Multa da LGPD: como a ANPD calcula e o que reduz o valor para a pequena empresa

O que a ANPD abriu em outubro

A Autoridade Nacional de Proteção de Dados (ANPD) colocou em consulta uma minuta que atualiza o Regulamento de Dosimetria e Aplicação de Sanções, aprovado em fevereiro de 2023 pela Resolução CD/ANPD nº 4. Dosimetria é o cálculo da pena: quanto a multa vale, o que a aumenta e o que a diminui.

Segundo a ANPD, o regulamento atual trata só da LGPD. A minuta acrescenta as competências novas da agência, como o ECA Digital e os decretos que atualizaram o Marco Civil da Internet, com foco na proteção de crianças, adolescentes e mulheres no ambiente digital. Entre os pontos que podem passar a ser punidos estão a falta de mecanismos confiáveis para conferir a idade do usuário e a falta de prevenção a ataques contra mulheres na internet.

• Audiência pública: 29/10, às 14h30, virtual, no canal da ANPD no YouTube.
• Contribuições por escrito: até 30/11, na plataforma Brasil Participativo.
• Depois: a área de regulação da ANPD analisa as contribuições e fecha o texto final.

A notícia da ANPD não cita valores de multa nem regras específicas para pequenas empresas na minuta. Por isso, o que segue é a regra em vigor.

O teto está na lei

O artigo 52 da LGPD lista as sanções possíveis: advertência com prazo para corrigir, multa simples, multa diária, divulgação da infração, bloqueio ou eliminação dos dados e suspensão ou proibição do tratamento. A multa simples chega a até 2% do faturamento da empresa no Brasil no último exercício, sem os tributos, limitada a R$ 50 milhões por infração.

Para quem é do Simples Nacional, o regulamento usa como faturamento a receita bruta definida na lei do Simples. Na prática, a conta parte do tamanho da empresa, e não de um valor fixo.

Leve, média ou grave

Antes de qualquer cálculo, a ANPD classifica a infração. A classificação decide se a empresa recebe advertência ou multa.

• Leve: quando não se encaixa em média nem em grave.
• Média: quando pode afetar de forma significativa os direitos das pessoas, como impedir o uso de um serviço ou causar dano material ou moral, por discriminação, fraude financeira ou uso indevido de identidade.
• Grave: quando, além disso, envolve dado de muita gente, vantagem econômica para a empresa, risco à vida, dado sensível ou de criança, adolescente ou idoso, tratamento sem base legal na LGPD, efeito discriminatório ou prática irregular repetida. Obstruir a fiscalização também é grave.

Infração leve ou média, sem reincidência no mesmo ponto, pode terminar em advertência. A multa simples entra quando a infração é grave, quando a empresa não cumpriu as medidas que a ANPD mandou adotar ou quando outra sanção não basta para o caso.

Um ponto pesa para quem usa IA: colar lista de clientes num assistente sem saber em que base legal esse uso se apoia pode cair em "tratamento sem amparo legal". Se a lista tiver dado de saúde, o risco sobe de novo. O guia do que pode entrar numa conversa com IA ajuda a separar o que entra do que fica fora.

O que aumenta e o que reduz a multa

Sobre o valor-base, a ANPD soma agravantes e atenuantes. Os agravantes são reincidência e descumprimento de medida: 10% a cada reincidência no mesmo tipo de infração (até 40%), 20% a cada medida preventiva descumprida (até 80%) e 30% a cada medida corretiva descumprida (até 90%).

Os atenuantes dependem de agir cedo, e cabe à empresa provar cada um.

Parar a infração antes de a ANPD abrir procedimento−75%

Parar depois do procedimento, antes do processo−50%

Parar depois do processo, antes da decisão−30%

Política de boas práticas e governança−20%

Reverter o dano antes do procedimento−20%

Cooperação ou boa-fé−5%

Fonte: Resolução CD/ANPD nº 4/2023, art. 13. Os percentuais se somam; parar a infração ou reverter o dano só porque a ANPD mandou não conta como atenuante.

Depois da soma, a multa não fica abaixo dos mínimos do regulamento nem acima de 2% do faturamento ou R$ 50 milhões. Quem desiste de recorrer da decisão de primeira instância e paga no prazo de 20 dias úteis ganha mais 25% de desconto. Para os agentes de pequeno porte, definidos pela Resolução CD/ANPD nº 2/2022, o prazo de pagamento é o dobro.

A conta que importa para a PME

A tabela de atenuantes deixa uma mensagem simples: a empresa que conhece os próprios dados, corrige sozinha e tem regra escrita paga bem menos do que a que espera a fiscalização chegar. Política de boas práticas que vale 20% de desconto não é documento de gaveta. É o processo descrito, com responsável e registro de que foi seguido.

Isso pede o mesmo trabalho de qualquer melhoria de processo: saber por onde o dado entra, quem mexe nele, onde fica guardado e quando sai. O checklist de LGPD e IA para a pequena empresa traz os seis cuidados básicos.

O que fazer agora

1. Liste onde há dado pessoal. Planilha de clientes, WhatsApp, sistema de vendas, ficha de funcionário, conversa com IA.
2. Marque o que é sensível. Saúde, biometria, dado de criança ou de idoso. Esses levam a infração para grave.
3. Anote a base legal de cada uso. Contrato, obrigação legal, consentimento ou outra hipótese da LGPD. Uso sem base é o erro mais fácil de evitar.
4. Escreva a regra e o responsável. Um POP curto de como a equipe trata dado pessoal, inclusive o que pode ou não ir para a IA.
5. Corrija sem esperar. Achou um problema, pare e registre a data. Esse registro é o que comprova o atenuante de 75%.
6. Acompanhe a revisão. A audiência de 29/10 fica gravada no canal da ANPD, e quem quiser opinar tem até 30/11.

Este texto resume a regra pública e não substitui a orientação de um advogado no caso concreto.