O que são as sanções administrativas previstas na LGPD

O artigo 52 da Lei 13.709/2018 (LGPD) estabelece o rol de penalidades aplicáveis às organizações que descumprem as obrigações de proteção de dados pessoais. Essas sanções têm natureza administrativa, o que significa que a autoridade competente para aplicá-las é a ANPD (Autoridade Nacional de Proteção de Dados), não o Poder Judiciário.

A escala de gravidade vai de medidas corretivas leves, como a advertência, até penalidades severas, como a suspensão ou proibição total da atividade de tratamento de dados. A progressão entre esses níveis não é automática: depende de avaliação criteriosa da ANPD conforme regulamentação específica.

Um ponto que as empresas frequentemente subestimam: as sanções administrativas não substituem nem afastam a responsabilidade civil perante titulares prejudicados, nem eventual responsabilidade penal em casos específicos. Uma infração pode gerar consequências simultâneas em múltiplas esferas jurídicas.

Lista completa das sanções: da advertência à proibição

O art. 52 da LGPD prevê oito modalidades de sanção, aplicáveis de forma isolada ou cumulativa. Conhecer cada uma delas é essencial para dimensionar o risco real de não conformidade.

Advertência

É o primeiro instrumento da ANPD e vem acompanhada de prazo determinado para que a organização adote medidas corretivas. Não há penalidade financeira direta, mas o descumprimento das medidas indicadas pode escalar para sanções mais graves. Serve também como registro formal de que a empresa foi notificada.

Multa simples

Pode chegar a 2% do faturamento anual do grupo econômico no Brasil, limitada a R$ 50 milhões por infração. O teto por infração é relevante: múltiplas infrações distintas podem gerar múltiplas multas, cada uma com seu próprio limite. O cálculo não parte automaticamente do valor máximo — a dosimetria define o patamar real.

Multa diária

Aplicada para forçar o cumprimento de uma obrigação específica que a empresa se recusa ou demora a cumprir. Compartilha o mesmo teto da multa simples (R$ 50 milhões), mas incide por dia de descumprimento. Em casos prolongados, o impacto financeiro acumulado pode ser substancial.

Publicização da infração

Após confirmação do processo administrativo, a ANPD pode tornar pública a infração e a identidade da organização infratora. O dano reputacional tende a superar o financeiro em muitos segmentos, especialmente em mercados B2B onde a confiança é ativo crítico.

Bloqueio ou eliminação dos dados

Sanção direcionada especificamente aos dados pessoais envolvidos na infração. O bloqueio impede temporariamente o uso dos dados; a eliminação é permanente. Ambas podem impactar operações que dependem desses registros para funcionamento.

Suspensão e proibição de atividade de tratamento

As sanções mais severas do rol. A suspensão pode ser parcial (um banco de dados, uma finalidade específica) ou total. A proibição é definitiva. A Resolução CD/ANPD nº 4/2023 reforça o caráter subsidiário dessas medidas: só podem ser aplicadas após a imposição de sanções anteriores, salvo situações excepcionais de risco grave e iminente aos titulares.

Como a ANPD calcula e aplica as multas: dosimetria

A Resolução CD/ANPD nº 4/2023 é o documento central para entender como as multas são efetivamente calculadas. Ela regulamenta o processo administrativo sancionador e estabelece a metodologia de dosimetria, o conjunto de critérios que define o valor final de uma penalidade.

Critérios agravantes

Aumentam o valor ou a gravidade da sanção aplicada. Os principais são: má-fé comprovada do agente de tratamento, reincidência em infrações da mesma natureza, volume expressivo de titulares afetados, envolvimento de dados sensíveis (saúde, biometria, origem racial, orientação sexual, entre outros) e obtenção de vantagem econômica com a infração.

Critérios atenuantes

Reduzem a penalidade. A ANPD considera positivamente: adoção documentada de boas práticas e programas de governança em privacidade, cooperação ativa durante a investigação, ausência de dano concreto aos titulares, comunicação espontânea do incidente e adoção imediata de medidas corretivas após a ciência da infração.

Base de cálculo da multa

O faturamento considerado é o da pessoa jurídica no Brasil referente ao exercício anterior ao início do processo administrativo sancionador. Para grupos econômicos, pode ser considerado o faturamento consolidado. Essa distinção importa especialmente para subsidiárias de multinacionais ou para holdings com múltiplos CNPJs.

A progressividade das sanções mais graves também está regulada: suspensão e proibição exigem que sanções anteriores já tenham sido aplicadas e não tenham sido eficazes. A ANPD não pode pular etapas, salvo em casos de risco grave e iminente devidamente fundamentados.

Histórico de aplicação pela ANPD no Brasil

A ANPD só passou a ter poder efetivo de aplicar sanções após sua transformação em autarquia de natureza especial, concluída em 2021. Antes disso, a autoridade operava com estrutura precária e sem autonomia orçamentária plena, o que limitou drasticamente a fiscalização nos primeiros anos da lei.

Os primeiros processos administrativos públicos da ANPD envolveram majoritariamente empresas de pequeno e médio porte. Isso gerou crítica legítima do mercado: organizações sem estrutura mínima de compliance foram expostas a processos que demandam capacidade técnica e jurídica que muitas não possuem.

A fiscalização ainda é fortemente orientada por denúncias, seja de titulares, de concorrentes ou da imprensa, e por casos de maior repercussão pública, como vazamentos de grande escala. A fiscalização proativa e sistemática, com auditorias de ofício em setores específicos, ainda está em construção.

A tendência é clara: à medida que a ANPD consolida equipe técnica, orçamento e capacidade operacional, o volume de processos administrativos deve crescer. Empresas que adiaram a adequação com base na percepção de baixo risco de fiscalização estão operando com uma premissa cada vez menos válida.

Principais condutas que geram sanções na prática

Identificar os gatilhos mais frequentes de processos sancionadores ajuda a priorizar esforços de conformidade. Na prática, as condutas que mais concentram reclamações e investigações são:

• Vazamento de dados por ausência de medidas técnicas adequadas: servidores expostos, senhas fracas, ausência de criptografia e controle de acesso deficiente são as causas mais comuns de incidentes notificáveis.
• Coleta e tratamento sem base legal definida: usar dados para finalidades não previstas ou sem consentimento válido (quando este é a base legal aplicável) é infração direta ao art. 7º da LGPD.
• Política de Privacidade genérica ou desatualizada: documentos copiados de modelos que não refletem o tratamento real realizado pela organização não cumprem a exigência de transparência da lei.
• Não atendimento a direitos do titular: ignorar ou atrasar pedidos de acesso, correção, exclusão e portabilidade é conduta que a ANPD trata como violação autônoma, independente de haver vazamento.
• Ausência de DPO ou canal de comunicação com titulares: organizações obrigadas a nomear um Encarregado (DPO) que não o fazem, ou não divulgam os dados de contato publicamente, cometem infração formal mesmo sem incidente associado.

Como reduzir o risco de sanções: próximos passos

Conformidade com a LGPD não é um projeto único com data de conclusão. É um processo contínuo de governança. As medidas abaixo constroem a base mínima para reduzir exposição a sanções de forma sustentável.

Mapeamento de dados (ROPA)

O Registro de Operações de Tratamento (equivalente ao ROPA do GDPR europeu) é o ponto de partida. Sem saber quais dados são coletados, por quem, com qual finalidade e com que base legal, é impossível identificar lacunas de conformidade. O mapeamento deve ser revisado sempre que houver mudança relevante em processos ou sistemas.

Programa de governança em privacidade

A ANPD considera a existência de programa documentado como critério atenuante na dosimetria. Esse programa deve incluir políticas internas, responsabilidades definidas, processo de avaliação de riscos (DPIA para tratamentos de alto risco) e evidências de revisão periódica. Documentação sem implementação real não produz o mesmo efeito atenuante.

Treinamento de equipes

Grande parte dos incidentes de dados tem origem em erro humano: envio de planilha com dados pessoais para o destinatário errado, uso de e-mail corporativo para serviços pessoais, compartilhamento de credenciais. Treinamentos periódicos e objetivos reduzem significativamente essa categoria de risco operacional.

Plano de resposta a incidentes

A LGPD exige notificação à ANPD em prazo razoável após a ciência de um incidente que possa causar risco ou dano relevante aos titulares. A ANPD tem adotado como referência o prazo de até 3 dias úteis após a ciência. Sem um plano de resposta pré-definido, com responsáveis, fluxo de comunicação e critérios de avaliação de gravidade, esse prazo raramente é cumprido.

Para startups e MPEs: redução de custo sem redução de obrigação

O porte da empresa não elimina obrigações legais, mas há caminhos para reduzir o custo de entrada na conformidade. Ferramentas open source de mapeamento de dados, modelos de política de privacidade adaptáveis (disponibilizados por entidades como IAPP e grupos acadêmicos brasileiros) e consultorias pontuais para estruturar o básico são alternativas viáveis antes de investir em plataformas de gestão de privacidade completas. O critério de avaliação deve ser: o que a ANPD esperaria encontrar em uma fiscalização hoje?

Como avaliar sua posição atual

Uma forma prática de priorizar é simular uma denúncia de titular à ANPD e mapear o que a empresa conseguiria demonstrar em resposta: base legal do tratamento, política de privacidade atualizada, canal de atendimento funcional, registro de incidentes e evidências de treinamento. O que não puder ser documentado em 48 horas é o que deve entrar no topo do plano de ação.