A multa não é a pior sanção da LGPD: veja o que a ANPD pode fazer com sua empresa

Quase toda conversa sobre LGPD para na multa. R$ 50 milhões, 2% do faturamento, ninguém fala de outra coisa. Só que essa é a sanção mais rara na prática, não a mais comum.

Na nossa experiência acompanhando processos e assessorando empresas do Vale do Itajaí, o que a ANPD aplica primeiro raramente é dinheiro. É advertência, é pedido de correção, é bloqueio temporário de uma base de dados específica. A multa vem depois, quando a empresa ignora o aviso. Falando sério: quem só se prepara pra pagar multa está lendo o roteiro errado.

A multa é a exceção, não a regra: entenda a escada de sanções da ANPD

O art. 52 da LGPD lista nove sanções administrativas possíveis, não uma. A ANPD escolhe com base na gravidade, no histórico da empresa e no risco que o caso representa. Essa é a lista completa:

• Advertência, com prazo pra adoção de medidas corretivas
• Multa simples, até 2% do faturamento, limitada a R$ 50 milhões por infração
• Multa diária, também limitada ao teto de R$ 50 milhões
• Publicização da infração, depois de apurada e confirmada sua ocorrência
• Bloqueio dos dados pessoais objeto da infração
• Eliminação dos dados pessoais objeto da infração
• Suspensão parcial do funcionamento do banco de dados
• Suspensão do exercício da atividade de tratamento de dados
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados

Nossa leitura: as duas últimas praticamente não saem do papel ainda. Mas bloqueio e eliminação já apareceram em decisões da ANPD, e são muito mais fáceis de aplicar rápido do que multa, porque não exigem cálculo de faturamento nem processo administrativo tão longo.

Advertência: o cartão amarelo que vem com prazo pra corrigir

A advertência é a porta de entrada. A ANPD identifica a irregularidade, formaliza o aviso e fixa prazo pra adoção de medidas corretivas. Não tem valor em reais. Tem prazo, e ignorar esse prazo é o que abre caminho pra sanção mais pesada.

Na prática, empresa pequena com pouco histórico e boa-fé demonstrada tende a receber advertência antes de qualquer coisa. É a chance de corrigir sem custo direto. O problema é que muita empresa recebe a advertência e trata como spam, sem protocolar resposta, sem nomear encarregado, sem nada. Aí sim a coisa escala.

Bloqueio e eliminação de dados: quando a ANPD trava sua operação

Aqui está o ponto que a maioria ignora. Bloqueio dos dados pessoais significa que a empresa fica proibida de tratar aquele conjunto específico de dados até regularizar a situação. Se esse conjunto for sua base de clientes ativos, sua operação comercial trava na hora, sem multa nenhuma envolvida.

A eliminação é ainda mais dura: os dados somem, sem possibilidade de reverter. Pra empresa que monta modelo de negócio em cima de banco de dados (fidelização, CRM, histórico de compra), essa sanção pode custar mais caro que qualquer multa. Não tem como recuperar 5 anos de histórico de cliente eliminado por decisão da ANPD.

Publicização da infração: a sanção que dói mais que multa

Publicização significa que a ANPD torna pública a apuração e a confirmação da infração. Não precisa de valor de multa pra doer. Pra empresa que vende confiança, escritório de advocacia, clínica, fintech, consultoria, ter o nome ligado publicamente a vazamento de dado sensível (saúde, biometria, orientação sexual) é reputacionalmente mais caro que R$ 50 mil de multa.

Essa é a sanção que a gente mais vê empresário subestimar. Ele pergunta "quanto vou pagar" e esquece de perguntar "quem vai saber disso".

Suspensão parcial ou total: o pior cenário, e como ele começa antes da multa

Suspensão parcial do funcionamento do banco de dados e suspensão do exercício da atividade de tratamento são as sanções mais graves depois da proibição total. Elas aparecem quando há reincidência ou quando o dano em curso é considerado grave e continuado, não pontual.

O padrão que observamos: a ANPD não pula direto pra suspensão. Ela documenta advertência, documenta resposta insuficiente da empresa, documenta agravamento do risco, e só então escala. Empresa que responde rápido a uma notificação de bloqueio dificilmente chega na suspensão.

Agravantes e atenuantes: o que pesa a favor e contra sua empresa

O próprio art. 52 lista os critérios que a ANPD usa pra dosar a sanção e calcular multa, quando ela é aplicada. Vale conhecer os dois lados dessa balança:

• Agrava: reincidência, má-fé, vantagem econômica obtida com a infração, condição econômica do infrator, gravidade do dano causado a titulares
• Atenua: boa-fé, cooperação com a autoridade, adoção de mecanismos internos de governança em dados, existência de política de boas práticas, pronta adoção de medidas corretivas antes mesmo da notificação

Na prática, isso significa que ter encarregado nomeado (art. 41), política de privacidade atualizada e um mínimo de registro de tratamento já muda a régua a seu favor antes de qualquer fiscalização começar. Empresa sem nada disso começa a conversa já no campo agravante.

Regime simplificado pra PME: Blumenau e Vale do Itajaí têm folga, mas não é escudo

A Resolução CD/ANPD nº 2/2022 criou tratamento diferenciado pra microempresa, empresa de pequeno porte, startup e pessoa jurídica de pequeno porte: prazos mais longos pra responder à ANPD, dispensa de alguns registros formais, facilidade em relatório de impacto. Boa parte do tecido empresarial de Blumenau e do Vale do Itajaí, indústria têxtil de pequeno porte, comércio local, prestadores de serviço, se enquadra nesse regime.

Só que regime simplificado não é isenção. A empresa continua sujeita às mesmas nove sanções do art. 52. O que muda é o prazo e o rigor formal, não a exposição ao risco. Empresário que lê "regime simplificado" e entende "não preciso fazer nada" está enganado.

Nas próximas duas semanas: o que fazer

Se sua empresa trata dado pessoal (e praticamente toda empresa trata, ao menos dado de funcionário e cliente), dá pra reduzir de forma concreta o risco de escalar até bloqueio ou suspensão:

• Nomeie ou confirme quem é o encarregado (DPO) e deixe esse contato visível no site, como exige o art. 41
• Levante em qual base legal do art. 7º cada tratamento de dado da empresa se apoia hoje, sem improviso
• Confira se existe fluxo pra responder titular em até 15 dias, prazo do art. 19
• Documente qualquer medida corretiva já tomada, isso vira atenuante se a ANPD bater na porta
• Verifique se a empresa se enquadra no regime simplificado da Resolução 02/2022 e formalize esse enquadramento

Não existe fórmula que zere o risco. Existe diferença entre chegar numa notificação da ANPD com histórico de negligência ou com histórico de cooperação. Essa diferença é o que decide se você recebe advertência ou se perde o direito de usar sua própria base de dados.