Pular para o conteúdo

Multa LGPD: valor, sanções da ANPD e como é calculada

10.03.2026
| |
23 min de leitura

Atualizado em outubro de 2026.

A multa LGPD pode chegar a 2% do faturamento da empresa, do grupo ou do conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II, da Lei n. 13.709/2018, a Lei Geral de Proteção de Dados Pessoais). Ela é uma das nove sanções que a Agência Nacional de Proteção de Dados (ANPD) pode aplicar, e seu valor resulta de uma metodologia de dosimetria que considera a gravidade da infração, o faturamento, o grau do dano e as circunstâncias agravantes e atenuantes. Este artigo explica as sanções da LGPD, o cálculo da multa, o processo sancionador, os casos já decididos e a responsabilidade civil perante os titulares; as obrigações de adequação estão no guia de LGPD para empresas.

Em resumo: a LGPD prevê nove sanções administrativas, da advertência à proibição do tratamento de dados (art. 52). A multa simples chega a 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração; como o teto é por infração, uma decisão pode somar mais, como os R$ 153,7 milhões aplicados à controladora do TikTok em agosto de 2026 por cinco violações. O cálculo segue a Resolução CD/ANPD n. 4/2023: classificação da infração (leve, média ou grave), faturamento e grau do dano, com agravantes e atenuantes. Órgãos públicos não podem ser multados. A indenização devida aos titulares (arts. 42 a 45) independe da via administrativa.

Quais são as sanções da LGPD?

O art. 52 da LGPD, em vigor desde 1.º de agosto de 2021, relaciona as sanções aplicáveis aos agentes de tratamento, controladores e operadores, que violarem a lei. A aplicação compete exclusivamente à ANPD (art. 55-K), depende de processo administrativo com ampla defesa e pode ser gradativa, isolada ou cumulativa, conforme as peculiaridades do caso (art. 52, § 1.º).

Sanção (art. 52) Em que consiste
Advertência (I) Reconhecimento da infração, com prazo para medidas corretivas
Multa simples (II) Até 2% do faturamento no Brasil, excluídos os tributos, limitada a R$ 50 milhões por infração
Multa diária (III) Valor acumulado por dia de descumprimento, até o mesmo limite por infração
Publicização (IV) Divulgação da infração pelo próprio infrator, às suas expensas, depois de confirmada
Bloqueio (V) Suspensão temporária do tratamento dos dados envolvidos, até a regularização
Eliminação (VI) Exclusão dos dados pessoais a que se refere a infração
Suspensão parcial do banco de dados (X) Até 6 meses, prorrogável por igual período
Suspensão da atividade de tratamento (XI) Até 6 meses, prorrogável por igual período
Proibição parcial ou total (XII) Impedimento das atividades de tratamento de dados

As suspensões e a proibição só podem ser aplicadas depois que, no mesmo caso concreto, tiver sido imposta ao menos uma multa, a publicização, o bloqueio ou a eliminação e, se o controlador estiver submetido a outro órgão com competência sancionatória, depois de ouvido esse órgão (art. 52, § 6.º). As sanções da LGPD não substituem as do Código de Defesa do Consumidor e da legislação específica (art. 52, § 2.º), e o valor arrecadado com as multas é destinado ao Fundo de Defesa de Direitos Difusos (art. 52, § 5.º).

Órgãos públicos não pagam multa

Entidades e órgãos públicos estão sujeitos à advertência, à publicização, ao bloqueio, à eliminação, às suspensões e à proibição, mas não às multas (art. 52, § 3.º), sem prejuízo das sanções previstas na Lei n. 8.112/1990, na Lei de Improbidade Administrativa e na Lei de Acesso à Informação. Já as empresas públicas e as sociedades de economia mista que atuam em regime de concorrência recebem o mesmo tratamento das empresas privadas (art. 24) e podem ser multadas.

Qual o valor máximo da multa LGPD?

A multa simples tem dois limites que operam em conjunto: 2% do faturamento da pessoa jurídica de direito privado, do grupo ou do conglomerado no Brasil no último exercício, excluídos os tributos, e R$ 50 milhões por infração. Para uma empresa que fatura R$ 500 milhões, o teto por infração é de R$ 10 milhões; para um grupo que fatura R$ 5 bilhões no Brasil, 2% seriam R$ 100 milhões, e prevalece o limite de R$ 50 milhões. A base é o faturamento, e não o lucro, o que torna a multa expressiva para negócios de margem reduzida. Para grupos estrangeiros, conta o faturamento obtido no Brasil, tema do artigo sobre LGPD para empresas estrangeiras.

O limite é calculado por infração, e não por processo: cada infração reconhecida recebe sua própria multa, e o total pode superar R$ 50 milhões, como ocorreu na multa de R$ 153,7 milhões aplicada em 2026 à controladora do TikTok por cinco violações. A multa diária, usada para forçar o cumprimento de uma determinação ou de uma sanção não pecuniária, também se acumula até R$ 50 milhões por infração (art. 16, § 1.º, da Resolução CD/ANPD n. 4/2023).

O que conta como faturamento

O Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD n. 4/2023, usa o faturamento do último exercício no ramo de atividade em que ocorreu a infração, excluídos os tributos: a receita bruta, para as empresas em geral e para as optantes do Simples Nacional, e o total de recursos auferidos, para as entidades sem fins lucrativos. Somam-se os ramos afetados quando a infração ou o uso dos dados alcança mais de um (art. 11, §§ 1.º e 2.º). Se o infrator não apresenta documentação idônea e completa no prazo, a ANPD define o valor e pode usar o faturamento total do grupo no Brasil (art. 11, § 3.º, do regulamento; art. 52, § 4.º, da LGPD). Pessoas naturais que atuam como agentes de tratamento também podem ser multadas, com base nos rendimentos obtidos com a atividade.

Valor mínimo, vantagem econômica e pagamento

O resultado não pode ficar abaixo dos valores mínimos do regulamento; se a vantagem econômica obtida ou pretendida com a infração for estimável, o piso passa a ser o dobro dessa vantagem (art. 15, I). A multa deve ser paga em até 20 dias úteis da ciência da decisão, prazo contado em dobro para os agentes de tratamento de pequeno porte definidos na Resolução CD/ANPD n. 2/2022 (art. 17). Quem renuncia expressamente ao recurso e paga no prazo obtém redução de 25% (art. 18); o atraso gera juros pela taxa Selic e multa de mora de 0,33% ao dia, limitada a 20%.

Como a ANPD calcula a multa LGPD: a dosimetria

O art. 52, § 1.º, da LGPD lista onze parâmetros para escolher e graduar a sanção: a gravidade e a natureza da infração e dos direitos afetados, a boa-fé, a vantagem auferida ou pretendida, a condição econômica do infrator, a reincidência, o grau do dano, a cooperação, a adoção de mecanismos internos para minimizar danos, a política de boas práticas e governança, a pronta adoção de medidas corretivas e a proporcionalidade entre a falta e a sanção. A Resolução CD/ANPD n. 4, de 24 de fevereiro de 2023, converteu esses critérios em metodologia objetiva, aplicável também aos processos que já estavam em curso.

Classificação da infração: leve, média ou grave

Cada infração é classificada como leve, média ou grave (art. 8.º do regulamento). É média a que pode afetar significativamente interesses e direitos fundamentais dos titulares, por exemplo ao impedir ou limitar o exercício de direitos ou ao causar danos como discriminação, fraude financeira ou uso indevido de identidade. É grave a infração média que envolve, além disso, tratamento em larga escala, vantagem econômica para o infrator, risco à vida, dados sensíveis ou dados de crianças, adolescentes ou idosos, tratamento sem hipótese legal, efeitos discriminatórios ilícitos ou abusivos ou práticas irregulares sistemáticas. A obstrução à fiscalização é grave por si só, e as demais infrações são leves.

A classificação orienta a escolha da sanção. A advertência cabe nas infrações leves ou médias sem reincidência específica, ou quando forem necessárias medidas corretivas (art. 9.º). A multa simples é aplicada nas infrações graves, no descumprimento de medidas preventivas ou corretivas dentro do prazo fixado ou quando, pelas circunstâncias do caso, outra sanção não for adequada (art. 10).

Valor-base, agravantes e atenuantes

O valor-base de cada infração combina a classificação, o faturamento e o grau do dano, segundo a metodologia do apêndice do regulamento (art. 11). Sobre ele incidem as circunstâncias agravantes e atenuantes, cujos percentuais se somam quando houver mais de uma (arts. 12 a 14):

Circunstância Efeito sobre a multa
Reincidência específica +10% por caso, até 40%
Reincidência genérica +5% por caso, até 20%
Medida de orientação ou preventiva descumprida na fiscalização +20% por medida, até 80%
Medida corretiva descumprida +30% por medida, até 90%
Cessação da infração antes do procedimento preparatório −75%
Cessação depois do procedimento preparatório e até a instauração do processo sancionador −50%
Cessação no curso do processo sancionador, até a decisão de primeira instância −30%
Política de boas práticas e governança ou mecanismos internos de minimização de danos −20%
Medidas que revertam ou mitiguem os efeitos para os titulares, antes do procedimento preparatório ou do processo sancionador −20%
As mesmas medidas, depois do procedimento preparatório e até a instauração do processo sancionador −10%
Cooperação ou boa-fé −5%

As atenuantes de cessação e de mitigação não valem quando decorrem do mero cumprimento de determinação administrativa ou judicial, e cabe ao infrator comprovar seus requisitos (art. 13, §§ 1.º e 3.º). O resultado respeita o piso do regulamento e o teto de 2% do faturamento ou R$ 50 milhões (art. 15), e a ANPD pode afastar a metodologia, em decisão fundamentada, quando o resultado for desproporcional à gravidade da infração (art. 27).

Um exemplo numérico

Suponha uma infração com valor-base de R$ 2 milhões. Se a empresa cessar a conduta no curso do processo sancionador (−30%) e comprovar política de governança implementada antes da decisão (−20%), as reduções somam 50%, e a multa cai para R$ 1 milhão; se, intimada da decisão, renunciar ao recurso e pagar no prazo, a redução de 25% leva o valor a R$ 750 mil. Se, ao contrário, tivesse descumprido uma medida preventiva durante a fiscalização, haveria acréscimo de 20% sobre o mesmo valor-base. O exemplo é simplificado, porque o valor-base depende do apêndice do regulamento e de cada caso, mas mostra que a conduta do agente depois de identificada a falha pesa tanto quanto a própria infração.

Como funciona o processo sancionador da ANPD?

A fiscalização da ANPD combina monitoramento, orientação, prevenção e repressão. As três primeiras buscam a conformidade por meio de guias, avisos, solicitações de regularização e planos de conformidade, que não são sanções; a repressão se dá pelo processo administrativo sancionador regido pela Resolução CD/ANPD n. 1/2021. Boa parte das informações vem de petições de titulares e de denúncias, que qualquer pessoa pode apresentar: segundo os dados da própria ANPD, foram 4.029 requerimentos em 2024, contra 1.137 em 2023.

Da fiscalização ao auto de infração

Na fiscalização, a ANPD requisita informações e documentos e expede nota técnica com determinações e recomendações. O fiscalizado não pode invocar segredo para negar informações, embora possa indicar, com justificativa, o que deve ser mantido em sigilo, e a recusa ou a falta de resposta pode caracterizar obstrução, infração grave. Havendo indícios suficientes, ou sendo a infração grave ou reincidente, a ANPD instaura o processo sancionador com a lavratura do auto de infração; do contrário, pode abrir antes um procedimento preparatório. Segundo a própria Agência, todos os processos sancionadores que conduziu foram instaurados em razão de postura não colaborativa do regulado.

Defesa, decisão e recurso

O autuado apresenta defesa e pode requerer provas, inclusive pericial, com prazo facultativo de dez dias úteis para se manifestar sobre provas novas antes do relatório de instrução (art. 53 da Resolução CD/ANPD n. 1/2021). A instauração não equivale a condenação e não admite recurso; a decisão de primeira instância pode ser impugnada perante o Conselho Diretor, instância administrativa máxima, em dez dias úteis da intimação (art. 58), e o recurso tem, em regra, efeito suspensivo quanto à matéria contestada (art. 60). O autuado pode ainda propor termo de ajustamento de conduta, submetido à deliberação do Conselho Diretor: assinado o termo, o processo fica suspenso e é arquivado depois do cumprimento integral (arts. 43 e 44).

A ANPD como agência reguladora

A Lei n. 15.352, de 25 de fevereiro de 2026, conversão da Medida Provisória n. 1.317/2025, transformou a ANPD em Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, e a incluiu entre as agências reguladoras da Lei n. 13.848/2019. A sigla e o regime de sanções dos arts. 52 a 54 da LGPD não mudaram. A Agência também fiscaliza o Estatuto Digital da Criança e do Adolescente (ECA Digital).

Quais multas e sanções a ANPD já aplicou?

A primeira sanção foi aplicada em julho de 2023 à Telekall Infoservice, microempresa de telemarketing (Processo n. 00261.000489/2022-62): advertência por não comprovar a indicação de encarregado (art. 41) e duas multas simples de R$ 7.200,00, uma pelo tratamento de dados sem hipótese legal (art. 7.º), ligado à oferta de listas de contatos de eleitores para campanhas eleitorais, e outra por deixar de atender às requisições da Autoridade, conduta enquadrada como obstrução à fiscalização e, portanto, como infração grave. Embora de valor modesto, o caso mostrou que microempresas estão sujeitas à lei e que a falta de colaboração é punida de forma autônoma.

Os processos sancionadores concluídos em seguida envolveram sobretudo o setor público, como o Ministério da Saúde, o INSS, a Secretaria de Estado da Saúde de Santa Catarina, a Secretaria de Educação do Distrito Federal, o IAMSPE, de São Paulo, e o Instituto de Pesquisa Jardim Botânico do Rio de Janeiro. As falhas apuradas se repetem: falta de comunicação de incidentes de segurança à ANPD e aos titulares, medidas de segurança insuficientes, ausência de registros das operações e de relatório de impacto e descumprimento de requisições da Autoridade.

Em decisão publicada no Diário Oficial da União em 25 de agosto de 2026, a ANPD multou a ByteDance, controladora do TikTok, em R$ 153,7 milhões e determinou a eliminação dos dados coletados irregularmente. A Agência concluiu que, com ou sem cadastro, a plataforma tratava dados de crianças e adolescentes sem hipótese legal válida e sem medidas eficazes de prevenção, e que a empresa não demonstrou a efetividade de suas medidas de conformidade, o que configurou cinco violações aos arts. 6.º, VIII e X (princípios da prevenção e da responsabilização e prestação de contas), e 7.º da LGPD. A empresa assumiu também um plano de conformidade, com configurações de privacidade mais restritivas para menores de 16 anos, supervisão parental e suspensão de anúncios no acesso sem cadastro. Da decisão cabia recurso ao Conselho Diretor.

Caso Ano Conduta apurada Resultado
Telekall Infoservice (microempresa) 2023 Tratamento sem hipótese legal, falta de encarregado e obstrução à fiscalização Advertência e duas multas de R$ 7.200,00
Órgãos e entidades públicas (Ministério da Saúde, INSS, secretarias estaduais e distrital, entre outros) 2023 a 2025 Falta de comunicação de incidentes, falhas de segurança e descumprimento de requisições Multa vedada; cabíveis apenas sanções não pecuniárias (art. 52, § 3.º)
ByteDance (TikTok) 2026 Tratamento de dados de crianças e adolescentes sem hipótese legal e sem medidas de prevenção Multa de R$ 153,7 milhões, eliminação de dados e plano de conformidade

Nem toda atuação resulta em sanção. Em 2024 e 2025, a ANPD monitorou a indicação do encarregado e o canal de atendimento de grandes empresas, entre elas Uber, Telegram, X, Serasa e Telefônica (Vivo); ao concluir o monitoramento, em julho de 2026, informou que quem não atendeu às solicitações de adequação pode ser sancionado. No mesmo mês, instaurou processo sancionador contra uma organização social de saúde por falhas na proteção de dados de cerca de 500 mil pacientes de unidades públicas.

Quais setores estão na mira da ANPD?

Os processos da ANPD indicam onde o risco se concentra. Na saúde, que trata dados sensíveis em grande volume, estão os casos do Ministério da Saúde, de secretarias estaduais e da organização social de saúde. No setor financeiro, a Agência fiscalizou o compartilhamento de dados pessoais para a oferta de crédito consignado, em processos envolvendo o INSS, a Dataprev e grandes bancos. Dados de crianças e adolescentes motivaram o caso do TikTok e a fiscalização do reconhecimento facial de alunos na rede estadual do Paraná, e a biometria de torcedores exigida pela Lei Geral do Esporte levou a processos envolvendo dezenas de clubes de futebol. Uma grande rede de farmácias passou a responder, em 2025, a processo sancionador sobre suposta formação de perfis a partir de dados sensíveis para publicidade direcionada, e o tratamento de dados pessoais em sistemas de inteligência artificial generativa motivou fiscalizações envolvendo a Meta e o X, tema ligado à regulamentação da inteligência artificial no Brasil.

Empregadores também tratam dados de empregados e candidatos, inclusive dados de saúde, e estão sujeitos às mesmas sanções, como mostra o artigo sobre a LGPD nas relações de trabalho. E porte não é imunidade: a Resolução CD/ANPD n. 2/2022 simplificou obrigações dos agentes de tratamento de pequeno porte, mas hipótese legal, transparência, segurança, atendimento aos titulares e colaboração com a fiscalização valem para todos.

Além da multa: responsabilidade civil por vazamento de dados

A via administrativa não esgota o risco. O controlador ou o operador que, em razão do tratamento de dados pessoais e em violação à legislação, causar dano patrimonial, moral, individual ou coletivo deve repará-lo (art. 42). O operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador, e os controladores diretamente envolvidos respondem solidariamente entre si (art. 42, § 1.º). O juiz pode inverter o ônus da prova em favor do titular quando a alegação for verossímil, houver hipossuficiência para a produção de prova ou esta for excessivamente onerosa (art. 42, § 2.º), e a reparação pode ser buscada em ações coletivas (art. 42, § 3.º).

Os agentes só se eximem se provarem que não realizaram o tratamento, que o tratamento não violou a legislação ou que o dano decorre de culpa exclusiva do titular ou de terceiro (art. 43). O tratamento é irregular quando descumpre a lei ou não oferece a segurança que o titular pode esperar, e responde pelos danos de uma violação de segurança quem deixou de adotar as medidas do art. 46 (art. 44). A natureza dessa responsabilidade é debatida: parte da doutrina a considera objetiva, enquanto outra parte a vincula à violação de um dever legal ou de segurança. Nas relações de consumo, o art. 45 remete ao Código de Defesa do Consumidor, em que a responsabilidade do fornecedor por defeito do serviço independe de culpa, o que alcança, por exemplo, as empresas do comércio eletrônico.

Vazamento de dados gera dano moral presumido?

O Superior Tribunal de Justiça tem exigido prova do dano quando o vazamento envolve dados pessoais comuns. No AREsp 2.130.619/SP, julgado pela Segunda Turma em março de 2023, o Tribunal afastou o dano moral presumido no vazamento de dados cadastrais de uma consumidora, fornecidos de forma corriqueira, e distinguiu essa hipótese da exposição de dados sensíveis (art. 5.º, II, da LGPD). A indenização tende, assim, a depender da prova de uso indevido dos dados, como fraudes, cobranças ou negativações, ou de outro prejuízo concreto, e o tema segue em construção na jurisprudência.

Esferas independentes

A decisão da ANPD não vincula o Judiciário, e a ação de indenização não depende de processo administrativo prévio. Em vazamentos individuais ou acessos não autorizados, a LGPD admite conciliação direta entre controlador e titular; sem acordo, o controlador fica sujeito às sanções do art. 52 (art. 52, § 7.º). Para conhecer e retificar informações mantidas em registros ou bancos de dados de entidades governamentais ou de caráter público, o titular dispõe ainda do habeas data.

Como reduzir o risco de multa da ANPD

O regulamento de dosimetria converte boa parte da prevenção em redução concreta de multa. As medidas a seguir são as que mais pesam no cálculo e no risco de abertura de processo; o roteiro completo de adequação está no guia de obrigações da LGPD para empresas.

Colaborar desde a primeira requisição

Responder às requisições da ANPD no prazo, com documentos completos, evita a infração grave de obstrução e afasta a principal causa de abertura de processos sancionadores. A cooperação e a boa-fé reduzem a multa em 5%, e o cumprimento das medidas preventivas e corretivas evita agravantes que podem chegar a 80% e a 90%.

Cessar a infração e mitigar os efeitos

A redução pela cessação da infração cai de 75% para 50% e depois para 30%, conforme o momento em que ocorre, e as medidas que revertem ou mitigam os efeitos para os titulares valem 20% ou 10%. Corrigir a irregularidade antes da atuação da ANPD é a providência de maior efeito sobre o valor final.

Comunicar incidentes em três dias úteis

O incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos próprios titulares (art. 48 da LGPD), no prazo de três dias úteis previsto na Resolução CD/ANPD n. 15/2024. A falta de comunicação aos titulares aparece em quase todos os processos sancionadores já concluídos, e incidentes provocados por ataques externos, como os descritos no artigo sobre crime cibernético, não afastam esse dever.

Encarregado indicado e canal em funcionamento

A identidade e as informações de contato do encarregado devem ser divulgadas de forma clara e objetiva, preferencialmente no site do controlador (art. 41, § 1.º). A falha motivou a advertência à Telekall, aparece entre as condutas apuradas no Ministério da Saúde e foi alvo dos monitoramentos de 2024 e 2025. A Resolução CD/ANPD n. 18/2024 detalhou a indicação e as atividades do encarregado.

Governança documentada

A atenuante de 20% exige política de boas práticas e governança ou mecanismos internos efetivos, implementados até a decisão de primeira instância e comprovados pelo agente: registros das operações de tratamento (art. 37), relatórios de impacto quando exigidos, hipótese legal definida para cada finalidade, treinamento e histórico de atendimento aos titulares. Um programa que existe apenas no papel dificilmente cumpre essa função, e integrar esses controles a um programa de compliance e governança corporativa facilita a prova.

Perguntas frequentes sobre multa LGPD

Qual é o valor máximo da multa da LGPD?

A multa simples pode chegar a 2% do faturamento da empresa, do grupo ou do conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Como o limite é por infração, uma decisão que reconheça várias infrações pode somar valor maior. A multa diária também se acumula até R$ 50 milhões por infração.

A ANPD já aplicou multas?

Sim. A primeira, em julho de 2023, atingiu a microempresa Telekall Infoservice, com advertência e duas multas de R$ 7.200,00. Em agosto de 2026, a ANPD multou a ByteDance, controladora do TikTok, em R$ 153,7 milhões por cinco violações no tratamento de dados de crianças e adolescentes.

Como a ANPD calcula o valor da multa?

Pela Resolução CD/ANPD n. 4/2023, cada infração é classificada como leve, média ou grave, e o valor-base considera essa classificação, o faturamento do ramo afetado e o grau do dano. Sobre ele incidem agravantes, como a reincidência e o descumprimento de medidas da ANPD, e atenuantes, como a cessação da infração e a política de governança. O resultado respeita um valor mínimo e o teto de 2% do faturamento ou R$ 50 milhões.

Órgãos públicos podem ser multados pela ANPD?

Não. O art. 52, § 3.º, da LGPD permite aplicar a órgãos e entidades públicas apenas sanções não pecuniárias, como advertência, publicização, bloqueio e eliminação de dados. Empresas públicas e sociedades de economia mista que atuam em regime de concorrência recebem o tratamento das empresas privadas e podem ser multadas.

Pequenas empresas também podem ser multadas?

Sim. Os agentes de tratamento de pequeno porte têm obrigações simplificadas pela Resolução CD/ANPD n. 2/2022 e prazo em dobro para pagar multas, mas continuam sujeitos às sanções do art. 52. O primeiro caso sancionado pela ANPD envolveu justamente uma microempresa.

Como reduzir o valor de uma multa da ANPD?

Antes da decisão, contam a cessação da infração, que reduz a multa em até 75%, as medidas que revertam ou mitiguem os efeitos para os titulares, a política de governança comprovada e a cooperação. Depois da decisão, quem renuncia expressamente ao recurso e paga em até 20 dias úteis obtém redução de 25%.

Além da multa, a empresa pode ser processada por vazamento de dados?

Sim. O controlador e o operador respondem pelos danos causados aos titulares (arts. 42 a 45 da LGPD), em ações individuais ou coletivas, independentemente do processo na ANPD. Para dados pessoais comuns, o STJ tem exigido prova do dano efetivo (AREsp 2.130.619/SP).

Qual o prazo para comunicar um vazamento à ANPD?

Três dias úteis, quando o incidente puder acarretar risco ou dano relevante aos titulares, conforme a Resolução CD/ANPD n. 15/2024. A comunicação também deve ser feita aos titulares, e sua falta está entre as infrações mais frequentes nos processos sancionadores já concluídos.

Conclusão

A multa LGPD deixou de ser uma hipótese teórica. O teto de 2% do faturamento ou R$ 50 milhões por infração convive com uma metodologia detalhada, em que a classificação da infração, o faturamento e o grau do dano definem o ponto de partida, e a conduta do agente (colaborar, cessar a infração, mitigar os efeitos e comprovar governança) pode reduzir substancialmente o valor final. Os casos decididos mostram uma Autoridade que começou por uma microempresa e por órgãos públicos e chegou, em 2026, a uma multa de nove dígitos contra uma plataforma global, agora com o status de agência reguladora. Somada à responsabilidade civil perante os titulares, essa exposição justifica tratar a proteção de dados como risco jurídico permanente.

Principais pontos deste artigo:

  • A LGPD prevê nove sanções, da advertência à proibição do tratamento, aplicáveis de forma isolada ou cumulativa (art. 52).
  • A multa simples chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração; várias infrações podem somar mais.
  • A Resolução CD/ANPD n. 4/2023 define a dosimetria: classificação, faturamento, grau do dano, agravantes e atenuantes.
  • Órgãos públicos não podem ser multados, mas estão sujeitos às demais sanções.
  • Colaborar com a fiscalização e cessar rapidamente a infração são os fatores que mais reduzem o risco.
  • A responsabilidade civil perante os titulares (arts. 42 a 45) é independente da via administrativa.

Leia também

Veja todo o conteúdo da área de LGPD e Proteção de Dados.

Maurício Lindenmeyer Barbieri é sócio-gerente da Barbieri Advogados. Mestre em Direito pela Universidade Federal do Rio Grande do Sul (UFRGS). Inscrito na Ordem dos Advogados da Alemanha (RAK Stuttgart n.º 50.159), de Portugal (Lisboa n.º 64.443L) e do Brasil (OAB/RS n.º 36.798 · OAB/DF · OAB/SC · OAB/PR · OAB/SP). Contador — CRC-RS n.º 106.371/O. Membro da Associação de Juristas Brasil-Alemanha (DBJV). Professor universitário.

Este artigo tem caráter exclusivamente informativo e reflete a legislação e a jurisprudência vigentes em outubro de 2026. Não constitui aconselhamento jurídico nem substitui a análise individualizada de cada caso. Para assessoria especializada, entre em contato com a Barbieri Advogados.

Compartilhe
Orientação jurídica

Nossa equipe analisa o seu caso e aponta o caminho jurídico mais seguro.

Falar com um especialista
Newsletter

Assine sobre Direito Administrativo

Análises e atualizações jurídicas escritas pela nossa equipe. Sem spam, e você cancela quando quiser.