La LGPD brasileña prevé multas de hasta el 2% de la facturación, con un tope de R$ 50 millones por infracción, pero el valor efectivo de una sanción no se decide a ojo. La ANPD lo calcula según el Reglamento de Dosimetría y Aplicación de Sanciones Administrativas, aprobado por la Resolución CD/ANPD nº 4, del 24 de febrero de 2023. Entender ese cálculo muestra, con bastante precisión, qué reduce realmente la exposición de una empresa.
Las sanciones del art. 52 de la LGPD
El art. 52 de la Ley nº 13.709/2018 enumera las sanciones administrativas que la ANPD puede aplicar a los agentes de tratamiento, siempre tras un proceso administrativo con derecho a amplia defensa:
- Advertencia. Con indicación de plazo para adoptar medidas correctivas.
- Multa simple. De hasta el 2% de la facturación de la persona jurídica de derecho privado, grupo o conglomerado en Brasil en el último ejercicio, excluidos los tributos, con un tope de R$ 50 millones por infracción.
- Multa diaria. Se usa para forzar el cumplimiento de una obligación, respetando el mismo tope total por infracción.
- Publicitación de la infracción. Divulgación por el propio infractor, una vez investigada y confirmada la infracción.
- Bloqueo de los datos personales. Suspensión temporal del tratamiento de los datos involucrados hasta su regularización.
- Eliminación de los datos personales. Supresión de los datos a los que se refiere la infracción.
- Suspensión y prohibición. Suspensión parcial de la base de datos o de la actividad de tratamiento por hasta seis meses, prorrogables por igual período, y prohibición parcial o total de actividades de tratamiento.
Las sanciones más severas (suspensiones y prohibición) solo pueden aplicarse después de que al menos una de las sanciones de multa, publicitación, bloqueo o eliminación ya se haya impuesto en el mismo caso. Los órganos y entidades públicas no están sujetos a multas, pero pueden recibir advertencia, publicitación, bloqueo, eliminación, suspensiones y prohibición.
Cómo clasifica la ANPD la infracción
El punto de partida de la dosimetría es la clasificación de la infracción, definida en el art. 8 del reglamento:
- Leve. Cuando no encaja en ninguno de los supuestos de media o grave.
- Media. Cuando puede afectar significativamente los intereses y derechos fundamentales de los titulares, por ejemplo impidiendo o limitando el ejercicio de derechos o el uso de un servicio, o causando daños materiales o morales como discriminación, fraude financiero o uso indebido de identidad.
- Grave. Cuando, además de ser media, presenta al menos un agravante de contexto: tratamiento a gran escala, ventaja económica para el infractor, riesgo para la vida, datos sensibles o de niños, adolescentes y personas mayores, tratamiento sin base legal, efectos discriminatorios ilícitos o prácticas irregulares sistemáticas. La obstrucción a la fiscalización también es, por sí sola, infracción grave.
La clasificación define el camino. La advertencia procede para infracciones leves o medias sin reincidencia específica, o cuando es necesario imponer medidas correctivas. La multa simple se aplica cuando la infracción es grave, cuando el infractor incumplió medidas preventivas o correctivas, o cuando otra sanción no resulta adecuada al caso.
Del valor base al valor final de la multa
El valor base de la multa simple se calcula por infracción, según la metodología del Apéndice I del reglamento, a partir de tres elementos: la clasificación de la infracción, la facturación del infractor en el ramo de actividad donde ocurrió (en el último ejercicio disponible, excluidos los tributos) y el grado del daño.
Sobre el valor base se aplican agravantes y atenuantes, sumados en porcentaje (arts. 12 y 13):
Agravantes
- Reincidencia específica. 10% por caso, hasta el 40%.
- Reincidencia genérica. 5% por caso, hasta el 20%.
- Medida de orientación o preventiva incumplida. 20% por medida, hasta el 80%.
- Medida correctiva incumplida. 30% por medida, hasta el 90%.
Atenuantes
- Cese de la infracción. 75% si ocurre antes de que la ANPD abra un procedimiento preparatorio; 50% si es después de este y antes del proceso sancionador; 30% si es durante el proceso y antes de la decisión de primera instancia.
- Gobernanza. 20% por implementar una política de buenas prácticas y gobernanza, o por la adopción reiterada y demostrada de mecanismos internos capaces de minimizar los daños a los titulares, hasta la decisión de primera instancia.
- Mitigación de los efectos. 20% por medidas que reviertan o mitiguen los efectos sobre los titulares antes de cualquier procedimiento de la ANPD; 10% si es después del procedimiento preparatorio y antes del proceso sancionador.
- Cooperación o buena fe. 5%.
El resultado no puede quedar por debajo de los mínimos del Apéndice II, salvo cuando la ventaja económica obtenida sea estimable (en ese caso se aplica el doble de ella), y sigue limitado al 2% de la facturación o a R$ 50 millones. Quien renuncia expresamente al recurso y paga en plazo obtiene una reducción del 25%.
El detalle que más pesa. El cese y la mitigación solo cuentan como atenuantes cuando no derivan del mero cumplimiento de una orden administrativa o judicial, y le corresponde al infractor probar cada requisito. Actuar pronto y documentarlo vale más que reaccionar cuando llega la fiscalización.
Lo que mostraron los primeros casos
La primera sanción a una empresa privada, publicada en el Diario Oficial de la Unión el 6 de julio de 2023, recayó sobre una microempresa que comercializaba listas de contactos de WhatsApp para el envío de propaganda electoral. Recibió una advertencia por no haber designado un encargado de datos y dos multas simples, una por tratar datos sin base legal y otra por no atender los requerimientos de la fiscalización, que sumaron R$ 14.400. El monto es pequeño en reales, pero cada infracción generó su propia multa.
En otro caso, un instituto de asistencia a servidores públicos estatales fue advertido por fallas de seguridad, como la falta de controles adecuados y de registro de accesos, y por no comunicar un incidente a la ANPD ni a los titulares. Por ser un organismo público, no podía ser multado, pero recibió órdenes de corrección. En ambos casos, el tamaño no sacó a nadie del radar.
Comunicación de incidentes: plazo de tres días hábiles
La Resolución CD/ANPD nº 15, del 24 de abril de 2024, aprobó el Reglamento de Comunicación de Incidentes de Seguridad. Cuando el incidente puede acarrear riesgo o daño relevante a los titulares, el responsable debe comunicarlo a la ANPD y a los titulares en tres días hábiles, contados desde que tiene conocimiento de que el incidente afectó datos personales (el plazo se duplica para los agentes de pequeño porte). El riesgo se considera relevante cuando el incidente puede afectar significativamente los derechos de los titulares e involucra, por ejemplo, datos sensibles, financieros, de autenticación, de niños, adolescentes o personas mayores, o datos a gran escala.
Todo incidente, comunicado o no, debe registrarse, y el registro debe conservarse durante al menos cinco años.
Lo que reduce la exposición en la práctica
- Mapeo de datos. Inventario de las actividades de tratamiento con una base legal definida para cada una. El tratamiento sin base legal es uno de los detonantes de infracción grave.
- Encargado y canal de atención. Encargado de datos formalmente designado y capaz de responder a titulares y a la ANPD dentro de los plazos.
- Programa de gobernanza documentado. Políticas, registros y evidencias de funcionamiento, que sustentan el atenuante del 20% y reducen la probabilidad de que la infracción se clasifique como sistemática.
- Controles técnicos y gestión de riesgos. Análisis de brechas frente a la ISO/IEC 27001, gestión de vulnerabilidades y registro de accesos a los sistemas con datos personales.
- Plan de respuesta a incidentes. Criterios para evaluar el riesgo relevante, modelo de comunicación y flujo de decisión que quepan en tres días hábiles.
Preguntas frecuentes
¿Cuál es la multa máxima de la LGPD?
La multa simple es de hasta el 2% de la facturación de la empresa, grupo o conglomerado en Brasil en el último ejercicio, excluidos los tributos, con un tope de R$ 50 millones por infracción. Como el tope es por infracción, un mismo proceso puede generar más de una multa.
¿Un programa de gobernanza en privacidad reduce la multa?
Sí. Implementar una política de buenas prácticas y gobernanza, o mecanismos internos demostrados para minimizar daños, es un atenuante del 20% si se acredita hasta la decisión de primera instancia.
¿Cuál es el plazo para comunicar un incidente a la ANPD?
Tres días hábiles desde que se tiene conocimiento de que el incidente afectó datos personales, cuando puede acarrear riesgo o daño relevante a los titulares, salvo plazo distinto en legislación específica. Los agentes de pequeño porte tienen el doble de plazo.
Fuentes consultadas: Ley nº 13.709/2018 (LGPD), arts. 52 y 53, en el portal de legislación de la Presidencia de la República de Brasil; Resolución CD/ANPD nº 4, del 24 de febrero de 2023 (Reglamento de Dosimetría y Aplicación de Sanciones Administrativas), y Resolución CD/ANPD nº 15, del 24 de abril de 2024 (Reglamento de Comunicación de Incidentes de Seguridad), ambas en el Diario Oficial de la Unión; orientaciones de la ANPD sobre comunicación de incidentes en gov.br/anpd. Este artículo es educativo y no constituye asesoramiento jurídico; para casos concretos, consulte los textos oficiales y a un abogado especializado.
Referencias oficiales
- Lei nº 13.709/2018 (LGPD), art. 52 — Presidência da República
- Resolução CD/ANPD nº 4/2023 — Regulamento de Dosimetria e Aplicação de Sanções Administrativas — Diário Oficial da União
- Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança — Diário Oficial da União
- Comunicação de Incidente de Segurança — ANPD