A multa da LGPD é uma das sanções administrativas que a Agência Nacional de Proteção de Dados (ANPD) pode aplicar aos agentes de tratamento (controladores e operadores) que descumprem a Lei Geral de Proteção de Dados (Lei 13.709/2018). Pelo artigo 52 da lei, a multa simples chega a até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, com limite de R$ 50 milhões por infração.
O valor de cada multa depende de critérios definidos na própria lei e no regulamento de dosimetria da ANPD, e vários deles levam em conta o que a empresa fez antes e depois da infração. Por isso, um programa de proteção de dados bem documentado ajuda a reduzir tanto o risco de uma infração quanto o peso de uma eventual sanção.
As sanções que a ANPD pode aplicar
A multa é só uma das possibilidades. O artigo 52 da LGPD lista as sanções administrativas, que podem ser aplicadas de forma gradual, isolada ou combinada, sempre depois de um processo administrativo com direito de defesa:
| Sanção | O que significa na prática |
|---|---|
| Advertência | Aviso formal, com prazo para a empresa adotar medidas corretivas |
| Multa simples | Até 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração |
| Multa diária | Valor cobrado por dia até a correção, respeitando o mesmo limite total da multa simples |
| Publicização da infração | Divulgação pública da infração, depois de apurada e confirmada |
| Bloqueio dos dados | Os dados pessoais envolvidos ficam bloqueados até a regularização |
| Eliminação dos dados | Os dados pessoais envolvidos precisam ser apagados |
| Suspensão parcial do funcionamento do banco de dados | Até 6 meses, prorrogáveis por igual período, até a regularização |
| Suspensão da atividade de tratamento | Até 6 meses, prorrogáveis por igual período |
| Proibição da atividade | Proibição parcial ou total de atividades relacionadas ao tratamento de dados |
As três últimas são as mais graves e, pela própria lei (art. 52, §6º), só podem ser aplicadas depois que a empresa já tiver recebido, pelo mesmo caso, ao menos uma destas sanções: multa simples, multa diária, publicização, bloqueio ou eliminação dos dados. A advertência não conta para esse fim. Órgãos e entidades públicas não podem receber multa, simples ou diária, mas estão sujeitos às demais sanções.
Quanto pode custar: como a ANPD calcula o valor
O limite de 2% do faturamento é um teto, e não uma tabela. Em uma empresa que faturou R$ 100 milhões no Brasil no último exercício, 2% equivalem a R$ 2 milhões: esse é o máximo para aquela infração, e o valor aplicado pode ser bem menor. Três detalhes da lei mudam a conta:
- O limite vale por infração. Se a ANPD identificar mais de uma infração no mesmo caso, cada uma pode gerar a sua própria multa.
- A multa diária tem o mesmo teto. Ela serve para garantir o cumprimento de uma obrigação imposta pela ANPD e, somada, não pode passar do limite da multa simples.
- O faturamento considerado pode ser o total. Quando a empresa não demonstra de forma clara o faturamento do ramo em que ocorreu a infração, a ANPD pode usar o faturamento total da empresa ou do grupo.
O cálculo detalhado segue o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4, de 2023. Ele classifica as infrações em leves, médias e graves, define um valor-base para cada caso e aplica agravantes e atenuantes sobre esse valor.
A primeira sanção aplicada pela ANPD, em julho de 2023, mostra a escala na prática: uma microempresa recebeu duas multas simples de R$ 7.200 cada (R$ 14.400 no total), por tratar dados sem base legal e por não atender às requisições da ANPD, além de uma advertência por não ter indicado um encarregado. O valor baixo reflete o porte da empresa, já que o limite da multa é calculado sobre o faturamento.
Os critérios que aumentam ou reduzem a sanção
O artigo 52 da LGPD lista onze critérios que a ANPD considera para escolher a sanção e calcular a multa. Parte deles depende da natureza do caso; a outra parte depende do que a empresa fez:
| Critérios ligados à infração e ao infrator | Critérios ligados à conduta da empresa |
|---|---|
| A gravidade e a natureza da infração e dos direitos afetados | A boa-fé |
| A vantagem obtida ou pretendida com a infração | A cooperação com a ANPD durante o processo |
| A condição econômica do infrator | Mecanismos internos para reduzir o dano, adotados e demonstrados de forma contínua |
| A reincidência | Uma política de boas práticas e governança |
| O grau do dano | A pronta adoção de medidas corretivas |
O décimo primeiro critério, a proporcionalidade entre a gravidade da falta e a intensidade da sanção, funciona como regra geral: a sanção precisa ser compatível com a gravidade do caso. A coluna da direita depende da conduta da empresa: os mecanismos internos e a política de governança se preparam antes de qualquer problema; a boa-fé, a cooperação e a correção rápida se demonstram durante o processo. Já a reincidência, pelo regulamento de dosimetria, considera uma nova infração cometida em até cinco anos depois da decisão definitiva sobre a anterior.
Além da multa: os outros custos de uma infração
A multa não é a única consequência de uma infração à LGPD, e muitas vezes não é a que mais pesa na operação:
- Exposição pública. A publicização torna a infração conhecida por clientes, parceiros e concorrentes.
- Operação interrompida. O bloqueio ou a suspensão de um banco de dados pode parar um sistema de vendas, de cobrança ou de atendimento até a regularização.
- Indenizações. Pelo artigo 42 da LGPD, o controlador ou o operador que causar dano patrimonial ou moral, individual ou coletivo, em violação à lei, é obrigado a repará-lo. Esses pedidos correm na Justiça, de forma independente do processo na ANPD.
- Outras esferas. As sanções da LGPD não substituem as do Código de Defesa do Consumidor nem as de outras leis específicas, aplicadas por outros órgãos.
Como reduzir o risco de multa na prática
As medidas abaixo vêm das obrigações da LGPD e dos critérios do artigo 52, §1º. Use a lista para conferir onde a sua empresa está:
- ☐ Os dados pessoais que a empresa trata estão mapeados, cada tratamento com a sua base legal (artigos 7º e 11, este para dados sensíveis).
- ☐ Há um encarregado pelo tratamento de dados pessoais (o DPO) indicado, com identidade e contato divulgados de forma clara, de preferência no site, e um canal para os titulares e para a ANPD (artigo 41).
- ☐ Existe um registro das operações de tratamento, atualizado (artigo 37).
- ☐ Os tratamentos de maior risco têm relatório de impacto à proteção de dados, quando exigido (artigo 38).
- ☐ As medidas de segurança técnicas e administrativas estão descritas e funcionando (artigo 46).
- ☐ Há um plano de resposta a incidentes que define como comunicar a ANPD e os titulares quando o incidente puder gerar risco ou dano relevante (artigo 48). Pela Resolução CD/ANPD nº 15/2024, o prazo é de três dias úteis a partir do momento em que a empresa toma conhecimento de que o incidente afetou dados pessoais.
- ☐ Os contratos com fornecedores que tratam dados em nome da empresa definem as responsabilidades de cada um, como explicamos no artigo sobre terceirização de TI e segurança.
- ☐ As pessoas que lidam com dados pessoais foram treinadas e sabem a quem avisar quando algo dá errado.
Nenhum item vale só por existir: o que conta diante da ANPD é a evidência de que a medida funciona, com datas, responsáveis e registros.
O que fazer se a ANPD abrir um processo
Receber uma notificação da ANPD não significa uma multa certa. O processo tem etapas, prazos e direito de defesa, e a postura da empresa conta como critério desde o primeiro contato:
- Acione o jurídico e o encarregado. Defina quem fala com a ANPD e quem reúne as informações.
- Respeite os prazos. Responder dentro do prazo e com as informações pedidas é parte da cooperação que a lei considera.
- Corrija o que já for possível. A pronta adoção de medidas corretivas é um dos critérios que reduzem a sanção.
- Reúna as evidências. Políticas, registros, treinamentos e relatórios mostram a governança que a empresa já tinha antes do processo.
Na TecnetOne, o TecnetGRC reúne os controles da LGPD, cada um com responsável, status e evidência datada, e o serviço de DPO as a Service exerce a função de encarregado, com o canal para os titulares e para a ANPD; a responsabilidade pelo tratamento continua sendo do controlador.
Este conteúdo tem caráter informativo, reflete a LGPD e os regulamentos da ANPD vigentes em outubro de 2026 e não constitui parecer jurídico. Para decisões sobre o caso da sua empresa, consulte a sua assessoria jurídica.
Perguntas frequentes sobre a multa da LGPD
É a multa de valor fixo aplicada por infração, com limite de 2% do faturamento no Brasil no último exercício, excluídos os tributos, e de R$ 50 milhões por infração. O nome a diferencia da multa diária, cobrada a cada dia de descumprimento de uma obrigação imposta pela ANPD.
Os artigos da LGPD sobre sanções administrativas estão em vigor desde 1º de agosto de 2021. As regras detalhadas para calcular o valor das multas foram publicadas pela ANPD em fevereiro de 2023.
Podem. A LGPD vale para empresas de todos os tamanhos, e o próprio limite de 2% do faturamento ajusta o valor ao porte de cada uma. A Resolução CD/ANPD nº 2/2022 traz regras diferenciadas para agentes de tratamento de pequeno porte, como a dispensa de indicar encarregado (mantido um canal de comunicação), mas não os isenta da lei nem de sanções, e não se aplica a quem faz tratamento de alto risco.
Não. A sanção depende de um processo de apuração e dos critérios da lei. Fazer a notificação do vazamento no prazo, conter o problema e demonstrar as medidas de segurança que já existiam pesa a favor da empresa na análise.
As sanções da LGPD são aplicadas pela ANPD. Isso não impede que órgãos de defesa do consumidor, como os Procons, apliquem as sanções do Código de Defesa do Consumidor quando a mesma situação também violar essa lei.
