O que diz a LGPD sobre sanções administrativas

A Autoridade Nacional de Proteção de Dados (ANPD) passou a aplicar sanções administrativas a partir de agosto de 2021, quando o capítulo sancionatório da LGPD entrou em vigor. Antes disso, outros órgãos como a Senacon já atuavam com base em legislações de defesa do consumidor, criando um ambiente de fiscalização paralela que ainda persiste.

As penalidades estão listadas no artigo 52 da lei e vão muito além de multas financeiras. O rol inclui advertências, bloqueio de dados, suspensão de banco de dados e até proibição de atividades de tratamento, sanções que podem paralisar operações inteiras de marketing digital.

O processo sancionatório segue fases definidas: investigação preliminar, instauração de processo administrativo, fase de contraditório e ampla defesa, e por fim a graduação da pena. A empresa tem espaço para se defender, mas isso não elimina o risco de penalização caso a irregularidade seja comprovada.

Um ponto frequentemente ignorado é que as sanções podem ser aplicadas de forma cumulativa. Uma mesma infração pode gerar simultaneamente uma multa financeira, a publicização da irregularidade e o bloqueio dos dados envolvidos. Não se trata de escolher uma penalidade.

Valores das multas e como são calculados

A multa simples pode chegar a 2% do faturamento líquido da empresa, com teto de R$ 50 milhões por infração. A multa diária segue o mesmo percentual e incide enquanto a irregularidade não for corrigida, o que significa que a omissão no cumprimento pode multiplicar exponencialmente o valor final.

A base de cálculo não é o faturamento da empresa isolada, mas o faturamento do grupo econômico no último exercício fiscal, já excluídos os impostos. Para holdings e redes de franquias, isso pode elevar consideravelmente o teto efetivo da multa.

A ANPD utiliza critérios de graduação para definir o valor dentro da faixa permitida. Entre os principais fatores estão a gravidade e a natureza da infração, a boa-fé da empresa, a reincidência, o grau de cooperação com a autoridade e a adoção de mecanismos internos de conformidade. Empresas que demonstram programa de governança ativo tendem a receber penas menores.

Para fins comparativos, o GDPR europeu prevê multas de até 4% do faturamento global anual ou 20 milhões de euros, o que for maior. O regime brasileiro é menos severo em percentual, mas o teto de R$ 50 milhões por infração, somado à possibilidade de múltiplas infrações simultâneas, torna o risco financeiro concreto mesmo para empresas de médio porte.

Práticas de marketing que mais geram risco de autuação

O envio de e-mail marketing sem base legal válida é uma das infrações mais comuns. Consentimento e legítimo interesse são as bases mais utilizadas para esse canal, mas ambas exigem documentação. Consentimento precisa ser livre, informado, inequívoco e registrado. Legítimo interesse requer a realização de um teste de balanceamento (LIA) formalizado.

O uso de listas de dados compradas de terceiros é outro ponto crítico. Quando a empresa adquire uma base sem rastreabilidade do consentimento original, ela assume o risco de tratar dados sem base legal, mesmo que o vendedor afirme que os dados são “opt-in”. A responsabilidade não transfere automaticamente com a compra.

O marketing ativo por telefone acumulou histórico de autuações antes mesmo da ANPD. Em 2021, a Senacon aplicou multa de R$ 4 milhões a uma empresa de marketing direto por contatos não autorizados, com base no Código de Defesa do Consumidor e no Decreto 6.523. Esse tipo de operação continua sendo alvo prioritário de fiscalização.

Remarketing e tracking cross-site sem política de cookies adequada também expõem as empresas. A ausência de banner de consentimento funcional, a ativação de cookies de rastreamento antes do aceite do usuário ou a ausência de opção de recusa configuram tratamento irregular de dados, especialmente quando os dados são compartilhados com redes de anúncios.

A retenção de dados além do período necessário para a finalidade declarada é um risco estrutural. Muitas operações de marketing acumulam bases históricas sem política de descarte, o que caracteriza tratamento sem finalidade legítima para os dados mais antigos.

Outras sanções além da multa financeira

A advertência com prazo para correção tende a ser a primeira resposta da ANPD em casos menos graves ou de menor impacto. Ela não gera ônus financeiro imediato, mas abre um prazo formal: o descumprimento transforma a situação em infração agravada, com sanções mais pesadas na sequência.

O bloqueio ou a eliminação dos dados pessoais envolvidos na infração pode afetar diretamente campanhas ativas. Se uma base usada em automação de marketing for bloqueada por ordem da ANPD, toda a operação vinculada a ela para até a resolução do processo.

A suspensão parcial ou total do banco de dados pode durar até seis meses, com possibilidade de prorrogação. Para empresas cuja operação comercial depende de CRM e automação, esse tipo de sanção é potencialmente mais impactante do que a multa financeira.

A publicização da infração é a sanção de maior impacto reputacional, especialmente para marcas B2C. A ANPD pode tornar público o nome da empresa, a natureza da infração e a penalidade aplicada. Em segmentos competitivos, isso pode gerar perda de confiança do consumidor e cobertura negativa na imprensa.

Histórico de multas no Brasil: o que já aconteceu

A primeira multa aplicada diretamente pela ANPD veio em julho de 2023, contra uma operadora de telemarketing. O caso envolveu tratamento irregular de dados de consumidores e falta de resposta adequada às solicitações de titulares. O valor não foi o mais alto possível, mas o precedente foi relevante.

Antes disso, a Senacon já havia aplicado a multa de R$ 4 milhões em 2021 contra empresa de marketing ativo, demonstrando que o ambiente regulatório para dados em marketing nunca foi de tolerância zero, mesmo antes da ANPD estar plenamente operacional.

A partir de 2023, o volume de processos abertos pela ANPD cresceu de forma consistente, impulsionado principalmente por reclamações diretas de titulares de dados. Esse canal — qualquer pessoa pode registrar queixa no portal da ANPD — tornou-se o principal gatilho de investigações.

Um equívoco comum foi derrubado na prática: empresas de pequeno porte também foram autuadas. O argumento de que “a lei só afeta grandes corporações” não encontra respaldo nos casos registrados. Microempresas e startups que tratam dados de consumidores estão sujeitas ao mesmo regime sancionatório.

Como reduzir o risco de multa na operação de marketing

O ponto de partida é o mapeamento de atividades de tratamento de dados, conhecido como RoPA (Record of Processing Activities). Cada finalidade de uso de dados, seja segmentação, envio de e-mail, remarketing ou enriquecimento de perfil, deve ter uma base legal explícita documentada. Sem esse mapeamento, é impossível demonstrar conformidade em um processo administrativo.

Contratos com fornecedores de mídia, plataformas de CRM e ferramentas de automação precisam ser revisados para incluir cláusulas que delimitem claramente as responsabilidades de controlador e operador. Quando a empresa contrata uma ferramenta para tratar dados em seu nome, ela permanece responsável pela conformidade da operação.

A gestão de consentimento deve ser implementada com registro auditável de opt-in e opt-out. Não basta ter um checkbox no formulário: é necessário armazenar o momento do consentimento, a versão da política de privacidade aceita e o histórico de alterações. Plataformas de CMP (Consent Management Platform) cumprem essa função.

Equipes internas de marketing e agências parceiras precisam de treinamento específico sobre as obrigações da LGPD. Decisões operacionais do dia a dia — escolha de uma lista, configuração de uma campanha de retargeting, integração com uma nova fonte de dados — têm implicações legais que dependem de quem executa entender o contexto.

O canal de atendimento ao titular de dados precisa funcionar de verdade. Reclamações não respondidas dentro do prazo legal são o principal motivo de denúncias à ANPD. Um processo interno eficiente para tratar pedidos de acesso, correção, eliminação e oposição reduz diretamente a exposição a processos administrativos.

Como avaliar a maturidade da sua operação

Antes de qualquer ação, faça uma auditoria simples nas práticas de coleta e uso de dados nas campanhas ativas. Verifique se cada canal de captura, como formulários, landing pages e integrações com pixels, tem base legal definida e documentada.

Revise o inventário de ferramentas conectadas ao CRM ou à plataforma de automação. Cada integração é um ponto de compartilhamento de dados que exige cláusula contratual adequada e verificação da política de privacidade do fornecedor.

Teste o fluxo de atendimento ao titular: envie uma solicitação de exclusão para o próprio canal de contato da empresa e meça o tempo e a qualidade da resposta. Se o processo não estiver funcionando internamente, é improvável que funcione quando a solicitação vier de um titular real ou de um agente da ANPD.

Consulte o Guia Orientativo de Bases Legais da ANPD, disponível no site da autoridade, para validar se as bases legais aplicadas às atividades de marketing estão sendo usadas corretamente. É um documento público, técnico e diretamente aplicável ao dia a dia das operações.