Por quase seis anos a Lei Geral de Proteção de Dados foi tratada, no mercado, como uma exigência de grandes companhias. Esse cálculo mudou. Em junho de 2026 a Autoridade Nacional de Proteção de Dados abriu dezenove processos administrativos em um único lote — o maior de sua história — e, convertida em agência reguladora independente pela Lei nº 15.352/2026, ganhou estrutura para fiscalizar em outra escala.
Do aviso à autuação
A primeira multa da ANPD saiu em julho de 2023, contra uma microempresa de telemarketing: R$ 14.400 e uma advertência. O valor foi pequeno, mas o recado não era sobre valor — era sobre porte. A autoridade escolheu, deliberadamente, começar por uma empresa pequena.
Nos anos seguintes, a maior parte dos processos concluídos envolveu órgãos públicos, que por previsão expressa da lei não recebem multa, apenas advertência e medidas corretivas. Isso alimentou no setor privado a impressão de que a LGPD não tinha dentes. O lote de junho desfaz essa leitura.
Convém lembrar o que a lei sempre previu e quase nunca foi aplicado: multa de até 2% do faturamento do grupo no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados envolvidos e publicização da sanção. Para muitas empresas, a publicização é o que dói — sanção divulgada é conversa com cliente, com banco e com quem estiver avaliando uma aquisição.
O que a ANPD tem punido
O padrão dos casos concluídos é instrutivo, porque não aponta para sofisticação técnica. A falha mais recorrente é não comunicar incidente de segurança — a empresa sofre o vazamento, resolve internamente e não notifica a autoridade nem os titulares, transformando um problema em dois.
Em seguida vêm a ausência de medidas de segurança minimamente adequadas, a falta de encarregado designado, a inexistência de relatório de impacto onde ele era exigível e o tratamento de dados sem base legal identificada. Nenhuma dessas exigências demanda investimento relevante. Todas demandam alguém responsável por elas.
Há ainda um agravante que aparece com frequência: ignorar ofício da autoridade. Empresa que não responde à ANPD acumula, sobre a infração original, uma segunda infração de natureza processual — e perde a chance de encerrar o caso com medida corretiva em vez de sanção.
O mínimo defensável para uma empresa de médio porte
Não se trata de construir um programa de conformidade de banco. Trata-se de conseguir demonstrar, se questionado, que a empresa sabe o que faz com os dados que coleta.
Isso significa, na prática, quatro coisas. Um inventário de tratamento: quais dados a empresa coleta, de quem, para quê, onde ficam e por quanto tempo. Uma base legal declarada para cada uma dessas finalidades — consentimento não é a resposta para tudo, e muitas vezes é a pior resposta. Um encarregado formalmente designado, com contato publicado no site. E contratos revistos com fornecedores que tratam dados em nome da empresa, porque a responsabilidade não termina na porta.
Some-se um plano de resposta a incidente que caiba em uma página e diga quem avisa quem, em quanto tempo. É o documento que a empresa vai procurar no pior dia possível, e não é nesse dia que se deve escrevê-lo.
Por que agora
Há um argumento de custo que costuma convencer mais que o argumento jurídico. Adequação feita com calma é projeto: escopo definido, prazo, orçamento. Adequação feita depois da autuação é urgência — e urgência, além de cara, acontece sob supervisão de quem já concluiu que a empresa estava errada.
A janela em que a LGPD podia ser adiada com baixo risco existiu e se fechou. O trabalho continua sendo o mesmo; o que mudou foi a probabilidade de alguém perguntar.
Este texto tem caráter informativo e não constitui consulta jurídica. Cada situação exige análise própria — fale com o escritório para avaliar o seu caso.