Resposta rápida: quanto uma empresa pode ser multada pela LGPD?
O Art. 52 prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração.
Mas reduzir o risco da LGPD a esse número é incorreto. A lei também prevê outras sanções administrativas e a empresa pode enfrentar responsabilidade civil, consumerista, contratual ou setorial fora do processo sancionador da ANPD.
Principais conclusões
- R$ 50 milhões é limite por infração da multa simples, não teto de toda exposição jurídica.
- O Art. 52 possui sanções não financeiras com impacto operacional relevante.
- A Resolução 4/2023 disciplina dosimetria e aplicação das sanções.
- Gravidade, reincidência, cooperação, boa-fé, medidas de segurança e correção podem influenciar a análise.
- Enforcement não se resume a grandes multas; advertências, determinações e processos também importam.
Quais sanções a LGPD prevê?
O Art. 52 inclui:
- advertência, com indicação de prazo para adoção de medidas corretivas;
- multa simples;
- multa diária;
- publicização da infração após devidamente apurada e confirmada;
- bloqueio dos dados pessoais a que se refere a infração até regularização;
- eliminação dos dados pessoais a que se refere a infração;
- suspensão parcial do funcionamento do banco de dados por até seis meses, prorrogável uma vez;
- suspensão do exercício da atividade de tratamento por até seis meses, prorrogável uma vez;
- proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
A aplicação observa o processo administrativo e direito de defesa.
Como funciona a multa de 2%?
A base legal da multa simples é até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração.
Isso não significa que toda infração gerará 2% nem que toda empresa pode ser automaticamente multada em R$ 50 milhões. A dosimetria depende do caso.
Multa diária
A multa diária é outra sanção e deve observar o limite total estabelecido no Art. 52 para a multa correspondente. Seu objetivo pode ser pressionar o agente a interromper ou corrigir determinada conduta.
Sanções restritivas
Bloqueio, eliminação, suspensão e proibição podem ser mais disruptivos para certos negócios do que uma multa financeira. Uma plataforma cujo banco de dados é essencial ao serviço precisa tratar risco operacional como parte da conformidade.
A regulamentação de dosimetria estabelece requisitos para aplicação dessas sanções, incluindo sequência e circunstâncias do caso.
Como a ANPD avalia a gravidade?
A Resolução 4/2023 classifica infrações e disciplina parâmetros de aplicação. Uma infração pode ser considerada média quando afeta significativamente interesses e direitos fundamentais, por exemplo com limitação de serviço ou possibilidade de danos materiais ou morais.
A classificação grave pode envolver critérios adicionais, como:
- tratamento em larga escala;
- vantagem econômica pretendida ou obtida;
- risco à vida;
- dados sensíveis;
- dados de crianças, adolescentes ou idosos;
- tratamento sem base legal;
- tratamento discriminatório;
- adoção sistemática de práticas irregulares;
- obstrução à fiscalização.
A análise exata depende da norma e dos fatos.
Advertência
Advertência pode ser aplicada em certas infrações leves ou médias quando presentes as condições da regulamentação. Ela não deve ser tratada como “sem consequência”: pode exigir medidas corretivas e deixar registro regulatório.
Fatores que podem influenciar a sanção
A LGPD e a regulamentação consideram elementos como:
- gravidade e natureza das infrações e dos direitos afetados;
- boa-fé;
- vantagem auferida ou pretendida;
- condição econômica do infrator;
- reincidência;
- grau do dano;
- cooperação;
- adoção reiterada de mecanismos e procedimentos de proteção;
- política de boas práticas e governança;
- pronta adoção de medidas corretivas;
- proporcionalidade entre gravidade e intensidade da sanção.
Isso reforça a importância de evidências de governança antes do incidente ou fiscalização.
R$ 50 milhões não é “exposição total”
Além da ANPD, uma empresa pode lidar com:
- ações individuais ou coletivas;
- órgãos de defesa do consumidor;
- Ministério Público;
- reguladores setoriais;
- obrigações contratuais;
- incidentes de segurança;
- impacto reputacional e comercial.
O cálculo de risco deve ser mais amplo que o teto da multa administrativa.
Exemplos de enforcement
A primeira multa anunciada pela ANPD em 2023, no caso Telekall, foi relativamente pequena em valor absoluto e acompanhada de advertência. O caso é útil justamente porque mostra que enforcement não depende de penalidades gigantes para existir.
Em 2026, ações de monitoramento da ANPD sobre canais de encarregado e exercício de direitos também demonstram uma atuação regulatória que começa por fiscalização e adequação e pode avançar para processos sancionadores quando há ausência de resposta ou descumprimento.
O que aumenta o risco prático?
- ignorar comunicações da ANPD;
- não ter canal de titulares funcional;
- não conhecer os dados e fornecedores;
- manter tratamento sem base legal documentada;
- não agir após incidente;
- descumprir instruções ou determinações;
- repetir falhas conhecidas;
- não ter evidência de medidas de segurança;
- tratar dados sensíveis ou de menores sem controles proporcionais.
O que ajuda a demonstrar responsabilização?
- data map e ROPA atualizados;
- decisões de base legal;
- teste de legítimo interesse quando aplicável;
- contratos e revisão de fornecedores;
- controles de segurança;
- registros de incidentes;
- treinamento;
- gestão de direitos;
- plano de remediação;
- governança contínua.
Erros comuns
“A multa máxima é R$ 50 milhões, então esse é nosso pior cenário.”
Não. É o limite por infração da multa simples administrativa, não de toda exposição.
“Empresa pequena não é fiscalizada.”
O porte pode influenciar regime e dosimetria, mas não elimina deveres aplicáveis.
“Se não houver vazamento, não há risco de sanção.”
A LGPD abrange muito mais que segurança: base legal, direitos, transparência, governança, entre outros.
“Só precisamos reagir se a ANPD enviar multa.”
Monitoramento, advertência e medidas corretivas já fazem parte do enforcement.
Checklist para reduzir exposição
- Identifique tratamentos de maior risco.
- Corrija ausência de base legal.
- Teste canal de direitos.
- Revise dados sensíveis e menores.
- Mapeie fornecedores críticos.
- Revise transferências.
- Teste incident response.
- Mantenha ROPA.
- Registre remediações.
- Responda tempestivamente a autoridades.
Perguntas frequentes
A multa máxima é por empresa ou por infração?
O limite de R$ 50 milhões indicado no Art. 52 é por infração para a multa simples.
A ANPD pode mandar excluir dados?
Sim, o Art. 52 prevê eliminação dos dados relacionados à infração em determinadas condições.
A ANPD pode suspender tratamento?
A lei prevê sanções de suspensão e proibição em hipóteses e condições específicas.
Existe prisão por violar a LGPD?
A LGPD é lei de proteção de dados com sanções administrativas e responsabilidade civil; outros ilícitos previstos em legislação penal podem existir conforme a conduta, mas não se deve tratar a LGPD como um catálogo autônomo de crimes.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil