproximadamente al 0,02% de esos ingresos, lo que la convierte más en un coste de cumplimiento asumible que en un desincentivo económico real. Los reguladores son conscientes de esta limitación. El RGPD europeo establece multas de hasta el 4% de la facturación anual global, lo que para ByteDance equivaldría a 6.000 millones de dólares en el escenario máximo —un nivel que sí representaría un impacto financiero significativo. La LGPD brasileña también tiene provisiones para multas de hasta el 2% de la facturación en Brasil, con un máximo de 50 millones de reales por infracción. Que la ANPD haya llegado al límite de 153,7 millones de reales sugiere que ha acumulado múltiples infracciones en la investigación. La presión regulatoria real sobre ByteDance viene de la acumulación de sanciones en múltiples jurisdicciones y de la amenaza de prohibición total —como la que EE.UU. implementó y que los tribunales debaten— más que de multas individuales.
El patrón de sanciones que está emergiendo en múltiples jurisdicciones sugiere que la industria va a tener que rediseñar estructuralmente cómo gestiona los datos de usuarios que podrían ser menores, no solo añadir capas de consentimiento por encima de sistemas diseñados para la máxima recopilación de datos. La ANPD brasileña, el RGPD europeo y la FTC americana apuntan al mismo diagnóstico desde ángulos legales diferentes: el diseño actual de TikTok asume que todos los usuarios son adultos capaces de dar consentimiento informado, y ese supuesto es falso en una plataforma donde una parte significativa de los usuarios son menores. Rediseñar para la protección por defecto de menores requiere cambios de arquitectura de datos que ninguna multa de 30 millones de dólares va a generar por sí sola, pero la acumulación de sanciones y la amenaza de acciones más severas sí pueden cambiar el cálculo.
Esta sanción se produce en el mismo contexto en que la presión sobre las plataformas para proteger a los usuarios jóvenes está escalando globalmente, con fiscales y legisladores de múltiples jurisdicciones coordinando sus estrategias para aumentar el coste regulatorio de ignorar la protección por defecto.
