TikTok condamné au Brésil : les données illégales devront être effacées
Au Brésil, l’Autorité nationale de protection des données (ANPD) a condamné ByteDance, maison mère de TikTok, à une amende administrative de 153,7 millions de reais le 25 août 2026. La décision publiée par l’ANPD ordonne également l’effacement des données collectées irrégulièrement et prévoit un plan de conformité pour mieux protéger les enfants et les adolescents.
Le mot « condamné » désigne ici une sanction du régulateur, et non un jugement pénal. L’Associated Press confirme la sanction et l’ordre d’effacement, tout en précisant que ByteDance peut encore exercer un recours. L’ANPD fixe ce délai à dix jours ouvrables à compter de la notification effectuée le 24 août : la décision est donc officielle, mais elle n’est pas encore à l’abri d’une contestation.
Cinq manquements dans les parcours avec et sans compte
L’enquête distingue deux portes d’entrée dans TikTok : le fil accessible sans inscription et celui lié à un compte enregistré. Dans les deux cas, l’ANPD a retenu le traitement de données personnelles d’enfants et d’adolescents sans base juridique appropriée au regard de la Loi générale sur la protection des données, la LGPD.
Deux manquements concernent le mode visiteur : le traitement des données de jeunes utilisateurs sans fondement juridique valable et l’absence de mesures suffisantes pour l’empêcher. Deux autres portent sur l’inscription, à savoir le traitement d’informations sans base valable au moment de créer le compte et l’insuffisance des mécanismes destinés à prévenir l’enregistrement de mineurs.
Le cinquième grief est commun aux deux parcours. ByteDance n’aurait pas démontré l’efficacité des mesures techniques et organisationnelles censées prouver le respect des règles. La sanction vise ainsi des traitements passés pendant la période examinée, alors que le plan de conformité encadre les changements attendus pour la suite.
Des données à supprimer, avec des preuves techniques
Les « données illégales » du titre ne sont pas des informations illicites par nature. L’expression désigne les données personnelles obtenues ou traitées dans des conditions jugées irrégulières, notamment faute de base juridique valable. C’est ce périmètre que l’ordre d’effacement doit couvrir.
Pour les adolescents de 13 à 18 ans inscrits sur la plateforme, les données devront être supprimées si l’indication d’un représentant ou d’une assistance légale n’est pas régularisée sous 60 jours ouvrables. Les modalités rapportées par Deutsche Welle accordent ensuite cinq jours ouvrables à ByteDance Brasil pour remettre un rapport technique comportant des journaux d’audit et une déclaration formelle du responsable du traitement des données.
L’entreprise devra également informer les tiers auxquels les données concernées ont été transmises. Si les éléments fournis ne prouvent pas suffisamment leur suppression définitive, l’ANPD pourra exiger un audit externe indépendant. Le défaut d’effacement, de rapport technique ou de notification des tiers expose ByteDance à une astreinte de 137 000 reais par jour.
Le parcours sans inscription devient fortement limité
L’absence de compte ne soustrait pas le mode visiteur aux règles de protection des mineurs. Le plan limite cette expérience à 12 heures, réduit fortement la personnalisation et n’autorise que des contenus considérés comme adaptés à tous les âges. La publicité doit y être entièrement suspendue au Brésil.
Les visiteurs ne pourront plus créer de contenu, commenter, envoyer des messages directs ou utiliser les interactions sociales. Il leur sera également impossible de suivre un compte, d’être suivis, de publier une diffusion en direct ou d’en regarder une. Le mode visiteur devient donc une consultation restreinte plutôt qu’une version presque complète du réseau social.
La collecte de données doit elle aussi être réduite. Le plan mentionne uniquement des informations minimales de langue et de région pour sélectionner les contenus, des données élémentaires sur l’appareil pour lutter contre la fraude et des informations nécessaires aux performances de l’application. Pour les équipes produit, la décision relie ainsi chaque fonctionnalité accessible sans compte à une finalité et à une justification précises.
Le contrôle de l’âge conditionne les autres fonctions
Les comptes identifiés comme appartenant à des utilisateurs de moins de 16 ans devront recevoir automatiquement les paramètres de confidentialité les plus restrictifs. Une autorisation des responsables légaux sera nécessaire pour les modifier. TikTok s’est aussi engagé à renforcer la supervision parentale et les filtres de contenu.
Le Conseil directeur de l’ANPD a approuvé le plan de conformité en demandant à ByteDance de respecter les obligations de vérification de l’âge issues de l’ECA Digital, le statut numérique brésilien de l’enfant et de l’adolescent. Leur mise en œuvre doit suivre le calendrier des mécanismes fiables d’évaluation de l’âge et les orientations du régulateur.
Cette architecture associe désormais la preuve d’âge à l’inscription, au niveau de confidentialité, aux messages directs, aux diffusions en direct, à la publicité et à la conservation des données. Pour les plateformes actives en Amérique latine, la décision brésilienne ne crée pas automatiquement une règle dans les autres pays, mais elle expose un risque produit concret : un parcours sans compte reste soumis au droit des données dès qu’il collecte ou traite les informations de mineurs.
Au 25 août 2026, l’amende de 153,7 millions de reais, l’ordre d’effacement et le plan de conformité sont décidés. La suite dépendra d’un éventuel recours de ByteDance, puis de la capacité de l’entreprise à produire les preuves techniques exigées et à appliquer les restrictions annoncées.
À lire aussi:
Abonnez-vous à notre newsletter
Recevez directement les dernières actualités sur le Web3, l’IA et les cryptomonnaies.