Multas da LGPD: quanto custa não cumprir o prazo de notificação

Muitas empresas tratam a LGPD como um risco abstrato, algo que só vira problema real se a ANPD decidir olhar para o seu CNPJ. Na prática, o cálculo de multas é objetivo, previsto em lei, e pode representar um dos maiores passivos financeiros de uma empresa que trabalha com dados de clientes.

Como a ANPD calcula as sanções

O Art. 52 da LGPD define um conjunto de sanções administrativas aplicáveis a infrações relacionadas ao tratamento de dados pessoais, incluindo o descumprimento do prazo de notificação de incidentes. As principais são:

• Advertência, com indicação de prazo para adoção de medidas corretivas
• Multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração
• Multa diária, também limitada ao teto de R$ 50 milhões, aplicada enquanto a infração persistir
• Publicização da infração, após devidamente apurada e confirmada
• Bloqueio ou eliminação dos dados pessoais relacionados à infração
• Suspensão parcial ou total do funcionamento do banco de dados ou das atividades de tratamento, em casos graves e reincidentes

A ANPD publicou em sua Resolução CD/ANPD nº 4/2023 uma metodologia de dosimetria que considera fatores como gravidade da infração, número de titulares afetados, vantagem obtida pelo infrator, reincidência e, de forma decisiva, se a empresa adotou boas práticas de prevenção e resposta ao incidente.

O prazo de notificação é um fator agravante

Cumprir ou não o prazo de 72 horas para notificar a ANPD sobre um incidente não é apenas uma formalidade, é um dos critérios que a autoridade avalia ao dosar a penalidade. Uma empresa que identifica, documenta e notifica rapidamente demonstra boa-fé e mitigação ativa de danos. Uma empresa que só percebe o vazamento meses depois, por meio de terceiros, sinaliza justamente o oposto: ausência de controles mínimos de segurança da informação, o que tende a agravar a sanção.

Para entender exatamente como esse prazo funciona na prática, veja nosso artigo sobre o prazo de 72 horas da LGPD.

A multa é só a ponta do iceberg

Concentrar a análise de risco apenas no valor da multa administrativa subestima o custo real de um vazamento mal gerenciado:

• Processos civis: titulares afetados podem pleitear indenização individual ou coletiva, inclusive por meio de ações civis públicas
• Custo de resposta a incidente: perícia forense, consultoria jurídica e comunicação de crise
• Churn de clientes: empresas B2B frequentemente perdem contratos após um incidente divulgado publicamente
• Aumento de prêmios de seguro cibernético, quando a apólice existe
• Dano reputacional de longo prazo, difícil de precificar mas mensurável em perda de novos negócios

Some tudo isso à multa administrativa e o valor total de um incidente mal gerenciado costuma superar em muitas vezes o teto legal de R$ 50 milhões previsto na lei.

Como reduzir o risco de multa na prática

A dosimetria da ANPD favorece explicitamente empresas que demonstram boas práticas. Três elementos pesam diretamente a favor de uma sanção mais branda ou de sua eliminação:

1. Detecção rápida: monitorar dark web, deep web e Telegram continuamente para identificar vazamentos em minutos, não meses
2. Evidências documentadas: registros formais (URLs, timestamps, capturas de tela) que comprovem quando o incidente foi identificado e quais medidas foram tomadas
3. Notificação dentro do prazo: comunicar a ANPD e os titulares afetados em até 72 horas, com um processo já estruturado

A Thronos foi desenhada justamente para cobrir os dois primeiros pontos: identifica vazamentos antes do prazo legal e entrega evidências prontas para uso no processo de notificação.

FAQ: Multas da LGPD

Qual o valor máximo de multa que a LGPD prevê?

Até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitado a R$ 50 milhões por infração. Esse valor pode ser aplicado de forma cumulativa em caso de multa diária pela continuidade da infração.

A ANPD já aplica multas na prática?

Sim, a ANPD vem consolidando sua atuação sancionadora desde a publicação da Resolução CD/ANPD nº 4/2023, que regulamenta o processo de fiscalização e a metodologia de cálculo das penalidades.

Estar preparado reduz o valor da multa mesmo se houver um vazamento?

Sim. A dosimetria da ANPD considera fatores como boa-fé, cooperação com a investigação, adoção de mecanismos e procedimentos internos de segurança e a gravidade e natureza dos danos causados aos titulares. Uma resposta rápida e documentada tende a resultar em sanções mais brandas do que a omissão ou a descoberta tardia do incidente.

Conclusão

O valor de uma multa da LGPD não é aleatório, é resultado direto de como a empresa se comportou antes, durante e depois de um incidente. Empresas que investem em detecção contínua e evidências documentadas não apenas reduzem o tempo de resposta, elas mudam a forma como a ANPD avalia o caso.

Agende uma demonstração da Thronos e reduza o risco de multas por vazamentos não detectados a tempo.