A primeira pergunta que todo fundador faz quando ouve falar de LGPD é a mesma: “quanto eu pago se não fizer nada?”. A resposta curta é até 2% do faturamento, com teto de R$ 50 milhões por infração. A resposta útil é mais longa — e bem menos assustadora se você entender como a ANPD chega nesse número.
O número que todo mundo cita (e o que ele esconde)
A LGPD lista as sanções no art. 52. A mais conhecida é a multa simples de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil, no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Tem também a multa diária, que serve pra forçar a correção de algo que você insiste em não arrumar — e que respeita o mesmo teto.
Repare no “por infração”. Não é R$ 50 milhões por empresa, é por violação apurada. Mas também não é assim que a conta funciona na prática pra um SaaS pequeno, e é aí que quase todo artigo de internet para de explicar.
Multa é só uma das oito sanções
Focar só no dinheiro é um erro, porque algumas das outras sanções doem mais que a multa pro seu negócio:
- Advertência, com prazo pra você corrigir — é por aqui que quase tudo começa.
- Multa simples e multa diária.
- Publicização da infração — vira notícia, com seu nome.
- Bloqueio dos dados pessoais até você regularizar.
- Eliminação dos dados pessoais envolvidos.
- Suspensão parcial ou total do banco de dados, ou da própria atividade de tratamento, por até seis meses.
Como a ANPD realmente calcula a multa
A ANPD não acorda e escolhe os 2%. O cálculo segue o regulamento de dosimetria (Resolução CD/ANPD nº 4/2023) e funciona em duas etapas:
- Fixa um valor-base, ligado à gravidade da infração e ao porte econômico de quem cometeu.
- Aplica atenuantes (que diminuem) e agravantes (que aumentam) sobre essa base.
Ou seja: duas empresas que cometem o mesmo erro podem pagar valores muito diferentes, dependendo do que fizeram antes e depois de serem notificadas. É exatamente aí que mora a boa notícia pra quem é pequeno e organizado.
O que joga a favor (atenuantes)
- Ter adotado boas práticas e uma política de governança em privacidade.
- Cooperar com a autoridade durante o processo.
- Corrigir rápido o problema assim que ele aparece.
- A infração não ter gerado dano relevante, ou o dano ter sido pequeno.
Traduzindo pra dev: ter uma política de privacidade de verdade, registrar onde cada dado é usado e manter um canal pro titular reclamar não é burocracia — é desconto na multa, por escrito, no regulamento.
“Mas eu sou pequeno, a ANPD nem vai me ver”
Dois pontos aqui. Primeiro: empresa pequena está sujeita às mesmas sanções. Não existe isenção por porte. O que existe é tratamento diferenciado de prazo — agentes de tratamento de pequeno porte têm prazo em dobro pra responder titulares, comunicar incidentes e atender a ANPD (Resolução CD/ANPD nº 2/2022).
Segundo: a fiscalização já saiu do papel. A ANPD aplicou as primeiras multas em 2023 — e a primeira foi justamente contra uma empresa pequena, não contra uma gigante. A lógica de “eles só vão atrás dos grandes” envelheceu mal.
A multa não é o único custo
Mesmo que a ANPD nunca te multe, descumprir a LGPD abre outras frentes: ação individual de um usuário, ação civil pública por dano moral coletivo, e o custo silencioso de perder um contrato B2B porque você não conseguiu assinar o DPA que o cliente pediu. Pra muito SaaS, esse último é o que chega primeiro.
O que fazer hoje pra pagar menos (ou nada)
Você não precisa de um departamento jurídico. Precisa do básico, documentado:
- Uma política de privacidade que reflita o que seu app realmente coleta.
- Saber a base legal de cada coleta (nem tudo precisa de consentimento).
- Um canal pro titular exercer os direitos dele e você responder no prazo.
- Um plano mínimo pra incidentes — quem avisa quem, em quanto tempo.
Isso é o que transforma “réu que ignorou a lei” em “empresa de boa-fé que estava se organizando”. No processo, essa diferença vale muito dinheiro.
Este texto é informativo e não substitui orientação jurídica. Em caso de notificação da ANPD ou de litígio, procure um(a) advogado(a).