O que são as sanções administrativas da ANPD

O artigo 52 da LGPD lista nove tipos de sanções que a Autoridade Nacional de Proteção de Dados pode aplicar aos agentes de tratamento, controladores e operadores, que descumprirem a lei. Essas sanções podem ser aplicadas de forma isolada ou cumulativa, dependendo da gravidade do caso.

O rol começa pelas menos severas: advertência com prazo para adoção de medidas corretivas e publicização da infração. Escala para multa simples de até 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração, e para multa diária com o mesmo teto. Nas situações mais graves, a ANPD pode determinar bloqueio ou eliminação dos dados pessoais envolvidos, suspensão parcial do banco de dados e, em último caso, proibição total ou parcial do tratamento de dados.

Há dois tipos distintos de atuação da autoridade. As medidas corretivas têm caráter reparador: a ANPD exige que a organização corrija a irregularidade, sem aplicar penalidade financeira imediata. As sanções punitivas propriamente ditas visam a responsabilizar o infrator e desincentivar condutas futuras semelhantes. As duas podem coexistir no mesmo processo.

Critérios que a ANPD usa para dosar a sanção

A dosimetria das sanções administrativas da ANPD não é arbitrária. O §1º do art. 52 da LGPD define os parâmetros que a autoridade deve considerar ao calibrar a penalidade, e a Resolução CD/ANPD nº 4/2023 detalhou esse processo com uma metodologia estruturada em fases.

Fatores agravantes

• Gravidade e natureza da infração: dados sensíveis, como saúde, origem racial, biometria e orientação sexual, elevam automaticamente a severidade da análise.
• Vantagem auferida: se a organização obteve ganho econômico com o tratamento irregular, esse fator pesa contra ela na fixação da multa.
• Reincidência: infrações repetidas no mesmo agente de tratamento resultam em penalidades progressivamente maiores.
• Volume de dados e número de titulares afetados: incidentes que expõem milhões de registros recebem tratamento diferente de casos pontuais.

Fatores atenuantes

• Boa-fé e cooperação: organizações que colaboram ativamente com a investigação, apresentam documentação e adotam correções espontâneas tendem a receber penalidades menores.
• Comunicação tempestiva do incidente: notificar a ANPD dentro do prazo legal é tratado como atenuante formal no processo sancionador.
• Porte econômico reduzido: microempresas e pequenas empresas têm o fator de porte considerado na fase de ajuste da multa, não como isenção, mas como redutor.

O porte econômico da organização é considerado, mas não isenta ninguém. Uma pequena empresa que trata dados de saúde sem nenhuma medida de segurança pode receber sanção proporcional ao seu faturamento, mas ainda assim será sancionada.

Como funciona o processo administrativo sancionador

O processo começa de duas formas: por denúncia de terceiros ou por fiscalização iniciada de ofício pela própria ANPD. No caso de denúncias, apenas o titular dos dados afetados ou quem presenciou diretamente a infração pode protocolar petição no portal da autoridade. Denúncias anônimas podem gerar investigação, mas não constituem petição formal com validade processual.

Após a instauração, o processo segue fases definidas: investigação preliminar, abertura formal do processo administrativo, notificação do investigado, fase de contraditório e ampla defesa, e decisão fundamentada. O investigado tem prazo para apresentar defesa e pode recorrer da decisão em instância administrativa dentro da própria ANPD.

Antes da sanção definitiva, existe a possibilidade de celebrar um Termo de Ajustamento de Conduta (TAC). O TAC suspende o processo sancionador enquanto o infrator cumpre obrigações acordadas com a ANPD: prazos para implementar controles, nomear DPO, revisar políticas de privacidade. O descumprimento do TAC retoma o processo e pode agravar a situação do investigado.

Todo o fluxo é público: os processos concluídos, as decisões e os TACs firmados são publicados no portal da ANPD e no Diário Oficial da União.

Casos reais: quem a ANPD já sancionou e por quê

Até o início de 2026, o volume de sanções aplicadas pela ANPD ainda é relativamente pequeno se comparado à quantidade de incidentes reportados. Isso reflete tanto a fase de estruturação da autoridade quanto a priorização de casos com maior impacto público.

O caso de maior repercussão envolveu o Ministério da Saúde, sancionado em 2024 em decorrência do incidente de segurança de 2022 que comprometeu dados do sistema ConecteSUS. A investigação concluiu que houve falhas nos controles de acesso e ausência de medidas técnicas adequadas para proteger dados sensíveis de saúde de milhões de brasileiros. Foi o primeiro caso de grande porte envolvendo um órgão público federal.

Outros processos concluídos envolveram casos menores, com advertência aplicada por ausência de DPO formalmente nomeado, falta de Política de Privacidade acessível ao titular e ausência de registros das atividades de tratamento, o chamado ROPA (Record of Processing Activities), exigido pela LGPD para controladores de médio e grande porte.

A irregularidade mais recorrente identificada nos processos concluídos até 2026 foi a não comunicação de incidentes dentro do prazo. Organizações que sofreram vazamentos e demoraram para notificar a ANPD foram responsabilizadas especificamente por essa omissão, independentemente de terem adotado medidas corretivas depois.

O padrão que emerge desses casos é claro: as infrações predominantes não são falhas técnicas sofisticadas, como exploração de vulnerabilidades zero-day. São falhas básicas de governança — ausência de documentação, DPO não designado, falta de treinamento registrado e comunicação de incidente fora do prazo.

Implicações práticas para organizações no Brasil

A percepção de que a ANPD foca apenas em grandes empresas ou em incidentes de alto volume é equivocada. O radar da autoridade inclui pequenas e médias empresas, especialmente em setores que tratam dados sensíveis como saúde, educação e financeiro. O porte atenua, mas não isenta.

O prazo para comunicação de incidentes à ANPD é de dois dias úteis a partir da ciência do evento, conforme a Resolução CD/ANPD nº 2/2022. Esse prazo é curto e exige procedimentos internos de resposta a incidentes previamente definidos. Improvisar no momento do incidente quase sempre resulta em comunicação fora do prazo.

Nos processos sancionadores, o principal elemento de defesa é a existência de um programa de conformidade documentado: políticas de privacidade, registros de atividades de tratamento, contratos com operadores, treinamentos registrados, relatórios de impacto (RIPD) quando aplicáveis. Organizações sem essa documentação partem em desvantagem no contraditório.

A atuação do DPO (Encarregado pelo Tratamento de Dados Pessoais) também é avaliada nos processos. Não basta nomear alguém formalmente: a ANPD verifica se o DPO tem acesso à alta direção, se responde às solicitações de titulares e se participa das decisões de tratamento. DPOs figurativos não protegem a organização.

Como avaliar a exposição da sua organização

Um diagnóstico de exposição às sanções administrativas da ANPD pode ser feito com base nas irregularidades mais comuns identificadas nos processos já concluídos:

1. Verifique se o DPO está formalmente nomeado e se seus dados de contato estão publicados no site da organização, conforme exigido pela LGPD.
2. Revise o processo de comunicação de incidentes: existe um procedimento interno com responsáveis definidos e prazo de acionamento inferior a dois dias úteis?
3. Audite o ROPA: o registro de atividades de tratamento está atualizado e reflete o que a organização realmente faz com os dados?
4. Cheque os contratos com operadores: fornecedores e parceiros que tratam dados em nome da organização têm cláusulas de proteção de dados formalizadas?
5. Acompanhe as decisões publicadas pela ANPD: o portal da autoridade concentra precedentes administrativos que funcionam como jurisprudência e antecipam os critérios que serão aplicados em novos processos.

As decisões já publicadas são a fonte mais direta para entender o que a ANPD considera infração grave, quais atenuantes reconhece e qual o peso real de cada fator de dosimetria. Monitorar esse repositório regularmente é parte do trabalho de qualquer equipe de privacidade ou jurídico interno.