Quais Sanções A Anpd Pode Aplicar

As sanções da ANPD na prática

A ANPD aplica sanções com base no que está no artigo 42 da LGPD. Muita gente acha que é só uma multa e pronto. Não é. O leque é mais amplo do que a maioria das empresas imagina, e a agência tem usado isso de formas que nem sempre são previsíveis. A lista começa com a advertência. Parece inofensiva, mas é o primeiro degrau. Quando a ANPD emite uma advertência, ela ainda recomenda correções em um prazo. Se você não cumpre, aí entram as multas de verdade. Já vi empresa receber advertência e achar que não precisava se preocupar. Dois meses depois, a multa veio dobrada porque o prazo não foi seguido. A multa simples vai até R$ 50 milhões por infração. É importante entender que o cálculo considera a gravidade, o número de vítimas, o dano efetivo e a cooperação da empresa durante o processo. A ANPD tem uma resolução de 2023 que detalha esses critérios, chamada Resolução nº 14. Ela serve como parâmetro interno, então os autuados costumam usar para tentar prever o valor final.

Além da multa única, existe a multa diária. Aqui é onde muita empresa se arrepende de demorar. A multa diária se acumula até a regularização completa. Eu tive um caso onde o cliente atrasou mais de quatro meses para corrigir um problema de consentimento. A multa diária já estava em patamar altíssimo quando finalmente respondemos. No final, o valor das multas ultrapassou em muito o custo de ter corrigido tudo na primeira semana após a notificação. A publicização da infração é outra sanção que as empresas subestimam. A ANPD publica o nome da empresa e os motivos da punição em seu site oficial. Para empresas de pequeno e médio porte, isso tem consequências comerciais reais. Fornecedor passa a questionar a conformidade do cliente. Parcerias entram em due diligence com receio. O prejuízo de imagem muitas vezes supera a multa em si. O bloqueio dos dados pessoais é uma sanção técnica que afeta diretamente a operação. Significa que a empresa não pode mais usar determinados dados enquanto persistir a irregularidade. Se sua operação depende desses dados, isso trava processos inteiros. Já vi análise de crédito ser paralisada por causa disso.

A eliminação dos dados pessoais é mais drástica ainda. A empresa precisa apagar os registros que geraram a infração. Isso gera conflito com outras obrigações legais, como a necessidade de retenção de documentos por dez anos para fins fiscais. Eu trabalhei em um caso em que a ANPD pediu eliminação de registros, mas o CDC obrigava a mantê-los. A solução foi mapear exatamente quais dados eram objeto da sanção e quais estavam sob outro regime legal, apresentando esse mapeamento de forma documentada. A ANPD aceitou, desde que ficasse claro o critério de separação. A declaração de incompatibilidade com a LGPD é uma sanção que aparece menos, mas carrega um peso enorme. Ela declara que toda uma atividade de tratamento é incompatível com a lei. Na prática, isso significa que a empresa precisa reformular todo o modelo de negócio daquele segmento. Não é um ajuste pontual. O prejuízo real aparece quando combinações de sanções são aplicadas. A ANPD raramente usa apenas uma. O padrão tem sido advertência + multa + publicização, ou multa + bloqueio de dados, dependendo do caso. A Resolução 14 permite cumulatividade quando há várias infrações distintas.

Existem também as sanções acessórias previstas no artigo 43, que incluem fatores atenuantes e agravantes. Entre os atenuantes, a cooperação voluntária da empresa e a adoção de medidas corretivas antes da autuação contam bastante. Entre os agravantes, a reincidência, a omissão de informações durante o processo administrativo e o benefício econômico auferido com a infração pesam no resultado final. Um ponto que pouca gente leva a sério é o princípio da gravidade da infração. Ele exige que a sanção seja proporcional ao dano concreto. Na prática, isso funciona nos dois sentidos. A ANPD não pode aplicar uma multa absurda para uma infração pequena, mas também não pode ser branda demais quando o dano é evidente. Lembrei de um caso em que a empresa argumentou que a multa proposta era desproporcional porque o volume de dados afetados era ínfimo. A ANPD recalculou o valor com base nesse argumento e reduziu em cerca de 40%. O detalhe que fez diferença foi a prova documental de que apenas 23 registros estavam envolvidos, não os milhares que a autuação inicialmente apontava. Outra nuance importante: a ANPD não age de forma isolada em todos os casos. Existem situações em que o Ministério Público ou órgãos setoriais também podem aplicar sanções por infrações à LGPD. A existência de um processo administrativo paralelo pode influenciar o andamento do processo da ANPD, especialmente se houver sobreposição de fatos.

O processo administrativo de apuração em si segue o Decreto 11.052 de 2022, que trouxe alterações significativas. O prazo total para encerramento, somados instrução e defesa, costuma girar em torno de um ano, mas casos complexos com múltiplas infrações e réus podem levar mais tempo. A possibilidade de transação existe, mas é avaliada caso a caso pela autoridade. Não é um direito automático da empresa investigada. Se você lida com isso no dia a dia, o mais sensato é manter a documentação de todas as decisões de tratamento, mapear os dados sensíveis com clareza e, acima de tudo, não ignorar uma notificação da ANPD. A advertência inicial é a oportunidade mais barata de corrigir a rota. Depois que o processo vira autuação, o custo cresce exponencialmente, tanto financeiro quanto operacional.