Cinco anos da LGPD: sanções tímidas, riscos crescentes

Cinco anos após a entrada em vigor da Lei Geral de Proteção de Dados (LGPD), o Brasil vive um paradoxo. A lei prevê multas de até 2% do faturamento bruto da empresa, limitadas a R$50 milhões por infração, mas a aplicação prática ainda está distante desse potencial.

Segundo a ANPD, até agosto de 2024 foram aplicadas 18 sanções administrativas, sendo apenas duas multas, ambas contra a microempresa Telekall Infoservice, que somaram R$14,4 mil. Em 2024, nenhuma empresa privada foi multada. As sanções se concentraram em órgãos públicos, que por lei não podem receber penalidades financeiras.

O contraste é gritante. Na União Europeia, apenas no período de janeiro de 2023 a janeiro de 2024, as multas do GDPR somaram €1,78 bilhão. Nos Estados Unidos, Argentina e Austrália, os números também já passam da casa do bilhão. No Brasil, a punição financeira ainda não saiu do papel para grandes empresas – embora o risco reputacional de estar fora da LGPD já pese.

Além disso, um marco diplomático importante ocorreu recentemente: Brasil e União Europeia reconheceram formalmente a LGPD e o GDPR como equivalentes para fins de fluxo de dados, no que foi descrito como o maior acordo global desse tipo. Esse reconhecimento não apenas fortalece a imagem da LGPD internacionalmente, mas também eleva expectativas sobre a necessidade de conformidade rigorosa interna – falhas no cumprimento podem agora repercutir não só em multas nacionais, mas em barreiras regulatórias e comerciais em vistas externas.

Bancos e varejistas: a régua subiu

Para bancos, a LGPD se somou às exigências do Banco Central, que desde a Resolução 4.893/2021 exige políticas de segurança, gestão de terceiros e controles em nuvem. Já no varejo digital, a adaptação incluiu rever cadastros, práticas de cookies, marketing e atendimento aos direitos dos titulares.

Pesquisas indicam que a adequação ainda é desigual: em 2021, apenas 11% das empresas se declaravam em total conformidade; em 2023, esse número chegou a 36%. Grandes bancos e varejistas lideraram o movimento, pressionados pelo risco regulatório e pela confiança dos consumidores.

Vazamentos persistem, mas a resposta mudou

Os megavazamentos de 2021, com dados de 223 milhões de CPFs e 140 milhões de cidadãos expostos, mostraram que a LGPD não freou de imediato os incidentes. Estudos anteriores já alertavam: entre 2018 e 2019, o Brasil registrou aumento de 493% em dados expostos, ultrapassando 205 milhões de registros.

A diferença hoje é a accountability. Desde 2024, com a Resolução 15 da ANPD, empresas têm 3 dias úteis para comunicar incidentes relevantes, reduzindo o tempo de exposição e obrigando planos de resposta estruturados.

Por que tão poucas multas?

A ANPD assumiu postura inicial pedagógica, priorizando orientação em vez de punição. Além disso, só em 2024 vieram normas que detalham critérios: comunicação de incidentes (Res. 15), atuação do DPO (Res. 18) e transferências internacionais de dados (Res. 19). Sem parâmetros técnicos, a caracterização de falha ficava limitada.

Em 2025, há sinais de que a atuação da ANPD está se intensificando. Embora ainda não haja dados oficiais confirmando novas multas financeiras, a Autoridade tem notificado mais empresas e adotado medidas de fiscalização mais rígidas. Um exemplo é a Deliberação CD-10/2025, em que a ANPD passou a prever multas diárias em caso de descumprimento de medidas cautelares, reforçando o caráter preventivo e a pressão para que organizações tratem a proteção de dados com prioridade.

Outro indicativo recente da elevação do enforcement veio do Superior Tribunal de Justiça (STJ), que em setembro de 2025 decidiu que a disponibilização indevida de dados pessoais por agência de crédito, sem consentimento ou comunicação prévia ao titular, gera dano moral presumido. No julgamento, ficou estabelecido que informações cadastrais como telefone ou dados de adimplemento, quando repassadas a terceiros sem autorização legal, implicam responsabilidade objetiva do gestor do banco de dados – basta o fato da divulgação para gerar direito à indenização. Essa decisão reforça o entendimento de que, com a LGPD madura, o descuido nos tratamentos de dados já pode sair caro também em condenações judiciais.

O que esperar daqui para frente

A "fase educativa" da LGPD parece estar chegando ao fim. Com as novas regulamentações em vigor desde 2024 e maior pressão social por transparência, a expectativa é de que a ANPD inicie um ciclo de punições mais firmes, inclusive financeiras, contra empresas privadas de grande porte.

Os sinais já estão no radar: a Deliberação CD-10/2025 introduziu multas diárias por descumprimento de medidas cautelares, e setores como telecomunicações e fintechs estão sob escrutínio crescente. Para bancos, que lidam com dados sensíveis em escala e já enfrentam múltiplas camadas regulatórias, o risco de multa milionária não é mais hipótese distante.

No varejo digital, a pressão vem de duas frentes: consumidores mais conscientes sobre seus direitos e concorrentes que fazem da conformidade um diferencial competitivo. Empresas que ainda tratam a LGPD como "custo de compliance" podem descobrir que o preço da adequação tardia é exponencialmente maior.

Para os próximos cinco anos, o cenário aponta para um Brasil alinhado aos padrões internacionais de enforcement. A LGPD pegou – e a pergunta não é mais se ela vai doer no bolso, mas quando e quanto.

Por Cassiano Cavalcanti, especialista em segurança digital da BioCatch

Siga TI Inside no Instagram e tenha acesso a conteúdos exclusivos do mercado.