Multa da LGPD: quanto custa de verdade, segundo os dados da ANPD

Os números que existem de fato

Boa parte do que circula sobre multa da LGPD é estimativa de fornecedor. Vamos ficar apenas com o que é público e verificável:

Vale entender como o teto funciona, porque a regra é aritmética simples. São 2% do faturamento no Brasil, por infração, com um limite absoluto de R$ 50 milhões. Uma empresa que fatura R$ 100 milhões no Brasil tem, por essa conta, exposição de R$ 2 milhões por infração. O limite de R$ 50 milhões só passa a ser o fator determinante para faturamentos a partir de R$ 2,5 bilhões, porque 2% de R$ 2,5 bilhões são exatamente R$ 50 milhões. Ou seja: para a média empresa brasileira, o número que importa nunca é o teto de R$ 50 milhões, é o percentual sobre o próprio faturamento.

A leitura estratégica: o que essa distância significa

O que vem agora é interpretação nossa, não fato oficial, e é assim que deve ser lido. O contraste entre um teto de R$ 50 milhões e uma primeira multa de R$ 14.400 aplicada a uma microempresa indica que a ANPD ainda está em fase de construção de precedente. A autoridade vem montando seu repertório de casos, testando o instrumento sancionador e calibrando a dosimetria antes de escalar valores.

A conclusão prática dessa leitura é o oposto do alívio. Se você está esperando o susto vir na forma de uma multa gigante, provavelmente está olhando para o lugar errado. O risco real hoje, para uma média empresa, é a soma de três coisas que não aparecem na manchete:

1. Bloqueio ou eliminação de dados. Uma medida que atinge a base de dados usada na operação tem efeito imediato sobre faturamento, cobrança e atendimento. Não é uma linha de despesa, é uma interrupção.
2. Dano reputacional. Cliente corporativo, órgão público e parceiro grande incluem tratamento de dados no questionário de fornecedor. Um processo aberto vira assunto de área de compras.
3. Custo de remediação. Responder a um processo, produzir evidência retroativa, contratar assessoria de urgência e refazer controles em regime de emergência custa mais do que ter feito a mesma coisa com calma.

Existe ainda um componente de tempo. Precedente, uma vez estabelecido, tende a se firmar. Quem se organiza durante a fase de construção do repertório chega na fase seguinte com o dever de casa feito e com um histórico de boa-fé documentado.

A multa é apenas uma das 9 sanções

Esse é o ponto que a maioria dos artigos sobre LGPD ignora. O art. 52 da LGPD prevê 9 tipos de sanção. A multa é um deles. Entre os outros estão a advertência, o bloqueio dos dados a que a infração se refere e a eliminação desses dados.

Para um diretor que decide orçamento, essa distinção muda tudo. Uma multa é um evento financeiro: dói, é absorvido, é contabilizado. Um bloqueio ou uma eliminação de base é um evento operacional: a empresa perde o insumo com o qual trabalha.

Pense no efeito, não no valor

Faça o exercício com a sua própria operação:

• Se a base de clientes fosse bloqueada por determinação da autoridade, quantos dias a empresa continuaria faturando?
• Quais processos hoje param sem acesso ao cadastro de pessoa física?
• A empresa consegue provar, com registro, quais dados coleta, por qual base legal e por quanto tempo guarda?
• Se um cliente corporativo pedisse hoje evidência de conformidade, em quantos dias você responderia?

As respostas a essas quatro perguntas dizem mais sobre a sua exposição do que qualquer valor de multa. E é sobre elas que a conversa de orçamento deveria acontecer.

O atenuante que quase ninguém usa a favor

O Regulamento de Dosimetria, de 2023, trata a existência de um programa de governança em privacidade como atenuante formal no cálculo da sanção. Leia isso de novo, porque é uma informação de valor prático imediato: a estrutura que você monta antes do incidente entra na conta depois do incidente.

Isso muda a natureza do investimento em conformidade. Ele deixa de ser apenas uma tentativa de evitar o problema e passa a ser também uma forma de reduzir o efeito do problema caso ele aconteça. É a mesma lógica de um backup testado: você não faz porque acha que o servidor vai falhar, faz porque o custo do dia em que ele falhar depende disso.

O que um programa de governança precisa ter, na prática

Sem entrar em consultoria jurídica, existe um núcleo técnico e organizacional que sustenta qualquer programa e que depende diretamente da infraestrutura de TI:

• Mapeamento do que existe. Quais dados pessoais a empresa trata, onde eles ficam, quem acessa e por quanto tempo permanecem.
• Controle de acesso com identidade individual. Nada de conta compartilhada. Sem identidade individual, não há registro confiável de quem fez o quê.
• Autenticação multifator nos acessos sensíveis. Especialmente em administrador de sistema, acesso remoto e e-mail corporativo.
• Registro de eventos preservado. Log que só existe por poucos dias não sustenta investigação nem defesa.
• Backup testado e, de preferência, imutável. É o que permite responder a um incidente sem perder o histórico que a autoridade vai pedir.
• Gestão de correções em dia. Sistema fora de suporte e sem atualização é o item mais difícil de justificar em qualquer processo.
• Plano de resposta a incidentes escrito e ensaiado. Improviso não gera evidência, gera contradição.
• Documentação viva. Política que ninguém revisa há anos pesa contra, não a favor.

Os detalhes de como comunicar um incidente estão em plano de resposta a incidentes e a LGPD. A base de adequação, incluindo papéis e documentação, está em LGPD e adequação de empresas em SP.

O que a ANPD sinalizou para 2026 e 2027

No fim de 2025, a ANPD publicou o Mapa de Temas Prioritários 2026-2027, com 4 temas prioritários de fiscalização. Isso é relevante porque muda a natureza do planejamento: em vez de tentar adivinhar por onde a fiscalização virá, você tem uma indicação pública de onde a autoridade pretende concentrar atenção nos próximos dois anos.

Para uma média empresa, a leitura é direta: prioridade declarada de fiscalização é insumo de planejamento de orçamento, do mesmo jeito que um fim de suporte de software é. A tradução de cada tema em ação prática está detalhada em o que o Mapa de Temas Prioritários cobra da sua empresa.

Como transformar isso em decisão de orçamento

Um diretor não aprova verba com base em medo difuso. Aprova com base em risco declarado e em custo comparado. Uma forma honesta de estruturar essa conversa:

Repare no que essa tabela não tem: nenhuma projeção de multa provável, nenhum percentual de empresas que sofreram incidente, nenhuma promessa de conformidade total. Conversa de comitê baseada em número inventado dura até a primeira pergunta difícil.

Por onde começar, se você começa hoje

1. Descubra onde estão os dados pessoais. Sem inventário, todo o resto é suposição.
2. Feche o acesso. Identidade individual, revisão de permissão e autenticação multifator nos pontos sensíveis.
3. Garanta o registro. Log preservado por período útil e backup testado por restauração.
4. Escreva o plano de incidente. Quem decide, quem comunica, o que a comunicação precisa conter.
5. Elimine o que está fora de suporte. Sistema sem correção de segurança é o argumento mais fraco possível em uma defesa.
6. Documente e revise. Programa vivo é atenuante. Papel esquecido em pasta não é.

Perguntas frequentes

Qual é o valor máximo da multa da LGPD?

A sanção pecuniária é de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Para a maior parte das médias empresas, o percentual sobre o faturamento é o número que vale, porque o teto absoluto só se torna determinante em faturamentos muito altos.

A ANPD já multou muitas empresas?

Não. Até o levantamento, a ANPD havia aberto pelo menos 9 processos administrativos sancionadores, e apenas uma empresa privada foi efetivamente multada: uma microempresa de telemarketing, que recebeu duas multas somando R$ 14.400. Isso não quer dizer que o risco seja baixo, porque a multa é apenas uma das 9 sanções previstas no art. 52.

Ter um programa de privacidade reduz a multa?

O Regulamento de Dosimetria, de 2023, trata a existência de um programa de governança em privacidade como atenuante formal no cálculo da sanção. Na prática, a estrutura montada antes do incidente entra na conta depois dele, o que muda a lógica do investimento em conformidade.

Onde a BS IT Solutions entra

Conformidade tem uma camada jurídica e uma camada técnica, e a segunda é onde a maioria dos programas trava. A BS IT Solutions atua exatamente nela: controle de acesso e autenticação multifator, gestão de correções e fim de suporte, backup testado, registro de eventos preservado, monitoramento NOC 24x7 para detectar o incidente cedo e infraestrutura preparada para produzir a evidência que um processo exige.

Se hoje você não conseguiria mostrar, em poucos dias, onde estão os dados pessoais da sua empresa e quem acessa cada um deles, esse é o ponto de partida. Fale com um especialista da BS IT Solutions.