A Falta de Adequação à LGPD: Riscos Legais e de Imagem
Por muito tempo, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) foi tratada, por parcela expressiva do empresariado brasileiro, como uma obrigação de baixo risco imediato: normas relevantes no papel, mas de aplicação prática incerta. Esse cenário mudou. Ao longo de 2026, a Autoridade Nacional de Proteção de Dados (ANPD) consolidou ciclos de fiscalização setorial, passou a exigir respostas e planos de adequação em prazos curtos e encaminhou dezenas de entidades diretamente à Coordenação-Geral de Sanção. A informalidade no tratamento de dados pessoais, antes tolerada pela imaturidade regulatória, tornou-se um passivo jurídico concreto.
A LGPD estabelece, em seus artigos 52 e 53, o rol de sanções administrativas aplicáveis por infrações às normas de proteção de dados, que vão da simples advertência à multa de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no seu último exercício, limitada a R$ 50 milhões por infração.
Em fevereiro de 2023, a ANPD publicou a Resolução CD/ANPD nº 4, o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, que disciplina os critérios objetivos para o cálculo das multas, como reincidência específica e genérica, vantagem auferida ou pretendida com a infração, condição econômica do agente e, em sentido favorável ao infrator, a adoção de boa-fé, cooperação e medidas de mitigação dos danos.
Casos concretos já demonstram que a fiscalização não é meramente retórica. Em 2023, a empresa Telekall Infoservice foi multada em R$ 14.400,00 por oferecer listas de contatos para telemarketing sem base legal para o tratamento de dados e por não indicar encarregado de proteção de dados, com fundamento nos artigos 5º, X, e 52 da LGPD.
O ano de 2026 marcou uma nova fase, mais assertiva, dessa fiscalização. Em ciclo de monitoramento voltado à verificação da existência e da publicidade de encarregados de dados, empresas como OpenAI, Shopee e XP comprovaram conformidade quando notificadas pela ANPD.
Mais grave: 21 entidades que sequer responderam às solicitações da autarquia foram encaminhadas diretamente para a Coordenação-Geral de Sanção, evidência de que o silêncio ou a inércia diante de uma notificação da ANPD é, em si, fator agravante.
Para empresas de pequeno e médio porte, o cenário exige atenção redobrada. Diferentemente da fase inicial de vigência da LGPD, em que a atuação da ANPD concentrou-se em grandes operadores e órgãos públicos, o amadurecimento institucional da autarquia, somado à ampliação de sua estrutura fiscalizatória, tem alcançado companhias de menor porte, muitas das quais ainda tratam dados pessoais de clientes, fornecedores e colaboradores sem base legal identificada, sem política de privacidade adequada e sem a figura do encarregado. A ausência desses elementos mínimos de governança em proteção de dados constitui, por si só, fator apto a atrair fiscalização e, em caso de incidente de segurança, agrava significativamente a exposição da empresa.
A adequação à LGPD não deve ser compreendida como despesa burocrática, mas como investimento em governança e mitigação de riscos. Isso envolve, entre outras medidas, o mapeamento de dados pessoais tratados pela organização (Relatório de Impacto e Registro das Operações de Tratamento), a definição de base legal para cada finalidade de tratamento, a formalização de contratos com operadores e parceiros que tenham acesso a dados pessoais, a designação e publicização de encarregado de dados e a estruturação de um plano de resposta a incidentes de segurança, capaz de atender aos prazos e formatos exigidos pela ANPD em caso de vazamento.
A fiscalização crescente da ANPD confirma uma tendência já esperada por especialistas em proteção de dados: a transição de uma fase pedagógica para uma fase punitiva de aplicação da LGPD. Empresas que ainda não iniciaram seus processos de adequação, ou que os trataram como projeto concluído e não revisado, expõem-se a autuações, danos reputacionais e, no limite, a responsabilização civil por danos causados a titulares de dados.
A assessoria jurídica especializada em proteção de dados, associada à revisão periódica das práticas de compliance, é hoje elemento indispensável de gestão de risco empresarial, e não mais um diferencial competitivo.
LUISE VICTÓRIA ROSA SILVA, é Advogada associada do escritório Marinho Advogados Associados. Graduada em Direito pela UNIVEM – Centro Universitário Eurípides de Marília. Pós-graduada em Direito Imobiliário e Condominial pela Faculdade de Minas – FACUMINAS. Pós-graduanda em Gestão de Risco, Compliance e Governança pela FAAP – Fundação Armando Alvares Penteado. Atua no âmbito contencioso e consultivo do Direito Cível e Empresarial.
Contato: luise.rosa@marinho.adv.br
Referências
[1] BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
[2] ANPD. Resolução CD/ANPD nº 4, de 27 de fevereiro de 2023. Regulamento de Dosimetria e Aplicação de Sanções Administrativas. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-regulamento-de-dosimetria
[3] DPONET. ANPD 2026: como a nova agência reguladora está multando empresas. Disponível em: https://dponet.com.br/blog/anpd-2026-fiscalizacao-lgpd-empresas-sancoes/
[4] CONFIDATA. Mapa de sanções da ANPD: todos os casos aplicados até 2026. Disponível em: https://confidata.com.br/blog/mapa-sancoes-anpd-todos-casos-2026
[5] SOUTO CORREA ADVOGADOS. ANPD aprova o Regulamento de Dosimetria e Aplicação de Sanções Administrativas da LGPD. Disponível em: https://www.soutocorrea.com.br/client-alerts/anpd-aprova-o-regulamento-de-dosimetria-e-aplicacao-de-sancoes-administrativas-da-lgpd/
[6] WEBLEGAL.AI. Multas LGPD ANPD 2026: Top 10 no Brasil. Disponível em: https://weblegal.ai/pt/blog/multas-lgpd-anpd-2026-top-10-brasil/
