A aplicação de sanções pela Lei Geral de Proteção de Dados deixou de ser um risco abstrato. A LGPD passou a integrar a rotina de governança das empresas, especialmente daquelas que tratam dados de clientes, empregados, fornecedores, leads comerciais, usuários de plataformas digitais ou informações sensíveis em operações internas.
O ponto central não é apenas a multa. A sanção pecuniária chama atenção porque pode alcançar valores expressivos, mas o risco empresarial é mais amplo: fiscalização, exigência de explicações, publicização da infração, bloqueio ou eliminação de dados, perda de confiança de clientes, questionamentos contratuais, incidentes reputacionais e dificuldade em demonstrar diligência perante parceiros comerciais.
Para empresas, a LGPD deve ser tratada como tema de gestão de risco. Não basta ter uma política de privacidade genérica no site. É preciso demonstrar que há base legal para o tratamento de dados, governança mínima, controles internos, medidas de segurança, canal de atendimento aos titulares e capacidade de responder a incidentes.
Fiscalização da ANPD: o que a empresa precisa ter pronto
As sanções são aplicadas após processo administrativo, e o que a empresa consegue apresentar define a dosimetria.
- Registro das operações de tratamento, previsto no art. 37 da Lei 13.709/2018.
- Base legal de cada tratamento, documentada antes do uso.
- Encarregado indicado e identidade divulgada publicamente, conforme o art. 41.
- Canal do titular funcionando, com prazo e registro das solicitações.
- Plano de resposta a incidente, com quem comunica e em quanto tempo, pelo art. 48.
- Contratos com operadores, com instruções, segurança e destino dos dados ao término.
- Medidas de segurança descritas e efetivamente aplicadas, pelo art. 46.
- Evidência de que o programa funciona, porque o art. 52, §1º, considera a adoção de política de boas práticas na dosimetria.
Para preparar a empresa ou responder a um procedimento:
Telefone: (11) 2386-2386
O que a ANPD pode fiscalizar
A Autoridade Nacional de Proteção de Dados possui competência para orientar, fiscalizar e sancionar agentes de tratamento. O Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador da ANPD estabelece que a fiscalização compreende atividades de monitoramento, orientação, prevenção e atuação repressiva.
Na prática, a empresa pode ser chamada a explicar como coleta dados, por que trata determinadas informações, com quem compartilha dados, quais medidas de segurança adota, como atende titulares, como documenta bases legais e como responde a incidentes de segurança.
Esse ponto é importante: a LGPD não exige perfeição documental artificial, mas exige coerência entre o que a empresa faz, o que informa aos titulares e o que consegue provar. Em fiscalização, a fragilidade costuma aparecer quando a empresa possui documentos formais, mas não possui processo real.
Quais sanções podem ser aplicadas
A LGPD prevê sanções como advertência, multa simples, multa diária, publicização da infração, bloqueio de dados, eliminação de dados pessoais e restrições relacionadas à atividade de tratamento. A multa simples pode chegar a 2% do faturamento da pessoa jurídica, limitada a R$ 50 milhões por infração.
Entretanto, a dosimetria não é automática. O Regulamento de Dosimetria e Aplicação de Sanções Administrativas da ANPD busca estabelecer critérios para que a sanção seja proporcional à gravidade da conduta, ao dano ou prejuízo causado, à vantagem auferida, à condição econômica do infrator, à reincidência, à cooperação com a autoridade e à adoção de mecanismos de governança e boas práticas.
Isso significa que uma empresa organizada, que mantém registros mínimos, responde com transparência, corrige falhas e demonstra boa-fé, tende a estar em posição jurídica melhor do que uma empresa que só reage quando recebe notificação ou sofre incidente.
Incidentes de segurança e obrigação de comunicação
Outro ponto sensível é a comunicação de incidentes de segurança. A Resolução CD/ANPD nº 15/2024 disciplina a comunicação de incidentes que possam causar risco ou dano relevante aos titulares. A ANPD informa que, quando houver obrigação de comunicação, o controlador deve comunicar a Autoridade e os titulares no prazo de três dias úteis, ressalvada a existência de prazo específico em outra norma aplicável.
Para empresas, isso exige preparação prévia. No momento do incidente, não há tempo adequado para discutir do zero quem decide, quem comunica, quais evidências preservar, quem fala com fornecedores, quem aciona TI, quem avalia risco jurídico e quem responde aos titulares.
Um plano de resposta a incidentes deve prever fluxo de decisão, responsáveis, classificação do evento, preservação de logs, comunicação interna, análise jurídica, comunicação à ANPD quando cabível e providências para mitigar danos.
Documentos que ajudam a reduzir risco
Empresas não precisam começar a adequação pela produção de documentos extensos e pouco operacionais. O caminho mais eficiente costuma ser estruturar um núcleo mínimo de governança, com documentos que representem processos reais.
Entre os instrumentos mais relevantes estão: inventário de dados pessoais, política de privacidade, política interna de proteção de dados, registros de bases legais, cláusulas contratuais com operadores e fornecedores, procedimento de atendimento a titulares, política de retenção e descarte, plano de resposta a incidentes e relatório de impacto quando o risco da operação justificar.
Também é recomendável revisar contratos com prestadores de tecnologia, marketing, contabilidade, folha de pagamento, sistemas de gestão, plataformas de e-commerce e empresas que tenham acesso a dados de clientes ou empregados.
Como a empresa deve agir preventivamente
A prevenção eficaz começa por perguntas simples: quais dados a empresa coleta, por qual motivo, com que base legal, por quanto tempo, com quem compartilha, onde armazena e como protege. Sem essas respostas, qualquer política de privacidade fica vulnerável.
Depois, é necessário transformar essas respostas em processo. O setor comercial precisa saber como captar leads. O RH precisa saber quais documentos pode exigir. O financeiro precisa proteger dados de cobrança. O marketing precisa respeitar bases legais e opt-out. A tecnologia precisa controlar acessos, senhas, logs e fornecedores.
LGPD, portanto, não é apenas documento jurídico. É governança empresarial aplicada ao uso de dados.
Como o valor da multa é calculado
O teto previsto no art. 52 da Lei 13.709/2018 é de 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitado a cinquenta milhões de reais por infração. Teto não é regra de cálculo: o valor efetivo resulta da dosimetria.
O parágrafo 1º do mesmo artigo lista o que a autoridade pondera: gravidade e natureza da infração e dos direitos afetados, boa-fé do infrator, vantagem auferida ou pretendida, condição econômica, reincidência, grau do dano, cooperação do infrator, adoção reiterada de mecanismos internos de minimização de risco, adoção de política de boas práticas e governança, pronta adoção de medidas corretivas e proporcionalidade entre a gravidade da falta e a intensidade da sanção. A ANPD editou regulamento próprio detalhando esse cálculo.
A leitura prática dessa lista é direta: a maior parte dos fatores que reduzem a sanção depende de coisas feitas antes do incidente, como governança documentada e mecanismos internos, ou feitas rápido depois dele, como cooperação e correção imediata. Empresa que só reage quando a autoridade liga chega sem nenhum dos dois.
O encarregado pelo tratamento de dados
O art. 41 da Lei 13.709/2018 determina que o controlador indique encarregado pelo tratamento de dados pessoais, com identidade e informações de contato divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico. As atividades estão no parágrafo 2º: aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da autoridade nacional e adotar providências; orientar funcionários e contratados sobre as práticas a serem tomadas; e executar as demais atribuições determinadas pelo controlador ou previstas em normas complementares.
Três erros se repetem. Indicar o encarregado e não publicar o contato, o que descumpre a própria obrigação de divulgação. Nomear alguém sem autonomia nem acesso às áreas que tratam dados, o que torna a função decorativa. E atribuir a função a quem decide as finalidades do tratamento, situação que cria conflito entre controlar e ser controlado.
Quando a empresa precisa elaborar relatório de impacto
O relatório de impacto à proteção de dados pessoais é a documentação do processo de tratamento que pode gerar risco às liberdades civis e aos direitos fundamentais, com as medidas de mitigação adotadas. O art. 38 da Lei 13.709/2018 permite que a autoridade nacional determine ao controlador a elaboração do relatório, inclusive quando o tratamento se fundamenta no legítimo interesse, hipótese em que o art. 10, parágrafo 3º, também o prevê.
Na prática, há situações em que fazer o relatório antes de ser solicitado é a decisão econômica: tratamento em larga escala, monitoramento sistemático, decisão automatizada com efeito relevante sobre pessoas, uso de dado sensível e tratamento de dados de crianças e adolescentes. Em todas, o documento serve duas vezes, como análise de risco para a própria empresa e como prova de diligência diante da autoridade.
Empresa de pequeno porte tem regra diferente
Tem forma diferente de cumprir, não dispensa. A ANPD editou regulamentação específica para agentes de tratamento de pequeno porte, com flexibilização de prazos e simplificação de obrigações, entre elas a possibilidade de indicar canal de comunicação com o titular em lugar da estrutura completa de encarregado, e prazos ampliados para atender requisições.
O que não muda é o essencial: base legal definida para cada tratamento, informação ao titular, segurança proporcional ao risco, comunicação de incidente e atendimento aos direitos previstos no art. 18. Para a empresa menor, o custo relevante raramente é a multa: é a suspensão da atividade de tratamento, prevista entre as sanções, que para a operação de quem depende de dado para funcionar.
Sua empresa consegue demonstrar conformidade se for fiscalizada?
O Assis Lira Advocacia auxilia empresas na revisão de riscos de LGPD, contratos com operadores, políticas internas, resposta a incidentes e estruturação de governança de dados.
Conclusão
As sanções da LGPD devem ser vistas como parte de um sistema maior de responsabilização. A empresa que trata dados sem governança fica exposta não apenas à multa, mas a riscos contratuais, reputacionais, operacionais e regulatórios.
O melhor caminho é construir uma estrutura proporcional ao porte e ao risco do negócio: entender os fluxos de dados, documentar bases legais, revisar contratos, treinar equipes, proteger sistemas e preparar resposta a incidentes. Em proteção de dados, a capacidade de demonstrar diligência costuma ser tão importante quanto a existência formal de documentos.
Fontes consultadas
- Brasil. Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais. Fonte: Planalto. Acessar.
- ANPD. Resolução CD/ANPD nº 1/2021, Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador. Fonte: Gov.br. Acessar.
- ANPD. Regulamento de Dosimetria e Aplicação de Sanções Administrativas. Fonte: Gov.br. Acessar.
- ANPD. Comunicação de Incidente de Segurança. Fonte: Gov.br. Acessar.
