Multas da ANPD: empresas e advogados estão preparados?
Atualizado 25 Ago 2026
1 min. leitura
A aplicação da Lei Geral de Proteção de Dados deixou de ser uma preocupação meramente teórica. A atuação recente da Agência Nacional de Proteção de Dados demonstra que empresas de qualquer porte podem ser fiscalizadas e sancionadas quando não conseguem justificar, documentar e proteger suas operações com dados pessoais.
Em 25 de agosto de 2026, a ANPD aplicou multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, por irregularidades no tratamento de dados de crianças e adolescentes. A penalidade representa uma mudança significativa de escala em relação à primeira multa aplicada pela Agência, em 2023, no valor de R$ 14,4 mil.
A mensagem é clara: adequar-se à LGPD não significa apenas publicar uma política de privacidade. As empresas precisam demonstrar que suas práticas, sistemas e decisões efetivamente respeitam a legislação.
Da primeira multa à penalidade de R$ 153,7 milhões
A primeira multa aplicada pela ANPD teve como destinatária a Telekall Infoservice, uma microempresa acusada de oferecer listas de contatos de WhatsApp para a divulgação de material de campanha eleitoral.
Na ocasião, a empresa recebeu duas multas de R$ 7,2 mil, totalizando R$ 14,4 mil, além de uma advertência. As infrações envolveram o tratamento de dados pessoais sem hipótese legal, a ausência de comprovação da indicação de encarregado e o não atendimento às solicitações da fiscalização.
A falta de cooperação foi considerada obstrução à atividade fiscalizatória. O caso demonstrou que o porte reduzido da empresa não elimina a obrigação de cumprir a LGPD e, principalmente, de responder adequadamente às requisições da Agência. Os detalhes estão no comunicado oficial sobre a primeira multa da ANPD.
Em 2026, a fiscalização alcançou outra dimensão.
A ByteDance recebeu multa de R$ 153,7 milhões após a ANPD identificar cinco violações relacionadas ao tratamento de dados pessoais de crianças e adolescentes no TikTok.
Segundo a Agência, foram constatadas irregularidades tanto no acesso ao conteúdo sem cadastro quanto na experiência vinculada a contas registradas. Entre as condutas apontadas estavam:
- tratamento de dados sem hipótese legal válida;
- ausência de medidas eficazes para impedir o tratamento irregular de dados de crianças e adolescentes;
- insuficiência dos mecanismos destinados a evitar o cadastro desse público;
- falhas na adoção de medidas preventivas;
- incapacidade de demonstrar a efetividade das medidas de conformidade.
A decisão também determinou a eliminação dos dados coletados irregularmente e a implementação de um plano de conformidade. A empresa ainda poderá recorrer da multa ao Conselho Diretor da Agência. As informações constam da decisão divulgada pela ANPD sobre o TikTok.
A multa de R$ 50 milhões não é um limite global
O artigo 52 da LGPD autoriza a aplicação de multa simples de até 2% do faturamento da pessoa jurídica de direito privado, do grupo ou do conglomerado no Brasil, excluídos os tributos.
A multa está limitada a R$ 50 milhões por infração. Isso significa que o teto não se aplica necessariamente ao conjunto do processo. Quando a ANPD reconhece diferentes infrações, as penalidades podem ser acumuladas e o valor final pode ultrapassar R$ 50 milhões.
Foi exatamente o que ocorreu no caso do TikTok: a penalidade foi relacionada a cinco violações distintas, resultando em valor superior ao teto individual previsto na lei.
A multa simples também não é a única consequência possível. O mesmo artigo permite que a ANPD aplique:
- advertência com prazo para correção;
- multa diária;
- publicização da infração;
- bloqueio dos dados pessoais;
- eliminação dos dados envolvidos;
- suspensão parcial do funcionamento do banco de dados;
- suspensão da atividade de tratamento;
- proibição parcial ou total de atividades relacionadas ao tratamento de dados.
Dependendo da atividade desenvolvida, o bloqueio de uma base de dados ou a suspensão de determinada operação pode gerar consequências empresariais mais graves do que a própria multa.
As sanções podem ser aplicadas de forma isolada ou cumulativa, após processo administrativo com contraditório e ampla defesa. A gravidade da conduta, a extensão do dano, a condição econômica do infrator, a reincidência, a cooperação, a adoção de boas práticas e a pronta implementação de medidas corretivas influenciam a dosimetria. Essas regras estão previstas no artigo 52 da LGPD e no Regulamento de Dosimetria aprovado pela Resolução CD/ANPD nº 4/2023.
Não é preciso ocorrer um vazamento para haver sanção
Um dos principais aprendizados dos processos conduzidos pela ANPD é que a infração à LGPD não depende da ocorrência de um vazamento de dados.
A empresa pode ser sancionada por tratar dados sem uma hipótese legal válida, coletar informações excessivas, compartilhar dados sem transparência, dificultar o exercício dos direitos dos titulares ou deixar de comprovar a adoção de medidas preventivas.
Em junho de 2026, por exemplo, a Agência instaurou processo administrativo sancionador contra a Claro para apurar possíveis irregularidades no compartilhamento de dados de clientes com a Serasa.
Entre os indícios mencionados pela ANPD estão o compartilhamento excessivo de informações, a falta de transparência e a dificuldade de acesso ao encarregado pelo tratamento de dados. O processo ainda não representa uma condenação, mas demonstra quais práticas estão atualmente sob análise da fiscalização. Mais informações podem ser consultadas no comunicado oficial sobre o processo contra a Claro.
Portanto, o risco não está apenas nos ataques cibernéticos. Ele também pode surgir de uma campanha de marketing, de um cadastro de clientes, do compartilhamento com fornecedores, do uso de inteligência artificial ou de uma decisão interna que não tenha sido devidamente fundamentada.
A empresa precisa comprovar a conformidade
A LGPD adota o princípio da responsabilização e da prestação de contas. Não basta afirmar que a empresa respeita a privacidade: ela precisa demonstrar a adoção de medidas eficazes e comprovar que essas medidas funcionam na prática.
Essa obrigação exige a produção e a conservação de evidências, como:
- inventário das operações de tratamento;
- identificação das respectivas finalidades e hipóteses legais;
- registros de decisões e avaliações de risco;
- relatórios de impacto à proteção de dados;
- testes de legítimo interesse;
- contratos com operadores e fornecedores;
- políticas internas efetivamente implementadas;
- registros de treinamentos;
- controles de acesso e medidas de segurança;
- procedimentos para atendimento dos direitos dos titulares;
- planos de resposta a incidentes.
Documentos genéricos, copiados de modelos ou desconectados da operação real da empresa oferecem pouca proteção em um processo fiscalizatório.
Como os advogados devem preparar seus clientes
A atuação jurídica em proteção de dados não pode se limitar à revisão de políticas de privacidade. O advogado precisa compreender como os dados são coletados, utilizados, compartilhados, armazenados e eliminados dentro da organização.
Mapear as operações de tratamento
O primeiro passo é identificar quais dados pessoais circulam pela empresa, quem decide sobre sua utilização, quais fornecedores têm acesso a eles e por quanto tempo são mantidos.
Esse diagnóstico permite verificar se cada operação possui finalidade legítima, hipótese legal adequada e nível de segurança proporcional ao risco.
Documentar as decisões
Os casos julgados pela ANPD mostram a importância de demonstrar a conformidade.
Sempre que a empresa adotar o legítimo interesse, realizar monitoramento, tratar dados sensíveis, usar inteligência artificial ou operar com informações de crianças e adolescentes, a decisão deve ser fundamentada e registrada.
A documentação jurídica precisa refletir a realidade operacional. Não pode existir apenas para ser apresentada em uma eventual fiscalização.
Revisar contratos e fornecedores
Contratos com plataformas, empresas de tecnologia, serviços de nuvem, agências de publicidade, sistemas de gestão e operadores de dados devem definir responsabilidades com clareza.
É recomendável disciplinar medidas de segurança, subcontratações, auditorias, atendimento aos titulares, cooperação com a ANPD e comunicação imediata de incidentes.
O contrato também deve permitir que o controlador receba rapidamente as informações necessárias para avaliar e comunicar uma violação.
Criar um plano de resposta a incidentes
Incidentes com potencial de causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares no prazo de três dias úteis, conforme a Resolução CD/ANPD nº 15/2024.
Por isso, as empresas precisam definir previamente quem será acionado, como o incidente será investigado, quem avaliará os riscos e quem ficará responsável pelas comunicações.
A demora injustificada pode resultar em processo sancionador, mesmo quando a origem do incidente tiver sido um ataque praticado por terceiros. As orientações estão disponíveis na página oficial sobre comunicação de incidentes de segurança.
Preparar-se para a fiscalização
O recebimento de uma intimação da ANPD não deve ser tratado como uma solicitação administrativa comum.
A empresa precisa organizar uma equipe jurídica e técnica, preservar provas, observar rigorosamente os prazos e responder de forma completa. Também deve avaliar a necessidade de pedir sigilo sobre informações protegidas por segredo comercial ou industrial.
A ausência de resposta, o envio de informações incompletas ou a falta de cooperação podem caracterizar obstrução à fiscalização e agravar a situação do agente de tratamento.
Em eventual defesa, o advogado deverá analisar a caracterização da infração, sua gravidade, o nexo entre a conduta e os danos, a base de cálculo da multa e a aplicação das circunstâncias agravantes e atenuantes previstas no Regulamento de Dosimetria.
Proteção de dados também deve ser prioridade nos escritórios
Os escritórios de advocacia não atuam apenas como consultores. Eles próprios realizam operações de tratamento de alto impacto.
Processos judiciais, prontuários, dados financeiros, documentos pessoais, informações trabalhistas e estratégias empresariais podem envolver dados sensíveis e informações protegidas pelo sigilo profissional.
O uso de ferramentas de inteligência artificial também exige cautela. A inserção de documentos de clientes em plataformas sem avaliação contratual, controle de acesso ou análise sobre a utilização posterior das informações pode criar riscos à LGPD e ao dever profissional de confidencialidade.
A preparação dos advogados, portanto, começa dentro do próprio escritório.
A fiscalização tende a se intensificar
O Mapa de Temas Prioritários da ANPD para 2026 e 2027 destaca quatro áreas: direitos dos titulares, proteção de crianças e adolescentes, tratamento de dados pelo Poder Público e uso de inteligência artificial e tecnologias emergentes.
Essas prioridades indicam onde deverão se concentrar as próximas ações de monitoramento e fiscalização. Empresas que atuam com publicidade direcionada, plataformas digitais, biometria, inteligência artificial ou grandes bases de dados precisam revisar suas práticas com atenção especial. A íntegra das prioridades está no Mapa de Temas Prioritários 2026–2027.
Conclusão
O salto de uma multa de R$ 14,4 mil para uma penalidade de R$ 153,7 milhões demonstra que a fiscalização da LGPD alcançou um novo patamar.
Ao mesmo tempo, os casos deixam claro que o risco não se limita às grandes plataformas digitais. Pequenas e médias empresas também podem ser sancionadas quando tratam dados sem fundamento jurídico, ignoram solicitações da ANPD ou não conseguem demonstrar suas medidas de conformidade.
Para os advogados, proteção de dados deve ser compreendida como uma atividade permanente de governança, prevenção e gestão de riscos. O papel jurídico não termina na elaboração de documentos: envolve conhecer as operações do cliente, construir evidências, preparar respostas a incidentes e atuar de maneira estratégica nos processos de fiscalização e sanção.
