Multa de la LGPD: cuánto cuesta y cómo la gobernanza de datos evita la sanción

Catorce mil cuatrocientos reales. Ese fue el valor de la primera multa que la ANPD (la autoridad de protección de datos de Brasil) aplicó a una empresa brasileña, en 2023, después de tres años de LGPD (Ley General de Protección de Datos de Brasil) en vigor sin ninguna sanción financiera. Poco, comparado con el estrago que encuentro en los datos maestros de empresas que facturan cientos de millones al año. Pero el precedente está abierto, y el tope previsto en la ley llega a 50 millones de reales por infracción.

La multa de la LGPD es la sanción administrativa que la Autoridad Nacional de Protección de Datos aplica a las empresas que tratan datos personales fuera de las reglas de la Ley General de Protección de Datos, prevista en el artículo 52 de la ley. Puede llegar al 2% de la facturación de la empresa en el ejercicio anterior, sin contar los impuestos, hasta el límite de 50 millones de reales por infracción cometida. Y aquí ya vale una alerta: cada infracción cuenta por separado. Una empresa con tres fallas distintas de tratamiento de datos puede acumular tres multas, no una.

Yo implementé SAP en empresas grandes durante quince años antes de fundar 4MDG, y nunca vi un proyecto de datos tratar la LGPD como una prioridad real hasta que llegó el primer susto. El susto ahora tiene nombre, fecha y valor.

Qué es la multa de la LGPD y de dónde viene

La LGPD existe desde 2018, pero solo empezó a regir de verdad en 2020, y las sanciones administrativas solo comenzaron a aplicarse a partir de 2023, después de que la ANPD publicó el reglamento de dosimetría que define cómo calcular el valor de cada multa.

El artículo 52 de la ley enumera nueve tipos de sanción, de la advertencia a la prohibición de operar con datos personales. La multa simple y la multa diaria son las más temidas, pero la ANPD normalmente empieza por la advertencia, con un plazo para que la empresa se adecúe. La multa llega cuando la empresa ignora el aviso o cuando la gravedad del caso justifica saltarse esa etapa.

El primer caso, el de la empresa de telemarketing multada en 7.200 reales dos veces, muestra bien cómo funciona la dosimetría. La ANPD mira el tamaño de la empresa, la gravedad de la falla, si hubo daño a alguien, si la empresa cooperó en la investigación y si es reincidente. Una empresa pequeña con una falla simple paga poco. Una empresa grande con una filtración de datos sensibles, sin encargado de protección de datos (DPO) nombrado y sin ninguna medida de seguridad, está en el rango que se acerca al tope de 50 millones.

Cómo ocurre la multa en la práctica dentro de la empresa

La multa nunca nace de un artículo de ley. Nace de datos maestros mal hechos, de un sistema sin control de acceso o de un proveedor tercerizado que filtró la base de clientes que tu empresa le entregó para procesar.

Lo veo toda semana en empresas que tienen los datos maestros de clientes duplicados en tres sistemas distintos, cada uno con un nivel de actualización y de seguridad diferente. El equipo de marketing tiene una base en el CRM, finanzas tiene otra en el ERP, el call center tiene una tercera en la hoja de cálculo que nadie documentó. Cuando la ANPD pregunta dónde está el dato de la persona, quién accede, por cuánto tiempo se guarda y con qué base legal se recolectó, la empresa no tiene una respuesta única. Tiene tres respuestas, y ninguna coincide con la otra.

Eso no es un problema jurídico. Es un problema de datos maestros mal gobernados. La LGPD le exige a la empresa trazabilidad: saber dónde está el dato, quién es su dueño, cuál es su origen, cuál es su finalidad y por cuánto tiempo puede guardarse. Sin datos maestros únicos y confiables, la empresa no logra ni responder a una solicitud simple de un titular que quiere saber qué sabe la empresa sobre él, mucho menos probarle a la ANPD que cumple la ley.

Quién responde por esto dentro de la empresa

La LGPD define tres roles principales: el controlador, que decide qué hacer con el dato; el operador, que trata el dato por cuenta del controlador, como un proveedor de nómina o de atención al cliente; y el encargado de protección de datos (DPO), que es el canal entre la empresa, el titular del dato y la ANPD.

En la práctica, el encargado rara vez puede solo. Depende del data steward y del equipo de datos maestros para saber de verdad dónde se guarda cada información, porque el área jurídica no tiene acceso directo al ERP ni al CRM. Ya vi a un encargado firmar una política de privacidad bonita, con todas las cláusulas correctas, mientras los datos maestros de clientes de la empresa seguían con el CPF (el número de registro de personas físicas de Brasil) mal digitado, direcciones duplicadas y ningún control de quién modifica qué.

El dueño del dato, ese profesional de negocio responsable de un dominio específico, como los datos maestros de clientes o de colaboradores, es quien garantiza en el día a día que la regla definida por el encargado realmente se cumpla en el sistema. Sin ese puente entre lo jurídico y la operación, la política de privacidad se vuelve papel, y el riesgo de multa sigue igual que antes de que existiera la LGPD.

Qué herramientas ayudan a evitar la multa

No existe un software que resuelva la LGPD por sí solo, pero sí existe tecnología que sostiene la gobernanza que exige la ley. Las plataformas de Master Data Management, como SAP Master Data Governance, Informatica, Stibo Systems, Reltio, Semarchy, Profisee y Ataccama, organizan los datos maestros de cliente, proveedor y colaborador en un único lugar, con regla de calidad, historial de modificaciones y control de quién accedió a qué.

Las herramientas de catálogo de datos, como Collibra, Alation y Microsoft Purview, mapean dónde está esparcido cada dato personal por la empresa, lo que facilita responderle a un titular o mostrarle a la ANPD el inventario de datos personales. Ninguna sustituye la decisión de negocio sobre qué hacer con el dato. Eso es trabajo de personas y de proceso. La tecnología solo entrega velocidad y evidencia a quien ya decidió qué hay que hacer.

Cómo prepararse y aprender a proteger la empresa

El camino más directo pasa por entender al mismo tiempo la ley y la gestión de datos, porque un lado sin el otro no resuelve. El profesional jurídico que no entiende de datos maestros firma una política que el sistema no cumple. El profesional de TI que no entiende de LGPD construye un sistema seguro para un riesgo que no es el que la ley exige.

Certificaciones como la CDMP de DAMA y cursos específicos de LGPD y compliance de datos ayudan a formar a ese profesional híbrido. Como abordo en el libro Master Data Management: Fundamentos e Aplicações (libro en portugués), publicado por la Editora Brasport, la gobernanza de datos maestros es la base técnica que sostiene cualquier programa serio de protección de datos personales.

El mercado que abrió la LGPD

La fiscalización de la ANPD creó una demanda real de gente que entienda de datos y de riesgo al mismo tiempo. Encargado de protección de datos, data steward, analista de gobernanza y especialista en calidad de datos se convirtieron en puestos que las empresas medianas y grandes ya no pueden dejar vacíos, porque el costo de no tener ese equipo ahora tiene valor en reales, no solo en riesgo reputacional.

Las empresas que viven del dato del cliente, como retail, telecom, financieras y salud, están contratando primero. Pero cualquier empresa que tenga datos maestros de colaboradores, clientes o proveedores personas físicas ya es un blanco potencial de fiscalización, lo que esparce esa demanda a sectores que, hasta hace poco, no pensaban en la LGPD como una prioridad de contratación.

Principales dudas sobre la multa de la LGPD

¿Cuál es el valor máximo de la multa de la LGPD? El tope es de 50 millones de reales por infracción, y la multa simple puede llegar al 2% de la facturación de la empresa en el último ejercicio, excluidos los impuestos.

¿La ANPD ya aplicó multas en Brasil? Sí. La primera multa financiera se aplicó en 2023, a una empresa de telemarketing, por un valor total de 14.400 reales, además de una advertencia. Desde entonces el número de procesos sancionadores abiertos por la ANPD viene creciendo.

¿Toda falla en la LGPD genera multa? No necesariamente. La ANPD suele aplicar primero una advertencia, con un plazo para que la empresa se adecúe, y reserva la multa para casos de reincidencia, mayor gravedad o daño a los titulares de datos.

¿Tener un DPO evita la multa? Tener nombrado al encargado es obligatorio y reduce el riesgo, pero no evita la multa por sí solo. Lo que la evita es la combinación entre el encargado, el proceso de gobernanza y unos datos maestros organizados y trazables.

¿Una empresa pequeña también puede ser multada? Puede, y el primer caso de la ANPD fue justamente con una microempresa. El tamaño influye en el valor de la multa, por la dosimetría, pero no exime a nadie de la fiscalización.

MDM Academy: dónde aprender gobernanza de datos en la práctica

MDM Academy es la escuela de gobernanza de datos y datos maestros de 4MDG. Nació para formar al profesional que describió este artículo: alguien que entiende de LGPD, de datos maestros, de herramientas de MDM y de proceso de negocio al mismo tiempo, porque es esa combinación la que protege de verdad a la empresa.

Los cursos cubren desde los fundamentos de gobernanza y datos maestros hasta formación específica para data steward, calidad de datos y compliance de datos, con ejemplos reales de compras, SAP y datos maestros corporativos, no solo teoría de libro. Quien quiere adelantarse, sea para proteger a su propia empresa, sea para construir una carrera en un área que solo crece, puede conocer MDM Academy o unirse al Club de los Datos, nuestra comunidad gratuita de profesionales de datos maestros y gobernanza.

Conclusión

Toda empresa que visito cree que el riesgo de la LGPD está en lo jurídico. Está ahí, pero nace antes, en los datos maestros mal cuidados que nadie mira hasta el día en que alguien pregunta de dónde vino ese dato. La multa que costó 14.400 reales en 2023 es pequeña. La próxima, aplicada a una empresa que no corrigió nada en estos tres años, no lo será.

En tu empresa, si la ANPD pidiera hoy el inventario completo de datos personales, ¿alguien podría entregarlo en pocos días, o se convertiría en un proyecto de meses?