Maiores Multas da ANPD: Casos Reais
Desde 2023, a ANPD (Autoridade Nacional de Proteção de Dados) tem aplicado sanções a empresas de todos os portes. Neste artigo, analisamos os casos reais mais relevantes, os erros que levaram às penalidades da LGPD e as lições práticas para proteger seu site e sua empresa.
Panorama das Sanções da ANPD
A ANPD começou a aplicar sanções em julho de 2023, após a publicação do Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023). Desde então, diversas empresas e órgãos públicos foram sancionados. Entenda como funciona a fiscalização da ANPD.
O caso recorde: ByteDance/TikTok, R$ 153,7 milhões
Decisão publicada: 25 de agosto de 2026
Valor: R$ 153.769.671,33 — a maior sanção já aplicada pela ANPD
Dispositivos: Art. 6º, VIII e X, e Art. 7º da LGPD
A sanção ao grupo ByteDance/TikTok redefiniu a escala da fiscalização brasileira. Até então, os valores aplicados pela ANPD eram medidos em dezenas de milhares de reais; este caso saltou para a casa das centenas de milhões.
O que mais interessa a quem administra um site não é o valor, e sim o fundamento. Entre as infrações apuradas está o descumprimento do Art. 6º, X — o princípio da responsabilização e prestação de contas —, isto é, a incapacidade de demonstrar medidas eficazes de conformidade. Não se trata apenas de fazer a coisa certa: é preciso conseguir provar que se fez.
Registre-se, para evitar leitura equivocada: o caso não trata de cookies nem de consentimento para cookies. Citamo-lo porque mostra o peso que a ANPD atribui à capacidade de comprovar conformidade — o mesmo princípio que sustenta a exigência de manter prova de consentimento auditável.
Lição prática: um registro de consentimento que não permita reconstruir quando, para qual finalidade e diante de qual aviso o titular se manifestou é, na prática, ausência de prova.
Caso 1: Empresa de Telemarketing — Primeira Multa da LGPD
Data: Julho de 2023
Sanção: Multa + advertência + publicização da infração
O que aconteceu: Uma microempresa de telemarketing de Vila Velha (ES) foi a primeira empresa multada pela ANPD. A empresa realizava ligações comerciais usando dados pessoais obtidos sem base legal adequada, incluindo listas de WhatsApp para campanhas eleitorais.
Infrações identificadas:
- Tratamento de dados sem base legal (Art. 7º da LGPD)
- Ausência de registro de operações de tratamento (Art. 37)
- Não indicação de DPO/encarregado (Art. 41)
- Não cooperação com a ANPD durante a investigação
Lição: Mesmo microempresas são fiscalizadas. A falta de cooperação com a ANPD agravou a sanção — transparência e boa-fé são atenuantes importantes.
Caso 2: Órgãos Públicos — Ninguém Está Imune
Data: 2023-2024
Sanção: Advertências com prazo para correção
O que aconteceu: A ANPD sancionou órgãos públicos federais e municipais por diversas infrações: falta de Política de Privacidade, ausência de DPO nomeado, e tratamento de dados sem base legal adequada.
Lição: A LGPD se aplica igualmente ao setor público e privado. Órgãos públicos não recebem multas financeiras (a sanção é advertência + prazo), mas a publicização gera dano reputacional significativo.
Caso 3: Setor de Saúde — Dados Sensíveis
Contexto: Empresas do setor de saúde foram alvo de investigações por vazamento e tratamento inadequado de dados sensíveis (dados de saúde têm proteção especial na LGPD, Art. 11).
Lição: Dados sensíveis (saúde, biometria, religião, origem racial) exigem consentimento específico e destacado, ou enquadramento em outra base legal restrita. O cuidado deve ser redobrado.
Caso 4: Marketing Digital — O Setor Mais Exposto
O marketing digital é um dos setores sob maior escrutínio da ANPD, por envolver:
- Cookies de rastreamento sem consentimento prévio
- Pixel de conversão (Facebook, Google) ativado antes do consentimento
- Remarketing e retargeting usando dados coletados sem base legal
- Listas de e-mail obtidas sem opt-in verificável
Embora nem todas as sanções neste setor tenham sido publicizadas, a ANPD já notificou diversas agências e anunciantes. O risco é alto porque qualquer visitante pode denunciar um site que ativa cookies sem consentimento.
Como a ANPD Calcula o Valor da Multa
O Regulamento de Dosimetria (Res. 4/2023) define os critérios:
| Critério | Direção | Efeito na multa |
|---|---|---|
| Gravidade da infração | Agrava | Quanto maior a gravidade, maior a multa |
| Boa-fé do infrator | Depende | Cooperar atenua; obstruir agrava |
| Vantagem econômica obtida | Agrava | Lucrar com dados irregulares aumenta o valor |
| Condição econômica | Depende | A multa é proporcional ao porte da empresa |
| Reincidência | Agrava | Infrações repetidas pesam de forma significativa |
| Adoção de boas práticas | Atenua | Manter CMP, política de privacidade e encarregado conta a favor |
| Cooperação com a ANPD | Atenua | Responder prontamente atenua; ignorar agrava |
Repare na única linha que está inteiramente sob o seu controle antes de qualquer fiscalização: adoção de boas práticas. É o critério que se constrói com antecedência — os demais só aparecem depois que o problema existe.
Além da Multa: Custos Ocultos
A multa da ANPD (até R$50M) é apenas a ponta do iceberg. Outros custos incluem:
- Publicização da infração: A ANPD pode obrigar a empresa a divulgar publicamente que foi multada — dano reputacional irreversível
- Ações judiciais: Consumidores podem entrar com ações individuais pedindo indenização por dano moral (valores de R$5.000 a R$50.000 são comuns)
- Ações coletivas: Ministério Público e Procon podem mover ações coletivas com valores muito superiores
- Perda de dados de marketing: sem Google Consent Mode v2, as conversões de quem recusa cookies não são medidas nem modeladas pelo Google Ads
- Bloqueio de dados: A ANPD pode determinar o bloqueio ou eliminação dos dados coletados irregularmente — sua base de leads pode ser perdida
5 Medidas Para Evitar Multas
As medidas essenciais que demonstram boa-fé e reduzem drasticamente o risco:
Instale um banner com bloqueio prévio
Não basta informar — o banner precisa bloquear scripts antes do consentimento. Se os rastreadores já dispararam, o aviso não corrige nada.
Registre todos os consentimentos
Guarde data e hora, categorias aceitas e recusadas, versão do aviso e IP anonimizado. Sem registro não há como demonstrar conformidade — e o ônus de comprovar é do controlador.
Publique uma política de privacidade completa
Dados coletados, finalidade, base legal, prazo de retenção, direitos do titular e contato do encarregado.
Configure o Google Consent Mode v2
Faz o Google respeitar a escolha do visitante e preserva parte da mensuração de marketing dentro das regras.
Audite periodicamente
Plugins e atualizações introduzem cookies novos sem aviso. Use o scanner de cookies gratuito para detectá-los.
O ponto que liga tudo: das sete circunstâncias que a ANPD pondera na dosimetria, boas práticas e cooperação são as duas que atenuam. As duas dependem de você ter agido antes — e de conseguir provar.
Conclusão
A ANPD não é mais uma ameaça teórica — é uma realidade que já multou empresas de todos os portes. A boa notícia é que a adequação básica (banner de cookies + política de privacidade + registro de consentimento) é simples e rápida. Com o CookieFácil, todo o processo leva menos de 10 minutos e custa a partir de R$0/mês no plano gratuito.
Não espere ser o próximo caso publicizado. Escaneie seu site agora e corrija os problemas antes que a ANPD os encontre.
