Até o início de 2026, a ANPD concluiu ao menos nove processos administrativos sancionadores por violações à LGPD, segundo levantamentos públicos baseados nas decisões da Autoridade. A única multa pecuniária aplicada até então foi de R$ 14.400, contra uma microempresa do setor de telemarketing, em julho de 2023.
Todas as demais sanções recaíram sobre o setor público, na forma de advertências e publicização da infração, já que órgãos públicos não recebem multa em dinheiro (art. 52, § 3º, da LGPD). A infração mais recorrente não foi o vazamento de dados em si, mas a falha em comunicar o incidente aos titulares e à ANPD (art. 48). O cenário mudou em 2026: transformada em agência reguladora pela Lei nº 15.352/2026, a ANPD abriu 19 novos processos sancionadores apenas em junho, e o teto legal da multa é de R$ 50 milhões por infração.
Durante anos, a LGPD foi tratada por muitas empresas como uma lei sem consequências práticas. A ANPD nasceu em 2020 com equipe reduzida, priorizou orientação em vez de punição e demorou quase três anos para aplicar a primeira sanção. Esse período de tolerância criou uma percepção perigosa nos conselhos e diretorias: a de que o risco regulatório de proteção de dados era teórico.
Os fatos de 2025 e 2026 desmontaram essa percepção. A ANPD lançou um painel público de fiscalização, ganhou status de agência reguladora com autonomia e orçamento próprios, teve seu primeiro concurso público autorizado e, em um único mês, abriu mais processos sancionadores do que em anos anteriores inteiros. Para departamentos jurídicos e escritórios que assessoram empresas, entender quem já foi punido, por quê e com qual fundamento deixou de ser curiosidade regulatória: virou insumo direto de gestão de risco.
Este artigo mapeia todas as sanções aplicadas até 2026 por tipo de organização, setor e infração, explica como a multa é calculada e mostra o que muda com a nova fase da Autoridade.
O que é a LGPD e qual o papel da ANPD?
A LGPD (Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018) é a lei que disciplina o tratamento de dados pessoais no Brasil, em meios físicos ou digitais, por empresas privadas e pelo poder público. Ela exige que todo tratamento de dados tenha uma base legal (art. 7º), impõe deveres de segurança e de comunicação de incidentes e garante direitos aos titulares, como acesso, correção e eliminação de dados.
A ANPD (Agência Nacional de Proteção de Dados) é o órgão responsável por fiscalizar o cumprimento da LGPD, editar regulamentos e aplicar sanções administrativas. Criada como órgão da administração federal, ela foi transformada em agência reguladora autônoma pela Lei nº 15.352/2026, sancionada em 25 de fevereiro de 2026, com personalidade jurídica própria, autonomia financeira e quadro de servidores em expansão.
Estão sujeitos à fiscalização da ANPD todos os agentes de tratamento, pessoas físicas ou jurídicas, de direito público ou privado, sempre que a operação ocorrer no Brasil, os dados forem coletados no país ou o tratamento visar oferecer bens e serviços a pessoas localizadas no território nacional.
Saiba mais: Como o jurídico pode (e deve) estruturar uma agenda ESG
Quais sanções a ANPD pode aplicar?
O art. 52 da LGPD prevê nove sanções administrativas, aplicáveis de forma isolada ou cumulativa conforme a gravidade do caso:
| Sanção | O que significa na prática |
|---|---|
| Advertência | Notificação formal com prazo para corrigir a falha |
| Multa simples | Até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração |
| Multa diária | Cobrança por dia de descumprimento, com o mesmo teto |
| Publicização da infração | Obrigação de divulgar a punição publicamente |
| Bloqueio dos dados | Suspensão do uso dos dados ligados à infração |
| Eliminação dos dados | Exclusão definitiva dos dados ligados à infração |
| Suspensão do banco de dados | Paralisação parcial por até 6 meses |
| Suspensão da atividade de tratamento | Paralisação da operação por até 6 meses |
| Proibição de tratamento | Veto parcial ou total às atividades com dados |
O cálculo da multa segue o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023): a Autoridade classifica a gravidade da infração, define um valor-base e aplica agravantes (como reincidência, vantagem econômica obtida e quantidade de titulares afetados) e atenuantes (como cessação espontânea da infração, cooperação com a ANPD e existência de programa de governança em privacidade, nos termos do art. 50 da LGPD).
Um detalhe importante para quem atua com o poder público: pelo art. 52, § 3º, órgãos e entidades públicas não recebem multa pecuniária. Para eles, a ANPD aplica advertências, publicização e determinações corretivas.
Quais tipos de organização já foram sancionados pela ANPD até 2026?
O levantamento das decisões públicas da ANPD mostra ao menos nove processos sancionadores concluídos entre julho de 2023 e o início de 2026. A tabela abaixo consolida os casos por tipo de organização, sem identificação nominal:
| Tipo de organização | Porte/setor | Principais infrações | Sanções aplicadas |
|---|---|---|---|
| Empresa de telemarketing | Microempresa, setor privado | Tratamento sem base legal (art. 7º), ausência de encarregado (art. 41), não atendimento à ANPD | Duas multas de R$ 7.200 (total de R$ 14.400) e advertência |
| Autarquia estadual da área de saúde | Setor público estadual | Não comunicação de incidente aos titulares (art. 48), falhas de segurança (art. 49) | Advertência e medidas corretivas |
| Secretaria estadual de saúde | Setor público estadual | Incidente com exfiltração de cerca de 4 GB de dados de mais de 300 mil pessoas, sem comunicação individual aos titulares | Quatro advertências e medidas corretivas |
| Autarquia federal de benefícios previdenciários | Setor público federal | Não comunicação de incidente, não atendimento a determinações da ANPD | Publicização da infração por 60 dias nos canais oficiais e obrigação de notificar titulares |
| Secretaria estadual de educação | Setor público estadual | Exposição de dados pessoais e de saúde de mais de 3.000 pessoas, ausência de RIPD, comunicação de incidente com 8 meses de atraso | Quatro advertências e medidas corretivas |
| Secretaria estadual de assistência social | Setor público estadual | Não notificação individual dos titulares, medidas de segurança inadequadas | Duas advertências e obrigação de notificação |
| Órgão federal da área da saúde (dois processos) | Setor público federal | Comunicação tardia de incidente, falhas de segurança, ausência de encarregado e de RIPD | Quatro advertências (dois processos) e determinações corretivas |
Três padrões saltam da tabela. Primeiro, o setor público dominou as sanções até 2024, em parte porque foi priorizado nos ciclos de fiscalização e em parte porque empresas privadas tendem a se adequar antes da sanção formal. Segundo, a única multa em dinheiro foi contra uma microempresa, prova de que porte pequeno não imuniza ninguém. Terceiro, a área da saúde concentra os casos mais graves, pelo volume e pela sensibilidade dos dados envolvidos.
Em dezembro de 2024, a ANPD também notificou 20 empresas privadas de grande porte pela ausência de encarregado de dados e de canal de atendimento aos titulares (art. 41). Segundo levantamentos públicos, todas se adequaram nos meses seguintes, o que ilustra outro padrão: a simples abertura de fiscalização já produz conformidade.
Quais infrações mais geram sanções da ANPD?
A distribuição das infrações nos processos concluídos revela onde as organizações mais falham:
| Infração | Fundamento na LGPD | Recorrência nos casos |
|---|---|---|
| Não comunicação de incidente aos titulares e à ANPD | Art. 48 | A mais frequente: presente na maioria dos processos |
| Medidas de segurança inadequadas | Arts. 46 e 49 | Alta |
| Ausência de encarregado (DPO) | Art. 41 | Alta |
| Ausência de RIPD (relatório de impacto) | Art. 38 | Média |
| Ausência de registro de operações (ROPA) | Art. 37 | Média |
| Tratamento sem base legal | Art. 7º | Presente no único caso com multa pecuniária |
| Não atendimento a requisições da ANPD | Regulamento de Fiscalização | Fator que agravou os casos em que apareceu |
A leitura estratégica é direta: a ANPD ainda não pune sofisticação, pune o básico. Nenhum dos casos envolveu discussões complexas sobre legítimo interesse ou transferência internacional. Envolveram DPO não nomeado, incidente não comunicado e documentação inexistente. E o fator que mais transforma um problema em sanção é ignorar a Autoridade: o não atendimento às requisições apareceu como infração autônoma e como agravante de dosimetria.
Por que as multas ainda são baixas e o que muda em 2026?
O total de multas pecuniárias aplicadas pela ANPD até o início de 2026 soma R$ 14.400. O valor parece irrisório diante do teto de R$ 50 milhões, mas se explica: a maioria dos sancionados foi o setor público, que não paga multa, e a única empresa punida era uma microempresa, com valores reduzidos pela dosimetria.
Esse quadro está mudando rapidamente por quatro razões verificáveis:
A primeira é institucional. A Lei nº 15.352/2026, originada da MP 1.317/2025, transformou a ANPD em agência reguladora com autonomia administrativa e financeira. Em 24 de junho de 2026, foi autorizado o primeiro concurso público da agência, com 50 vagas iniciais.
A segunda é operacional. Em junho de 2026, a ANPD abriu 19 novos processos administrativos sancionadores, a maior leva da história da Autoridade, e encaminhou 21 agentes de tratamento para análise da área de sanções, dos quais 19 são entidades públicas, segundo noticiado pela imprensa especializada.
A terceira é a transparência. Desde novembro de 2025, o Painel da Fiscalização da ANPD publica dados agregados de todos os procedimentos fiscalizatórios, o que aumenta a pressão reputacional sobre organizações investigadas.
A quarta é a agenda. O Mapa de Temas Prioritários 2026-2027 da ANPD indica foco em direitos dos titulares, dados de crianças e adolescentes, inteligência artificial, dados de saúde e poder público. Empresas que operam nessas frentes entram no radar antes das demais.
Leia também: Quais são os maiores riscos jurídicos para empresas em 2026?
Como evitar sanções da ANPD?
Os casos concluídos até 2026 permitem uma engenharia reversa incomum em matéria regulatória: cinco medidas teriam evitado praticamente todas as sanções aplicadas.
- Nomear encarregado de dados e publicar seu contato no site (art. 41). É a falha mais simples de corrigir e uma das mais punidas.
- Estruturar processo de resposta a incidentes. A Resolução CD/ANPD nº 15/2024 fixa prazo de 3 dias úteis para comunicar incidentes relevantes à ANPD. A infração mais recorrente dos casos julgados foi exatamente essa comunicação, ausente ou tardia.
- Manter ROPA e RIPD atualizados (arts. 37 e 38). A ausência desses documentos é infração autônoma, mesmo sem qualquer vazamento.
- Documentar a base legal de cada operação de tratamento (arts. 7º e 11). Foi a infração central do único caso com multa pecuniária.
- Responder à ANPD sempre e no prazo. A cooperação é atenuante expressa na dosimetria, e o silêncio foi o que transformou casos administráveis em sanções públicas.
Para departamentos jurídicos, há um sexto ponto menos óbvio: monitorar continuamente as decisões da ANPD e a jurisprudência sobre proteção de dados. O entendimento da Autoridade evolui a cada processo, e a posição dos tribunais sobre temas como dano moral por vazamento de dados define o tamanho real do passivo.
O STJ, por exemplo, firmou entendimento de que o vazamento de dados pessoais comuns, por si só, não gera dano moral presumido, exigindo comprovação do prejuízo, o que impacta diretamente a estratégia de defesa e o provisionamento das empresas.
É nesse ponto que a tecnologia entra como aliada do jurídico. Com o GPTuri, assistente de IA da Turivius, a equipe pode monitorar continuamente decisões sobre LGPD e proteção de dados em mais de 100 tribunais, receber automaticamente novos julgados relevantes para suas teses e analisar documentos internos à luz da jurisprudência, sempre com citações verificáveis.
E quando a análise precisa ganhar escala, o Agente de Jurimetria transforma centenas de decisões sobre vazamento de dados em tabelas estruturadas, com resultados, valores de indenização e tendências por tribunal, dando ao departamento jurídico a previsibilidade que a diretoria cobra.
Conclusão
Em resumo, até 2026 a ANPD sancionou nove organizações, entre elas uma única empresa privada (uma microempresa de telemarketing, multada em R$ 14.400) e um conjunto de órgãos públicos das áreas de saúde, educação, previdência e assistência social, punidos com advertências e publicização. A infração que mais pesou não foi o vazamento em si, mas a falha em comunicar incidentes e em manter o básico da conformidade: encarregado nomeado, documentação em dia e resposta tempestiva à Autoridade. Com a transformação da ANPD em agência reguladora e a abertura de 19 novos processos sancionadores em um único mês de 2026, a fase pedagógica terminou.
Para equipes jurídicas, a vantagem competitiva agora está em antecipar risco com dados: acompanhar decisões da ANPD, mapear a jurisprudência sobre proteção de dados e quantificar o passivo potencial antes que ele se materialize.
O GPTuri, assistente de IA da Turivius com acesso a mais de 130 milhões de decisões em mais de 100 tribunais, permite monitorar temas como LGPD e dano moral por vazamento de dados e transformar essa jurisprudência em análise estruturada com o Agente de Jurimetria. Agende uma demonstração e veja como levar essa inteligência para o seu contencioso e o seu consultivo.
Perguntas frequentes sobre multas da LGPD
Até o início de 2026, a ANPD aplicou multa pecuniária em um único caso, no total de R$ 14.400, contra uma microempresa. As demais sanções foram advertências e publicização.
Até 2% do faturamento da empresa no Brasil no último exercício, limitado a R$ 50 milhões por infração (art. 52 da LGPD).
Não recebem multa em dinheiro (art. 52, § 3º). Ficam sujeitos a advertência, publicização da infração e determinações corretivas.
A não comunicação de incidentes de segurança aos titulares e à ANPD (art. 48), presente na maioria dos processos concluídos.
Em até 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais de forma relevante (Resolução CD/ANPD nº 15/2024).
Sim. A primeira multa da história da ANPD foi aplicada a uma microempresa. A dosimetria ajusta o valor ao porte, mas não afasta a sanção.
A Lei nº 15.352/2026 deu à ANPD autonomia financeira, quadro próprio de servidores e maior capacidade de fiscalização, o que já se refletiu em recorde de processos abertos em 2026.
