O empresário lê "multa de até 2% do faturamento, limitada a R$ 50 milhões" e trava. Faz a conta de cabeça, assusta e para por aí. O problema é que esse número é só o teto legal do art. 52 da LGPD, não o valor que a ANPD efetivamente aplica. Na prática, a autarquia usa uma metodologia de dosimetria, prevista na Resolução CD/ANPD nº 4/2023, que pesa uma dúzia de fatores antes de chegar num valor final. E esse valor final, nos casos já julgados entre 2024 e 2025, ficou muito longe do teto.
Falando sério: quem se preocupa só com o percentual do faturamento está olhando pro lugar errado. A ANPD raramente aplica multa de cara. Primeiro vem advertência, prazo pra corrigir, e só depois, em caso de reincidência ou dano grave, a sanção pecuniária entra em cena.
De onde vem esse cálculo, afinal?
A base legal está no art. 52, §1º, da Lei 13.709/2018. Ele lista onze critérios que a autoridade deve considerar antes de fixar qualquer sanção: gravidade e natureza da infração, boa-fé do infrator, vantagem obtida ou pretendida, condição econômica da empresa, reincidência, grau do dano, cooperação durante o processo, existência de mecanismos internos de proteção, política de governança, correção espontânea e proporcionalidade entre falta e sanção.
A Resolução CD/ANPD 4/2023 pegou essa lista principiológica e transformou em metodologia de pontuação, dividida em fases: apuração da base de cálculo, aplicação de agravantes, aplicação de atenuantes e verificação de teto. É esse detalhamento que fecha o que os onze critérios legais deixavam em aberto.
- Fase 1: define a gravidade da infração (tipo de dado, número de titulares, natureza do vazamento).
- Fase 2: aplica agravantes (reincidência, vantagem econômica auferida, resistência à fiscalização).
- Fase 3: aplica atenuantes (correção espontânea, cooperação, histórico de boas práticas).
- Fase 4: checa se o valor calculado ultrapassa o teto de 2% do faturamento ou R$ 50 milhões por infração, o que for menor.
Faturamento de quem, exatamente?
Aqui mora a confusão mais comum. O teto de 2% incide sobre o faturamento da pessoa jurídica de direito privado, grupo ou conglomerado, referente ao seu último exercício, excluídos os tributos, apurado no Brasil. Não é o faturamento global do grupo, nem o lucro. É receita bruta nacional, líquida de impostos.
Isso muda a estratégia de defesa. Uma indústria têxtil do Vale do Itajaí com R$ 40 milhões de faturamento anual tem teto de multa de R$ 800 mil por infração, não R$ 50 milhões. O teto de R$ 50 milhões só entra em jogo pra empresas com faturamento acima de R$ 2,5 bilhões. Pra 99% das PMEs catarinenses, o limite real é bem menor que a manchete assusta.
O que pesa mais na hora de calcular
Nos casos julgados até agora, três fatores concentram a maior parte do peso na dosimetria: o tipo de dado vazado ou tratado irregularmente, a quantidade de titulares afetados e a postura da empresa depois do incidente.
- Dado sensível pesa mais: saúde, biometria, dado de criança e adolescente aumentam a gravidade automaticamente (art. 5º, II, c/c art. 14).
- Volume de titulares: vazamento de 500 registros não é tratado como vazamento de 500 mil.
- Reincidência: empresa já advertida antes que repete a falha sofre agravante direto.
- Cooperação: quem relata o incidente, corrige espontaneamente e responde a ANPD dentro do prazo reduz o valor final.
- Governança prévia: ter DPO nomeado, política de privacidade ativa e registro de tratamento pesa a favor mesmo quando o incidente já aconteceu.
O que os casos de 2024 e 2025 mostram na prática
Nossa leitura, acompanhando as decisões publicadas pela ANPD nesse período: a autarquia está calibrando a régua com cautela. Os primeiros processos sancionatórios envolveram valores modestos, muito abaixo do teto legal, e boa parte das fiscalizações terminou em advertência com prazo pra correção, não em multa direta. Isso é coerente com o regime simplificado da Resolução CD/ANPD 2/2022, que dá tratamento mais brando pra microempresa, EPP, startup e profissional autônomo antes de aplicar sanção pecuniária.
Na prática: a ANPD está usando os primeiros anos de fiscalização efetiva (que começou em agosto de 2021) pra construir jurisprudência administrativa, não pra arrecadar. Isso não é garantia de leniência eterna. Conforme os processos se acumulam, a tendência é a régua endurecer, principalmente pra empresas reincidentes ou que ignoram notificação da autoridade.
Onde a empresa perde ponto sem perceber
O erro mais caro que a gente vê não é a falta de política de privacidade bonita no site. É a ausência de prova de que a empresa tentou minimizar o dano antes do incidente. A dosimetria valoriza histórico, não intenção de última hora.
Empresa que nunca documentou base legal de tratamento (art. 7º), nunca nomeou encarregado (art. 41) e só corre atrás de adequação depois que a ANPD já abriu processo dificilmente consegue atenuante de "adoção reiterada de boas práticas". O texto da resolução é claro: o que conta é o que já existia antes da infração, não o que foi implementado depois pra impressionar o fiscal.
O que fazer nas próximas duas semanas
Se sua empresa trata dado pessoal de forma relevante, seja de cliente, colaborador ou fornecedor, esse é o roteiro mínimo pra reduzir exposição:
- Levante quais dados sensíveis (art. 5º, II) circulam na operação e onde ficam armazenados.
- Verifique se existe base legal documentada (art. 7º) pra cada tipo de tratamento, não só um texto genérico de política de privacidade.
- Confirme se há encarregado formalmente nomeado, com contato público, conforme art. 41.
- Prepare um fluxo de resposta a incidente que caiba no prazo de 15 dias do art. 19 pra atender titular, caso peça informação sobre seus dados.
- Documente por escrito qualquer correção feita depois de uma falha identificada. Esse registro é o que vira atenuante mais tarde.
Nenhum desses passos elimina risco de fiscalização. Mas todos eles entram direto na conta da dosimetria, do lado que reduz o valor final, caso a ANPD algum dia bata na porta.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
