Em 1º de agosto de 2021 passaram a valer os artigos 52 a 54 da LGPD, que permitem à ANPD aplicar advertências, multas de até 2% do faturamento (limitadas a R$ 50 milhões por infração) e outras sanções. A aplicação efetiva, porém, ainda dependia de regulamentos da própria ANPD.
Em 1º de agosto de 2021 entraram em vigor os artigos 52, 53 e 54 da Lei Geral de Proteção de Dados (LGPD), que tratam das sanções administrativas. A partir dessa data, a Autoridade Nacional de Proteção de Dados (ANPD) passou a ter base legal para punir infrações cometidas depois de 1º de agosto, ou infrações continuadas que tivessem começado antes. Na prática, a mudança teve mais efeito de sinalização do que de punição imediata, porque a ANPD ainda precisava aprovar o regulamento do processo sancionador e a metodologia de cálculo das multas.
Quais sanções passaram a valer em agosto de 2021?
O artigo 52 da LGPD lista as sanções que a ANPD pode aplicar. Segundo a cobertura do Teletime publicada às vésperas da data, a lista inclui:
- advertência, com prazo para adoção de medidas corretivas;
- multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração;
- multa diária, sujeita ao mesmo limite total;
- publicização da infração depois de confirmada;
- bloqueio dos dados pessoais envolvidos até a regularização;
- eliminação dos dados pessoais envolvidos;
- suspensão parcial do banco de dados por até seis meses, prorrogável por igual período;
- suspensão da atividade de tratamento por até seis meses, prorrogável por igual período;
- proibição parcial ou total das atividades de tratamento de dados.
Órgãos públicos podem receber todas as sanções, exceto as de natureza pecuniária. O Código de Defesa do Consumidor continuou aplicável em paralelo, o que significava que Procons e o Judiciário já vinham atuando em casos envolvendo dados pessoais antes de agosto de 2021.
Por que as multas não começaram imediatamente?
A entrada em vigor dos artigos não bastava para que a ANPD aplicasse multas. Em julho de 2021, a autoridade informou que o Regulamento de Fiscalização e Aplicação de Sanções Administrativas tinha passado por consulta pública entre 28 de maio e 28 de junho e estava em fase final. A metodologia de cálculo das multas (a chamada dosimetria) ainda estava em estudo e também passaria por consulta pública.
O primeiro desses regulamentos saiu em 28 de outubro de 2021: a Resolução CD/ANPD nº 1, que aprovou o regulamento do processo de fiscalização e do processo administrativo sancionador. Mesmo assim, como registrou o escritório Lefosse na época, a aplicação efetiva das sanções do artigo 52 continuava dependendo de regulamentação específica sobre o cálculo das penalidades.
| Marco | Data | O que significou |
|---|---|---|
| Sanções da LGPD (arts. 52 a 54) | 1º de agosto de 2021 | Base legal para punir infrações posteriores à data |
| Consulta pública do regulamento de fiscalização | 28 de maio a 28 de junho de 2021 | Participação da sociedade no texto |
| Resolução CD/ANPD nº 1 | 28 de outubro de 2021 (publicada em 29/10) | Regras do processo de fiscalização e sancionador |
| Metodologia de cálculo das multas | Pendente no fim de 2021 | Condição para multas efetivas |
Como a ANPD disse que iria atuar?
A autoridade declarou que adotaria uma abordagem gradual e responsiva, priorizando casos por risco, gravidade, atualidade e relevância. Também mantinha acordos de cooperação com a Secretaria Nacional do Consumidor (Senacon) e com o Cade. A fiscalização ficou a cargo da Coordenação-Geral de Fiscalização.
Essa postura indicava que, em um primeiro momento, a ANPD privilegiaria orientação e medidas preventivas, como pedidos de regularização e planos de conformidade, antes de chegar às multas.
O que isso significou para empresas de tecnologia e marketing?
Para software houses, agências e provedores de plataformas, agosto de 2021 marcou o fim do argumento de que "a lei ainda não pega". Clientes passaram a cobrar cláusulas de proteção de dados em contratos, a pedir evidências de controles de segurança e a perguntar como os fornecedores tratavam dados em nome deles. A distinção entre controlador e operador, que a ANPD detalhou em guia publicado em maio de 2021, ganhou peso nas negociações.
O que isso significa hoje para quem contrata?
O ponto que ficou de 2021 é que a conformidade não se resume a uma data de entrada em vigor. Ao contratar um fornecedor que vai tratar dados pessoais em nome da sua empresa, vale perguntar quais medidas de segurança ele adota, como registra as operações de tratamento, como responde a incidentes e como divide responsabilidades em contrato. Empresas especializadas em segurança podem ser comparadas na categoria de cibersegurança. Este texto é informativo e não substitui orientação jurídica.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
A LGPD entrou em vigor em agosto de 2021?
Não. O restante da LGPD já estava em vigor antes disso, e a própria lei havia tido a vigência das sanções adiada. Em 1º de agosto de 2021 passaram a valer especificamente os artigos 52, 53 e 54, que tratam das sanções administrativas aplicáveis pela ANPD.
Qual era o valor máximo da multa prevista na LGPD?
A multa simples pode chegar a 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. A multa diária está sujeita ao mesmo teto total.
A ANPD aplicou multas logo depois de agosto de 2021?
Não de imediato. Em 2021 a autoridade ainda dependia de regulamentos próprios. O regulamento de fiscalização e do processo sancionador foi aprovado em outubro de 2021, mas a metodologia de cálculo das multas ainda estava pendente no fim daquele ano.
Órgãos públicos podem ser multados pela LGPD?
Segundo a regra da lei, órgãos públicos podem receber as sanções do artigo 52, exceto as multas. Advertência, publicização, bloqueio e eliminação de dados, por exemplo, são aplicáveis.