O que é a multa da ANPD e qual sua base legal
A Autoridade Nacional de Proteção de Dados (ANPD) tem competência para aplicar sanções administrativas com base no artigo 52 da Lei Geral de Proteção de Dados (LGPD). Esse dispositivo lista um rol ordenado de penalidades, que vai desde advertências até a proibição parcial ou total do tratamento de dados.
A multa aparece nesse rol em duas modalidades distintas. A multa simples incide sobre uma infração isolada e é calculada sobre o faturamento bruto da empresa. A multa diária é aplicada quando a ANPD precisa compelir o infrator a cessar uma violação contínua, como manter dados tratados sem base legal mesmo após notificação.
O teto legal previsto na LGPD é de 2% do faturamento bruto do grupo econômico no Brasil no último exercício, excluídos os tributos, com limite absoluto de R$ 50 milhões por infração. Cada infração é contada separadamente, o que pode elevar consideravelmente o valor total num processo que envolva múltiplas violações.
A multa, porém, não é a única reação da ANPD a uma violação, nem necessariamente a primeira. Advertência, publicização da infração, bloqueio de dados e suspensão do banco de dados também integram o rol. A agência pode aplicar sanções de forma isolada ou cumulativa, dependendo da gravidade do caso.
Como a ANPD calcula o valor da multa (dosimetria)
Em 2022, a ANPD publicou o Regulamento de Dosimetria e Aplicação de Sanções, que define a metodologia de cálculo. O processo ocorre em etapas sequenciais: parte-se de um valor-base, ajustado para cima ou para baixo conforme critérios objetivos previstos na LGPD e no próprio regulamento.
Critérios agravantes
Entre os fatores que elevam o valor da multa estão a reincidência na infração, o lucro obtido pelo controlador em decorrência da violação, o número de titulares afetados e a duração do tratamento irregular. Quanto maior o volume de pessoas impactadas, maior o peso desse critério na dosimetria.
Critérios atenuantes
Colaborar com a investigação, adotar boas práticas de governança em privacidade e demonstrar que a empresa possuía programa de conformidade ativo antes da infração são fatores que podem reduzir o valor final. A comunicação espontânea de incidentes à ANPD também é considerada positivamente.
Em casos específicos, a ANPD pode substituir a multa por outra sanção — quando a empresa é de pequeno porte, quando a infração é de baixa gravidade ou quando medidas corretivas já foram adotadas de forma satisfatória. Essa substituição não é automática: precisa ser justificada no processo administrativo.
Para onde vai o dinheiro arrecadado com as multas
O artigo 52 da LGPD determina que os valores arrecadados com multas sejam destinados ao Fundo de Defesa de Direitos Difusos (FDD), gerido pelo Ministério da Justiça. O recurso não fica retido na ANPD.
Essa destinação gera um debate recorrente no setor: a agência não é financiada pelas multas que aplica, o que elimina qualquer incentivo perverso de arrecadação. A outra face dessa moeda é que a ANPD fica dependente de dotações orçamentárias federais para crescer estruturalmente, o que tem sido um gargalo real.
Há também uma distinção operacional relevante: a multa paga voluntariamente pelo infrator dentro do prazo tem trâmite diferente da multa não paga, que é inscrita em dívida ativa pela Procuradoria-Geral da Fazenda Nacional (PGFN) e passa a ser cobrada judicialmente.
Casos reais: as primeiras multas aplicadas no Brasil
A primeira multa da história da ANPD foi aplicada a uma microempresa e publicada no Diário Oficial em 2023. O valor foi de R$ 14.400, baixo em termos absolutos, mas com relevância simbólica: demonstrou que o porte da empresa não é escudo contra sanções e que o processo administrativo sancionador estava funcionando.
O caso Telekall Infotek, também em 2023, envolveu uma empresa de telemarketing que tratava dados pessoais sem base legal adequada. A ANPD aplicou um conjunto de sanções que incluiu advertência e multa, tornando o caso uma referência sobre como múltiplas penalidades podem ser combinadas num único processo.
A maior multa aplicada até o momento chegou a R$ 6,6 milhões, num caso que envolveu o tratamento irregular de grande volume de dados, com agravantes de reincidência e ausência de medidas corretivas após notificação. O caso evidenciou que a ANPD está disposta a usar o teto superior da escala quando os critérios de dosimetria justificam.
O padrão observado até agora indica que a agência tem priorizado empresas com impacto em grande número de titulares, especialmente quando há dados sensíveis envolvidos ou quando os titulares pertencem a grupos vulneráveis, como crianças e idosos.
O ritmo de fiscalização: o que esperar da ANPD
O diretor-presidente da ANPD, Waldemar Gonçalves, descartou publicamente uma “explosão de multas” em 2026. A postura oficial da agência tem sido a de priorizar processos educativos, orientações setoriais e resoluções negociadas antes de escalar para sanções pecuniárias pesadas.
Isso não significa inércia regulatória. A ANPD tem concentrado esforços fiscalizatórios em setores considerados de maior risco para titulares vulneráveis: saúde, educação infantil, telemarketing e plataformas digitais de consumo massivo figuram nas prioridades declaradas da agência.
A trajetória das autoridades europeias no âmbito do GDPR oferece um paralelo útil. Nos primeiros anos de vigência do regulamento europeu (2018–2020), as DPAs priorizaram orientação antes de multas bilionárias. O Brasil parece seguir curva semelhante, com defasagem de alguns anos em relação à maturidade regulatória europeia.
Como reduzir o risco de ser multado pela ANPD
Manter o registro de operações de tratamento atualizado
O ROPA (Records of Processing Activities) é o ponto de partida de qualquer fiscalização. Uma empresa que não consegue descrever o que trata, com qual base legal e por quanto tempo retém os dados dificilmente demonstrará conformidade. O registro precisa refletir a realidade operacional atual, não o estado do sistema na época da implementação inicial.
Responder tempestivamente a solicitações de titulares
A demora ou recusa injustificada em atender pedidos de acesso, correção ou exclusão de dados é um dos critérios considerados na dosimetria. A LGPD estabelece prazos, e o descumprimento reiterado sinaliza à ANPD que a empresa não trata a privacidade como obrigação operacional.
Formalizar o DPO (Encarregado de Dados)
A nomeação do Encarregado de Dados precisa ser documentada e tornada pública, com canal de contato acessível. Ter um DPO ativo, com treinamento comprovável e participação nas decisões de privacidade, funciona como fator atenuante em processos administrativos.
Documentar evidências de conformidade
Políticas de privacidade, registros de treinamentos, logs de incidentes tratados, atas de reuniões de governança e contratos com operadores de dados são evidências concretas de que o programa de conformidade existe e funciona. Em caso de investigação, a empresa que apresenta documentação estruturada tem condições objetivamente melhores de negociar atenuantes.
Como avaliar sua exposição atual
Antes de qualquer investimento em ferramentas ou consultorias, responda a quatro perguntas objetivas: (1) Você sabe quais dados pessoais sua empresa trata hoje e com qual base legal? (2) Existe um canal funcional para solicitações de titulares, com prazo monitorado? (3) O Encarregado de Dados está formalmente nomeado e tem acesso às decisões de negócio que envolvem dados? (4) Há registro documentado de incidentes e das ações corretivas adotadas?
Se a resposta a qualquer dessas perguntas for “não” ou “não sei”, esse é o ponto de partida, antes de discutir tecnologias de automação de consentimento ou plataformas de gestão de privacidade. A conformidade com a LGPD começa em processos e governança, não em software.
