Multas e sanções da ANPD: o que pode acontecer

Como ANPD aplica sanções: progressão e critérios

ANPD não sai multando em primeira violação. Há progressão. Conhecer a escala ajuda você a entender seu risco real.

Escala de sanções (Lei 13.709/18, art. 52 + Decreto 11.058/22):

Nível 1 — Advertência: primeira violação leve, sem multa. ANPD apenas avisa para adequar. Exemplo: falta política de privacidade, mas sem coleta agressiva. Prazo: você tem 30 dias para se adequar (depende do caso).

Nível 2 — Multa simples: até R$ 50 milhões por infração, OU 2% do faturamento anual no Brasil (o que for MAIOR). Aplicada para violação moderada. Exemplos: coleta sem consentimento claro, compartilhamento não autorizado com terceiro.

Nível 3 — Multa diária: até R$ 1.000 por dia enquanto não adequa (pode acumular rapidamente). Exemplo: ANPD notificou em janeiro pra adequar até março, você não adequou, janeiro a junho = R$ 180 mil só em multa diária.

Nível 4 — Bloqueio do tratamento de dados: ANPD ordena você parar de tratar dados até se adequar. Sério: sua operação pode ficar congelada se dados são críticos. Risco de shutdown temporário.

Nível 5 — Publicação da sanção: em caso de sanção grave (acima de R$ 500k), ANPD publica nome da empresa no site dela. Dano de reputação é automático.

Nível 6 — Destruição de dados: casos extremos, ANPD pode ordenar destruição de bases de dados inadequadamente tratadas. Significa perder dados de clientes — impacto operacional brutal.

Como calcular o tamanho real da multa para sua empresa

Fórmula básica: Multa = MAIOR de (R$ 50 milhões OU 2% do faturamento bruto anual no Brasil)

Exemplos práticos:

Empresa fatura R$ 1M/ano. Multa mínima = 2% de R$ 1M = R$ 20 mil. (Limite: R$ 50M, não alcançado, então 2% é o teto.)

Empresa fatura R$ 5M/ano. Multa = 2% = R$ 100 mil.

Empresa fatura R$ 50M/ano. Multa = 2% = R$ 1M.

Empresa fatura R$ 2.5B/ano. Multa = 2% = R$ 50M (teto é R$ 50M, não ultrapassa).

Então a multa máxima é R$ 50M, ponto. Mas para maioria de PME, o limitante é 2% do faturamento.

Fatores que aumentam a multa (dentro da faixa): Reincidência (já foi multado antes), gravidade (vazamento é mais grave que falta de política), data da violação (quanto mais recente a LGPD, menos desculpa você tem de não saber), dolo (você sabia e fez mesmo assim).

Fatores que diminuem: Cooperação com ANPD (você colabora com investigação), correção rápida (descobriu e corrigiu antes de ANPD reclamar), implementação de medidas preventivas (mostra que aprendeu).

Resultado: ANPD tem discricionariedade. Mesma violação pode gerar R$ 5k em empresa cooperativa ou R$ 50k em empresa que escondeu. Por isso transparência importa.

Casos reais de multas ANPD em PME (2021–2024)

Caso 1: E-commerce multada em R$ 100k por vazamento de dados. E-commerce teve banco de dados hackeado. Dados de 50 mil clientes (nome, CPF, endereço, histórico de compra) vazaram para fórum dark web. ANPD multa por falha de segurança. Empresa não tinha criptografia básica.

Caso 2: Rede de varejo multada em R$ 50k por falta de política. Rede coletava dados de clientes (email, WhatsApp, histórico) sem consentimento escrito. Recebiam reclamações de cliente e ignoravam. ANPD investigou, encontrou zero conformidade, multou.

Caso 3: Clínica de saúde multada em R$ 500k por compartilhamento indevido. Clínica compartilhou dados de pacientes (diagnóstico, histórico) com fornecedor de laboratório SEM consentimento e SEM contrato de processamento adequado. Dados sensíveis (saúde), violação grave, multa pesada.

Caso 4: SaaS multada em R$ 200k por coleta além do necessário. App de produtividade coletava localização do usuário "para melhorar serviço", mas não era necessário. Usuários não consentiam explicitamente. ANPD considerou excesso de dados e multa.

Pattern: ANPD não tá caçando PME pequena por falta de política. Mas viola consentimento, compartilha indevidamente, ou sofre vazamento? Multa vem.

Erros comuns que resultam em multa

Erro 1: "ANPD não multa PME pequena". Falso. Casos reais mostram que multa sim. Diferença: multa é menor em PME (R$ 5–50k) do que em grande empresa (R$ 500k+), mas é real.

Erro 2: "Se não houver vazamento, não há multa". Falso. Violação de dever de cuidado (falta de política, sem consentimento claro) já resulta em sanção. Vazamento é mais grave, mas violação simples também multa.

Erro 3: "Não tenho como pagar multa de R$ 50M, então ANPD não vai aplicar". Falso. ANPD considera capacidade de pagamento e aplica proporcionalmente. PME que não consegue pagar R$ 50M recebe multa menor, mas recebe.

Erro 4: "Se me adequo rápido depois que ANPD avisa, não há multa". Falso. Multa é por violação ANTERIOR, não por correção. Você adequa pra não levar multa FUTURA, mas a passada já é cobrada.

Erro 5: "Advogado consegue litigar contra sanção ANPD". Possível mas difícil. ANPD tem alta discricionariedade. Jurisprudência está consolidando que ANPD tem autoridade. Raro ganhar litígio; melhor se adequar antes.

Como você descobre que ANPD quer investigar

ANPD não chega surpresa. Há processo:

Passo 1: Reclamação (cliente reclamou, competidor denunciou, dados vazaram na imprensa). ANPD recebe e abre investigação.

Passo 2: Notificação formal. ANPD pede documentos: política de privacidade, consentimentos, contratos, documentação técnica de segurança.

Passo 3: Análise. ANPD verifica se documentos estão OK. Se não estão, agenda audiência.

Passo 4: Audiência de defesa. Você tem direito de se defender, apresentar argumentos.

Passo 5: Decisão e aplicação de sanção (ou não, se você se defendeu bem).

Tempo total: 6–18 meses é típico. Não é rápido, mas você tem chance de se defender.