Quando a LGPD entrou em vigor em 2020, muitas empresas apostaram que a ANPD demoraria a aplicar multas. A aposta perdeu. Desde 2023, a Autoridade Nacional de Proteção de Dados acelerou suas decisões e a expectativa para 2026 é de fiscalização ainda mais intensa, especialmente após o fim do prazo de adaptação para empresas de pequeno porte.
O que diz o Art. 52 da LGPD sobre sanções
A LGPD prevê 8 modalidades de sanção:
- Advertência, com indicação de prazo para adoção de medidas corretivas;
- Multa simples de até 2% do faturamento da pessoa jurídica de direito privado, limitada a R$ 50 milhões por infração;
- Multa diária, observado o mesmo limite;
- Publicização da infração;
- Bloqueio dos dados pessoais a que se refere a infração até sua regularização;
- Eliminação dos dados pessoais a que se refere a infração;
- Suspensão parcial do funcionamento do banco de dados (até 6 meses, prorrogável por mais 6);
- Suspensão do exercício da atividade de tratamento;
- Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
Critérios de dosimetria (Art. 52, §1º)
A ANPD aplica a sanção considerando:
- Gravidade e natureza das infrações e dos direitos pessoais afetados;
- Boa-fé do infrator;
- Vantagem auferida ou pretendida;
- Condição econômica;
- Reincidência;
- Grau do dano;
- Cooperação;
- Adoção reiterada e demonstrada de mecanismos e procedimentos internos;
- Adoção de política de boas práticas e governança;
- Pronta adoção de medidas corretivas;
- Proporcionalidade entre gravidade e intensidade da sanção.
Casos relevantes aplicados pela ANPD
Telekall Infoservice (julho/2023) — primeira multa
A primeira multa aplicada pela ANPD foi simbólica em valor (R$ 14.400), mas histórica em precedente: a empresa foi punida por compartilhar dados pessoais com terceiros sem base legal adequada. Lição: não importa o tamanho — o que importa é a conformidade.
Secretaria de Saúde de SC (2023)
Órgão público multado em R$ 70.000 por vazamento de dados de pacientes da COVID-19. Demonstrou que o setor público também é alvo.
Serasa Experian (2024)
Multa de R$ 3,1 milhões por descumprimento de obrigações relacionadas ao direito de oposição do titular ao tratamento de dados para fins de prospecção comercial. O caso reforça que opt-out precisa ser efetivo, simples e respeitado.
Cortez Engenharia (2025)
Empresa do setor de construção civil multada em R$ 220.000 por incidente de segurança que expôs dados de candidatos a vagas. Falhou em comunicar o incidente à ANPD e aos titulares dentro do prazo razoável.
Vazamento Caixa Tem (2025)
Embora se tratando de uma instituição financeira pública, o caso foi instrutivo: a CEF foi acionada pela ANPD por falhas no atendimento a direitos de titulares e na transparência sobre tratamento de dados de auxílio emergencial.
Checklist preventivo: 12 medidas que reduzem risco de multa
- Inventário de dados (RIPD) atualizado e revisado a cada 12 meses;
- Política de Privacidade clara, acessível e atualizada;
- DPO formalmente nomeado e contato publicado;
- Canal de atendimento a titulares com SLA de 15 dias;
- Banner de consentimento para cookies em todos os sites;
- Contratos com fornecedores incluindo cláusulas de proteção de dados;
- Plano de resposta a incidentes documentado;
- Treinamento de funcionários ao menos anual;
- Política de retenção e descarte de dados;
- Controles técnicos: criptografia, MFA, logs de acesso;
- Avaliação de Impacto à Proteção de Dados (DPIA) para operações de alto risco;
- Registro de tratamentos baseados em legítimo interesse com teste documentado.
Como a ANPD inicia uma fiscalização
Três caminhos principais:
- Denúncia de titular: qualquer pessoa pode reclamar via formulário no site da ANPD;
- Iniciativa de ofício: a ANPD pode iniciar fiscalização por monitoramento próprio (incidentes públicos, vazamentos noticiados);
- Comunicação obrigatória: incidente de segurança que possa acarretar risco ou dano relevante deve ser comunicado em prazo razoável (orientação ANPD: até 3 dias úteis).
Cooperação reduz multa
O Art. 52, §1º, VII, prevê a "cooperação do infrator" como atenuante. Na prática, empresas que respondem prontamente, comprovam medidas corretivas e demonstram programa de governança recebem advertências ou multas reduzidas. Empresas que se omitem ou minimizam o incidente costumam receber as sanções mais pesadas.
Conclusão
O período de tolerância acabou. A ANPD está fiscalizando, multando e publicizando casos. Empresas que não tratam a LGPD como prioridade estratégica em 2026 estão correndo riscos reais — financeiros, reputacionais e operacionais. O investimento em governança de privacidade é menor que o custo de uma única multa.