達文西個資即時快報
盤點全球最新焦點
文章整理：林舒涵律師
審閱：孔德澔律師
監理動態：
一、 巴西個資主管機關重罰TikTok 3000萬美金：違法處理兒少個資且未能證明保護措施有效
1. 事實
巴西國家資料保護局（Agência Nacional de Proteção de Dados，ANPD）於 2026年8月25日公布對TikTok母公司ByteDance Brasil Tecnologia Ltda.的裁罰結果，認定TikTok在處理兒童及青少年個人資料時違反巴西《一般資料保護法》（Lei Geral de Proteção de Dados，LGPD），共涉及五項違規行為，裁處合計153,769,671.33巴西里爾（約 1.537 億里爾）罰鍰。ANPD的調查源於2021年接獲檢舉，調查範圍涵蓋TikTok的「免註冊瀏覽模式」，亦即使用者未建立帳號即可瀏覽內容的模式，以及建立帳號後使用的「註冊帳號模式」。ANPD 認定，在這兩種使用模式下，TikTok 均涉及欠缺適當法律依據而處理兒童及青少年個資，且未採取足以防止兒少個資遭違法處理的有效措施，也未能提出具體證據證明所採取的技術及組織措施確實有效，因此分別違反LGPD第7條以及第6條第8款「預防原則」與第10款「課責及可證明性原則」。除罰鍰外，ANPD並命ByteDance刪除特定違法蒐集的兒少個資；其中，對於13歲以上、未滿18歲且未能在期限內補正父母或法定代理人協助或代理程序的既有帳號，相關個資原則上須於通知後 60個工作日內刪除，且刪除效果應延伸至曾接收該等資料的第三方。ByteDance另承諾執行兒少個資保護合規改善計畫。
2. 違規行為
(1) 在免註冊瀏覽模式下，TikTok提供內容推薦等服務而處理未滿18歲兒童及青少年的個資，卻無法提出符合LGPD的有效法律依據，違反LGPD第7條。
(2) TikTok未採取有效措施，防止未滿13歲兒童在免註冊情形下受到個資處理，違反第6條第8款的預防原則。上述兩項各處35,760,388.68里爾罰鍰。
(3) 在註冊帳號模式下，TikTok以「履行契約」作為兒童及青少年個資處理的法律依據，但未能證明未成年使用者於加入平台時具有父母或法定代理人的有效代理或協助，因此相關契約關係本身欠缺有效成立的法律基礎，不能再以履行契約作為 LGPD第7條第5款的合法處理依據；此項裁罰27,416,297.99里爾，並附帶刪除相關個資的處分。
(4) TikTok未採取有效措施防止未滿13歲兒童建立帳號，違反 LGPD 第6條第8款，裁罰27,416,297.9里爾。
(5) ByteDance雖主張已建立年齡檢核、帳號移除及其他保護措施，但無法提出充分、可驗證資料證明這些措施實際有效，違反LGPD第6條第10款的課責及可證明性原則，再處27,416,297.99里爾。五項罰鍰合計即為 153,769,671.33里爾。
3. 裁罰理由
ANPD指出，僅有形式上的年齡限制並不足以符合兒少個資保護義務。TikTok當時主要以使用者自行填寫出生日期的「Age Gate」作為年齡檢核機制，但ANPD發現，從2022年10月至2023年9月間，TikTok即移除了約775萬個被判定屬於兒童的帳號。ANPD認為，如此龐大的移除數量反而證明大量兒童確實能夠繞過原有年齡檢核機制，也顯示 ByteDance已經知道既有機制存在明顯缺陷。單純依賴使用者自行申報出生日期，且欠缺更具實效的補充措施，無法有效阻止兒童進入平台，因此不符合「隱私保護設計」（privacy by design）及預防原則的要求。
其次，就註冊帳號的法律依據而言，ANPD認為，TikTok不能僅因使用者點選同意服務條款，就當然以「履行契約」作為處理未成年人個資的依據。依巴西民法，兒童及青少年屬全部或部分行為能力受限制者，其締結契約原則上涉及父母或法定代理人的代理或協助；TikTok卻未建立足以確認此種代理或協助實際存在的機制。因此，若作為基礎的契約本身未有效成立，即不能以履行該契約作為LGPD第7條第5款下的資料處理法律依據。
尤其值得注意的是，ANPD對「課責及可證明性」 採取相當嚴格的解釋。ANPD指出，資料控制者不僅必須採取個資保護措施，還負有義務以客觀、可驗證且可稽核的方式證明這些措施確實有效；僅提出一般性的聲明，或抽象表示措施符合業界標準，並不足以履行此項義務。控制者應提出適當文件、技術紀錄及客觀指標，以證明措施確實存在、正常運作，且能具體降低資料處理對當事人的風險。
