Sua empresa pode estar exposta a multas da LGPD sem saber

Sua empresa nunca recebeu uma notificação da Autoridade Nacional de Proteção de Dados. Isso não significa que ela esteja em conformidade, significa apenas que ainda não foi olhada de perto. Em outubro de 2025, o Congresso converteu em lei a MP 1.317/25 e a ANPD deixou de ser um órgão em formação para se tornar uma agência reguladora plena, com autonomia funcional, técnica, decisória, administrativa e financeira. Em dezembro do mesmo ano, publicou o Mapa de Temas Prioritários 2026-2027, definindo setores inteiros como alvo de fiscalização programada, e em novembro lançou um painel público onde qualquer pessoa pode acompanhar processos administrativos em curso.

O recado é direto: a fase de orientação, em que a ANPD explicava a lei e aguardava adequação espontânea, chegou ao fim. A multa máxima prevista pela LGPD é de 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, e o valor pode ser potencializado por multas diárias em caso de descumprimento de medidas cautelares. Até agosto de 2024, a autoridade havia aplicado 18 sanções administrativas no total, mas a maior parte delas recaiu sobre órgãos públicos, que por definição legal não podem receber penalidade financeira. Esse quadro está mudando rapidamente com a consolidação da ANPD como agência reguladora plena, e o histórico do GDPR europeu mostra o padrão que costuma se repetir: anos de aplicação tímida seguidos por uma escalada abrupta assim que a estrutura institucional amadurece.

Neste guia, você vai entender exatamente onde a exposição da sua empresa está concentrada hoje, mesmo que nenhuma denúncia tenha sido registrada ainda, e o que fazer para reduzir esse risco de forma estruturada.

O custo de tratar a LGPD como um problema apenas das grandes empresas de tecnologia

Por muito tempo, a leitura mais comum no mercado brasileiro foi simples: proteção de dados é assunto de banco, rede social e big tech. Essa leitura sempre esteve equivocada, mas em 2026 ela se tornou explicitamente perigosa. O primeiro caso sancionado pela ANPD não envolveu uma multinacional, envolveu uma microempresa. A Telekall Infoservice foi multada em R$ 14.400 por oferecer listas de contatos do WhatsApp para campanhas eleitorais sem base legal para o tratamento, além de não ter um Encarregado de Dados designado. O valor absoluto é modesto, mas o precedente é o que importa: a ANPD confirmou, na prática, que porte pequeno não é escudo contra sanção.

Esse padrão se repete nos casos mais recentes. Processos administrativos e termos de ajustamento têm alcançado empresas de segmentos completamente distintos entre si, de fintechs a e-commerces, de operações de telemarketing a plataformas que tratam dados de menores de idade. O eixo comum não é o porte ou o setor, é a ausência de estrutura formal de conformidade, o que inclui documentação de base legal, canal para o titular exercer seus direitos e um responsável identificável pela governança de dados.

Há também um efeito colateral menos discutido: a responsabilidade civil corre em paralelo à administrativa. O Superior Tribunal de Justiça decidiu, em setembro de 2025, que a disponibilização indevida de dados pessoais por uma agência de crédito gera dano moral presumido, mesmo sem prova de prejuízo concreto ao titular. Isso significa que uma falha de tratamento de dados pode gerar exposição em duas frentes simultâneas: a multa administrativa da ANPD e uma sucessão de ações judiciais individuais movidas por titulares afetados, cada uma com seu próprio custo de defesa.

Para dimensionar o tamanho do problema em outros mercados, vale observar o comparativo internacional. Segundo o levantamento anual da DLA Piper sobre aplicação do GDPR europeu, as autoridades de proteção de dados da Europa já acumulam mais de 7 bilhões de euros em multas desde 2018, com aproximadamente 1,2 bilhão de euros aplicados somente em 2025. O Brasil está anos atrás dessa curva de aplicação, mas a trajetória regulatória segue exatamente o mesmo roteiro: uma fase inicial de orientação, seguida por um ciclo de fiscalização crescente e, na sequência, sanções financeiras que deixam de ser simbólicas. Empresas que tratam a LGPD como pauta de compliance de baixa prioridade estão, na prática, apostando que o Brasil vai andar mais devagar do que a Europa andou, e essa aposta fica cada vez mais frágil a cada resolução nova publicada pela ANPD.

Onde a exposição da sua empresa provavelmente já existe, mesmo sem você perceber

A maior parte das empresas não descumpre a LGPD por má-fé, descumpre por lacunas operacionais que nunca foram mapeadas com rigor. Os pontos a seguir concentram as falhas mais recorrentes identificadas em processos administrativos e auditorias de mercado.

1. Ausência de base legal documentada para cada finalidade de tratamento

O artigo 7º da LGPD exige que todo tratamento de dado pessoal tenha uma base legal específica, seja consentimento, execução de contrato, cumprimento de obrigação legal ou legítimo interesse. O erro mais comum não é a ausência total de base legal, é o uso genérico do consentimento para justificar qualquer coleta, sem granularidade e sem meio claro de revogação. Isso aparece com frequência em:

• Formulários de captação de leads que coletam dados além do necessário para a finalidade declarada;
• Bancos de dados de clientes antigos, mantidos sem revisão da base legal original que justificou a coleta;
• Compartilhamento de dados com parceiros de marketing sem contrato específico que defina responsabilidades entre as partes;
• Uso de dados de navegação para publicidade direcionada sem consentimento granular, apenas com um banner genérico de aceitação de cookies.

Manter um registro de operações de tratamento, associando cada categoria de dado a uma finalidade e a uma base legal específica, é a peça documental que a ANPD cobra primeiro em qualquer fiscalização, e é também a que a maioria das empresas simplesmente não tem pronta. Esse registro não precisa ser um documento sofisticado. Uma planilha estruturada, com colunas para categoria de dado, finalidade, base legal, tempo de retenção e responsável interno, já cumpre boa parte da exigência regulatória e serve como primeira linha de defesa em qualquer fiscalização.

2. Empresa sem Encarregado de Dados formalmente designado

A ausência de Encarregado, ou DPO, apareceu como infração autônoma já no primeiro processo sancionado pela ANPD, de forma independente da violação principal. A Resolução CD/ANPD nº 2/2022 dispensa micro e pequenas empresas da obrigação formal em alguns casos específicos, mas isso não significa ausência total de responsabilidade. Mesmo empresas dispensadas da formalidade se beneficiam de indicar alguém internamente para centralizar dúvidas de titulares, coordenar resposta a incidentes e servir de ponto de contato com a ANPD. O custo dessa designação costuma ser baixo, e sua ausência é um dos itens mais fáceis de identificar em qualquer fiscalização, o que a torna um alvo recorrente de autuação isolada.

3. Plano de resposta a incidentes inexistente ou desatualizado

A Resolução CD/ANPD nº 15/2024 estabelece que incidentes de segurança com risco ou dano relevante aos titulares devem ser comunicados à ANPD em até 3 dias úteis a partir do conhecimento do fato. Empresas sem um protocolo escrito, definindo quem decide, quem comunica e como o registro do incidente deve ser mantido, tendem a perder esse prazo justamente no momento de maior pressão, quando a extensão do vazamento ainda está sendo apurada. Descobrir um vazamento e não notificar dentro do prazo costuma ser interpretado como dolo presumido na dosimetria da sanção, o que eleva substancialmente o valor final da multa aplicada.

Um protocolo funcional exige, no mínimo, a definição prévia de responsáveis por decisão e comunicação, um modelo padrão de comunicado a titulares afetados, um canal já testado para notificar a ANPD e o registro documentado do incidente, que deve ser mantido por cinco anos, mesmo em casos considerados de baixo risco.

4. Tratamento de dados de crianças e adolescentes sem salvaguardas específicas

A promulgação do ECA Digital, Lei 15.211/2025, criou um marco regulatório próprio para o tratamento de dados de menores de idade, e a ANPD definiu esse eixo como tema prioritário para o biênio 2026-2027. Isso alcança qualquer negócio com público infantil ou adolescente, o que inclui cursos online, aplicativos educacionais, jogos, redes sociais voltadas a esse público e produtos infantis vendidos por e-commerce. O tratamento de dados de crianças exige consentimento específico de um responsável legal, minimização rigorosa da coleta e vedação a práticas de perfilamento comportamental para fins publicitários direcionados a esse público.

Empresas que atuam nesse público costumam subestimar o alcance da exigência, presumindo que ela se aplica apenas a redes sociais e plataformas de jogos. Na prática, qualquer formulário de cadastro escolar, qualquer plataforma de ensino que colete dados de um aluno menor de idade e qualquer loja virtual que venda produtos infantis e capture dados de contato de crianças em promoções ou sorteios está sujeita ao mesmo padrão reforçado de proteção, o que inclui a obrigação de verificar de forma razoável a idade do titular antes de processar o dado.

5. Cookies e rastreamento sem consentimento granular real

Um banner de cookies que apenas informa o uso de rastreamento, sem oferecer opção real de recusa por categoria, não cumpre o padrão de consentimento exigido pela LGPD. O consentimento precisa ser livre, informado, inequívoco e específico para cada finalidade, o que significa que categorias como cookies necessários, analíticos e de marketing devem poder ser aceitas ou recusadas de forma independente, com a mesma facilidade em ambas as direções. Sites que dificultam a recusa, escondendo a opção em submenus ou exigindo mais cliques para recusar do que para aceitar, criam uma exposição adicional relacionada ao princípio da boa-fé no tratamento.

6. Compartilhamento de dados com fornecedores sem cláusulas contratuais de proteção

Terceirizar o processamento de dados para uma plataforma de e-mail marketing, um sistema de CRM ou um provedor de nuvem não transfere a responsabilidade legal, ela permanece com a empresa que coletou o dado originalmente. Contratos com fornecedores que têm acesso a dados pessoais precisam incluir cláusulas específicas sobre finalidade autorizada de uso, medidas de segurança exigidas, prazo de retenção e procedimento em caso de incidente. A ausência dessas cláusulas expõe a empresa contratante mesmo quando a falha técnica ocorre do lado do fornecedor, porque a legislação trata o contratante como agente de tratamento responsável pela escolha de parceiros adequados.

Esse ponto ganha relevância adicional em operações que utilizam múltiplas ferramentas integradas, como costuma acontecer em e-commerces que conectam plataforma de vendas, gateway de pagamento, ferramenta de automação de marketing e sistema de atendimento ao cliente em um único fluxo. Cada integração representa um novo ponto de trânsito de dados pessoais, e a revisão contratual precisa acompanhar cada nova ferramenta incorporada ao ecossistema tecnológico da empresa, não apenas as que existiam no momento em que a política de privacidade foi originalmente redigida.

Como a ANPD calcula o valor final de uma multa aplicada

Entender a lógica de dosimetria da sanção ajuda a priorizar onde investir primeiro em conformidade. A Resolução CD/ANPD nº 4/2023 detalha os critérios que a autoridade considera antes de fixar o valor final de uma multa, e o artigo 52 da própria LGPD já antecipa boa parte desses parâmetros. Entre os fatores que aumentam a severidade da sanção estão:

• A gravidade e a natureza da infração, com peso maior para dados sensíveis, como saúde, biometria e dados de crianças;
• O número de titulares afetados pelo tratamento irregular ou pelo incidente de segurança;
• A reincidência da empresa em infrações anteriores já apuradas pela autoridade;
• A demora ou omissão em notificar a ANPD e os titulares afetados dentro do prazo regulamentar;
• A vantagem econômica obtida pela empresa com o tratamento irregular.

Já os fatores que a legislação reconhece como atenuantes incluem a adoção comprovada de política de boas práticas e governança, a existência de um programa de conformidade documentado e funcional, a cooperação da empresa durante o processo de fiscalização e a demonstração de que mecanismos internos já minimizavam o dano antes mesmo da apuração começar. Na prática, isso significa que duas empresas com a mesma infração podem receber sanções de magnitude muito diferente, dependendo unicamente da maturidade da governança que cada uma consegue demonstrar no momento da fiscalização.

Esse detalhe muda a forma como a adequação à LGPD deveria ser encarada internamente. Não se trata apenas de evitar a infração original, trata-se de construir, de forma contínua, o histórico documental que reduz a severidade de qualquer sanção eventual, mesmo quando um incidente pontual acontece apesar dos esforços de prevenção. Empresas que só passam a se preocupar com essa documentação depois de receber uma notificação de fiscalização já perderam a janela mais valiosa para reduzir o impacto financeiro do processo, porque a dosimetria avalia o histórico anterior à infração, não apenas a correção feita depois que o problema já foi identificado pela autoridade.

Os setores sob fiscalização prioritária da ANPD em 2026 e 2027

O Mapa de Temas Prioritários 2026-2027, publicado pela ANPD, definiu eixos temáticos de atuação que concentram a maior parte dos recursos de fiscalização nos próximos dois anos. Diferente do modelo anterior, baseado quase exclusivamente em denúncias pontuais analisadas caso a caso, essa nova fase de atuação inclui auditorias setoriais programadas, o que significa que a autoridade pode iniciar uma fiscalização em uma empresa mesmo sem nenhuma denúncia prévia registrada, simplesmente por ela pertencer a um segmento priorizado. Empresas que atuam nesses segmentos deveriam tratar a adequação com urgência ainda maior do que a média do mercado:

1. Setor financeiro e fintechs, incluindo bancos digitais, meios de pagamento, factoring e recuperação de crédito, historicamente já sob escrutínio e agora com cronograma formal de fiscalização;
2. E-commerce e marketplaces, com atenção especial a coleta excessiva de dados no checkout, cookies sem consentimento adequado e compartilhamento de base de clientes com parceiros de mídia sem contrato específico;
3. Empresas que tratam dados de crianças e adolescentes, eixo reforçado pelo ECA Digital e considerado central no biênio;
4. Telemarketing e cobrança, setor onde ocorreu a primeira sanção pública da ANPD e que permanece sob monitoramento constante;
5. Saúde e biometria, dado o caráter sensível dessas categorias de informação, que exigem tratamento reforçado nos termos do artigo 5º, inciso II, da LGPD.

Estar fora dessa lista não significa ausência de risco, apenas indica que a fiscalização proativa da autoridade tende a ser menos frequente nesses casos específicos, o que não impede a abertura de processos motivados por denúncia de titulares, que continua sendo o gatilho mais comum de investigação, independentemente do setor de atuação da empresa.

Empresas fora desses cinco eixos costumam interpretar essa ausência como um sinal de tranquilidade, e essa leitura é arriscada. A auditoria setorial programada é apenas um dos canais de abertura de processo, e continua sendo, de longe, menos frequente do que a denúncia individual de um titular insatisfeito, um ex-funcionário ou até um concorrente. Qualquer empresa que trate dados pessoais, independentemente do segmento em que atua, permanece sujeita a esse canal de fiscalização a qualquer momento, o que reforça que a adequação não deveria depender de pertencer ou não a um setor priorizado no mapa temático da autoridade.

Os pontos cegos que colocam até empresas organizadas em risco de multa

Existe uma diferença relevante entre empresas que “têm uma política de privacidade” e empresas que efetivamente operam em conformidade. A primeira categoria costuma ter um documento publicado no rodapé do site, muitas vezes copiado de um modelo genérico, sem relação real com as práticas internas de tratamento de dados. A segunda categoria trata esse documento como reflexo de processos que realmente acontecem, e é exatamente essa diferença que a fiscalização da ANPD está estruturada para identificar.

Um ponto cego recorrente aparece em empresas que já implementaram parte da adequação, mas pararam no meio do caminho. É comum encontrar organizações com política de privacidade publicada, banner de cookies configurado e até um profissional informalmente responsável pelo tema, mas sem nenhum registro de operações de tratamento atualizado, sem plano de resposta a incidentes testado e sem processo formal para atender solicitações de titulares, como pedidos de exclusão ou portabilidade de dados. Nesse cenário, a aparência de conformidade existe, mas a estrutura de fato não resiste a uma fiscalização mais aprofundada.

Outro ponto cego está na rotatividade de fornecedores de tecnologia. Quando uma empresa troca de plataforma de e-commerce, de sistema de gestão ou de ferramenta de automação de marketing, é comum que a migração de dados aconteça sem revisão da base legal original de cada registro transferido. Dados coletados anos atrás, sob uma finalidade específica, acabam sendo reutilizados na nova ferramenta para finalidades diferentes, sem que ninguém tenha formalmente avaliado se essa nova finalidade ainda está coberta pela base legal original. Esse tipo de descolamento entre operação técnica e governança jurídica é exatamente o tipo de falha que passa despercebida internamente, mas que se torna evidente em uma auditoria externa.

Vale reforçar também que boa governança de dados não é apenas defensiva. Empresas que documentam suas operações de tratamento, mantêm um Encarregado ativo e conseguem demonstrar boa-fé em caso de incidente partem, em qualquer processo sancionador, de uma posição que a própria lei reconhece como merecedora de tratamento diferenciado na dosimetria da multa. A diferença prática pode ser a diferença entre uma advertência com prazo para correção e uma sanção financeira que impacta diretamente o resultado do ano.

Há ainda um fator humano que raramente entra na análise técnica de conformidade: a falta de consciência interna sobre o que já é considerado dado pessoal. Times de vendas, atendimento e marketing frequentemente lidam com informações sensíveis, como número de telefone, CPF, endereço ou histórico de compras, sem perceber que cada uma dessas interações está sujeita à LGPD. Planilhas compartilhadas por e-mail, exportações de relatórios salvas em pastas sem controle de acesso e prints de conversas com clientes guardados sem critério são exemplos comuns de exposição que nascem não da má intenção, mas do desconhecimento operacional sobre o alcance real da legislação. Um programa de conformidade consistente inclui, necessariamente, capacitação recorrente das equipes que lidam com dados no dia a dia, não apenas da área jurídica ou de tecnologia.

Para empresas que estão avaliando estruturar essa conformidade de forma sólida e sob medida, sem travar a operação comercial no processo, a Futuring mantém uma frente dedicada de adequação à LGPD e governança digital, que cobre desde o diagnóstico do ambiente atual de tratamento de dados até a implementação de políticas, fluxos de consentimento e estruturas de auditoria rastreáveis.

Esse trabalho costuma se conectar diretamente à forma como o site e os canais digitais da empresa foram construídos, já que boa parte das falhas de consentimento e coleta excessiva nasce na própria arquitetura técnica da presença digital. Revisar a estrutura de sites e presença digital junto com a adequação legal evita que a empresa corrija a política de privacidade no papel, mas mantenha formulários e scripts de rastreamento operando exatamente como antes.

O que muda no orçamento quando a conformidade deixa de ser tratada como custo adiável

Empresas costumam avaliar a adequação à LGPD como uma despesa jurídica sem retorno direto, o que explica por que tantas organizações a colocam permanentemente no fim da lista de prioridades. Essa leitura ignora a matemática real do risco. Uma auditoria externa de conformidade para uma empresa de médio porte custa, em geral, entre R$ 8 mil e R$ 25 mil, dependendo da complexidade das operações de tratamento envolvidas. Comparado a uma multa que pode chegar a 2% do faturamento anual, limitada a R$ 50 milhões, o investimento inicial representa uma fração pequena do risco financeiro que busca mitigar.

Há também um custo que raramente entra na conta: o tempo de resposta a uma fiscalização já iniciada. Empresas sem documentação pronta levam semanas para reunir registros de tratamento, contratos com fornecedores e evidências de boa-fé, e esse atraso é interpretado pela autoridade como sinal de desorganização estrutural, o que tende a agravar a dosimetria da sanção. Empresas que já mantêm essa documentação atualizada respondem à fiscalização em dias, não semanas, e chegam ao processo administrativo em posição de negociação muito mais sólida.

Outro custo indireto e frequentemente subestimado é o comercial. Contratos B2B, especialmente com empresas de maior porte ou com fundos de investimento envolvidos, cada vez mais incluem cláusulas contratuais que exigem comprovação de conformidade com a LGPD como pré-requisito para fechamento de negócio. Empresas sem essa estrutura documentada perdem oportunidades comerciais antes mesmo de qualquer fiscalização acontecer, simplesmente porque não conseguem responder a um questionário de due diligence de um cliente ou parceiro potencial em tempo hábil.

Checklist rápido para autoavaliar a exposição da sua empresa

Antes de estruturar um plano completo de adequação, vale um exercício rápido de autoavaliação. Responda honestamente às perguntas abaixo:

• Sua empresa consegue listar, hoje, todas as categorias de dados pessoais que coleta e a finalidade específica de cada uma?
• Existe uma pessoa formalmente designada como responsável por dúvidas de titulares e comunicação com a ANPD?
• Sua empresa tem um protocolo escrito para notificar um incidente de segurança dentro do prazo de 3 dias úteis?
• Os contratos com fornecedores que acessam dados pessoais incluem cláusulas específicas de proteção de dados?
• O banner de cookies do site oferece recusa granular por categoria, com a mesma facilidade que oferece aceitação?
• Se sua empresa trata dados de menores de idade, existe verificação de idade e consentimento de responsável legal formalizados?

Duas ou mais respostas negativas já indicam exposição relevante e justificam priorizar a estruturação de um programa de conformidade nos próximos meses, antes que uma denúncia de titular ou uma fiscalização setorial force essa decisão em um cenário de muito menos controle sobre o ritmo e o custo do processo. Quanto mais cedo esse diagnóstico acontece, maior a margem de negociação e ajuste, e menor a chance de a correção precisar ser feita sob pressão de um prazo regulatório já em curso.

Como transformar a exposição identificada em um plano de adequação executável

Adequar uma empresa à LGPD não exige resolver tudo simultaneamente, exige uma sequência lógica que prioriza o que gera maior redução de risco no menor tempo. Instituições que avançam de forma consistente nesse processo costumam seguir uma estrutura parecida:

1. Mapeiam todas as operações de tratamento de dados pessoais em curso, identificando origem, finalidade e base legal de cada uma;
2. Designam formalmente um Encarregado de Dados, mesmo em empresas tecnicamente dispensadas da obrigação;
3. Formalizam um plano de resposta a incidentes com prazos, responsáveis e modelo de comunicação já definidos previamente;
4. Revisam contratos com fornecedores que têm acesso a dados pessoais, incluindo cláusulas específicas de proteção;
5. Ajustam o consentimento de cookies e formulários para garantir granularidade real por categoria;
6. Auditam periodicamente esses processos, tratando conformidade como rotina contínua e não como projeto encerrado.

Nenhuma dessas etapas exige paralisar a operação comercial da empresa enquanto o ajuste acontece. Exige, sim, tratar a conformidade como investimento estratégico e não como custo a ser postergado até que uma notificação da ANPD force a urgência.

Vale reforçar um último ponto sobre ritmo de execução. Empresas que tentam resolver toda a adequação em um único esforço concentrado costumam abandonar o processo no meio do caminho, porque a lista de pendências parece maior do que a capacidade operacional disponível. O caminho mais consistente é tratar a conformidade como um ciclo contínuo, com pequenas revisões trimestrais, em vez de um projeto isolado com data de início e fim. Isso mantém a documentação sempre atualizada e evita o acúmulo de pendências que, somadas, criam exatamente o tipo de exposição que motivou a fiscalização em primeiro lugar.

Se sua empresa ainda não tem clareza sobre onde exatamente está a exposição, o primeiro passo prático é um diagnóstico estruturado do ambiente atual de tratamento de dados. Conheça a solução de LGPD e Governança Digital da Futuring e entenda como transformar esse risco latente em um processo de conformidade documentado, rastreável e alinhado ao ritmo real do seu negócio, com o suporte técnico e jurídico necessário para que a adequação avance sem travar a rotina comercial da empresa.

Perguntas Frequentes

Qual é o valor máximo de multa que a LGPD prevê para uma empresa?

A multa simples pode chegar a 2% do faturamento da empresa no Brasil, excluídos os tributos, limitada a R$ 50 milhões por infração. A ANPD também pode aplicar multa diária em caso de descumprimento de medidas cautelares determinadas durante o processo administrativo.

Empresas pequenas realmente correm risco de multa da ANPD?

Sim. O primeiro processo sancionado pela ANPD envolveu uma microempresa, multada em R$ 14.400 por tratamento sem base legal e ausência de Encarregado de Dados. O porte reduz o valor da multa, mas não isenta a empresa de fiscalização e sanção.

Qual é o primeiro passo prático para reduzir a exposição da empresa à LGPD?

O primeiro passo é mapear todas as operações de tratamento de dados pessoais, associando cada uma a uma finalidade e uma base legal documentada. Esse registro é geralmente o primeiro item solicitado pela ANPD em qualquer processo de fiscalização.