A LGPD prevê multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração. Entenda o teto, a multa diária, as demais sanções e como reduzir riscos.

Se sua empresa recebeu uma notificação, descobriu um vazamento ou percebeu que utiliza dados pessoais sem controles claros, a pergunta costuma ser direta: qual é a penalidade máxima para uma violação da LGPD? A resposta inicial está no art. 709/2018: a multa simples pode alcançar 2% do faturamento da pessoa jurídica de direito privado no Brasil, relativo ao último exercício anterior à aplicação da sanção, excluídos os tributos, limitada a R$ 50 milhões por infração. htm). Esse número é um teto, não uma cobrança automática. A autoridade deve examinar a conduta, o dano ou risco produzido, a duração do problema, a situação econômica do agente e sua resposta.

Além disso, o limite da multa administrativa não representa necessariamente o limite de toda a exposição financeira: podem surgir pedidos de indenização, sanções de outros órgãos, despesas com perícia, comunicação, defesa, recuperação de sistemas e interrupção da atividade.

Principais pontos

• A multa simples da LGPD pode chegar a 2% do faturamento da pessoa jurídica de direito privado no Brasil, no último exercício anterior à aplicação da sanção, excluídos os tributos, limitada a R$ 50 milhões por infração.
• A multa diária também observa o limite total previsto para a multa administrativa, mas sua finalidade é pressionar o cumprimento ou a cessação de uma obrigação ao longo do tempo.
• O teto legal não é uma cobrança automática nem representa o valor provável de toda violação.
• Advertência, publicização, bloqueio, eliminação, suspensão e proibição do tratamento podem afetar a operação mesmo sem uma multa elevada.
• A ANPD aplica critérios de dosimetria para escolher a sanção e definir sua intensidade, considerando gravidade, duração, dano ou risco, reincidência, vantagem econômica, capacidade econômica e cooperação.
• Uma empresa pequena também está sujeita à LGPD; porte e capacidade econômica influenciam a proporcionalidade, mas não eliminam obrigações.
• O dever de comunicar um incidente depende da existência de risco ou dano relevante aos titulares e deve ser analisado conforme a Resolução CD/ANPD nº 15/2024.
• O teto da multa administrativa não limita necessariamente toda a exposição financeira: podem existir indenizações, sanções de outros órgãos, custos de investigação e interrupção da operação.

A empresa recebeu uma notificação ou identificou uma falha: qual é o risco máximo previsto na LGPD?

A resposta curta é: a multa simples máxima corresponde a 2% do faturamento da pessoa jurídica de direito privado no Brasil, referente ao último exercício anterior à aplicação da sanção, com exclusão dos tributos e limite de R$ 50 milhões por infração. Essa previsão está no art. 52, inciso II, da Lei nº 13.709/2018. O percentual não incide sobre o faturamento mundial da empresa e não transforma qualquer ocorrência em penalidade máxima.

A multa diária possui finalidade diferente. Ela busca induzir a empresa a interromper uma conduta, cumprir uma determinação ou corrigir uma irregularidade enquanto o descumprimento persiste. O art. 52, inciso III, determina que a multa diária observe o limite total previsto para a multa do inciso II. Portanto, a redação deve ser entendida como um limite total aplicável à sanção, e não como uma autorização para acumular indefinidamente valores acima de R$ 50 milhões por infração.

Também é importante separar conceitos que costumam ser usados como sinônimos. Incidente é um acontecimento, como o envio de uma planilha ao destinatário errado, a perda de um notebook ou o acesso indevido a um sistema. Violação é o descumprimento de uma regra, obrigação ou princípio aplicável ao tratamento. Infração administrativa é a conduta submetida à apuração da autoridade competente. Sanção é a consequência formalmente aplicada após o procedimento correspondente. Um incidente pode exigir contenção e investigação, mas não gera, por si só, uma multa automática.

A ANPD pode instaurar ou conduzir procedimento para obter informações, apurar responsabilidades e verificar medidas adotadas. Uma notificação formal não deve ser confundida com uma condenação: ela define informações, documentos ou providências que precisam ser apresentados dentro do prazo indicado. A empresa deve responder de modo completo e verificável, sem presumir que a simples existência de uma falha já determine o resultado final.

O risco também não se limita à esfera administrativa da LGPD. Dependendo dos fatos, titulares podem buscar reparação por danos materiais ou morais, órgãos de defesa do consumidor podem atuar, relações trabalhistas ou contratuais podem ser afetadas e outros reguladores podem aplicar medidas dentro de suas competências. Esses efeitos têm fundamentos e procedimentos próprios. Por isso, o teto do art. 52 não deve ser apresentado como limite de toda responsabilidade possível.

Considere, por exemplo, uma clínica pequena que mantém dados de pacientes em uma pasta acessível a todos os funcionários. O faturamento anual é apenas um dos elementos do contexto. A sensibilidade dos dados de saúde, a quantidade de pessoas com acesso, o período de exposição, a possibilidade de uso indevido e as consequências para os pacientes podem tornar a situação mais grave. O caso exige uma análise específica, e não a aplicação automática do teto.

• Multa simples: até 2% do faturamento da pessoa jurídica de direito privado no Brasil, excluídos os tributos, limitada a R$ 50 milhões por infração.
• Multa diária: pode ser usada para pressionar o cumprimento ou a cessação de uma conduta e observa o limite total previsto na lei.
• Outras sanções administrativas: podem restringir o uso dos dados ou a continuidade de uma atividade.
• Exposições não administrativas: podem incluir indenizações, sanções de outros órgãos e custos de interrupção ou recuperação.

Como a ANPD define a penalidade: gravidade, impacto e comportamento da empresa

O teto financeiro só ganha sentido quando aplicado à dosimetria. A Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, aprovou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas e detalha parâmetros para a escolha da sanção. A norma está disponível na [página de legislação da ANPD](https://www.gov.br/anpd/pt-br/assuntos/legislacao). Ela não transforma todos os casos em uma fórmula simples: a autoridade primeiro avalia a infração e suas circunstâncias, depois verifica a medida adequada e, quando cabível, calcula a multa dentro dos limites legais.

Na prática, a análise começa pela natureza da conduta e por seu enquadramento. Em seguida, entram elementos como gravidade, duração, número de titulares atingidos, volume e sensibilidade dos dados, extensão do dano ou risco, possibilidade de reversão, vantagem econômica e reincidência. A capacidade econômica ajuda a preservar a proporcionalidade da resposta. O fato de a empresa ser pequena pode influenciar a medida ou o valor, mas não torna irrelevante uma exposição de dados sensíveis ou uma desobediência deliberada.

Esses critérios se conectam à decisão de maneira cumulativa. Uma falha limitada, rapidamente interrompida e sem dano demonstrado pode favorecer uma resposta menos intensa. Já uma conduta persistente, economicamente vantajosa, que atinja muitos titulares ou envolva dados sensíveis pode justificar uma resposta mais severa. A duração não é um prazo legal fixo: permanecer seis meses com uma base exposta é um exemplo ilustrativo de circunstância que pode aumentar a gravidade, não um limiar automático de penalização.

O comportamento posterior também é relevante, mas não apaga o que ocorreu. Uma reação em 24 horas, usada aqui apenas como ilustração de resposta rápida, pode ser considerada de modo diferente de uma empresa que ignora alertas por semanas. O que importa é o conjunto de atos: contenção, colaboração, cumprimento de determinações, ausência de obstrução, investigação coerente e adoção efetiva de medidas para evitar repetição.

A escolha da sanção pode envolver advertência, multa simples, multa diária, publicização da infração, bloqueio ou eliminação dos dados pessoais, suspensão parcial ou total do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento e proibição parcial ou total do exercício de atividades relacionadas ao tratamento. Algumas medidas não atingem apenas o caixa: podem impedir campanhas, suspender cadastros, interromper um serviço ou exigir a eliminação de dados que a empresa julgava estratégicos.

A tabela resume a diferença entre respostas administrativas. Ela não substitui a leitura da lei, do regulamento de dosimetria e da decisão específica da ANPD.

Sanções administrativas previstas no art. 52 da LGPD e possíveis efeitos

Sanção ou medida	Função na resposta regulatória	Possível efeito prático
Advertência	Formalizar a irregularidade e determinar providências corretivas quando a medida for proporcional	Exige atenção e cumprimento; não significa que o risco desapareceu
Multa simples ou diária	Punir a infração ou pressionar o cumprimento de uma obrigação	Gera obrigação financeira dentro dos limites legais
Publicização da infração	Dar publicidade à conduta após a apuração	Pode afetar reputação, confiança e relações comerciais
Bloqueio ou eliminação	Impedir o uso ou retirar dados tratados de forma irregular	Pode interromper campanhas, cadastros ou serviços, exigindo descarte seguro
Suspensão ou proibição	Impedir temporária ou definitivamente determinado tratamento ou atividade	Pode paralisar parte relevante da operação

O que fazer agora para reduzir o risco de uma penalidade por violação da LGPD

A resposta deve ser priorizada por urgência, e não apenas por quantidade de documentos existentes. Para uma empresa pequena ou média, o primeiro passo é designar uma pessoa responsável por coordenar o caso, com apoio técnico e jurídico quando necessário. Em seguida, separe três frentes: resposta imediata a incidente, atendimento de notificação formal e adequação contínua. Misturar essas frentes costuma fazer com que a empresa corrija um sistema, mas perca um prazo regulatório ou deixe titulares sem resposta.

Na frente de incidente, trate como urgente qualquer situação que envolva dados de saúde, biometria, crianças, credenciais, dados financeiros, grande número de titulares, acesso ainda aberto, suspeita de fraude ou impossibilidade de saber o que foi copiado. Nas primeiras horas, contenha o acesso sem destruir evidências, preserve logs e imagens de backup, altere credenciais comprometidas, isole sistemas quando necessário e registre quem decidiu cada medida. Depois, confirme quais dados, titulares, período e destinatários foram envolvidos.

A comunicação de incidente tem regra específica. A Resolução CD/ANPD nº 15, de 28 de abril de 2024, determina que o controlador comunique à ANPD e aos titulares afetados quando o incidente puder acarretar risco ou dano relevante a esses titulares. A comunicação deve ser feita em até três dias úteis contados do conhecimento de que o incidente afetou dados pessoais e pode gerar risco ou dano relevante, conforme os critérios e o conteúdo definidos no regulamento. A norma e os procedimentos estão disponíveis na [legislação da ANPD](https://www.gov.br/anpd/pt-br/assuntos/legislacao). Se ainda faltarem informações, a empresa deve enviar complementação nos termos da resolução, sem usar a investigação incompleta como justificativa para ignorar o dever de comunicar quando os requisitos estiverem presentes.

Na frente de notificação formal, o prazo principal é aquele indicado pela ANPD no próprio expediente. A empresa deve criar uma cópia controlada da notificação, nomear um responsável pela resposta no mesmo dia, listar cada pergunta e separar evidências correspondentes. Contratos, logs, políticas, registros de treinamento, atas, relatórios técnicos e comprovantes de correção devem ser organizados por assunto. Se não for possível concluir uma apuração, explique o estágio, indique a data prevista para complemento e evite respostas genéricas ou afirmações que não possam ser comprovadas.

Na frente de adequação contínua, comece pelos tratamentos que sustentam a operação ou concentram maior risco: dados de clientes, empregados, saúde, pagamentos, credenciais e informações compartilhadas com fornecedores. Para cada fluxo prioritário, registre finalidade, categorias de dados e titulares, base legal avaliada, acessos, destinatários, retenção e descarte. A base legal não é sinônimo de consentimento. Contrato pode ser uma das bases aplicáveis, mas a escolha depende da finalidade, do contexto e dos requisitos legais do tratamento; também podem ser pertinentes obrigação legal, exercício regular de direitos ou legítimo interesse, entre outras hipóteses do art. 7º ou do art. 11 da LGPD.

Revise fornecedores que hospedam sistemas, enviam campanhas, processam pagamentos ou armazenam documentos. Os contratos devem distribuir responsabilidades, prever confidencialidade, segurança, subcontratação, comunicação de incidentes, atendimento a titulares, devolução ou eliminação de dados e cooperação em auditorias. Quando o risco justificar, a empresa pode preparar um Relatório de Impacto à Proteção de Dados Pessoais para organizar ameaças, controles e riscos residuais, observando as orientações e exigências aplicáveis da ANPD.

Um plano simples para uma empresa média pode seguir a ordem abaixo. Os prazos são prioridades operacionais sugeridas, não prazos legais universais, exceto quando a própria norma ou notificação indicar o contrário.

Perguntas frequentes

A multa máxima da LGPD é sempre de R$ 50 milhões?

Não. R$ 50 milhões é o limite máximo da multa administrativa prevista no art. 52, e não um valor automático. A ANPD considera gravidade, duração, dano ou risco, dados envolvidos, reincidência, capacidade econômica, cooperação e outros critérios de dosimetria.

Como é calculado o limite de 2% do faturamento?

O limite considera o faturamento da pessoa jurídica de direito privado no Brasil no último exercício anterior à aplicação da sanção, excluídos os tributos, respeitando o teto de R$ 50 milhões por infração.

A multa diária pode ultrapassar R$ 50 milhões?

A multa diária deve observar o limite total previsto para a multa administrativa no art. 52, inciso II, da LGPD. Ela não autoriza acumulação indefinida acima desse limite por infração.

Uma pequena empresa pode ser multada por violar a LGPD?

Sim. O porte não elimina a obrigação de proteger dados. A capacidade econômica e a proporcionalidade podem influenciar a resposta, mas não funcionam como dispensa de conformidade.

Quais fatores podem aumentar ou reduzir uma penalidade?

Podem pesar contra a empresa a reincidência, a persistência, a vantagem econômica, a extensão do dano ou risco e o envolvimento de dados sensíveis. Cooperação, contenção, investigação, cumprimento de determinações e correção efetiva podem favorecer uma resposta proporcional.

Um vazamento de dados gera multa automaticamente?

Não. O vazamento exige contenção, investigação e avaliação das obrigações aplicáveis. A multa depende da apuração da conduta e das circunstâncias. Também deve ser verificado o dever de comunicação previsto na Resolução CD/ANPD nº 15/2024.

Quando um incidente deve ser comunicado?

O controlador deve comunicar à ANPD e aos titulares afetados quando o incidente puder acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 prevê prazo de até três dias úteis contados do conhecimento de que o incidente afetou dados pessoais e pode gerar risco ou dano relevante, observados os requisitos e conteúdos do regulamento.

Quais outras sanções podem ser aplicadas além da multa?

A LGPD prevê advertência, publicização da infração, bloqueio ou eliminação dos dados, suspensão parcial ou total do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento e proibição parcial ou total de atividades relacionadas ao tratamento, observadas as competências da ANPD.

Corrigir a falha antes de uma notificação elimina o risco de penalidade?

Não necessariamente. A correção pode demonstrar cooperação e reduzir consequências, mas não garante que uma sanção será afastada. Preserve evidências, registre decisões e cumpra as comunicações e determinações aplicáveis.

Contrato é sempre a base legal para tratar dados?

Não. Contrato pode ser uma base legal aplicável em determinadas situações, mas a escolha depende da finalidade, do contexto, das partes envolvidas e dos requisitos da LGPD. Também podem existir outras bases, como obrigação legal, exercício regular de direitos ou legítimo interesse, conforme o caso.

O que fazer ao receber uma notificação ou descobrir um incidente?

Contenha o problema, preserve registros, identifique dados e pessoas afetadas, verifique os prazos da notificação ou da Resolução CD/ANPD nº 15/2024, avalie riscos, documente decisões e cumpra as comunicações cabíveis. Casos complexos merecem orientação jurídica e técnica.

O teto da multa limita toda a responsabilidade financeira da empresa?

Não. O teto se refere à sanção administrativa prevista na LGPD. Dependendo do caso, podem existir indenizações, sanções de outros órgãos, custos de investigação, recuperação de sistemas, comunicação, defesa e interrupção da operação.

Conclusão

A penalidade máxima para uma violação da LGPD, no âmbito da multa simples administrativa, é de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício anterior à aplicação da sanção, excluídos os tributos, limitada a R$ 50 milhões por infração. A multa diária também observa o limite total previsto na lei. Isso não significa que R$ 50 milhões sejam cobrados automaticamente, nem que o teto limite toda a exposição da empresa. Bloqueio, eliminação, suspensão, proibição do tratamento, indenizações, sanções de outros órgãos e custos de interrupção podem ser mais prejudiciais do que a multa isolada.

A resposta mais segura é separar incidente, notificação formal e adequação contínua, agir de acordo com a urgência, cumprir os prazos aplicáveis e preservar evidências de decisões e correções.

Fontes

1. Direito dos Titulares. Agência Nacional de Proteção de Dados (ANPD). Página da ANPD que explica os direitos dos titulares de dados pessoais assegurados pela LGPD, incluindo acesso, correção e eliminação.
2. Perguntas Frequentes — Autoridade Nacional de Proteção de Dados. Agência Nacional de Proteção de Dados (ANPD). Repositório de perguntas e respostas da ANPD sobre a aplicação da LGPD e direitos dos titulares, oferecendo explicações claras e didáticas.
3. Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Agência Nacional de Proteção de Dados (ANPD). Orientações sobre a elaboração do Relatório de Impacto à Proteção de Dados Pessoais, essencial para a conformidade com a LGPD.
4. Comunicado de Incidente de Segurança. Agência Nacional de Proteção de Dados (ANPD). Instruções sobre como comunicar incidentes de segurança que possam afetar dados pessoais, conforme exigências da LGPD.
5. Regulamentações ANPD. Agência Nacional de Proteção de Dados (ANPD). Conjunto de regulamentações e atos normativos da ANPD que orientam a aplicação da LGPD e direitos dos titulares.