As sanções da LGPD vão da advertência à proibição de tratar dados, e a mais conhecida é a multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52). O valor concreto sai de uma conta definida pela Resolução CD/ANPD nº 4/2023, o Regulamento de Dosimetria: a ANPD classifica a infração como leve, média ou grave, aplica uma alíquota sobre o faturamento do ramo de atividade em que ela ocorreu, ajusta pelo grau do dano e depois soma agravantes e subtrai atenuantes.
Como o teto é por infração, um mesmo processo pode passar dos R$ 50 milhões. Foi o que aconteceu em agosto de 2026, quando a ANPD multou a controladora do TikTok em R$ 153,7 milhões por cinco infrações. Abaixo, a conta passo a passo e o que, dentro dela, depende da empresa.
As sanções e a ordem em que chegam
O art. 52 da LGPD e o art. 3º do regulamento listam nove sanções: advertência, multa simples, multa diária, publicização da infração, bloqueio dos dados, eliminação dos dados, suspensão parcial do funcionamento do banco de dados, suspensão da atividade de tratamento e proibição parcial ou total de atividades de tratamento. Elas podem ser aplicadas de forma isolada ou cumulativa, mas não em qualquer ordem:
- Advertência cabe quando a infração é leve ou média e não há reincidência específica, ou quando é preciso impor medidas corretivas (art. 9º).
- Multa simples cabe quando a infração é grave, quando o infrator não cumpriu medidas preventivas ou corretivas no prazo, ou quando outra sanção não for adequada ao caso (art. 10).
- As três suspensões e a proibição só podem ser aplicadas depois de já ter sido imposta, no mesmo caso, ao menos uma das sanções de multa, publicização, bloqueio ou eliminação (art. 3º, § 1º). Antes, a ANPD ouve o regulador setorial da empresa.
A publicização merece atenção à parte: não é a ANPD publicando a decisão no Diário Oficial, é o próprio infrator divulgando a infração, com teor, meio, duração e prazo definidos pela Agência e com o custo por conta dele (arts. 20 e 21). Em setores que vivem de confiança, pode doer mais do que a multa.
Leve, média ou grave
A classificação é o primeiro número da conta (art. 8º):
- Média: quando a infração pode afetar significativamente interesses e direitos fundamentais dos titulares, por exemplo impedindo o exercício de direitos ou causando dano material ou moral, como discriminação, fraude financeira ou uso indevido de identidade.
- Grave: quando, além disso, houver pelo menos um destes fatores: larga escala, vantagem econômica pretendida ou obtida, risco à vida, dados sensíveis ou de crianças, adolescentes ou idosos, tratamento sem base legal, efeitos discriminatórios ilícitos ou abusivos, ou adoção sistemática de práticas irregulares. Também é grave, por si só, a obstrução à fiscalização.
- Leve: tudo o que não se encaixa nos dois casos acima.
A conta, passo a passo
O Apêndice I do regulamento divide o cálculo em quatro etapas. Na primeira, a classificação define uma faixa de alíquotas sobre o faturamento:
| Classificação | Alíquota mínima | Alíquota máxima |
|---|---|---|
| Leve | 0,08% | 0,15% |
| Média | 0,13% | 0,50% |
| Grave | 0,45% | 1,50% |
Dentro da faixa, a posição depende do grau do dano, numa escala de 0 a 3. Zero é dano insignificante; 3 é dano irreversível ou de difícil reversão, ou litigância de má-fé no processo. A alíquota-base é a mínima mais a diferença entre máxima e mínima, dividida por três e multiplicada pelo grau do dano.
Na segunda etapa, a alíquota incide sobre o faturamento do ramo de atividade em que ocorreu a infração, no último exercício, sem tributos (art. 11). Se a infração atinge vários ramos, ou se os dados alimentam processos de outros ramos do grupo, somam-se os faturamentos. Se a empresa não entregar a documentação no prazo ou entregá-la incompleta, a ANPD define o valor. Para quem não tem faturamento, há faixas em reais.
Na terceira etapa entram agravantes e atenuantes, e na quarta o resultado é ajustado aos limites: nunca abaixo do mínimo do Apêndice II (R$ 3.000 a R$ 12.000 para empresas com faturamento) ou do dobro da vantagem obtida, quando estimável, e nunca acima de 2% do faturamento no Brasil ou de R$ 50 milhões por infração.
Um exemplo hipotético: infração média, grau do dano 2, faturamento do ramo de R$ 200 milhões.
- Alíquota-base: 0,13% + (0,50% − 0,13%) ÷ 3 × 2 ≈ 0,377%.
- Valor-base: 0,377% × R$ 200 milhões ≈ R$ 753 mil.
- Sem agravantes, com política de governança demonstrada (20%) e cooperação (5%): R$ 753 mil × 0,75 ≈ R$ 565 mil.
- Se a empresa renunciar ao recurso e pagar no prazo, tem mais 25% de redução (art. 18): cerca de R$ 424 mil.
Agravantes e atenuantes
É aqui que a conduta da empresa antes e durante o processo pesa mais. Os percentuais são somados entre si (arts. 12 e 13):
| Agravantes | Atenuantes |
|---|---|
| Reincidência específica: 10% por caso, até 40%. | Cessação da infração: 75% antes do procedimento preparatório; 50% até a abertura do processo sancionador; 30% até a decisão de primeira instância. |
| Reincidência genérica: 5% por caso, até 20%. | Política de boas práticas e governança, ou mecanismos internos para minimizar danos demonstrados de forma reiterada: 20%, até a decisão de primeira instância. |
| Medida de orientação ou preventiva descumprida na fiscalização: 20% por medida, até 80%. | Medidas para reverter ou mitigar os efeitos: 20% antes do procedimento preparatório; 10% depois, até o processo sancionador. |
| Medida corretiva descumprida: 30% por medida, até 90%. | Cooperação ou boa-fé: 5%. |
Três detalhes mudam a leitura da tabela. A reincidência conta por cinco anos a partir do trânsito em julgado do processo anterior (art. 2º). Cessar a infração ou mitigar os efeitos só para cumprir ordem administrativa ou judicial não vale como atenuante (art. 13, § 1º). E o ônus de provar cada atenuante é do infrator (art. 13, § 3º).
Na nossa leitura, a coluna da esquerda é mais perigosa do que parece. Os agravantes por medidas descumpridas chegam a 80% e 90%, enquanto o atenuante de governança está limitado a 20%. Responder à ANPD no prazo e cumprir o que ela determina na fase de fiscalização vale mais, em reais, do que qualquer política bem escrita. Até o atraso no envio de informações aparece na escala de grau do dano.
Prazos de pagamento e descontos
- A multa deve ser paga em até 20 dias úteis da ciência da decisão (art. 17). Agentes de pequeno porte têm o prazo em dobro.
- Quem renuncia ao recurso e paga no prazo tem redução de 25% (art. 18).
- Pagar não impede recorrer; se o recurso for provido, o valor é devolvido com Selic (art. 19).
- A multa diária serve para forçar o cumprimento de uma sanção não pecuniária ou de uma determinação, e também tem o limite de R$ 50 milhões por infração (art. 16).
O que o caso TikTok mostra
A decisão de primeira instância publicada no DOU em 25 de agosto de 2026 multou a ByteDance, controladora do TikTok, em R$ 153,7 milhões por cinco violações aos arts. 6º e 7º da LGPD, ligadas ao tratamento de dados de crianças e adolescentes sem base legal adequada. Além da multa, a ANPD determinou a eliminação dos dados coletados de forma irregular. Cabe recurso ao Conselho Diretor.
Dois pontos da decisão interessam a qualquer empresa. O primeiro é o próprio teto: cinco infrações, cinco limites de R$ 50 milhões. O segundo é a fundamentação de uma das infrações, a falta de evidências concretas da efetividade das medidas técnicas e organizacionais. Não bastava ter medidas: era preciso demonstrar que funcionavam. É o princípio de responsabilização e prestação de contas do art. 6º, X, aplicado na prática.
O que vem por aí
O Regulamento de Dosimetria e o de Fiscalização estão em revisão para incorporar as competências e os critérios de sanção do ECA Digital (Lei nº 15.211/2025). Segundo o balanço da Agenda Regulatória publicado em agosto de 2026, a minuta já passou pela procuradoria e foi encaminhada ao Conselho Diretor para decidir sobre a consulta pública. Até lá, a Resolução 4/2023 segue valendo como está.
Onde a empresa tem controle
Da conta inteira, a empresa influencia diretamente quatro coisas: a classificação (tratar sem base legal ou obstruir a fiscalização já leva a grave), o grau do dano (o que fez para conter o problema), os agravantes por medidas descumpridas e os atenuantes que consegue provar. Para os atenuantes, prova significa documento com data: política aprovada, registros das operações, treinamentos com lista de presença, registro de incidentes e o histórico das correções.
No GlobalSuite®, o módulo de Proteção de dados mantém o registro das operações de tratamento, os relatórios de impacto e a gestão do exercício de direitos com a LGPD já carregada, tudo com data e responsável. É esse histórico que sustenta, diante da ANPD, o atenuante de governança do art. 13. Para o quadro geral da lei, veja o nosso guia da LGPD.
Fontes oficiais: Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023 (DOU), Lei nº 13.709/2018 (LGPD), arts. 52 a 54, notícia da ANPD sobre a sanção ao TikTok e balanço da Agenda Regulatória 2025-2026. Conteúdo revisado em outubro de 2026.
