A ANPD deixou de ser uma autoridade apenas orientativa. Em 2026 a fiscalização já opera com sanções efetivas, e o padrão do que está sendo punido ficou mais claro: ausência de base legal para o tratamento, falta de encarregado nomeado, respostas deficientes a incidentes de segurança e descumprimento de determinações da própria autoridade. Se sua empresa trata dados pessoais e ainda não estruturou governança, o risco de sanção da ANPD deixou de ser hipotético.
A base é o art. 52 da Lei 13.709/2018 (a LGPD), que autoriza advertência, multa de até 2% do faturamento limitada a R$ 50 milhões por infração, multa diária, publicização da infração e até bloqueio ou eliminação dos dados. A escolha da sanção segue dosimetria: a autoridade pesa gravidade, boa-fé, cooperação e a existência de um programa de governança.
Este texto mapeia o que a fiscalização vem priorizando e como uma empresa reduz exposição antes de virar alvo.
O que a ANPD está efetivamente punindo
O foco da fiscalização não recai sobre falhas formais isoladas, mas sobre padrões de descumprimento que revelam ausência de estrutura de proteção de dados.
A ausência de base legal aparece como problema recorrente. A LGPD exige que todo tratamento de dado pessoal se apoie em uma das hipóteses do art. 7 (consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras). Empresas que coletam e usam dados sem conseguir apontar qual base legal sustenta cada operação ficam expostas. Coleta genérica de dados “para melhorar a experiência”, sem finalidade definida, é um alvo típico.
A falta de encarregado (DPO) nomeado e divulgado é outra falha punida. A LGPD trata o encarregado como canal de comunicação entre a empresa, os titulares e a ANPD. Não indicar ou não divulgar publicamente esse contato dificulta a fiscalização e sinaliza desorganização do programa.
Há também o descumprimento de determinação da própria ANPD. A autoridade frequentemente inicia a atuação com pedido de esclarecimento ou recomendação. Ignorar essa comunicação é o caminho mais direto para a escalada de uma orientação para uma multa, muitas vezes na modalidade diária.
Incidentes de segurança: onde o risco concentra
Vazamento de dados não gera multa automática. O que a ANPD avalia é a conduta da empresa antes, durante e depois do incidente.
Antes: se havia medidas técnicas e administrativas de segurança razoáveis para o porte e a atividade. Durante: se a empresa detectou e conteve o incidente. Depois: se comunicou a autoridade e os titulares em prazo adequado, com as informações exigidas.
A comunicação à ANPD é obrigação legal quando o incidente pode gerar risco relevante aos titulares. A resolução específica da autoridade define prazo e conteúdo dessa comunicação. Empresas que descobrem o vazamento por terceiros, demoram a reagir ou omitem a notificação concentram o maior risco de sanção agravada.
O contraste é evidente na prática. Um incidente tratado com plano de resposta, contenção rápida e comunicação transparente costuma ser avaliado com moderação. O mesmo incidente sem qualquer estrutura de resposta, e sem aviso à autoridade, tende a ser lido como negligência.
Como funciona a dosimetria da multa
A multa não parte do teto. O art. 52 da LGPD e as resoluções da ANPD sobre dosimetria estabelecem critérios que aumentam ou reduzem o valor.
Pesam como agravantes: a gravidade e a natureza da infração, a vantagem econômica obtida, a reincidência, o grau do dano e a condição econômica do infrator. Pesam como atenuantes: a adoção de política de boas práticas, a cooperação com a autoridade, a pronta adoção de medidas corretivas e a existência de um programa de governança em privacidade efetivo.
O ponto central para o empresário: o programa de governança reduz a sanção mesmo quando a infração ocorre. Documentar o mapeamento de dados, as bases legais, a política de privacidade e o plano de resposta a incidentes cumpre função dupla. Diminui a chance de falha concreta e serve como prova de diligência quando a fiscalização chega.
Veja como diferentes posturas afetam o desfecho de uma mesma falha:
| Cenário | Documentação de governança | Resposta à ANPD | Desfecho provável |
|---|---|---|---|
| Empresa sem base legal e sem encarregado | Inexistente | Ignora notificação | Multa, possível escalada para multa diária |
| Empresa com falha pontual | Parcial | Coopera e corrige | Advertência ou multa reduzida |
| Empresa com incidente | Completa, com plano de resposta | Comunica e contém | Sanção branda ou apenas recomendação |
Os desfechos são ilustrativos e dependem da análise concreta da autoridade. O padrão, porém, é consistente: cooperação e governança puxam a sanção para baixo.
Quem está no radar da fiscalização
A LGPD alcança qualquer pessoa jurídica que trate dados pessoais, sem exceção por porte. A ideia de que só grandes plataformas de tecnologia seriam fiscalizadas não corresponde à atuação da ANPD.
Empresas pequenas e médias têm regime diferenciado de obrigações, previsto em resolução própria, com exigências proporcionais. Mas continuam sujeitas a sanção. Clínicas, escolas, e-commerces, imobiliárias, prestadores de serviço e startups coletam dados sensíveis ou volumosos e entram no alcance da autoridade.
Setores que tratam dados sensíveis (saúde, biometria, dados de crianças e adolescentes) recebem atenção reforçada, porque a LGPD exige proteção mais rigorosa nesses casos. Uma clínica que compartilha dados de pacientes sem base legal adequada tem exposição maior do que uma empresa que trata apenas dados cadastrais básicos.
Denúncias de titulares também alimentam a fiscalização. Um cliente que solicita exclusão de dados e não recebe resposta pode acionar a ANPD, o que abre um procedimento. O direito de acesso, correção e eliminação previsto na LGPD é um gatilho comum de investigação.
O que diz a lei
A Lei 13.709/2018 organiza as obrigações e as sanções. O art. 7 lista as bases legais que autorizam o tratamento. O art. 46 exige medidas de segurança técnicas e administrativas. O art. 48 trata da comunicação de incidentes à autoridade e aos titulares. O art. 52 define o rol de sanções, incluindo a multa de até 2% do faturamento limitada a R$ 50 milhões por infração.
As resoluções da ANPD detalham a execução dessas regras: o regulamento de fiscalização, o regulamento de dosimetria e aplicação de sanções, e as normas específicas sobre comunicação de incidentes e sobre o tratamento por pequenas empresas. Esse conjunto normativo é o que transforma o texto da LGPD em prática de fiscalização.
Vale consultar as normas na fonte oficial. O texto integral da LGPD está em planalto.gov.br e as resoluções e orientações da autoridade em gov.br/anpd.
Sobre a atuação dos tribunais, o Judiciário tem reconhecido a autonomia da ANPD para fiscalizar e sancionar, e discussões sobre dano moral por vazamento de dados vêm sendo apreciadas com base na demonstração do prejuízo concreto ao titular. O ponto operacional, porém, se resolve na esfera administrativa: a sanção nasce na ANPD, e é ali que a documentação de governança faz diferença.
Quando vale procurar advogado
Boa parte da adequação inicial é interna. Mapear quais dados a empresa coleta, definir a finalidade de cada uso, nomear um encarregado e publicar uma política de privacidade acessível são medidas que a própria organização estrutura com o time interno.
A assessoria jurídica se justifica em situações de maior exposição. A definição da base legal correta para cada operação envolve interpretação da LGPD e pode ser o ponto que separa um tratamento lícito de uma infração. O legítimo interesse, por exemplo, exige teste de balanceamento documentado, e o consentimento tem requisitos específicos de validade.
Um cenário claro de ação é o recebimento de comunicação da ANPD: pedido de esclarecimento, notificação de procedimento ou intimação. A resposta a esses documentos, dentro do prazo e com o conteúdo adequado, influencia diretamente a dosimetria da sanção. Responder mal, ou não responder, agrava a posição.
Incidentes de segurança são o outro marco. A decisão sobre comunicar ou não a autoridade, o prazo, o conteúdo da comunicação e a estruturação da resposta técnica têm consequências jurídicas imediatas. Nesses casos, a atuação preventiva e a condução do procedimento pesam no resultado.
Empresas que tratam dados sensíveis ou operam em escala, e que ainda não documentaram seu programa de governança, também têm razão concreta para avaliar a adequação antes de virarem alvo. A assessoria a empresas de tecnologia trabalha exatamente essa camada de estruturação e resposta.
A fiscalização da ANPD em 2026 pune o que revela ausência de estrutura: coleta sem base legal, sem encarregado, sem plano de resposta e sem cooperação. O inverso também é verdadeiro: empresas que documentam governança e reagem com transparência tendem a receber sanções brandas ou apenas recomendações.
O momento de agir é antes da notificação, não depois. Estruturar o tratamento de dados e a documentação correspondente reduz o risco de sanção e melhora a posição da empresa em qualquer fiscalização.