A Autoridade Nacional de Proteção de Dados (ANPD) deixou para trás a fase de orientação em 2023 e entrou em ciclo de fiscalização ativa. Multas, advertências e sanções acessórias agora são realidade pública no Brasil. Este artigo lista os casos LGPD mais relevantes de 2023-2026, o que motivou cada decisão e como sua empresa pode evitar o mesmo destino.
TL;DR: multas LGPD em 60 segundos
- Teto legal: R$ 50 milhões por infração OU 2% do faturamento da empresa no Brasil (Art. 52, II LGPD), o que for menor.
- Início das sanções: a primeira multa pública da ANPD foi aplicada em julho de 2023; a escalada de fiscalizações ocorreu em 2024-2025.
- Top motivos: vazamento sem notificação (Art. 48), tratamento sem base legal (Art. 7), ausência de Encarregado/DPO (Art. 41).
- Pequenas empresas NÃO estão isentas: a ANPD reiterou esse ponto em 2024.
- Setores mais fiscalizados: telecomunicações, instituições financeiras, saúde, e-commerce e marketplaces.
Quem é a ANPD e como ela aplica multas?
A Autoridade Nacional de Proteção de Dados foi criada pela Lei 13.853/2019, complementando a LGPD (Lei 13.709/2018, Art. 55-A). É uma autarquia federal de natureza especial vinculada ao Ministério da Fazenda, com autonomia técnica e decisória.
O processo administrativo sancionador da ANPD segue a Resolução CD/ANPD 1/2021 e tem cinco etapas:
- Investigação preliminar (denúncia, monitoramento ou pedido de informação);
- Instauração do processo com notificação do agente de tratamento;
- Defesa prévia com prazo de 10 dias úteis (prorrogáveis);
- Decisão de primeira instância com fundamentação técnica;
- Recurso administrativo ao Conselho Diretor da ANPD.
As sanções previstas no Art. 52 da LGPD incluem advertência (com prazo para correção), multa simples (até R$ 50 milhões ou 2% do faturamento), multa diária observado o teto, publicização da infração, bloqueio dos dados, eliminação dos dados e, em casos extremos, suspensão parcial ou total do tratamento.
Top 10 casos LGPD ANPD 2023-2026
A tabela abaixo combina multas públicas confirmadas pela ANPD e estimativas de faixa para casos onde apenas o desfecho administrativo foi divulgado. Sempre que a faixa é estimada, indicamos com “(faixa)”.
| # | Setor / Empresa | Ano | Valor | Motivo principal | Lei / Artigo |
|---|---|---|---|---|---|
| 1 | Telekall (telemarketing) | 2023 | R$ 14.400 | Falta de cooperação em investigação | Art. 5, X + Art. 52 |
| 2 | Fortbrasil (varejo financeiro) | 2023 | Advertência + obrigações | Não indicação de Encarregado | Art. 41 |
| 3 | Operadora de telefonia (caso 1) | 2024 | R$ 100K-500K (faixa) | Compartilhamento sem base legal | Art. 7 + Art. 11 |
| 4 | Marketplace nacional | 2024 | R$ 200K-1M (faixa) | Cookies e tracking sem consentimento | Art. 7, I + Art. 8 |
| 5 | Fintech (vazamento) | 2024 | R$ 300K-2M (faixa) | Notificação tardia de incidente | Art. 48 |
| 6 | Plataforma SaaS B2C | 2025 | R$ 50K-300K (faixa) | Direitos do titular não atendidos | Art. 18-19 |
| 7 | Operadora de saúde | 2025 | R$ 500K-3M (faixa) | Vazamento de dados sensíveis | Art. 11 + Art. 48 |
| 8 | Plataforma de IA generativa | 2025 | Investigação em curso | Treinamento sem base legal clara | Art. 7 + Art. 20 |
| 9 | Bureau de crédito | 2024-2025 | R$ 200K-1.5M (faixa) | Compartilhamento sem transparência | Art. 6, VI + Art. 9 |
| 10 | E-commerce de médio porte | 2025 | R$ 30K-150K (faixa) | Política de privacidade incompleta | Art. 9 + Art. 18 |
Importante: a ANPD ainda não publica todas as decisões em formato consolidado. Casos 3-10 baseiam-se em comunicados oficiais, processos administrativos divulgados parcialmente e análises de mercado. As faixas refletem a dosimetria típica observada (porte da empresa, gravidade, reincidência, cooperação). O teto absoluto de R$ 50 milhões ainda não foi aplicado em sua plenitude no Brasil até o momento; a fiscalização ainda está em fase de maturação quando comparada à CNIL francesa ou à BfDI alemã.
Motivos mais frequentes de multas LGPD 2024-2026
Cinco categorias dominam as fiscalizações da ANPD:
- Vazamento sem notificação adequada (Art. 48): atraso, omissão ou notificação incompleta à ANPD e aos titulares afetados. A interpretação consolidada exige comunicação em até 72 horas do conhecimento do incidente.
- Tratamento sem base legal válida (Art. 7): a LGPD lista 10 hipóteses (consentimento, contrato, obrigação legal, etc.). Tratar dados fora dessas bases, ou com base mal documentada, é a infração mais comum em auditorias.
- Compartilhamento indevido com terceiros (Art. 7 + Art. 11): venda de bases, cessão a parceiros sem informação clara ou transferência internacional sem garantias adequadas (Art. 33).
- Ausência de Encarregado/DPO quando obrigatório (Art. 41): mesmo após a flexibilização para pequeno porte, a ausência continua sendo agravante em casos de incidente.
- Cookies e rastreadores sem consentimento (Art. 7, I + Marco Civil): banners inválidos do tipo “continuar a navegar = aceitar” ou cookies analíticos disparados antes do opt-in. Veja 37 rastreadores que seu banner deve bloquear.
- Direitos do titular não atendidos (Art. 18): prazo de 15 dias para responder pedidos de acesso, retificação, exclusão ou portabilidade. Para pequenas empresas qualificadas, prazo dobrado para 30 dias.
Quanto pode custar uma multa LGPD para sua empresa?
Apesar do teto teórico de R$ 50 milhões, a dosimetria prática observada na ANPD em 2024-2026 sugere três faixas de risco:
Tier 1, falhas formais ou de pequeno impacto (R$ 5K - R$ 50K):
- Falta de política de privacidade ou política desatualizada
- Encarregado não indicado em microempresa
- Atraso pontual em resposta a titular (Art. 18)
- Cookies analíticos sem consentimento, primeiro caso
Tier 2, vazamento moderado ou múltiplas falhas (R$ 50K - R$ 500K):
- Vazamento envolvendo centenas a milhares de titulares
- Notificação tardia (após 72h) à ANPD
- Compartilhamento sem base legal documentada
- Reincidência em casos Tier 1
Tier 3, vazamento grave, dados sensíveis ou reincidência sistêmica (R$ 500K - R$ 50M):
- Dados sensíveis (saúde, biométricos, crianças)
- Centenas de milhares de titulares afetados
- Comportamento doloso ou negligência grave
- Falta total de programa de conformidade
Máximo legal: R$ 50 milhões OU 2% do faturamento da empresa no Brasil no último exercício, conforme Art. 52, II. Aplicação do teto é excepcional e ainda não foi observada em sua plenitude pela ANPD até maio de 2026.
5 lições para empresas brasileiras em 2026
- Implemente um processo de notificação 72h: defina hoje quem decide, quem notifica a ANPD, quem comunica titulares e quem documenta. Em incidente real, você não tem tempo para improvisar.
- Designe um Encarregado (DPO): mesmo se você é pequena empresa dispensada da obrigação formal pela Resolução CD/ANPD 2/2022, indique alguém. O custo é baixo, o risco de não ter é alto.
- Documente base legal Art. 7 para cada finalidade: crie um registro de operações (RoPA brasileiro). Para cada categoria de dado, qual finalidade, qual base legal, quanto tempo guardamos, quem tem acesso.
- Política de cookies + consentimento granular: banner por categoria (necessário, analítico, marketing), opt-in real antes do disparo, revogação fácil. Veja as regras e sanções da política de cookies na Europa e o modelo de política de privacidade LGPD.
- Atenda direitos do titular em até 15 dias: crie um endereço único (privacidade@suaempresa), responda mesmo que para dizer “vamos analisar”, mantenha registro. A omissão é infração por si só.
Como evitar multas LGPD com a WebLegal
A WebLegal gera uma política de privacidade LGPD completa, customizada para sua empresa, em poucos minutos. O documento inclui base legal Art. 7, direitos do titular Art. 18, comunicação de incidente Art. 48, contato do Encarregado e política de cookies em conformidade, tudo em português jurídico claro. Se sua empresa atua também na Europa, a WebLegal entrega versões GDPR e LGPD coerentes.
Comece testando o scanner de conformidade gratuito para ver o que sua loja virtual já faz bem, e onde estão os riscos.
