O primeiro processo sancionador da ANPD foi arquivado em silêncio em 2022. Em 2026, a autoridade acumula mais de 40 sanções aplicadas, três delas próximas do teto máximo. A régua saiu do papel e passou a doer. Se você é CTO, DPO ou fundador, entender a dosimetria não é mais opcional — é planejamento financeiro.

O que a lei diz

O artigo 52 da LGPD lista oito sanções administrativas. Só duas envolvem valores diretos:

• Multa simples: até 2% do faturamento da empresa (ou grupo econômico) no Brasil, no último exercício, limitada a R$ 50 milhões por infração.
• Multa diária: aplicada por descumprimento continuado, também limitada ao mesmo teto agregado.

O que muitos ignoram: "por infração" significa que múltiplos fatos podem gerar múltiplas multas cumulativas. O caso Serasa-2024, por exemplo, contabilizou 14 infrações separadas na mesma investigação.

Dosimetria: como a ANPD chega ao valor

O regulamento de dosimetria (Resolução CD/ANPD nº 4/2023, atualizada em 2025) segue três etapas:

1. Base de cálculo

A ANPD parte do faturamento bruto no Brasil do exercício anterior. Se a empresa é do Simples ou não tem faturamento no país, aplica-se tabela de valores fixos por porte:

| Porte | Base | Máximo por infração | |---|---|---| | MEI | R$ 500 – R$ 20 mil | R$ 20 mil | | Microempresa | R$ 2 mil – R$ 200 mil | R$ 200 mil | | Pequena empresa | R$ 10 mil – R$ 2 milhões | R$ 2 milhões | | Média/Grande | 0,1% – 2% do faturamento BR | R$ 50 milhões |

2. Circunstâncias agravantes e atenuantes

Os coeficientes atuam sobre a base:

Agravantes (multiplicam):

• Reincidência: +50% a +100%
• Má-fé comprovada: +50%
• Dado sensível envolvido (art. 5º, II): +30% a +60%
• Vantagem econômica auferida com a infração: valor mínimo = 2x a vantagem

Atenuantes (dividem):

• Adoção de política de boas práticas antes da fiscalização: -25%
• Comunicação tempestiva ao titular e à ANPD: -20%
• Cooperação com a investigação: -15%
• Adoção imediata de medidas corretivas: -25%

Na prática, um controlador que se antecipa pode reduzir a multa em até 60%.

3. Grau de gravidade

Leve, média ou grave, definido pelo dano potencial a titulares, quantidade de pessoas afetadas, categorias de dados, e reversibilidade. Grave dispara o teto de 2% quase automaticamente.

Casos públicos 2024–2026

Telekall (2024) — R$ 14.400. Descaso com solicitações de eliminação. Empresa pequena, dosimetria mínima, mas serviu como marco: primeira multa aplicada.

Empresa fintech "X" (2025, nome sob sigilo processual) — R$ 8,2 milhões. Vazamento de 3,1 milhões de CPFs por bucket S3 público. Agravantes: dado bancário associado + 90 dias entre descoberta interna e notificação à ANPD.

Marketplace nacional (2025) — R$ 22 milhões. Compartilhamento não consentido com afiliadas via pixel de rastreamento. Reincidência de advertência anterior.

Operadora de saúde (2026) — R$ 41 milhões. Vazamento de prontuários (dado sensível), 800 mil titulares, ausência de DPO efetivo, política de retenção inexistente. Ficou a R$ 9 milhões do teto legal.

Como se defender antes da fiscalização

A ANPD tem sinalizado que a existência documentada de programa de governança é o maior atenuante disponível. Isso significa:

• RIPD (Relatório de Impacto) para tratamentos de alto risco, atualizado.
• Registro das operações (art. 37) com base legal explícita por finalidade.
• Política de retenção com rotinas automáticas de expurgo.
• Plano de resposta a incidentes testado, com prazos internos que caibam nos 3 dias úteis da comunicação à ANPD (Resolução CD/ANPD nº 15/2024).
• Programa de varredura contínua de vulnerabilidades — a ANPD já cita "adoção de práticas de segurança compatíveis com o estado da arte" como circunstância avaliada. Um pentest anual perdeu peso como evidência; monitoramento contínuo ganhou.

Confira o checklist de 15 pontos para software houses para operacionalizar isso.

Se você já foi notificado

Prazos importam:

1. Notificação de instauração: 10 dias úteis para defesa prévia.
2. Instrução: 30 dias para produzir provas.
3. Decisão: recurso administrativo em 10 dias.

Não conteste apenas o mérito — dispute a dosimetria. Junte evidências de programa de governança, incident response logs, contratos com operadores, tickets do time de segurança. Cada atenuante pode ser a diferença entre R$ 2 milhões e R$ 20 milhões.

O que muda em 2026–2027

A ANPD sinalizou três frentes:

• Fiscalizações setoriais — saúde, educação e crédito são prioridades declaradas.
• Cooperação internacional — MoUs com CNIL (França) e AEPD (Espanha) para casos transfronteiriços.
• Sandbox regulatório para IA — controladores que aderirem terão tratamento diferenciado em casos de vazamento por modelo (relevante quando você lê sobre vibe coding e vulnerabilidades introduzidas por IA).

A conta é simples: um programa de segurança contínua custa uma fração de qualquer multa desta lista. A Varredura testa continuamente sua aplicação contra falhas OWASP, JWT mal implementado, SSRF, exposição de dados pessoais, sem tocar em código-fonte. Rode agora.