Multa LGPD: sanções da ANPD, responsabilidade civil e como reduzir o risco

A pergunta que mais chega aos escritórios atuantes em proteção de dados não é “o que é a LGPD” — é “quanto posso perder se não estiver em conformidade?”. É uma pergunta legítima, e a resposta merece precisão: até R$ 50 milhões por infração na via administrativa; responsabilidade civil objetiva por danos a titulares na via judicial; e, nos casos mais graves, bloqueio e eliminação de dados ou suspensão das atividades de tratamento. As vias são independentes e podem ser percorridas simultaneamente.

Desde que o regime sancionatório da Lei 13.709/2018 entrou em vigor, em agosto de 2021, a Autoridade Nacional de Proteção de Dados (ANPD) consolidou sua atuação fiscalizatória. A primeira multa foi aplicada a uma microempresa. As notificações subsequentes alcançaram empresas do porte de Uber, Telegram, Telefônica e Serasa. O padrão é claro: porte, setor e notoriedade não são critérios de imunidade.

Este artigo analisa o regime de sanções da LGPD — as previstas no art. 52, os critérios de dosimetria, os casos reais já decididos pela ANPD e a responsabilidade civil por vazamento de dados. É o terceiro artigo da área de Direito Digital da Barbieri Advogados, em continuidade ao artigo sobre obrigações da LGPD para empresas e ao artigo sobre inteligência artificial na advocacia e a proteção de dados dos clientes.—

Quais são as sanções previstas na LGPD

O rol do art. 52 — da advertência à proibição de atividade

O art. 52 da LGPD estabelece o rol de sanções administrativas que a ANPD pode aplicar aos agentes de tratamento que violarem a lei. As sanções estão dispostas em ordem crescente de gravidade: advertência, com indicação de prazo para adoção de medidas corretivas; multa simples; multa diária; publicização da infração; bloqueio dos dados pessoais a que se refere a infração até sua regularização; eliminação dos dados pessoais; suspensão parcial do funcionamento do banco de dados por período de até seis meses, prorrogável por igual período; suspensão do exercício da atividade de tratamento dos dados pessoais; e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

A advertência é a sanção de menor gravidade formal, mas tem consequências práticas relevantes: estabelece prazo para adoção de medidas corretivas e, se não cumprida, abre caminho para sanções mais graves. A publicização da infração — que implica a divulgação pública do descumprimento, após apuração e confirmação — é, em muitos casos, a sanção de maior impacto reputacional, especialmente para empresas B2C com forte dependência da confiança do consumidor.

A multa simples: 2% do faturamento e o limite de R$ 50 milhões

A multa simples pode chegar a 2% do faturamento da pessoa jurídica de direito privado no Brasil, referente ao último exercício, excluídos os tributos, com limite de R$ 50 milhões por infração (art. 52, II). A base de cálculo — faturamento bruto do último exercício, não o lucro — é relevante: para empresas com margem reduzida, a multa pode representar múltiplos de sua lucratividade anual. Para startups e pequenas empresas com faturamento baixo, o teto de R$ 50 milhões dificilmente será atingido, mas a multa calculada sobre o faturamento pode ser proporcionalmente elevada se comparada ao porte da operação.

A lei não define o que constitui uma “infração” para fins de contagem do limite de R$ 50 milhões. Em tese, cada violação autônoma — cada operação de tratamento irregular, cada incidente de segurança não comunicado, cada recusa ilegal a atender solicitação de titular — pode ser contabilizada como infração distinta, com seu próprio teto de multa. Essa interpretação, se consolidada pela ANPD, amplia substancialmente a exposição financeira de empresas com múltiplas violações simultâneas.

Multa diária, bloqueio, eliminação e suspensão

A multa diária é aplicada para compelir a cessação de violação continuada, observado o mesmo limite total de R$ 50 milhões. É uma sanção de natureza coercitiva — seu objetivo não é reparar o dano passado, mas forçar a adequação imediata. O bloqueio dos dados pessoais implica a suspensão temporária de qualquer operação de tratamento sobre os dados afetados pela infração, até que a irregularidade seja sanada. A eliminação dos dados é a medida mais drástica no espectro das sanções sobre os próprios dados: determina a destruição irreversível das informações tratadas em violação à lei.

A suspensão e a proibição de atividades de tratamento são as sanções de última instância, reservadas para casos de especial gravidade e reincidência. A proibição total pode, na prática, inviabilizar o modelo de negócio de empresas cujo núcleo operacional depende do tratamento de dados pessoais — o que torna essas sanções instrumentos de pressão regulatória de peso equivalente, em determinados contextos, às multas financeiras.

As sanções não são excludentes

Um ponto frequentemente subestimado pelas empresas é que as sanções do art. 52 não são excludentes entre si. A ANPD pode, na mesma decisão, aplicar advertência, multa simples, multa diária e publicização da infração cumulativamente, quando as circunstâncias do caso justificarem. A cumulação é especialmente provável em situações de: infração grave com dano relevante a titulares, ausência de medidas corretivas voluntárias após ciência da violação, reincidência, e ausência de programa de conformidade.—

Como a ANPD calcula e aplica as multas: a dosimetria do art. 52

Os oito fatores legais de dosimetria

O art. 52, §1º da LGPD estabelece os critérios que a ANPD deve considerar na dosimetria das sanções. São oito fatores: a gravidade e a natureza das infrações e dos direitos pessoais afetados; a boa-fé do infrator; a vantagem auferida ou pretendida pelo infrator; a condição econômica do infrator; a reincidência; o grau do dano; a cooperação do infrator; e a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano — o que a doutrina e a prática chamam de programa de conformidade ou privacy governance.

A combinação desses fatores pode elevar ou reduzir substancialmente o valor final da sanção em relação ao teto previsto. Uma empresa que trata dados de forma negligente, auferindo vantagem econômica com o comportamento irregular, reincide após advertência e não tem programa de conformidade documentado parte de uma posição radicalmente pior do que uma empresa que demonstra boa-fé, colabora com a investigação e tem processos internos funcionais — ainda que tenha cometido a mesma violação formal.

O programa de conformidade como fator atenuante real

O inciso VIII do art. 52, §1º — que elenca a adoção de mecanismos e procedimentos internos de boas práticas como fator de dosimetria — é o dispositivo que transforma o investimento em compliance em argumento jurídico concreto no processo administrativo. Não basta ter uma política de privacidade no site: o programa de conformidade que atenua a sanção é aquele documentado, funcional e verificável — com mapeamento de dados atualizado, base legal definida para cada operação de tratamento, encarregado de dados efetivamente ativo, registros de atividades de tratamento, e histórico de atendimento a titulares.

A ANPD tem demonstrado disposição para encerrar processos sancionatórios por meio de termos de compromisso, condicionando o arquivamento à adoção de medidas corretivas específicas com prazos definidos. Essa prática, que privilegia a correção do comportamento sobre a punição, é acessível prioritariamente às empresas que demonstram boa-fé e disposição para adequação — atributos que se comprovam justamente pela existência de um programa de conformidade em andamento.

O rito do processo administrativo sancionatório

O processo administrativo sancionatório da ANPD obedece ao rito previsto no Regulamento do Processo Administrativo Sancionador da Autoridade, que assegura ao investigado o contraditório e a ampla defesa. O processo se inicia com uma fase de investigação preliminar, seguida de instauração formal, notificação do investigado, prazo para defesa escrita, eventual fase de instrução probatória, e decisão fundamentada. O investigado tem direito a recurso administrativo da decisão de primeira instância.

A abertura de investigação pela ANPD não implica, por si só, a aplicação de sanção. Empresas notificadas que cooperam com a investigação, apresentam defesa técnica qualificada e demonstram adoção voluntária de medidas corretivas têm histórico de resultados mais favoráveis. A assessoria jurídica especializada desde o momento da notificação — e não apenas após a decisão de primeira instância — é o elemento que faz diferença prática nesse processo.—

Os casos reais: o que a ANPD já decidiu

Telekall Infoservice — a primeira multa da ANPD

O Processo Administrativo nº 00261.000489/2022-62 resultou na primeira sanção de multa aplicada pela ANPD no Brasil. A empresa investigada, Telekall Infoservice, era uma microempresa que oferecia listas de contatos do WhatsApp para uso em campanhas eleitorais sem qualquer base legal que autorizasse o tratamento. Além da violação material — tratamento sem base legal —, a ANPD constatou a ausência de encarregado de dados (DPO), em descumprimento do art. 41 da LGPD.

A multa aplicada foi de R$ 14.400 — valor modesto em termos absolutos, mas com significado regulatório de primeira ordem: demonstrou que a ANPD aplica sanções a empresas de qualquer porte, sem imunidade para microempresas, e que a ausência de DPO é infração autônoma, sancionável independentemente de outros descumprimentos. O caso estabeleceu um precedente claro sobre o escopo de aplicação da lei e a disposição da Autoridade de atuar mesmo em operações de pequeno porte quando a violação é grave em termos de impacto sobre os titulares.

Setores fiscalizados entre 2023 e 2025

Nos anos subsequentes, a ANPD ampliou e estruturou sua atuação fiscalizatória por meio de ciclos temáticos e setoriais. O setor financeiro — bancos, fintechs e correspondentes bancários — foi objeto de fiscalização específica, dada a escala do tratamento de dados pessoais e sensíveis envolvido nas operações de crédito, cobrança e análise de risco. O setor de telecomunicações foi alvo de notificações expressas, com a Autoridade exigindo comprovação de conformidade de operadoras de grande porte. O setor de saúde, que trata dados sensíveis em volume massivo — prontuários, laudos, resultados de exames — permanece em foco prioritário da agenda regulatória.

A ANPD também notificou plataformas digitais de alcance nacional — incluindo X (antigo Twitter), Uber, Telegram e Serasa — sinalizando que o critério de priorização da Autoridade considera o volume de dados tratados, a sensibilidade dos dados e o potencial de impacto massivo sobre titulares. Empresas que operam com dados de saúde, dados biométricos, dados de crédito ou dados de crianças e adolescentes estão no grupo de maior exposição regulatória.

O que os casos revelam sobre a atuação da ANPD

A análise dos processos já concluídos pela ANPD revela três padrões consistentes. Primeiro, a Autoridade prioriza violações com potencial de dano massivo a titulares — o tratamento sem base legal de dados usados para finalidades políticas ou de cobrança agressiva tem recebido atenção desproporcionalmente maior do que violações puramente documentais. Segundo, a ausência de DPO é tratada como agravante relevante — não como infração menor —, pois sinaliza ausência de estrutura mínima de governança. Terceiro, a cooperação com a investigação e a demonstração de medidas corretivas voluntárias têm impacto mensurável no desfecho dos processos.—

Responsabilidade civil por vazamento de dados: a via judicial

Art. 42 da LGPD — responsabilidade objetiva do controlador

Paralelamente à via administrativa da ANPD, o art. 42 da LGPD abre ao titular de dados prejudicado a via judicial para reparação de danos. O controlador que, em razão do exercício de atividade de tratamento de dados pessoais, causar dano patrimonial, moral, individual ou coletivo ao titular fica obrigado a repará-lo. A responsabilidade do controlador é objetiva: dispensa a demonstração de culpa pelo titular, que precisa apenas provar o nexo causal entre a violação e o dano sofrido.

As hipóteses de exclusão da responsabilidade são restritas (art. 43): o controlador pode se eximir apenas se provar que não realizou o tratamento que lhe é atribuído; que, embora tenha realizado o tratamento, não houve violação à legislação; ou que o dano é decorrente de culpa exclusiva do titular ou de terceiro. A ausência de intenção de causar dano não é causa de exclusão — o que torna a responsabilidade civil por vazamento de dados um risco operacional permanente para qualquer controlador.

STJ — REsp 2.147.374/SP: o precedente da Enel

O Superior Tribunal de Justiça consolidou entendimento relevante sobre responsabilidade civil por falha na proteção de dados no REsp 2.147.374/SP, que envolveu a Enel São Paulo (antiga Eletropaulo). A empresa foi condenada por não adotar medidas de segurança adequadas após o vazamento de dados pessoais de uma cliente. O Tribunal de Justiça de São Paulo reconheceu a responsabilidade objetiva da concessionária com base na LGPD, e o STJ confirmou a decisão, enfatizando o dever das empresas de proteger os dados de seus consumidores e a aplicabilidade da responsabilidade objetiva nesse contexto.

O precedente é relevante por duas razões práticas. Primeiro, porque foi decidido em contexto de aplicação retroativa dos princípios da LGPD — o incidente ocorreu antes da vigência plena da lei, mas o STJ aplicou a lógica da responsabilidade objetiva por falha na segurança de dados. Segundo, porque confirma que a via judicial é paralela e independente da via administrativa: a condenação civil não depende de decisão prévia da ANPD, e a existência de processo administrativo não suspende a ação de indenização.

AREsp 2.130.619 — dano efetivo ou dano presumido?

O debate jurídico mais relevante no âmbito da responsabilidade civil por vazamento de dados é a questão do dano moral: ele precisa ser comprovado pelo titular, ou é presumido pela simples exposição dos dados? O STJ, no AREsp 2.130.619, estabeleceu que o titular que tiver dados vazados tem o dever de comprovar dano efetivo para pleitear indenização — afastando, em princípio, a teoria do dano moral presumido (in re ipsa) em casos de vazamento de dados pessoais comuns.

A jurisprudência, contudo, não é uniforme. Tribunais estaduais têm reconhecido danos morais presumidos em situações de exposição indevida de dados pessoais, especialmente quando o vazamento envolve dados sensíveis, dados de crianças e adolescentes, ou quando o titular consegue demonstrar que os dados vazados foram efetivamente utilizados de forma prejudicial — como em fraudes financeiras, negativações indevidas ou constrangimentos específicos. A tendência de aprofundamento desse debate é clara, e a jurisprudência sobre o tema está em formação.

A dupla exposição: ANPD e ação civil

A empresa que sofre um incidente de segurança relevante com dados pessoais enfrenta, simultaneamente, dois fronts jurídicos independentes. No front administrativo, a ANPD pode instaurar processo sancionatório, aplicar multas e exigir medidas corretivas. No front civil, os titulares afetados — individualmente ou por meio de ações coletivas — podem pleitear indenização pelos danos sofridos. A decisão da ANPD não vincula o Judiciário civil, e vice-versa: uma empresa absolvida no processo administrativo pode ser condenada civilmente, e uma empresa multada pela ANPD pode ser absolvida em ação indenizatória.

Essa dupla exposição torna o gerenciamento de um incidente de segurança um exercício simultâneo de defesa administrativa e estratégia de litígio civil. O plano de resposta a incidentes de uma empresa precisa contemplar ambos os vetores: a comunicação à ANPD dentro do prazo de 3 dias úteis da Resolução CD/ANPD nº 15/2024, e o acompanhamento preventivo de potenciais ações individuais e coletivas de titulares afetados.—

Setores de maior risco: quem a ANPD fiscaliza com prioridade

Saúde — dados sensíveis em volume massivo

O setor de saúde é, por definição normativa, o de maior risco regulatório sob a LGPD: dados de saúde são classificados como dados sensíveis (art. 5º, II), sujeitos ao regime mais restritivo do art. 11 da LGPD. Hospitais, clínicas, laboratórios, operadoras de plano de saúde e sistemas de prontuário eletrônico tratam dados sensíveis em volume e frequência que os colocam permanentemente na zona de maior exposição regulatória. A base legal para o tratamento de dados de saúde é mais estreita, as exigências de segurança são mais rígidas, e o impacto de um vazamento sobre os titulares é frequentemente mais grave e imediato.

Setor financeiro — escala e sensibilidade

Bancos, fintechs, correspondentes bancários, administradoras de cartão e bureaux de crédito tratam dados pessoais e dados financeiros — que, dependendo do conteúdo (renda, histórico de inadimplência, pontuação de crédito), aproximam-se da categoria de dados sensíveis em termos de potencial de dano ao titular. A escala do tratamento — bases de dados com dezenas ou centenas de milhões de registros — coloca o setor financeiro como alvo prioritário da ANPD tanto do ponto de vista do impacto potencial de um incidente quanto da relevância sistêmica da conformidade.

Pequenas empresas — a lição da Telekall

O caso Telekall deixou uma mensagem inequívoca: porte não é imunidade. A ANPD tem capacidade e disposição para investigar e sancionar microempresas e empresas de pequeno porte quando a violação envolve tratamento sem base legal, uso de dados para finalidades não autorizadas pelo titular, ou ausência das estruturas mínimas exigidas pela lei. Para pequenas empresas, o custo de uma sanção administrativa — mesmo em valor absoluto modesto — pode ter impacto reputacional e operacional desproporcional ao porte do negócio. O investimento preventivo em adequação é invariavelmente menor do que o custo de um processo sancionatório.—

Como reduzir o risco de multa na prática

O programa de conformidade como argumento jurídico

O programa de conformidade com a LGPD não é apenas uma boa prática de gestão — é um argumento jurídico concreto previsto expressamente no art. 52, §1º, VIII da LGPD como fator atenuante na dosimetria das sanções. Para ser reconhecido como tal pela ANPD, o programa precisa ser: documentado, com registros que comprovem sua existência anterior ao incidente ou à infração investigada; funcional, com evidências de que os processos descritos nos documentos são efetivamente executados; e proporcional ao porte e ao risco da operação de tratamento.

Um programa de conformidade que existe apenas no papel — com política de privacidade publicada no site mas sem mapeamento de dados, sem registros de operações de tratamento e sem DPO efetivamente ativo — dificilmente será reconhecido pela ANPD como fator atenuante real. A substância do programa é o que importa, não sua aparência formal.

DPO nomeado e ativo

A nomeação do Encarregado de Dados (DPO) é uma das primeiras verificações que a ANPD realiza em qualquer investigação. A ausência de DPO foi, no caso Telekall, uma infração autônoma, sancionada independentemente das demais violações. A existência de DPO nomeado, com identidade e dados de contato publicados no site da empresa (conforme exige o art. 41, §1º da LGPD), é condição mínima de conformidade visível e verificável externamente. Para empresas que não têm capacidade de manter um DPO interno, a indicação de encarregado externo — um assessor jurídico especializado — é a solução mais eficiente e imediatamente implementável.

As obrigações específicas do encarregado de dados foram regulamentadas pela Resolução CD/ANPD nº 18/2024, que estabeleceu requisitos de qualificação, atribuições detalhadas e a responsabilidade direta do encarregado por coordenar as ações de resposta a incidentes e manter a comunicação com a ANPD. A figura do DPO ganhou, com essa regulamentação, contornos mais precisos e uma responsabilidade regulatória mais clara.

Plano de resposta a incidentes: o prazo de 3 dias úteis

A Resolução CD/ANPD nº 15/2024 estabeleceu prazo de 3 dias úteis para a comunicação inicial de incidente de segurança à ANPD, quando o ocorrido puder acarretar risco ou dano relevante aos titulares. Empresas sem plano de resposta a incidentes estruturado dificilmente conseguem cumprir esse prazo — e a comunicação tardia é expressamente prevista como agravante.

Um plano efetivo define, antecipadamente: os responsáveis pela detecção e classificação do incidente; o fluxo interno de escalada e comunicação; os critérios para avaliação da relevância do incidente e a necessidade de notificação à ANPD; o conteúdo mínimo da comunicação à Autoridade; e os procedimentos de contenção, recuperação e documentação. O plano precisa ser testado periodicamente — um documento que nunca foi exercitado não é, na prática, um plano de resposta.

Documentação de bases legais e registros de operações

Cada operação de tratamento de dados pessoais realizada pela empresa deve estar amparada em uma base legal identificada e documentada. A ausência de documentação sobre as bases legais adotadas — seja por omissão, seja por adoção de base legal inadequada para a finalidade real do tratamento — é a causa mais comum de exposição regulatória identificada em auditorias de conformidade. O registro das operações de tratamento, exigido do controlador nos termos do art. 37 da LGPD, é o documento que materializa essa documentação e funciona como evidência de conformidade em eventual fiscalização.

Para uma análise específica das obrigações documentais e das medidas de conformidade aplicáveis à sua empresa, recomendamos a leitura de nosso artigo sobre obrigações da LGPD para empresas, que detalha cada etapa do processo de adequação.—

Perguntas frequentes

1) Qual é o valor máximo da multa por infração à LGPD?

A LGPD prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II). Há também multa diária com o mesmo teto para violações continuadas. As sanções podem ser cumuladas na mesma decisão, e cada infração autônoma pode ter seu próprio limite aplicado.

2) A ANPD já aplicou multas no Brasil?

Sim. A primeira multa foi aplicada à microempresa Telekall Infoservice no Processo Administrativo nº 00261.000489/2022-62, por tratamento de dados sem base legal e ausência de DPO. A ANPD intensificou sua atuação desde então, com notificações a empresas como X (antigo Twitter), Uber, Telegram, Telefônica e Serasa, e com fiscalizações temáticas nos setores financeiro, de telecomunicações e de saúde.

3) Pequenas empresas também podem ser multadas?

Sim. O caso Telekall demonstrou que porte não confere imunidade. A ANPD publicou regulamentação simplificada para agentes de pequeno porte pela Resolução CD/ANPD nº 2/2022, mas as obrigações fundamentais de base legal, transparência, segurança e comunicação de incidentes aplicam-se a empresas de qualquer porte. A dispensa de determinadas formalidades não implica dispensa das obrigações substanciais.

4) Como a empresa pode reduzir o valor de uma multa da ANPD?

O art. 52, §1º da LGPD prevê expressamente como fatores atenuantes a boa-fé do infrator, a adoção de política de boas práticas e governança, e a adoção de medidas corretivas após a ciência da violação. Na prática, empresa com programa de conformidade documentado, DPO ativo e histórico de cooperação com a ANPD parte de posição radicalmente melhor em processo sancionatório. A Autoridade tem celebrado termos de compromisso que encerram processos mediante adoção de medidas corretivas.

5) Além da multa administrativa, a empresa pode ser processada civilmente?

Sim. O art. 42 da LGPD confere ao titular o direito de pleitear indenização por danos causados pelo agente de tratamento. A responsabilidade do controlador é objetiva — dispensa demonstração de culpa. O STJ, no REsp 2.147.374/SP (caso Enel), confirmou a responsabilidade objetiva por falha na segurança de dados. As vias administrativa e civil são independentes e podem ser percorridas simultaneamente.

6) O que acontece se a empresa não comunicar um vazamento no prazo?

A Resolução CD/ANPD nº 15/2024 estabelece prazo de 3 dias úteis para comunicação inicial à ANPD quando o incidente puder acarretar risco ou dano relevante a titulares. A comunicação tardia ou omissa é expressamente agravante na dosimetria das sanções do art. 52, §1º. Além disso, a empresa fica exposta à responsabilidade civil pelos danos adicionais que poderiam ter sido mitigados com a notificação tempestiva dos titulares afetados.—

Conclusão

A multa da LGPD não é uma ameaça abstrata. É um instrumento regulatório em uso, com precedentes documentados, critérios legais de dosimetria e duas vias de responsabilização independentes — administrativa e civil. O regime sancionatório da lei foi desenhado para onerar o descumprimento de forma proporcional à gravidade da violação e ao porte do infrator, mas com margem suficiente para que casos graves alcancem valores que impactam até as empresas de maior porte.

O único fator que a LGPD reconhece expressamente como atenuante real — além da cooperação e da boa-fé — é o programa de conformidade documentado e funcional. Empresa que documenta suas operações de tratamento, nomeia DPO ativo, define bases legais adequadas e mantém plano de resposta a incidentes não elimina o risco de uma infração ou de um incidente de segurança. Mas parte, em qualquer processo sancionatório, de uma posição que a lei reconhece como merecedora de tratamento diferenciado. Essa diferença, na prática, pode ser a diferença entre uma advertência com prazo para correção e uma multa que vai para o balanço.—

Este artigo foi redigido para fins de informação e debate, não devendo ser considerado uma opinião legal para qualquer operação ou negócio específico.

© 2026. Direitos Autorais reservados a Barbieri Advogados.