Sanções da LGPD: multas, fiscalização e a dosimetria da ANPD
Entender como a ANPD fiscaliza e calcula as sanções ajuda a dimensionar o risco de forma realista, sem pânico e sem descaso.
As sanções da LGPD costumam ser citadas para assustar, com a multa de até cinquenta milhões de reais em destaque. A realidade é mais nuançada. O artigo 52 traz um leque de sanções, a multa é apenas uma delas, e a ANPD segue uma metodologia para calcular a penalidade, considerando vários fatores. Entender isso ajuda a dimensionar o risco sem pânico e sem descaso.
Este guia explica quais são as sanções, o teto das multas, como funciona a dosimetria definida pela ANPD e o que a autoridade leva em conta ao decidir. O objetivo é dar uma visão realista do risco, para orientar prioridades em vez de alimentar medo.
As sanções do artigo 52
O artigo 52 lista as sanções administrativas que a ANPD pode aplicar. Elas vão da mais leve à mais grave e podem ser combinadas. A advertência, com prazo para corrigir, é a porta de entrada. A multa simples e a multa diária atingem o bolso. Há ainda a publicização da infração, o bloqueio dos dados envolvidos até a regularização e a eliminação desses dados.
- Advertência, com prazo para adoção de medidas corretivas
- Multa simples, de até 2% do faturamento, limitada a R$ 50 milhões por infração
- Multa diária, observado o mesmo teto total
- Publicização da infração
- Bloqueio dos dados envolvidos até a regularização
- Eliminação dos dados envolvidos
- Suspensão parcial ou total do funcionamento do banco de dados ou da atividade de tratamento
- Proibição parcial ou total do exercício de atividades de tratamento
As sanções mais severas, como a suspensão e a proibição de atividades de tratamento, foram acrescentadas em 2019 e representam um risco existencial para negócios que dependem de dados. Elas tendem a ser reservadas a casos graves ou reincidentes, mas mostram que o leque vai muito além da multa.
O teto das multas
A multa simples pode chegar a 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, com o limite de cinquenta milhões de reais por infração. Dois pontos merecem atenção. O percentual incide sobre o faturamento, o que ajusta a multa ao porte. E o teto é por infração, o que significa que condutas distintas podem gerar penalidades somadas.
O número de cinquenta milhões vira manchete, mas raramente é o valor de uma sanção real. Ele é um teto, e a maioria das penalidades fica abaixo dele, calculada pela metodologia da autoridade sobre a infração concreta. Confundir o teto com o valor esperado leva a um medo desproporcional que atrapalha a priorização.
A dosimetria da Resolução 4/2023
Como a ANPD chega ao valor de uma multa? Pela Resolução CD/ANPD nº 4/2023, o Regulamento de Dosimetria e Aplicação das Sanções Administrativas. Ela define uma metodologia que parte da classificação da infração, do faturamento do infrator e do grau do dano para calcular o valor-base da multa simples, com fatores que aumentam ou reduzem a penalidade.
A dosimetria dá previsibilidade e proporcionalidade. Ela evita que penalidades sejam arbitrárias e liga o valor à gravidade real da conduta e ao tamanho de quem cometeu. A própria resolução permite que a ANPD se afaste da metodologia quando o resultado for desproporcional, o que mostra que o objetivo é a proporcionalidade, não um número fixo.
O que a ANPD considera ao decidir
A LGPD lista fatores que a autoridade pondera ao aplicar uma sanção. A gravidade e a natureza da infração e dos danos, a boa-fé do infrator, a vantagem obtida, a condição econômica, a reincidência, o grau de cooperação e, de forma importante, a adoção de políticas e boas práticas de proteção de dados. Ter uma governança real conta a favor na hora da dosimetria.
Esse último ponto muda a lógica do investimento em adequação. Mesmo quando um incidente acontece, a empresa que consegue demonstrar que tratava os dados com cuidado, com controles, mapeamento, políticas e evidência, está em posição melhor do que a que ignorou o tema. A adequação não é só evitar a sanção; é também reduzir a penalidade se algo der errado.
Como se preparar para uma fiscalização
A atuação da ANPD pode começar de várias formas: uma reclamação de titular, a comunicação de um incidente, uma denúncia ou a iniciativa da própria autoridade em um tema que ela decidiu acompanhar. A empresa nem sempre escolhe o momento, mas escolhe o quanto estará pronta. Preparar-se não é adivinhar quando a fiscalização virá, e sim manter a casa em ordem para que, se ela vier, a resposta seja demonstrar o que já existe em vez de correr para construir do zero.
Quando chega um questionamento da autoridade, a postura importa. Envolver o encarregado e o jurídico desde o início, reunir a documentação pedida, responder dentro do prazo indicado e cooperar de forma transparente são atitudes que a própria lei valoriza ao ponderar o grau de cooperação. O contrário, ignorar, atrasar ou tentar esconder, tende a agravar a situação, tanto na avaliação da autoridade quanto na reputação.
O que costuma ser pedido
Boa parte do que uma fiscalização examina é justamente o que a adequação produz no dia a dia. Não é preciso adivinhar cada documento, mas manter organizados e acessíveis os artefatos centrais reduz muito o atrito de responder.
- O registro das operações de tratamento e o mapeamento dos dados
- As bases legais dos tratamentos e os avisos de privacidade
- As políticas internas de proteção de dados e de segurança
- Os contratos com operadores e os mecanismos de transferência internacional
- O histórico de atendimento aos direitos dos titulares
- O registro de incidentes e das comunicações feitas
- A evidência técnica dos controles de segurança aplicados
Construir a evidência que pesa a favor
A adoção de boas práticas só conta na dosimetria se a empresa conseguir demonstrá-la. Intenção não se comprova; evidência sim. É a diferença entre dizer que aplica acesso mínimo e mostrar as configurações de permissão, entre afirmar que registra acessos a dados sensíveis e apresentar os logs, entre alegar que mapeou os dados e exibir o inventário atualizado. A evidência transforma a governança de discurso em fato verificável.
Essa evidência se acumula naturalmente quando os controles são reais e documentados, e não montada às pressas diante de uma fiscalização. Logs de acesso preservados, documentação de criptografia, políticas com histórico de revisão, registros de treinamento do time e o rastro das decisões de segurança formam um conjunto que fala por si. É essa camada técnica que a GUARDIASEC ajuda a construir, entregando ao encarregado e ao jurídico a base concreta para sustentar, diante da autoridade, que os dados eram tratados com diligência.
Vale lembrar o limite honesto: nenhum conjunto de evidência garante um resultado nem elimina o risco de sanção. O que a evidência faz é melhorar a posição da empresa, dar consistência à narrativa de cuidado e reduzir a probabilidade de que uma falha pontual seja lida como descaso generalizado. Em um cenário onde a dosimetria pondera diligência e cooperação, chegar com a casa em ordem é o que está sob controle da empresa.
Checklist prático
- Conhecer o leque de sanções do artigo 52, além da multa
- Entender que a multa é de até 2% do faturamento, limitada por infração
- Não confundir o teto de R$ 50 milhões com o valor esperado
- Saber que a dosimetria segue a Resolução ANPD nº 4/2023
- Reconhecer que boas práticas contam a favor na dosimetria
- Manter evidência da governança para demonstrar diligência
- Manter organizados registro de tratamento, políticas e contratos
- Definir quem envolver e como responder a um questionamento da ANPD
- Cooperar e responder no prazo indicado pela autoridade
- Priorizar o risco de forma realista, sem pânico nem descaso
Boas práticas
- Dimensione o risco pela dosimetria real, não pelo teto de manchete
- Trate a governança como fator que reduz penalidades
- Guarde evidência dos controles para demonstrar diligência
- Mantenha a documentação central acessível antes de qualquer fiscalização
- Envolva encarregado e jurídico desde o primeiro contato da autoridade
- Coopere com a autoridade, o que pesa a favor na sanção
- Priorize a correção rápida diante de uma advertência
Erros comuns
Achar que a única sanção é a multa de R$ 50 milhões
A empresa ignora bloqueio, suspensão e proibição de atividades.
Confundir o teto da multa com o valor provável
O medo desproporcional atrapalha a priorização do que fazer.
Não guardar evidência da governança
A empresa não consegue demonstrar diligência na dosimetria.
Deixar a documentação dispersa e desatualizada
Responder a uma fiscalização vira uma corrida para montar tudo do zero.
Ignorar ou atrasar um questionamento da autoridade
A falta de cooperação pesa contra a empresa na avaliação da sanção.
Ignorar uma advertência com prazo de correção
O descumprimento agrava a situação e escala para sanções maiores.
Quando procurar apoio especializado
A evidência técnica que pesa a favor na dosimetria é justamente o que a GUARDIASEC ajuda a construir: controles de segurança aplicados, mapeamento dos dados, registros de acesso e documentação. Esse conjunto demonstra a diligência da empresa e, diante de um incidente, ajuda a sustentar que os dados eram tratados com cuidado.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Qual o valor máximo da multa da LGPD?
A multa simples pode chegar a 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a cinquenta milhões de reais por infração. O percentual sobre o faturamento ajusta a multa ao porte, e o teto é por infração. Esse valor máximo é um limite, não o valor esperado de uma sanção típica.
Como a ANPD calcula o valor de uma multa?
Pela metodologia da Resolução CD/ANPD nº 4/2023, o Regulamento de Dosimetria. Ela parte da classificação da infração, do faturamento do infrator e do grau do dano para chegar ao valor-base, com fatores que aumentam ou reduzem a penalidade, como boa-fé, cooperação, reincidência e adoção de boas práticas. A resolução ainda permite ajustar quando o resultado for desproporcional.
Ter um programa de LGPD reduz a multa?
Conta a favor. A LGPD lista, entre os fatores que a autoridade pondera, a adoção de políticas e boas práticas de proteção de dados e o grau de cooperação. Uma empresa que demonstra governança real, com controles, mapeamento e evidência, tende a receber uma dosimetria mais branda do que a que ignorou o tema. A adequação reduz tanto a chance de sanção quanto o tamanho dela.
A ANPD já está aplicando sanções?
Sim. As sanções administrativas passaram a valer em agosto de 2021, e a ANPD estruturou o processo com o Regulamento de Dosimetria de 2023. A autoridade vem atuando em fiscalização e aplicando penalidades. Tratar a LGPD como risco teórico que nunca se concretiza é uma leitura desatualizada; o mais prudente é dimensionar o risco de forma realista e priorizar a adequação.
Como uma fiscalização da ANPD costuma começar?
De várias formas. Pode partir de uma reclamação de titular, da comunicação de um incidente, de uma denúncia ou da iniciativa da própria autoridade em um tema que ela decidiu acompanhar. A empresa nem sempre escolhe o momento, mas escolhe o quanto estará pronta. Manter registro de tratamento, políticas, contratos e evidência de segurança organizados faz com que responder seja demonstrar o que já existe, em vez de construir tudo sob pressão.
O que fazer ao receber um questionamento da ANPD?
Envolver o encarregado e o jurídico desde o início, entender exatamente o que está sendo pedido, reunir a documentação e responder dentro do prazo indicado, de forma transparente. Cooperar é um fator que a própria lei valoriza na ponderação da sanção. Ignorar, atrasar ou tentar esconder tende a agravar a situação. Ter a documentação central já organizada é o que torna essa resposta viável no tempo disponível.
Vale investir em adequação mesmo sem fiscalização à vista?
Vale, e por mais de um motivo. A adequação reduz a probabilidade de um incidente e, se algo der errado, coloca a empresa em posição melhor na dosimetria, porque diligência e cooperação contam a favor. Além disso, a fiscalização nem sempre é anunciada: pode nascer de um incidente ou de uma reclamação a qualquer momento. Construir a evidência com calma é bem mais barato do que montá-la às pressas depois que a autoridade bate à porta.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.