LGPD: a multa de R$ 50 mi não é a punição mais perigosa

Todo mundo fala da multa. Dois por cento do faturamento, limitado a R$ 50 milhões por infração. Esse número circula tanto que virou o único medo que o empresário tem da LGPD. O problema: a lei prevê dez tipos de sanção administrativa, e pelo menos três delas podem paralisar sua operação antes de qualquer cobrança financeira chegar.

A ANPD não precisa esperar um vazamento massivo pra agir. Advertência com prazo de adequação, bloqueio da base de dados, eliminação de registros, suspensão de atividade por até 6 meses: cada sanção tem gatilho próprio e consequência específica. Confundir tudo com "risco de multa" é o erro que mais vemos em empresas de médio porte.

Dez sanções, não uma: o que o art. 52 realmente lista

O art. 52 da LGPD elenca as punições que a ANPD pode aplicar. Nem todas são financeiras. Na ordem do texto legal:

• Advertência com prazo determinado para medidas corretivas
• Multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração
• Multa diária com o mesmo teto, enquanto a infração persistir
• Publicização da infração pelos meios escolhidos pela ANPD
• Bloqueio dos dados pessoais envolvidos, até regularização
• Eliminação dos dados pessoais envolvidos na infração
• Suspensão parcial do funcionamento do banco de dados por até 6 meses, prorrogável
• Suspensão do exercício da atividade de tratamento por até 6 meses, prorrogável
• Proibição parcial do exercício de atividades de tratamento
• Proibição total do exercício de atividades de tratamento

Nossa leitura: o legislador montou uma escada de intensidade crescente. Advertência é o degrau mais baixo. Proibição total é o fim de qualquer operação que dependa de dados pessoais. A ANPD não é obrigada a percorrer todos os degraus em sequência, mas tende a graduar a resposta conforme a gravidade da infração e a postura do infrator.

Advertência com prazo não é aviso inocente

A advertência parece o menor dos males. É, se você cumprir o prazo que ela traz junto. O problema: ela vem acompanhada de prazo determinado para medidas corretivas, e o descumprimento é tratado como agravante nas sanções seguintes. Receber uma advertência e não fazer nada é, na prática, assinar um documento dizendo que você sabia da irregularidade e escolheu manter.

Para microempresas e EPPs, a Resolução CD/ANPD 02/2022 estabelece regime simplificado. A ANPD tende a começar pelo degrau mais baixo com esse público. "Simplificado" não significa "imune": a advertência ainda exige resposta dentro do prazo fixado, e o histórico fica registrado. Quem ignora chega no segundo processo em situação muito pior.

Publicização: o dano que não cabe em planilha

Essa é a sanção mais subestimada e a que mais machuca na prática. Publicização da infração significa que a ANPD pode tornar público o fato de que sua empresa descumpriu a lei: nome da empresa, natureza da infração, titulares afetados. Pelos canais que escolher. Sem filtro.

Uma multa de R$ 500 mil, dependendo do porte da empresa, é absorvível. Um comunicado oficial da ANPD apontando sua empresa como infratora de proteção de dados vai para o Google e fica. Cliente B2B que lê isso cancela contrato. Licitação pública que exige compliance reprova sua habilitação. Parceiro comercial que monitora risco de fornecedor te coloca em watch-list. Empresas do Vale do Itajaí que atendem grandes redes varejistas conhecem bem esse risco: o fornecedor listado como infrator vira problema de compliance do contratante.

Bloqueio versus eliminação: a diferença que define o tamanho do estrago

Bloqueio é suspensão temporária. Os dados continuam existindo, mas não podem ser processados enquanto dura a medida. Serve para casos onde a irregularidade pode ser corrigida: base legal inadequada, falta de registro de atividades, ausência de DPO (art. 41). Você regulariza, o bloqueio é levantado.

Eliminação é definitiva. Os dados são apagados. Isso acontece quando o tratamento não tem como ser justificado por nenhuma base legal do art. 7º, quando os dados foram coletados de forma ilícita, ou quando o prazo de retenção claramente expirou e o controlador se recusou a agir. Para empresas que mantêm bases de leads antigas sem finalidade documentada, esse é o cenário mais provável.

A diferença prática é grande: bloqueio preserva a base, você corrige e retoma. Eliminação significa que aquela lista de contatos que levou anos pra construir vai ao lixo por determinação administrativa. É irreversível. E não há indenização ao controlador que perde os dados por ordem da própria autarquia.

Como a ANPD decide qual sanção aplicar

O art. 52, §1º lista os critérios de dosimetria. Não é discricionário puro: a ANPD precisa fundamentar a escolha. Os fatores que pesam incluem gravidade e natureza da infração, boa-fé do infrator, vantagem obtida com o tratamento irregular, condição econômica do controlador, reincidência, grau de dano causado aos titulares e adoção de boas práticas de governança antes do incidente.

Os dois últimos fatores são os mais acionáveis. Empresa que tem política de privacidade real, DPO designado, registro de atividades de tratamento e histórico de treinamento de equipe chega num processo da ANPD em posição completamente diferente de quem não tem nada. Não é marketing de compliance. É dosimetria legal que a própria lei manda considerar.

Agravantes e atenuantes: a conta objetiva

O que acelera o pior cenário:

• Reincidência: segunda infração da mesma natureza escala a sanção diretamente
• Dados sensíveis envolvidos: saúde, biometria, crença religiosa, vida sexual, genética (art. 5º, II) pesam mais na dosimetria
• Dados de crianças e adolescentes: proteção reforçada no art. 14
• Tratamento em larga escala com impacto sobre número expressivo de titulares
• Vantagem econômica direta obtida com o tratamento irregular
• Negativa de cooperar com a investigação da ANPD

O que reduz a exposição:

• Comunicação espontânea e tempestiva do incidente (art. 48 exige notificação à ANPD e aos titulares em prazo razoável)
• DPO designado e registrado antes do incidente
• Programa de governança em privacidade documentado e funcional
• Cooperação plena com a ANPD durante o processo administrativo
• Primeira infração, sem histórico anterior
• Medidas corretivas adotadas imediatamente ao tomar conhecimento da irregularidade

Falando sério: a ANPD ainda está construindo sua jurisprudência administrativa. Os primeiros processos públicos mostram uma autarquia que prefere ver correção a punir por punir. Mas isso tem limite temporal. Empresa reincidente, com dados sensíveis mal tratados e sem DPO, em 2026, já não tem argumento de boa-fé plausível.

O que fazer nos próximos 15 dias

Se sua empresa ainda não tem nada estruturado em proteção de dados, a prioridade não é a política de privacidade do site. É o mapa do que você coleta, onde armazena, por quanto tempo e com qual base legal. Esse levantamento é o que permite contestar qualquer coisa num processo administrativo da ANPD.

• Identifique quais sistemas armazenam dados pessoais: CRM, ERP, planilhas de RH, sistema de cobrança, ferramenta de e-mail marketing
• Verifique se há alguém designado como encarregado (DPO) e se o nome está publicado em lugar acessível ao público, como exige o art. 41
• Olhe sua base de dados mais antiga: sem finalidade documentada, o risco é eliminação, não bloqueio
• Mapeie onde estão os dados sensíveis da sua operação: ficha de saúde de funcionários, biometria de ponto eletrônico, prontuários de qualquer natureza
• Certifique-se de que existe canal de resposta a titulares com prazo controlado: o prazo legal é de 15 dias (art. 19), e a ANPD já recebe reclamações diretas de titulares pelo portal da autarquia

Esses cinco pontos não fecham o compliance, mas criam o mínimo de documentação que, num processo, separa quem cooperou de quem ignorou. Na dosimetria da ANPD, essa diferença define qual degrau da escada você pisa.