Quais Sanções A Anpd Pode Aplicar

O que fazer quando uma empresa recebe notificação da Anpd

Eu já vi muita gente entrar em pânico ao receber um comunicado da autoridade. O problema é que a LGPD não se resume a multas espetaculares — o rol de sanções é mais largo do que a maioria imagina e muitas das penalidades são cumulativas. Entender o espectro antes de reagir evita erro básico: tentar resolver tudo com um pagamento e pronto. O artigo 42 da Lei 13.709/2018 enumera as principais. Na ordem que mais aparece nos processos que acompanhei: O que a lei não diz explicitamente, mas aparece na prática, é a acumulação. Uma única operação de tratamento inadequada pode gerar multa, block dos registros, obrigatoriedade de publicização e prazo para adaptação técnica simultaneamente. A Anpd leva isso a sério porque o risco de dano à coletividade se multiplica quando a exposição continua.

Não existe tabela fixa com valores prontos. O cálculo considera a gravidade, o número de afetados, a boa-fé do controlador, a cooperação demonstrada e a reincidência. Eu já vi estudos internos subestimarem o multiplicador por "número de indivíduos afetados", resultando em proposta incompatível com o que a autoridade entendeu como dano real. O truque é mapear exatamente quantos titulares tiveram seus dados expostos, classificar a sensibilidade e cruzar com o tempo de exposição antes de apresentar qualquer contraproposta. Um ponto que poucos destacam: a Anpd avalia a existência de programa de conformidade (compliance) robusto, mas programa genérico não serve. O que faz diferença é documentação atualizada de DPIA, registros de tratamento revisados, evidências de resposta a incidentes com cronograma e, preferencialmente, perícia técnica independente validando as medidas corretivas. Sem isso, a autoridade tende a interpretar omissões como negligência estrutural.

Um caso concreto que me marcou

Em 2023, uma fintech do porte médio recebeu auto de infração por compartilhamento irregular com parceiro de crédito. A multa simples ficou em R$ 1,2 milhão, mas o mais caro foi a determinação de block e eliminação de dados de 340 mil titulares, com prazo de 90 dias. O problema real foi que o parceiro havia exportado os registros para um Data Center sem contrato de subcontrolador adequado, e a prova documental era escassa. A solução foi negociar um cronograma escalonado: eliminação prioritária dos dados mais sensíveis (CPF, renda, score), depois bloqueio progressivo e, por fim, auditoria técnica independente com relatório publicado. Levou oito meses e custou muito mais em ajustes operacionais do que a multa em si. A lei prevê possibilidade de transação e de acordo de não persecução. Na prática, funciona quando há cooperação efetiva, reparação dos danos e implementação de medidas corretivas comprovadas. Eu recomendo sempre que o controlador apresente, antes de qualquer negociação, laudo técnico de impacto, cronograma de eliminação e evidência de governança revisada. Acordos sem base técnica sólida tendem a ser reabertos ou ampliados pela autoridade. O sistema de sanções tem gargalos. A Anpd ainda está consolidando jurisprudência em alguns temas, especialmente quando o tratamento envolve dados sensíveis cruzados com setores regulados (saúde, finanças). Há casos em que a mesma conduta gera sanções duplicadas sob diferentes fundamentos — o que exige análise cuidadosa de cumulatividade antes de aceitar qualquer termo. Além disso, a publicidade da infração pode ter efeito reputacional desproporcional ao dano real, afetando contratos com parceiros e rating. Se o setor for altamente regulado, considere paralelamente adequação às normas setoriais antes de focar exclusivamente na via administrativa.

Em resumo, o rol de sanções é amplo e cumulativo, o valor depende de critérios não fixos e a negociação mais bem-sucedida é aquela apoiada em evidência técnica clara e cronograma exequível.