Multas da LGPD: como a ANPD calcula as sanções

A multa da LGPD pode chegar a 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II, da Lei Geral de Proteção de Dados Pessoais). O valor concreto é definido pela Autoridade Nacional de Proteção de Dados (ANPD) com base no Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4/2023), que considera a gravidade da infração, o grau do dano aos titulares, o faturamento e as circunstâncias agravantes e atenuantes. A multa é só uma das sanções: advertência, publicização, bloqueio e eliminação de dados e suspensão das atividades também estão previstas.

Entender como a dosimetria funciona ajuda a empresa a identificar o que aumenta o risco e o que conta a seu favor antes de um processo administrativo sancionador. Veja neste guia os limites legais, os critérios de cálculo e os fatores que pesam na fixação das sanções previstas no art. 52 da LGPD (Lei nº 13.709/2018).

Quais são os tipos de sanções administrativas da LGPD e quando são aplicadas

A LGPD prevê diferentes sanções para quem descumpre as regras de tratamento de dados pessoais. A aplicação dessas sanções compete exclusivamente à ANPD (art. 55-K), por meio de processo administrativo que assegura ampla defesa e contraditório.

As sanções dividem-se entre pecuniárias e não pecuniárias, conforme o art. 52. A escolha da medida depende de parâmetros como a gravidade da infração, a boa-fé do infrator, o grau do dano e a cooperação com a autoridade (art. 52, § 1º).

O rol de sanções administrativas inclui:

• Advertência: com indicação de prazo para a adoção de medidas corretivas.
• Multa simples e multa diária: a multa simples pode chegar a 2% do faturamento, limitada a R$ 50 milhões por infração; a multa diária serve para compelir o cumprimento de determinações da ANPD.
• Publicização da infração: divulgação da infração depois de apurada e confirmada a sua ocorrência.
• Bloqueio dos dados pessoais: bloqueio dos dados a que se refere a infração até a regularização do tratamento.
• Eliminação dos dados pessoais: exclusão dos dados a que se refere a infração.
• Suspensão ou proibição das atividades de tratamento: suspensão parcial do funcionamento do banco de dados ou suspensão da atividade de tratamento, por até 6 meses, prorrogáveis por igual período, e proibição parcial ou total das atividades de tratamento (art. 52, X a XII).

Na prática, as sanções não pecuniárias podem pesar tanto quanto a multa: o bloqueio ou a suspensão do tratamento pode interromper uma operação inteira do negócio.

Multa simples vs multa diária na LGPD: comparativo e limites legais

A LGPD prevê duas modalidades de multa. A multa simples pune a infração. A multa diária tem caráter coercitivo: é aplicada para compelir a empresa a cumprir uma determinação da ANPD, como cessar uma conduta irregular.

Aspecto	Multa simples	Multa diária
Previsão legal	Art. 52, II, da LGPD.	Art. 52, III, da LGPD.
Finalidade	Punir a infração cometida.	Compelir o cumprimento de uma determinação da autoridade.
Limite	Até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.	Observa o mesmo limite total de R$ 50 milhões por infração.
Cálculo	Segue a metodologia de dosimetria da Resolução CD/ANPD nº 4/2023.	Fixada conforme a determinação a ser cumprida e aplicada enquanto durar o descumprimento.

Por isso, responder às determinações da ANPD dentro do prazo é uma das formas mais diretas de evitar que a multa diária se acumule.

Como a ANPD calcula a multa da LGPD: metodologia da dosimetria e gravidade da infração

A metodologia de cálculo está no Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4/2023). Em linhas gerais, a ANPD classifica a infração, define uma alíquota-base conforme essa classificação e o grau do dano, aplica essa alíquota sobre o faturamento e, em seguida, ajusta o valor pelas circunstâncias agravantes e atenuantes.

O regulamento classifica as infrações em três níveis de gravidade:

• Infração leve: quando não se enquadra como média nem como grave;
• Infração média: quando pode afetar significativamente interesses e direitos fundamentais dos titulares, por exemplo impedindo o exercício de direitos ou causando dano material ou moral;
• Infração grave: quando, além disso, envolve circunstâncias como tratamento em larga escala, dados sensíveis ou de crianças, adolescentes e idosos, tratamento sem base legal, vantagem econômica para o infrator, efeitos discriminatórios ou prática irregular sistemática, ou ainda quando há obstrução à fiscalização.

Depois de calcular o valor-base, a ANPD aplica os fatores agravantes e atenuantes. O resultado final respeita sempre os limites do art. 52 da LGPD. Quando não há informação sobre o faturamento, o regulamento prevê critérios alternativos para chegar ao valor.

Atenuantes e agravantes: fatores que reduzem ou aumentam o valor das penalidades

O valor final da multa não depende apenas da gravidade da infração e do faturamento. O Regulamento de Dosimetria prevê circunstâncias que diminuem ou elevam o valor-base.

As atenuantes demonstram boa-fé e colaboração. Os principais fatores que reduzem a multa são:

• Cessação da infração: interrupção comprovada da conduta irregular. Quanto antes ela ocorre no processo, maior tende a ser a redução.
• Adoção de medidas corretivas: medidas capazes de reverter ou mitigar os efeitos da infração sobre os titulares afetados.
• Política de boas práticas e governança: existência de um programa de proteção de dados efetivo, com atuação do encarregado de dados (DPO).
• Cooperação e boa-fé: colaboração com a fiscalização e envio tempestivo de documentos durante o processo.

Em contrapartida, as agravantes elevam o valor. As principais são a reincidência, específica ou genérica, e o descumprimento de medidas de orientação, preventivas ou corretivas determinadas pela ANPD.

Agravantes e atenuantes incidem em percentuais sobre o valor-base. O somatório dessas variáveis define se a multa ficará próxima do mínimo ou se aproximará do teto legal.

Na prática, muitos desses fatores se decidem antes de qualquer processo. Uma empresa que já tem inventário de dados, encarregado atuante e um plano para agir em caso de vazamento de dados consegue comprovar governança, conter danos com rapidez e cooperar com a autoridade.

Conclusão

A dosimetria da ANPD mostra que o valor das sanções varia conforme a gravidade da infração e a postura da empresa: rapidez na resposta, medidas corretivas e governança documentada contam a favor.

Empresas com programa de proteção de dados efetivo e encarregado atuante têm como comprovar atenuantes. Já a reincidência e o descumprimento de determinações da autoridade elevam o valor da multa da LGPD.

Para analisar o seu caso, fale com o escritório.

---