Dosimetria da LGPD: como a ANPD calcula multas e sanções

A LGPD prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, mas o valor efetivo de uma sanção não sai de um chute. Ele é calculado pela ANPD segundo o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023. Entender essa conta mostra, com bastante precisão, o que de fato reduz a exposição de uma empresa.

As sanções previstas no art. 52 da LGPD

O art. 52 da Lei nº 13.709/2018 lista as sanções administrativas que a ANPD pode aplicar aos agentes de tratamento, sempre após processo administrativo com direito a ampla defesa:

Advertência. Com indicação de prazo para adoção de medidas corretivas.
Multa simples. De até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.
Multa diária. Usada para forçar o cumprimento de uma obrigação, respeitado o mesmo limite total por infração.
Publicização da infração. Divulgação pelo próprio infrator, depois de apurada e confirmada a infração.
Bloqueio dos dados pessoais. Suspensão temporária do tratamento dos dados envolvidos até a regularização.
Eliminação dos dados pessoais. Exclusão dos dados a que se refere a infração.
Suspensão e proibição. Suspensão parcial do banco de dados ou da atividade de tratamento por até seis meses, prorrogáveis por igual período, e proibição parcial ou total de atividades de tratamento.

As sanções mais severas (suspensões e proibição) só podem ser aplicadas depois que pelo menos uma das sanções de multa, publicização, bloqueio ou eliminação já tiver sido imposta no mesmo caso. Órgãos e entidades públicas não estão sujeitos às multas, mas podem receber advertência, publicização, bloqueio, eliminação, suspensões e proibição.

Como a ANPD classifica a infração

O ponto de partida da dosimetria é a classificação da infração, definida no art. 8º do regulamento:

Leve. Quando não se enquadra em nenhuma das hipóteses de média ou grave.
Média. Quando pode afetar significativamente interesses e direitos fundamentais dos titulares, por exemplo impedindo ou limitando o exercício de direitos ou o uso de um serviço, ou causando danos materiais ou morais como discriminação, fraude financeira ou uso indevido de identidade.
Grave. Quando, além de ser média, envolve pelo menos um agravante de contexto: tratamento em larga escala, vantagem econômica para o infrator, risco à vida, dados sensíveis ou de crianças, adolescentes e idosos, tratamento sem base legal, efeitos discriminatórios ilícitos ou práticas irregulares sistemáticas. A obstrução à fiscalização também é, por si só, infração grave.

A classificação define o caminho. A advertência cabe para infrações leves ou médias sem reincidência específica, ou quando é preciso impor medidas corretivas. A multa simples é aplicada quando a infração é grave, quando o infrator descumpriu medidas preventivas ou corretivas, ou quando outra sanção não for adequada ao caso.

Do valor-base ao valor final da multa

O valor-base da multa simples é calculado por infração, segundo a metodologia do Apêndice I do regulamento, a partir de três elementos: a classificação da infração, o faturamento do infrator no ramo de atividade em que ela ocorreu (no último exercício disponível, excluídos os tributos) e o grau do dano.

Sobre o valor-base incidem agravantes e atenuantes, somados percentualmente (arts. 12 e 13):

Agravantes

Reincidência específica. 10% por caso, até 40%.
Reincidência genérica. 5% por caso, até 20%.
Medida de orientação ou preventiva descumprida. 20% por medida, até 80%.
Medida corretiva descumprida. 30% por medida, até 90%.

Atenuantes

Cessação da infração. 75% se ocorrer antes de a ANPD instaurar procedimento preparatório; 50% se depois dele e antes do processo sancionador; 30% se durante o processo e antes da decisão de primeira instância.
Governança. 20% pela implementação de política de boas práticas e governança, ou pela adoção reiterada e demonstrada de mecanismos internos capazes de minimizar danos aos titulares, até a decisão de primeira instância.
Mitigação dos efeitos. 20% para medidas que revertam ou mitiguem os efeitos sobre os titulares antes de procedimento da ANPD; 10% se depois do procedimento preparatório e antes do processo sancionador.
Cooperação ou boa-fé. 5%.

O resultado não pode ficar abaixo dos mínimos do Apêndice II, salvo quando a vantagem econômica obtida for estimável (nesse caso, aplica-se o dobro dela), e continua limitado a 2% do faturamento ou R$ 50 milhões. Quem renuncia expressamente ao recurso e paga no prazo tem redução de 25%.

O detalhe que mais pesa. Cessação e mitigação só contam como atenuante quando não decorrem do mero cumprimento de ordem administrativa ou judicial, e cabe ao infrator provar cada requisito. Agir cedo e documentar vale mais do que reagir quando a fiscalização chega.

O que os primeiros casos mostraram

A primeira sanção a uma empresa privada, publicada no Diário Oficial da União em 6 de julho de 2023, atingiu uma microempresa que comercializava listas de contatos de WhatsApp para envio de propaganda eleitoral. Ela recebeu advertência por não ter indicado encarregado e duas multas simples, uma por tratar dados sem base legal e outra por não atender às solicitações da fiscalização, somando R$ 14.400. O valor é pequeno em reais, mas cada infração gerou sua própria multa.

Em outro caso, um instituto de assistência a servidores estaduais foi advertido por falhas de segurança, como ausência de controles adequados e de registro de acessos, e por não comunicar um incidente à ANPD e aos titulares. Por ser órgão público, não podia ser multado, mas recebeu determinações de correção. Nos dois casos, o porte não tirou ninguém do radar.

Comunicação de incidente: prazo de três dias úteis

A Resolução CD/ANPD nº 15, de 24 de abril de 2024, aprovou o Regulamento de Comunicação de Incidente de Segurança. Quando o incidente pode acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e aos titulares em três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais (o prazo é contado em dobro para agentes de pequeno porte). O risco é considerado relevante quando o incidente pode afetar significativamente direitos dos titulares e envolve, por exemplo, dados sensíveis, financeiros, de autenticação, de crianças, adolescentes ou idosos, ou dados em larga escala.

Todo incidente, comunicado ou não, deve ser registrado e o registro mantido por no mínimo cinco anos.

O que reduz a exposição na prática

Mapeamento de dados. Inventário das atividades de tratamento com base legal definida para cada uma. Tratamento sem base legal é um dos gatilhos de infração grave.
Encarregado e canal de atendimento. Encarregado formalmente indicado e capaz de responder a titulares e à ANPD dentro dos prazos.
Programa de governança documentado. Políticas, registros e evidências de funcionamento, que sustentam o atenuante de 20% e reduzem a chance de a infração ser classificada como sistemática.
Controles técnicos e gestão de riscos. Análise de lacunas frente à ISO/IEC 27001, gestão de vulnerabilidades e registro de acessos aos sistemas com dados pessoais.
Plano de resposta a incidentes. Critérios para avaliar risco relevante, modelo de comunicação e fluxo de decisão que caibam em três dias úteis.

Perguntas frequentes

Qual é a multa máxima da LGPD?

A multa simples é de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Como o limite é por infração, um mesmo processo pode gerar mais de uma multa.

Ter um programa de governança em privacidade reduz a multa?

Sim. A implementação de política de boas práticas e governança, ou de mecanismos internos demonstrados para minimizar danos, é atenuante de 20% se comprovada até a decisão de primeira instância.

Qual é o prazo para comunicar um incidente à ANPD?

Três dias úteis contados do conhecimento de que o incidente afetou dados pessoais, quando ele puder acarretar risco ou dano relevante aos titulares, ressalvado prazo diferente em legislação específica. Agentes de pequeno porte têm o prazo em dobro.

Fontes consultadas: Lei nº 13.709/2018 (LGPD), arts. 52 e 53, no portal da Presidência da República; Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023 (Regulamento de Dosimetria e Aplicação de Sanções Administrativas), e Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança), ambas no Diário Oficial da União; orientações da ANPD sobre comunicação de incidentes em gov.br/anpd. Este artigo é educacional e não constitui aconselhamento jurídico; para casos concretos, consulte os textos oficiais e um advogado especializado.