Multa da LGPD: quanto custa e como a governança de dados evita a sanção

Quatorze mil e quatrocentos reais. Foi esse o valor da primeira multa que a ANPD aplicou a uma empresa brasileira, em 2023, depois de três anos de LGPD em vigor sem nenhuma sanção financeira. Pouco, perto do estrago que eu encontro em cadastros de empresas que faturam centenas de milhões por ano. Mas o precedente está aberto, e o teto previsto na lei chega a 50 milhões de reais por infração.

A multa da LGPD é a sanção administrativa que a Autoridade Nacional de Proteção de Dados aplica a empresas que tratam dado pessoal fora das regras da Lei Geral de Proteção de Dados, prevista no artigo 52 da lei. Ela pode chegar a 2% do faturamento da empresa no exercício anterior, sem contar os tributos, até o limite de 50 milhões de reais por infração cometida. E aqui já vale um alerta: cada infração conta separado. Uma empresa com três falhas diferentes de tratamento de dados pode somar três multas, não uma.

Eu implementei SAP em empresas grandes por quinze anos antes de fundar a 4MDG, e nunca vi um projeto de dados tratar a LGPD como prioridade real até o primeiro susto chegar. O susto agora tem nome, data e valor.

O que é a multa da LGPD e de onde ela vem

A LGPD existe desde 2018, mas só passou a valer de fato em 2020, e as sanções administrativas só começaram a ser aplicadas a partir de 2023, depois que a ANPD publicou o regulamento de dosimetria que define como calcular o valor de cada multa.

O artigo 52 da lei lista nove tipos de sanção, da advertência à proibição de operar com dados pessoais. A multa simples e a multa diária são as mais temidas, mas a ANPD normalmente começa pela advertência, com prazo para a empresa se adequar. A multa chega quando a empresa ignora o aviso ou quando a gravidade do caso justifica pular essa etapa.

O primeiro caso, o da empresa de telemarketing multada em 7.200 reais por duas vezes, mostra bem como a dosimetria funciona. A ANPD olha o porte da empresa, a gravidade da falha, se houve dano a alguém, se a empresa cooperou na investigação e se é reincidente. Empresa pequena com falha simples paga pouco. Empresa grande com vazamento de dados sensíveis, sem encarregado nomeado e sem nenhuma medida de segurança, está na faixa que chega perto do teto de 50 milhões.

Como a multa acontece na prática dentro da empresa

A multa nunca nasce de um artigo de lei. Ela nasce de um cadastro mal feito, de um sistema sem controle de acesso ou de um fornecedor terceirizado que vazou a base de clientes que a sua empresa entregou para ele processar.

Vejo isso toda semana em empresa que tem o cadastro de cliente duplicado em três sistemas diferentes, cada um com um nível de atualização e de segurança distinto. O time de marketing tem uma base no CRM, o financeiro tem outra no ERP, o call center tem uma terceira na planilha que ninguém documentou. Quando a ANPD pergunta onde está o dado da pessoa, quem acessa, por quanto tempo fica guardado e com que base legal foi coletado, a empresa não tem resposta única. Tem três respostas, e nenhuma bate com a outra.

Isso não é um problema jurídico. É um problema de dados mestres mal governados. A LGPD cobra da empresa rastreabilidade: saber onde o dado está, quem é o dono dele, qual a origem, qual a finalidade e por quanto tempo pode ficar guardado. Sem um cadastro único e confiável, a empresa não consegue nem responder a um pedido simples de um titular que quer saber o que a empresa sabe sobre ele, muito menos provar à ANPD que cumpre a lei.

Quem responde por isso dentro da empresa

A LGPD define três papéis principais: o controlador, que decide o que fazer com o dado; o operador, que trata o dado por conta do controlador, como um fornecedor de folha de pagamento ou de atendimento; e o encarregado, ou DPO, que é o canal entre a empresa, o titular do dado e a ANPD.

Na prática, o encarregado raramente consegue sozinho. Ele depende do data steward e do time de dados mestres para saber de verdade onde cada informação está guardada, porque o jurídico não tem acesso direto ao ERP nem ao CRM. Já vi encarregado assinar política de privacidade bonita, com todas as cláusulas certas, enquanto o cadastro de cliente da empresa continuava com CPF digitado errado, endereço duplicado e nenhum controle de quem altera o quê.

O dono do dado, aquele profissional de negócio responsável por um domínio específico, como cadastro de cliente ou de colaborador, é quem garante no dia a dia que a regra definida pelo encarregado realmente se cumpre no sistema. Sem essa ponte entre o jurídico e a operação, a política de privacidade vira papel, e o risco de multa continua o mesmo de antes da LGPD existir.

Quais ferramentas ajudam a evitar a multa

Não existe software que resolva LGPD sozinho, mas existe tecnologia que sustenta a governança exigida pela lei. Plataformas de Master Data Management, como SAP Master Data Governance, Informatica, Stibo Systems, Reltio, Semarchy, Profisee e Ataccama, organizam o cadastro mestre de cliente, fornecedor e colaborador num único lugar, com regra de qualidade, histórico de alteração e controle de quem acessou o quê.

Ferramentas de catálogo de dados, como Collibra, Alation e Microsoft Purview, mapeiam onde cada dado pessoal está espalhado pela empresa, o que facilita na hora de responder a um titular ou de mostrar à ANPD o inventário de dados pessoais. Nenhuma delas substitui a decisão de negócio sobre o que fazer com o dado. Isso é trabalho de gente e de processo. A tecnologia só entrega velocidade e evidência para quem já decidiu o que precisa ser feito.

Como se preparar e aprender a proteger a empresa

O caminho mais direto passa por entender ao mesmo tempo a lei e a gestão de dados, porque um lado sem o outro não resolve. O profissional jurídico que não entende de cadastro assina política que o sistema não cumpre. O profissional de TI que não entende de LGPD constrói sistema seguro para um risco que não é o que a lei cobra.

Certificações como o CDMP da DAMA e cursos específicos de LGPD e compliance de dados ajudam a formar esse profissional híbrido. Conforme abordo no livro Master Data Management: Fundamentos e Aplicações, publicado pela Editora Brasport, a governança de dados mestres é a base técnica que sustenta qualquer programa sério de proteção de dados pessoais.

O mercado que a LGPD abriu

A fiscalização da ANPD criou demanda real por gente que entende de dados e de risco ao mesmo tempo. Encarregado de dados, data steward, analista de governança e especialista em qualidade de dados viraram posições que empresa de médio e grande porte não consegue mais deixar vazias, porque o custo de não ter esse time agora tem valor em reais, não só em risco reputacional.

Empresa que vive de dado de cliente, como varejo, telecom, financeira e saúde, está contratando primeiro. Mas qualquer empresa que tem cadastro de colaborador, de cliente ou de fornecedor pessoa física já é alvo potencial de fiscalização, o que espalha essa demanda para setores que, até pouco tempo atrás, não pensavam em LGPD como prioridade de contratação.

Principais dúvidas sobre a multa da LGPD

Qual o valor máximo da multa da LGPD? O teto é de 50 milhões de reais por infração, podendo a multa simples chegar a 2% do faturamento da empresa no último exercício, excluídos os tributos.

A ANPD já aplicou multas no Brasil? Sim. A primeira multa financeira foi aplicada em 2023, a uma empresa de telemarketing, no valor total de 14.400 reais, além de uma advertência. Desde então o número de processos sancionadores abertos pela ANPD vem crescendo.

Toda falha na LGPD gera multa? Não necessariamente. A ANPD costuma aplicar advertência primeiro, com prazo para a empresa se adequar, e reserva a multa para casos de reincidência, gravidade maior ou dano a titulares de dados.

Ter um DPO evita a multa? Ter o encarregado nomeado é obrigatório e reduz o risco, mas não evita a multa sozinho. O que evita é a combinação entre o encarregado, o processo de governança e um cadastro de dados organizado e rastreável.

Pequena empresa também pode ser multada? Pode, e o primeiro caso da ANPD foi justamente com uma microempresa. O porte influencia o valor da multa, pela dosimetria, mas não isenta ninguém da fiscalização.

MDM Academy: onde aprender governança de dados na prática

A MDM Academy é a escola de governança de dados e dados mestres da 4MDG. Ela nasceu para formar o profissional que este artigo descreveu: alguém que entende de LGPD, de cadastro, de ferramenta de MDM e de processo de negócio ao mesmo tempo, porque é essa combinação que protege a empresa de verdade.

Os cursos cobrem desde os fundamentos de governança e dados mestres até formação específica para data steward, qualidade de dados e compliance de dados, com exemplos reais de compras, SAP e cadastro corporativo, não apenas teoria de livro. Quem quer sair na frente, seja para proteger a própria empresa, seja para construir carreira numa área que só cresce, pode conhecer a MDM Academy ou entrar no Clube dos Dados, nossa comunidade gratuita de profissionais de cadastro e governança.

Conclusão

Toda empresa que eu visito acha que o risco da LGPD está no jurídico. Está lá, mas nasce antes, no cadastro mal cuidado que ninguém olha até o dia em que alguém pergunta de onde veio aquele dado. A multa que custou 14.400 reais em 2023 é pequena. A próxima, aplicada a uma empresa que não corrigiu nada nesses três anos, não vai ser.

Na sua empresa, se a ANPD pedisse hoje o inventário completo de dados pessoais, alguém conseguiria entregar em poucos dias, ou isso viraria um projeto de meses?