Multa da LGPD: quanto uma pequena empresa pode pagar
A lei tem teto, a ANPD tem uma fórmula e a primeira multa aplicada foi para uma microempresa. Veja o que pesa na conta, o que alivia e o que a empresa pequena não pode ignorar.
A multa simples da LGPD vai até 2% do faturamento da empresa no Brasil no último exercício, sem os tributos, e não passa de R$ 50 milhões por infração (art. 52, II). Como a conta parte do faturamento, o valor acompanha o porte. A primeira multa aplicada pela ANPD foi para uma microempresa e somou R$ 14.400. Ser pequena não isenta ninguém, mas a Resolução CD/ANPD nº 2/2022 simplifica obrigações, e as regras de cálculo reduzem bastante a multa de quem corrige cedo.
Neste guia: as sanções da lei · como a ANPD calcula · o caso da primeira multa · o que muda para empresa pequena · como reduzir o risco · perguntas frequentes
Multa é só uma das sanções da lei
O art. 52 da LGPD lista nove sanções que a ANPD pode aplicar a quem descumpre a lei. Duas são multas. As outras mexem com a reputação da empresa ou com os próprios dados, o que para um negócio pequeno pode doer mais que o boleto.
Advertência
Vem com prazo para a empresa corrigir o problema. Pelo regulamento da ANPD, cabe quando a infração é leve ou média e não há reincidência específica, ou quando é preciso impor medidas corretivas.
Multa simples e multa diária
A simples vai até 2% do faturamento, com teto de R$ 50 milhões por infração. A diária serve para forçar o cumprimento de uma ordem e respeita o mesmo limite total.
Sanções sobre os dados
Publicização da infração, bloqueio ou eliminação dos dados envolvidos, suspensão do banco de dados ou da atividade de tratamento e proibição de tratar dados. As três últimas só vêm depois de outra sanção já aplicada no mesmo caso (art. 52, §6º).
A lei manda aplicar tudo isso depois de processo com ampla defesa, de forma gradativa, isolada ou cumulativa. Entre os critérios estão a boa-fé, a condição econômica do infrator, a cooperação, a pronta adoção de medidas corretivas e a proporcionalidade entre a falta e a sanção (art. 52, §1º).
Como a ANPD calcula o valor
O cálculo está no Regulamento de Dosimetria, aprovado pela Resolução CD/ANPD nº 4/2023. Primeiro, a infração é classificada como leve, média ou grave. Ela é média quando pode afetar de forma significativa os direitos das pessoas, por exemplo impedindo o uso de um serviço ou causando dano material ou moral. Vira grave quando, além disso, envolve dados sensíveis ou de crianças, tratamento em larga escala, vantagem econômica, tratamento sem nenhuma base legal da LGPD, entre outros casos. Obstruir a fiscalização é grave por si só.
O valor-base considera a classificação, o grau do dano e o faturamento do ramo de atividade em que a infração aconteceu. Para quem é do Simples Nacional, o faturamento é a receita bruta definida na Lei Complementar 123. Sobre esse valor entram agravantes, como reincidência e medidas descumpridas, e atenuantes. As atenuantes são a parte que interessa, porque dependem do momento em que a empresa age:
Há outras reduções que somam: 20% para quem tem política de boas práticas e governança, até 20% para quem comprova ter revertido ou mitigado os efeitos da infração e 5% para cooperação ou boa-fé. Parar só porque a ANPD mandou não conta como atenuante. O resultado final nunca passa de 2% do faturamento nem de R$ 50 milhões, e o regulamento também fixa valores mínimos.
O caso real: a primeira multa foi para uma microempresa
Em julho de 2023, a ANPD aplicou a primeira sanção da LGPD à Telekall Infoservice, uma microempresa. A denúncia dizia que a empresa oferecia uma lista de contatos de WhatsApp de eleitores para disparo de material de campanha, na eleição municipal de 2020 em Ubatuba, São Paulo. Segundo o comunicado oficial, o resultado foi este:
- Advertência por não ter indicado encarregado. A empresa não comprovou que não fazia tratamento de alto risco, condição para ficar dispensada.
- Multa de R$ 7.200 por tratar dados pessoais sem nenhuma das bases legais do art. 7º.
- Multa de R$ 7.200 por não atender às solicitações da ANPD durante a investigação, o que foi tratado como obstrução, infração grave.
Por ser microempresa, cada multa ficou limitada a 2% do faturamento bruto, e o total foi de R$ 14.400. As sanções aplicadas pela ANPD ficam listadas na página de sanções administrativas do site dela e no Portal da Transparência.
O que gerou a multa não foi o tamanho da empresa. Foi usar dados sem base legal e deixar a fiscalização sem resposta.
O que muda para empresa pequena
A Resolução CD/ANPD nº 2/2022 cria um tratamento diferenciado para agentes de pequeno porte: microempresas, empresas de pequeno porte, MEI, startups, entidades sem fins lucrativos e pessoas físicas que tratam dados como controladoras ou operadoras. Fica de fora quem faz tratamento de alto risco, quem passa do limite de receita da Lei Complementar 123 ou quem pertence a grupo econômico que passa desse limite. Para quem se enquadra:
- Encarregado opcional. A empresa não é obrigada a indicar um, mas precisa ter um canal de comunicação com os titulares. Indicar mesmo assim conta como boa prática.
- Registro simplificado das operações de tratamento, com modelo fornecido pela ANPD.
- Política de segurança simplificada, proporcional ao custo, à estrutura e ao volume da operação.
- Prazo em dobro para atender pedidos dos titulares, comunicar incidentes e responder à ANPD, e também para pagar multa.
O art. 6º da mesma resolução deixa claro o limite: a flexibilização não livra ninguém das bases legais, dos princípios e dos direitos dos titulares. E a ANPD pode exigir as obrigações dispensadas conforme o risco do caso.
Como reduzir o risco sem gastar muito
O caso da Telekall mostra onde a empresa pequena tropeça: usar dados sem base legal e ignorar a fiscalização. Os dois se resolvem com organização, não com orçamento. Saiba por que usa cada dado, publique uma política de privacidade que diga isso, mantenha um canal que alguém de fato lê e responda à ANPD no prazo, se ela bater à porta.
Para ter um ponto de partida, rode o Escudo LGPD, que confere grátis 6 sinais técnicos no seu site, como banner de cookies, política publicada e rastreamento sem aviso. A política de privacidade sai grátis no Gerador Jurídico, com base na LGPD. Termos de uso, política de cookies e o banner de cookies vêm no kit de R$ 67. Para a lista completa por área da empresa, veja o checklist LGPD para pequenas empresas.
Perguntas frequentes
MEI pode ser multado pela LGPD?
Pode. O MEI está entre os agentes de pequeno porte da Resolução CD/ANPD nº 2/2022, que simplifica obrigações mas não afasta a lei. Como a multa parte do faturamento e considera a condição econômica do infrator, o valor tende a ser proporcional ao porte.
A ANPD sempre dá advertência antes de multar?
Não. A lei permite aplicar as sanções de forma gradativa, isolada ou cumulativa. Pelo regulamento, infração grave ou medida corretiva descumprida já pode levar direto à multa, como aconteceu no caso da Telekall.
Além da ANPD, a empresa pode ser processada?
Pode. O art. 52, §2º, diz que as sanções da LGPD não substituem as sanções administrativas, civis ou penais de outras leis, incluindo o Código de Defesa do Consumidor. Este texto é informativo e não substitui a orientação de um advogado.