Qual a multa da LGPD? Os R$ 50 milhões não são o que parecem

16 de julho de 2026LGPD de Todos12 min de leitura

Os R$ 50 milhões são um teto por infração, não o valor da multa. O Art. 52 prevê multa simples de até 2% do faturamento no Brasil, excluídos os tributos, e é esse cálculo que vale para quase todo mundo. A primeira sanção da lista nem é multa: é advertência, com prazo para corrigir.

Esse número virou o argumento de venda mais usado do setor. Ele aparece em anúncio, em proposta e em post, sempre sozinho, sem o artigo do lado. Vale ler o dispositivo inteiro, e não porque o risco não exista, mas porque decidir com medo costuma levar a comprar a coisa errada, cara e no susto.

1. O número que todo mundo cita é um teto

O texto do Art. 52, II é claro: multa simples "de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração".

Leia na ordem em que a frase está escrita. Primeiro vem o percentual, que é o cálculo. Depois vem o limite, que só entra em cena quando os 2% dão mais do que cinquenta milhões, o que exige faturar dois bilhões e meio. Citar apenas o teto é como dizer que o preço de um carro no Brasil é dez milhões porque existe um que custa isso.

Vale fazer a conta com números de verdade. Uma empresa que fatura R$ 600 mil por ano tem, no máximo, R$ 12 mil naquela conta. Uma que fatura R$ 3 milhões tem R$ 60 mil. E esse é o teto daquele cálculo, antes de qualquer critério de dosagem, que é o assunto das próximas seções.

Dois detalhes do texto que costumam passar batido. O faturamento considerado é o do Brasil, e excluídos os tributos, o que reduz a base. E o limite é "por infração", o que corta nos dois sentidos: ele não é um teto por empresa.

2. A lista de sanções, e o que abre a fila

Multa é a segunda da lista, não a primeira. O Art. 52 traz oito sanções em vigor, e a que abre é a advertência, com indicação de prazo para adoção de medidas corretivas.

As três últimas têm uma trava importante. Pelo § 6º, suspensão e proibição só podem ser aplicadas depois de já ter sido imposta ao menos uma das sanções intermediárias no mesmo caso concreto, e, quando o controlador é fiscalizado por outro órgão, depois de ouvi-lo.

3. Gradativa, e depois de ampla defesa

Ninguém acorda multado. O § 1º diz que as sanções "serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto".

São três garantias em uma frase só. Existe um processo. Existe defesa. E a aplicação é gradativa, o que significa que a régua sobe conforme o caso, e não começa no topo. Antes do processo, aliás, costuma existir uma fase preventiva, e o primeiro contato da ANPD quase nunca é multa.

Isso muda a pergunta que vale a pena fazer. Não é "quanto eu vou pagar se der errado", é "o que eu vou conseguir mostrar no dia em que alguém perguntar". A resposta para a segunda está inteira no parágrafo seguinte da lei. E o outro lado dessa conta, o de quanto se paga para ter o que mostrar, tem faixa publicada: veja quanto custa a adequação à LGPD no mercado de hoje.

4. Os cinco critérios que dependem de você

O § 1º lista onze critérios de dosagem, e cinco deles não dependem do tamanho da empresa nem da sorte. Dependem do que já estava feito antes de o problema aparecer.

Repare no inciso VIII, porque ele tem uma palavra que decide tudo: demonstrada. A lei não pede que você tenha adotado mecanismos, pede que a adoção seja reiterada e demonstrada. Sem data, sem responsável e sem registro, não há o que demonstrar, e é exatamente por isso que comprovar vale mais do que ter o documento.

Os outros seis critérios são a gravidade e a natureza da infração, a vantagem obtida ou pretendida, a condição econômica do infrator, a reincidência, o grau do dano e a proporcionalidade entre a falta e a sanção. Alguns você influencia pouco, mas o terceiro deles é o que traz o porte para dentro da conta.

5. O fio que a gente vinha puxando

Nos textos anteriores apareceu três vezes a frase "será considerada política de boas práticas para fins do Art. 52, § 1º". Agora dá para explicar o que ela vale. Ela transforma cada flexibilização em ponto a favor, e não só em alívio.

A Resolução 2/2022 faz essa ponte em três lugares diferentes:

• o encarregado que você não era obrigado a indicar. O Art. 11, § 2º diz que a indicação de encarregado por agentes de pequeno porte "será considerada política de boas práticas e governança para fins do disposto no art. 52, § 1º, IX da LGPD"
• seguir os guias da ANPD. O Art. 12, parágrafo único diz que o atendimento às recomendações e boas práticas divulgadas pela Autoridade, inclusive por meio de guias orientativos, "será considerado como observância ao disposto no art. 52, § 1º VIII"
• a política simplificada de segurança. O Art. 13, § 2º diz que a ANPD considerará a existência dessa política para fins do Art. 6º, X e do Art. 52, § 1º, VIII e IX

Junte as três e aparece um desenho que quase ninguém conta: o regime do pequeno porte não apenas reduz obrigações, ele oferece um caminho barato de acumular créditos para o dia em que a conversa for outra. Indicar um responsável mesmo dispensado, escrever uma política curta de segurança e seguir o que a ANPD publica custa tempo, não dinheiro, e cada um desses gestos tem endereço na lei.

6. O caminho antes da multa

Para vazamento individual, a lei prevê conciliação direta. O Art. 52, § 7º diz que os vazamentos individuais ou os acessos não autorizados de que trata o Art. 46 "poderão ser objeto de conciliação direta entre controlador e titular e, caso não haja acordo, o controlador estará sujeito à aplicação das penalidades".

É um dispositivo pouco citado e muito útil no dia a dia. Ele reconhece que a maioria dos problemas reais de uma operação pequena não é um vazamento de milhões de registros: é o e-mail que foi para o destinatário errado, o documento entregue à pessoa errada, o cadastro que ficou visível para quem não devia.

E ele muda o que fazer nas primeiras horas. Falar com a pessoa afetada, explicar o que aconteceu, corrigir e registrar o acordo não é só a atitude decente: é o caminho que a própria lei aponta antes das penalidades. O que essa conversa não substitui é o dever de comunicar à Autoridade quando ele existir, e esse teste está em quando comunicar a ANPD e os clientes.

7. O que este texto não diz, e por quê

Existe um regulamento de dosimetria, e este texto não o descreve. A Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, aprovou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, e consta como vigente na tabela de regulamentações da Autoridade.

O texto integral dela está publicado no Diário Oficial, cujo acesso automatizado é bloqueado, e a ANPD hospeda apenas os arquivos do processo administrativo. Como não conseguimos ler o texto oficial, preferimos não descrever o método de cálculo, não falar em classificação de infrações e não citar valor-base. Preferimos ficar sem uma seção a preencher com uma versão de segunda mão.

Isso é uma escolha editorial, e ela vale para tudo o que a gente publica: quando não deu para conferir, o texto diz que não deu. É o mesmo motivo pelo qual as nossas fontes ficam sempre no pé do texto, com link para o dispositivo, e não para o resumo de alguém.

8. Perguntas frequentes

Qual o valor da multa da LGPD?

O Art. 52, II prevê multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada no total a R$ 50 milhões por infração. Os R$ 50 milhões são um teto, e não o valor: quem calcula chega primeiro nos 2%. Para um negócio que fatura R$ 1 milhão por ano, 2% são R$ 20 mil, e esse é o máximo daquela conta, antes de qualquer critério de redução previsto no § 1º.

A ANPD pode me multar direto, sem aviso?

Não é assim que a lei desenha. O § 1º do Art. 52 diz que as sanções serão aplicadas após procedimento administrativo que possibilite a ampla defesa, e de forma gradativa. Além disso, a primeira sanção da lista é a advertência, com indicação de prazo para adoção de medidas corretivas. E as mais duras, que são suspensão e proibição, só podem ser aplicadas depois de já ter sido imposta ao menos uma das sanções intermediárias no mesmo caso, conforme o § 6º.

O que conta a meu favor se acontecer alguma coisa?

O § 1º lista onze critérios, e pelo menos cinco dependem só de você: a boa-fé, a cooperação, a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, a adoção de política de boas práticas e governança, e a pronta adoção de medidas corretivas. Repare no verbo demonstrada: não basta ter feito, é preciso conseguir mostrar, com data e responsável.

Ser de pequeno porte reduz a multa?

Entra na conta por dois caminhos. O primeiro é o Art. 52, § 1º, IV, que manda considerar a condição econômica do infrator. O segundo é mais interessante: a Resolução 2/2022 diz que indicar encarregado mesmo estando dispensado, manter política simplificada de segurança da informação e seguir as recomendações publicadas pela ANPD serão considerados para fins do Art. 52, § 1º, incisos VIII e IX. Ou seja, as flexibilizações não são só alívio, viram ponto a favor.

Se vazar o dado de um cliente só, já é multa?

Existe um caminho antes disso. O Art. 52, § 7º diz que os vazamentos individuais ou os acessos não autorizados de que trata o Art. 46 poderão ser objeto de conciliação direta entre controlador e titular, e que só na ausência de acordo o controlador fica sujeito às penalidades. Resolver bem com a pessoa afetada não é apenas educado: é um caminho que a própria lei prevê.

Quais são as penalidades da LGPD?

A multa é só uma delas. O Art. 52 lista advertência com prazo para corrigir; multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração; multa diária; publicização da infração; bloqueio e eliminação dos dados; suspensão parcial do banco de dados por até seis meses; suspensão da atividade de tratamento por até seis meses; e proibição parcial ou total das atividades de tratamento. Para quem não tem departamento jurídico, a publicização e o bloqueio dos dados costumam doer mais do que a multa, porque param a operação. Todas passam por processo administrativo com defesa, e a dosagem segue os critérios do § 1º.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 46, 50, 52 e 53 · Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, Arts. 11, 12 e 13 · Tabela de regulamentações da ANPD, onde consta a Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023 · Despacho Decisório nº 27/2026/CGS/SFI, DOU de 25 de agosto de 2026

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.