Multa da ANPD: o valor real para uma empresa pequena

Se você já pesquisou LGPD, viu o número: R$ 50 milhões. Ele está na lei. E se a sua empresa fatura dois ou três milhões por ano, ele não tem nada a ver com você. Quem abre uma proposta com esse número está tentando vender pelo susto, e o susto atrapalha a decisão certa, que é saber qual é o seu risco e o que custa reduzi-lo.

Este guia faz essa conta.

O que a lei permite à ANPD fazer

O art. 52 da LGPD dá nove sanções à ANPD, e a multa é só uma delas.

A primeira da lista é a advertência, com prazo para corrigir. Parece pouco, e é o que mais acontece. Numa empresa pequena que responde ao processo, colabora e corrige, esse é o desfecho mais provável de uma primeira irregularidade.

Depois vêm a multa simples, de até 2% do faturamento no Brasil no último ano, sem os tributos, limitada a R$ 50 milhões por infração, e a multa diária, com o mesmo teto, para quem não corrige no prazo dado.

Depois, a publicação da infração: a decisão sai com o nome da empresa. Não custa dinheiro direto, mas aparece no Google quando um cliente pesquisa você.

E por fim o bloqueio e a eliminação dos dados envolvidos, a suspensão do banco de dados ou da atividade de tratamento por até seis meses, e a proibição da atividade. A própria lei diz que as três últimas só entram depois que outra sanção já foi aplicada no mesmo caso. Ninguém tem a operação suspensa na primeira irregularidade.

O teto é 2% do seu faturamento, não R$ 50 milhões

Os R$ 50 milhões são o limite absoluto, e só o alcança quem fatura R$ 2,5 bilhões ou mais. O que vale para você é o percentual: no máximo 2% do que a empresa faturou no Brasil no último ano, por infração.

Faturamento anual	2%, que é o máximo por infração
R$ 500 mil	R$ 10 mil
R$ 2 milhões	R$ 40 mil
R$ 10 milhões	R$ 200 mil
R$ 50 milhões	R$ 1 milhão
R$ 2,5 bilhões ou mais	R$ 50 milhões

E esse é o topo da régua. A Resolução CD/ANPD nº 4/2023, que regula a dosimetria, existe justamente para que a multa fique abaixo dele: ela combina o grau da infração (leve, média ou grave) com a faixa de faturamento da empresa para chegar a uma alíquota-base, e só depois ajusta por agravantes e atenuantes.

Pelo art. 52, §1º, o que pesa é o tipo de infração, se houve dado sensível ou de criança, se a empresa lucrou com aquilo, se é reincidente, quantas pessoas foram atingidas, e do outro lado: se colaborou, se tinha política escrita e registro do que fazia, e se corrigiu rápido. Os últimos três estão nas suas mãos antes de qualquer processo existir, e todos dependem de registro datado. Uma empresa que chega ao processo com registro de consentimento, política publicada e correção datada é tratada de um jeito. A que chega só com boa vontade é tratada de outro.

O que a ANPD já aplicou

O primeiro processo que a autoridade concluiu, em julho de 2023, foi contra uma microempresa: a Telekall Infoservice, de telemarketing, que usava dados de pessoas sem base legal e não tinha encarregado. O resultado foi advertência mais duas multas de R$ 7.200 cada, R$ 14.400 no total.

A ANPD não começou pelos grandes. E R$ 14.400 dói numa empresa pequena, junto com o tempo do sócio respondendo ao processo e a decisão publicada com o nome da empresa.

O que custa mais que a multa: a ordem de parar

A ANPD pode mandar parar um tratamento antes mesmo de concluir o processo. É a medida preventiva, e ela já foi usada: em 2 de julho de 2024 a autoridade determinou que a Meta parasse de usar dados de brasileiros para treinar inteligência artificial, e só liberou em 30 de agosto, depois que a empresa apresentou aviso, opção de oposição e exclusão de menores.

No seu tamanho, a medida preventiva é outra coisa. Multa se parcela. Uma ordem para parar de usar a base de e-mails no marketing, ou para parar de captar dados por determinado canal, não se parcela: o canal some da noite para o dia e fica assim até você regularizar.

Empresa pequena tem regra mais leve, mas não isenção

A Resolução CD/ANPD nº 2/2022 dá tratamento simplificado a microempresas, empresas de pequeno porte e startups: registro de operações mais simples, prazos mais folgados para responder à ANPD e dispensa de nomear um encarregado formal, desde que exista um canal para o titular falar com a empresa.

O que não muda: você continua precisando de base legal para cada uso de dado, continua tendo que responder ao titular, e continua podendo ser multado. E quem faz publicidade comportamental em escala costuma ficar fora do regime simplificado.

A confusão mais comum é achar que dispensa de encarregado é dispensa de canal: precisa existir um e-mail publicado no site que alguém leia, e se você nomeia um encarregado, o nome e o contato dele têm que ser públicos.

Por onde o processo começa numa PME

Numa empresa pequena, o processo quase sempre começa por uma dessas três portas:

1. Denúncia. Um cliente que continuou recebendo e-mail depois de pedir para sair, um ex-funcionário, um concorrente. É de graça, é pela internet e não precisa provar prejuízo.
2. Pedido de titular ignorado. A pessoa pediu para ver ou apagar os dados dela, você não respondeu, e ela levou o caso à autoridade. O formulário da ANPD pede prova de que ela tentou falar com a empresa antes.
3. Vazamento. Base exposta, planilha enviada para a pessoa errada. Nesse caso a lei obriga a comunicar a ANPD e as pessoas afetadas, e a Resolução CD/ANPD nº 15/2024 fixa o prazo em 3 dias úteis a partir de quando você soube.

Repare que as três dependem de alguém ficar irritado com você. Por isso, na prática, o maior risco regulatório de uma empresa pequena é marketing agressivo: lista comprada, disparo para quem não pediu, cobrança de quem pediu para sair. É o que gera denúncia.

A conversa com o titular resolve antes de virar processo

Pelo art. 18, a pessoa pode pedir para saber o que você tem sobre ela, corrigir, apagar, levar para outro lugar ou retirar o consentimento. A lei prevê resposta imediata, ou em até 15 dias quando a resposta precisa ser completa.

Quase nenhum titular quer processo. Ele quer o e-mail removido ou a explicação de onde você conseguiu o telefone dele. Um endereço que alguém lê, uma pessoa responsável e o registro do que foi respondido e quando encerram a maioria dos casos ali, antes da ANPD saber que existiram.

O que de fato reduz o seu risco

Nada disto dá imunidade. O que cada item faz é diminuir a chance de denúncia e melhorar a sua posição se o processo vier, porque produz prova com data.

• Saber o que o seu site coleta. Rode o scanner e veja a lista. É a parte da sua operação que qualquer pessoa consegue auditar de fora.
• Consentimento com registro. O art. 8º, §2º, diz que a prova é sua. Registro de consentimento com data, categorias e versão do texto aceito é essa prova.
• Recusar tão fácil quanto aceitar. Sustenta que o consentimento foi livre.
• Política de privacidade que descreve o que você faz. Modelo copiado que descreve um tratamento que você não faz vira prova contra você.
• Canal do titular com dono e prazo. Interrompe o caminho até a ANPD.
• Um procedimento escrito para vazamento. Três dias úteis passam rápido quando ninguém sabe quem avisa quem.
• Corrigir e datar. A pronta adoção de medida corretiva é atenuante escrita na lei.

Um cuidado que a maioria das implementações caseiras ignora: a prova do consentimento não pode virar um segundo banco de dados pessoais. No Concedo, o IP não é gravado: o registro guarda data, categorias, versão da política e página, e nada que reidentifique o visitante depois. O detalhe está no guia de cookies à luz do Guia da ANPD, e por quanto tempo o histórico fica guardado depende do plano.

O que o banner resolve, e o que ele não resolve

Banner de cookies não deixa a empresa em conformidade com a LGPD. Ele resolve a parte do site: consentimento para cookies que não são essenciais, bloqueio dos rastreadores até a escolha, registro da escolha e sinal para as tags do Google. É a parte mais visível e a que qualquer denunciante consegue verificar sem entrar na sua empresa.

O que fica de fora é o resto: a base legal do CRM, do e-mail marketing e do WhatsApp, o contrato com quem trata dados por você, o descarte de cliente antigo, o atendimento ao titular, o plano de incidente, os dados de funcionário e de candidato a vaga.

Comece pelo site porque é rápido e é o que se vê de fora. Depois vá para o CRM e o marketing, que é onde mora a denúncia. O checklist LGPD para e-commerce cobre as dez áreas, do site ao CRM.

Perguntas que chegam com frequência

Qual é a chance real de a ANPD multar a minha empresa este ano? Baixa, se você é uma PME sem vazamento e sem denúncia. Até hoje a ANPD concluiu poucos processos sancionatórios, e o primeiro (Telekall, julho de 2023) terminou em advertência e R$ 14.400. Mas a chance sobe no dia em que alguém denuncia, e quem denuncia é alguém que você tratou mal.

Se eu corrigir tudo agora, o passado some? Não some, mas conta a favor. Corrigir e guardar a data da correção rende mais do que discutir se houve irregularidade.

Comprei uma lista de contatos. Qual o risco? É tratamento sem base legal, a mesma conduta do caso Telekall, e a que mais gera reclamação.

A multa é uma só ou é por infração? Por infração. Um mesmo processo pode reconhecer várias, e é por isso que não vale tratar as irregularidades como um problema só para resolver algum dia.

Por onde começar

1. Rode o scanner gratuito e veja o que o seu site coleta hoje sem consentimento.
2. Publique um canal do titular que alguém leia, e defina quem responde e em quanto tempo.
3. Acerte o consentimento do site pelo guia de cookies à luz do Guia da ANPD.
4. Reveja a política de privacidade com o comparativo grátis ou adequada.