Multa LGPD: as sanções e a lista de contatos que gerou a primeira multa

Quem procura “multa LGPD” costuma encontrar o mesmo trio: a lista de sanções do art. 52, o teto de 2% do faturamento e o limite de R$ 50 milhões. Está tudo certo, e está tudo aqui também. Só que, para quem cuida de marketing, a pergunta útil é outra: quais práticas do dia a dia de uma campanha levam uma infração para a faixa em que a multa deixa de ser exceção.

A resposta está num documento que poucos leem por esse ângulo: o Regulamento de Dosimetria da ANPD, de 2023. E o primeiro caso de multa no Brasil ajuda a ler o regulamento, porque não começou com um vazamento ou um ataque hacker, e sim com uma lista de contatos oferecida para disparo. O texto é informativo e não substitui a análise jurídica do seu caso.

O que é a multa da LGPD e qual o valor máximo?

É a sanção em dinheiro que a ANPD pode aplicar a uma empresa que descumpre a Lei Geral de Proteção de Dados ou os regulamentos da própria autoridade. A lei prevê duas formas: a multa simples, um valor fechado por infração, e a multa diária, que corre enquanto uma ordem não é cumprida.

Três detalhes dessa frase mudam a conta. Primeiro, “por infração”: se a mesma empresa comete duas infrações diferentes, cada uma tem o seu próprio teto. Segundo, o faturamento é o do Brasil, sem tributos. Terceiro, o 2% é limite, não ponto de partida. O valor real sai de um cálculo que a ANPD faz caso a caso, e que veremos adiante.

A multa diária também tem freio: a lei manda observar o mesmo limite total do inciso II, e o regulamento fixa que ela acumula até R$ 50 milhões por infração. Ela serve para forçar o cumprimento de uma ordem, como bloquear ou eliminar dados, e não para punir o fato passado.

Quais são as sanções previstas na LGPD?

A multa é só uma das ferramentas. O art. 52 lista sanções que vão da advertência até a proibição de tratar dados, e o Regulamento de Dosimetria organiza todas em nove itens, com regras de quando cada uma cabe. A tabela resume o que diz o regulamento.

Resolução CD/ANPD nº 4/2023, Anexo, arts. 3º e 9º a 26

As sanções podem ser aplicadas de forma gradativa, isolada ou cumulativa. Foi o que aconteceu no primeiro caso: a mesma empresa recebeu uma advertência e duas multas, cada uma por uma infração diferente. E a lei deixa claro que essas sanções administrativas não substituem as do Código de Defesa do Consumidor nem as de outras leis específicas (art. 52, § 2º).

Quando as sanções da LGPD começaram a valer?

A LGPD entrou em vigor por partes. Os artigos de sanção (52, 53 e 54) só passaram a valer em 1º de agosto de 2021, data incluída no art. 65 pela Lei nº 14.010/2020. Até ali, a lei já valia, mas a ANPD não podia multar.

Faltava ainda a régua do cálculo. O art. 53 exige que a autoridade publique, depois de consulta pública, a metodologia do valor-base da multa. Isso veio com a Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, que vale também para os processos que já estavam em curso. A primeira multa saiu poucos meses depois.

Uma atualização de nome: a sigla ANPD hoje designa a Agência Nacional de Proteção de Dados, autarquia de natureza especial, conforme a redação dada ao art. 55-A pela Lei nº 15.352/2026. Em 2023, quando o regulamento e a primeira multa saíram, o órgão se chamava Autoridade. Os regulamentos citados aqui são os publicados no Diário Oficial; vale conferir no site da ANPD se houve revisão depois desta data.

Como foi a primeira multa da LGPD?

A primeira sanção aplicada pela ANPD atingiu uma microempresa, a Telekall Infoservice, e foi divulgada em julho de 2023. O caso começou com uma denúncia, e o que a ANPD apurou cabe em três infrações.

O valor parece pequeno, e é. Segundo o comunicado, por se tratar de microempresa, a multa de cada infração ficou limitada a 2% do faturamento bruto. Ou seja: a Telekall bateu no teto possível para o seu porte, duas vezes. Para uma empresa maior, o mesmo teto em porcentagem produziria um valor muito diferente.

Dois detalhes do caso interessam a qualquer empresa. A dispensa de encarregado para empresas pequenas não salvou a Telekall: segundo a ANPD, ela não comprovou que não fazia tratamento de alto risco, condição para usar a exceção. E a segunda multa não teve nada a ver com a lista. Foi por não entregar documentos e informações à ANPD no prazo, o que o comunicado chama de obstrução à atividade de fiscalização.

Por que uma lista de contatos virou multa?

Porque toda lista tem uma pergunta escondida: com que base legal esses dados foram coletados e com que base estão sendo usados? A LGPD só permite tratar dados pessoais dentro de uma das hipóteses do art. 7º, como consentimento, execução de contrato ou legítimo interesse. Uma lista de telefones de eleitores montada e oferecida para disparo não tinha nenhuma delas, e a infração ao art. 7º virou a primeira multa.

Troque “eleitores” por “leads” e o caso descreve uma prática que muitas empresas ainda adotam: comprar ou alugar base, receber planilha de parceiro, extrair contatos de grupo e disparar. Nenhuma dessas origens traz, sozinha, uma hipótese legal para quem vai enviar a mensagem. Já falamos das barreiras que a plataforma de e-mail impõe antes da lei no artigo sobre o que acontece quando a empresa decide comprar leads. Aqui, o ponto é o que acontece quando a lei chega.

E a lei chega por denúncia. O caso Telekall não começou com uma auditoria da ANPD, e sim com alguém que recebeu a oferta da lista e avisou a autoridade. Em marketing, o equivalente é a pessoa que recebe uma mensagem sem nunca ter dado o número, pergunta “de onde vocês tiraram meu contato?” e não recebe resposta.

A primeira multa da LGPD não nasceu de um ataque hacker. Nasceu de uma lista de contatos e de uma empresa que não respondeu à ANPD.

Quando a infração é leve, média ou grave?

É aqui que o regulamento fica útil para quem faz campanha. O art. 8º classifica as infrações em três graus, e o grau decide qual sanção entra em jogo. A infração é leve quando não se encaixa em nenhuma das outras. É média quando pode afetar significativamente direitos dos titulares, por exemplo impedindo o uso de um serviço ou causando dano material ou moral, como discriminação ou dano à imagem.

Leia a lista com uma campanha na cabeça. Lista comprada é, em regra, tratamento sem hipótese legal. Disparo para milhares de números é larga escala, que o regulamento mede pelo número de titulares, volume de dados, duração, frequência e extensão geográfica. Vender ou repassar uma base é vantagem econômica. Segmentar público por saúde, ou mirar crianças e idosos, toca a alínea dos dados sensíveis e dos grupos vulneráveis. E repetir a mesma prática a cada campanha pode ser lido como adoção sistemática.

Repare que basta um critério, somado ao potencial de afetar direitos de forma significativa. Uma campanha com lista comprada, disparo em massa e objetivo comercial já reúne três. Isso não significa que toda campanha mal feita será classificada como grave: a classificação é da ANPD, no caso concreto. Significa que o marketing tem nas mãos, com frequência, os ingredientes que o regulamento usa para subir o grau.

Infração grave leva a multa, e não a advertência?

Na prática, sim. O regulamento diz que a advertência cabe quando a infração é leve ou média e não há reincidência específica, ou quando é preciso impor medidas corretivas (art. 9º). Já a multa simples é aplicada quando a infração é classificada como grave, quando a empresa descumpre medidas preventivas ou corretivas no prazo, ou quando, pelas circunstâncias, outra sanção não for adequada (art. 10).

É por isso que a classificação importa mais do que o teto. O teto de R$ 50 milhões raramente será o problema de uma empresa média. O problema é sair da faixa em que a primeira resposta da ANPD seria uma advertência com prazo para corrigir e entrar na faixa em que a resposta é uma multa. O caso Telekall mostra a fronteira: a falta de encarregado, sozinha, rendeu advertência; o tratamento sem base legal e a obstrução renderam multa.

Como a ANPD calcula o valor da multa?

O cálculo tem etapas. Primeiro, a ANPD define um valor-base para cada infração, a partir de três elementos: a classificação (leve, média ou grave), o faturamento da empresa no ramo de atividade em que a infração ocorreu, no último exercício antes da sanção, e o grau do dano (art. 11). As alíquotas e faixas ficam num apêndice do regulamento, que não reproduzimos aqui.

O faturamento tem regras próprias. Para quem é do Simples Nacional, é a receita bruta da Lei Complementar nº 123. Se a empresa não apresenta documentação idônea ou no prazo, a própria ANPD pode definir o valor. E, quando os dados da infração alimentam outros ramos de negócio do grupo, os faturamentos desses ramos são somados. Para o marketing, isso é relevante: uma base usada por várias marcas do mesmo grupo pode ampliar a conta.

Sobre o valor-base incidem agravantes e atenuantes, em percentuais fixos, que se somam. A tabela mostra os dois lados.

Resolução CD/ANPD nº 4/2023, Anexo, arts. 2º, 12 e 13

Depois disso vêm dois limites (art. 15). O resultado não pode passar de 2% do faturamento ou de R$ 50 milhões. E não pode ficar abaixo de valores mínimos, com uma exceção que interessa a quem vende base: quando a vantagem econômica obtida ou pretendida com a infração pode ser estimada, aplica-se o dobro dessa vantagem. Ou seja, o regulamento foi desenhado para que a infração não compense.

Por que parar cedo reduz tanto a multa?

Porque o maior atenuante do regulamento depende só do relógio. Se a empresa encerra a prática irregular antes de a ANPD abrir um procedimento preparatório, a multa cai 75%. Depois disso, o desconto diminui a cada etapa do processo.

Há uma condição que muda a leitura: segundo o § 1º do art. 13, não conta como atenuante a cessação que decorre do mero cumprimento de uma determinação administrativa ou judicial. Parar porque a ANPD mandou é obrigação, não mérito. O desconto premia quem identifica e encerra o problema por conta própria, e cabe à empresa provar que fez isso.

Para o marketing, a lição é prática. Uma campanha com base de origem duvidosa que é suspensa no dia em que alguém pergunta “de onde veio esse contato?” está em posição muito diferente da que segue rodando até chegar um ofício. Ter um responsável com autoridade para pausar o disparo vale mais do que qualquer cláusula em contrato com fornecedor de lista.

Multa por vazamento de dados funciona do mesmo jeito?

O cálculo é o mesmo, mas a porta de entrada é outra. No vazamento, a pergunta principal é se a empresa tinha medidas de segurança adequadas e se comunicou o incidente como a lei pede. O caminho da comunicação, com prazo e conteúdo do aviso, está no nosso artigo sobre o aviso de vazamento que a LGPD manda publicar.

Dois pontos da lei ajudam a dimensionar o risco. Para vazamentos individuais ou acessos não autorizados, a LGPD admite conciliação direta entre empresa e titular; só se não houver acordo a empresa fica sujeita às sanções (art. 52, § 7º). Já num vazamento de base de marketing, com milhares de contatos, critérios como larga escala e dados de grupos vulneráveis tendem a pesar na classificação, pela mesma régua do art. 8º.

E o vazamento costuma revelar o resto. Se a base exposta tinha contatos de origem desconhecida, a investigação do incidente pode virar também uma investigação de base legal, que foi a infração da primeira multa.

O que muda para microempresa e empresa de pequeno porte?

Muda bastante, e a primeira multa foi justamente a de uma microempresa. O regulamento de pequeno porte da ANPD (Resolução CD/ANPD nº 2/2022) inclui microempresas, empresas de pequeno porte, startups e pessoas jurídicas sem fins lucrativos, entre outros. Elas têm regras simplificadas, como a dispensa de indicar encarregado, desde que mantenham um canal de comunicação com o titular.

• Prazo em dobro para pagar: a multa vence em até 20 dias úteis da ciência da decisão; o agente de pequeno porte tem o dobro (art. 17, § 2º, do Regulamento de Dosimetria).
• Desconto por não recorrer: quem renuncia expressamente ao recurso e paga no prazo tem redução de 25% (art. 18), regra que vale para qualquer porte.
• Teto proporcional: o limite de 2% do faturamento pesa mais na conta de quem fatura pouco, como mostrou o caso Telekall.
• Benefício com condição: perde o tratamento diferenciado quem faz tratamento de alto risco, ultrapassa o limite de receita ou pertence a grupo que o ultrapasse (art. 3º da Resolução nº 2/2022).

O último item é o que pegou a Telekall. Pelo regulamento de pequeno porte, alto risco é a combinação de um critério geral, como larga escala ou potencial de afetar significativamente direitos, com um específico, como decisões automatizadas para definir perfil de consumo ou dados de crianças, adolescentes e idosos. Segmentação automatizada em grande volume, comum em campanhas, pode cair aí. E quem é questionado precisa provar o enquadramento: o regulamento dá 15 dias para isso, quando a ANPD pede.

Se a sua empresa é pequena e ainda não tem quem responda pelo tema, vale ler sobre quem pode ser o encarregado de dados. Mesmo dispensada, a indicação conta como boa prática de governança para fins de sanção, segundo o art. 11, § 2º, da Resolução nº 2/2022.

Como revisar suas campanhas antes de uma fiscalização?

A revisão não precisa começar pelo jurídico. Ela começa pela pergunta que gerou a primeira multa: de onde veio cada contato que a empresa usa para vender. A lista abaixo segue a ordem em que os problemas costumam aparecer.

1. Origem de cada base

Liste todas as bases ativas em e-mail, WhatsApp, SMS e público de anúncios, e anote de onde veio cada uma: formulário próprio, cliente que comprou, evento, parceiro, fornecedor. Base sem origem conhecida é a primeira candidata a sair do disparo.

2. Hipótese legal por campanha

Para cada uso, registre a base legal: consentimento para quem nunca comprou, legítimo interesse para quem já tem relação, quando o teste de balanceamento sustentar. O roteiro desse teste está no artigo sobre legítimo interesse antes do e-mail promocional.

3. Critérios de gravidade em jogo

Passe cada campanha pela régua do art. 8º: atinge muita gente? Mira crianças, adolescentes ou idosos? Usa dado de saúde? Envolve venda ou repasse de dados? Quanto mais respostas “sim”, mais documentação a campanha precisa ter.

4. Quem pausa e quem responde

Defina quem tem autoridade para suspender um disparo no mesmo dia e quem responde a uma requisição da ANPD dentro do prazo. A segunda multa da Telekall foi exatamente por não responder.

5. Registro do que foi feito

Guarde a data em que a prática foi encerrada, o que foi corrigido e quais políticas existem. Os atenuantes do regulamento dependem de prova, e o ônus é da empresa (art. 13, § 3º).

Se a revisão mostrar mais lacunas do que a equipe consegue fechar, o trabalho de adequação à LGPD da Alliance começa justamente pelo mapa das bases de marketing e pela hipótese legal de cada uso. E, para enxergar onde a proteção de dados entra no resto da operação, o diagnóstico de marketing gratuito mostra a maturidade de cada área, inclusive dados e tecnologia.