Muitas empresas ainda tratam a Lei Geral de Proteção de Dados (Lei 13.709/2018) como um tema de TI. É um erro caro. A LGPD alcança qualquer empresa que trate dados pessoais — de clientes, fornecedores e, principalmente, dos próprios empregados.
O que a lei prevê em caso de descumprimento
O artigo 52 da LGPD autoriza a Autoridade Nacional de Proteção de Dados (ANPD) a aplicar advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício — limitada a R$ 50 milhões por infração —, multa diária, publicização da infração, bloqueio ou eliminação dos dados e até a suspensão da atividade de tratamento.
A publicização costuma pesar tanto quanto a multa: a empresa passa a ser conhecida publicamente como alguém que não protege os dados de seus clientes.
Não é só a ANPD
Além das sanções administrativas, o titular dos dados pode buscar indenização na Justiça, e órgãos de defesa do consumidor também atuam. Um único vazamento pode gerar dezenas de ações individuais.
Os pontos que mais expõem as empresas
- Coletar dados sem base legal definida ou além do necessário;
- Não ter encarregado (DPO) indicado, com canal de contato divulgado;
- Não saber responder, no prazo, a pedidos de titulares (acesso, correção, exclusão);
- Não ter plano de resposta a incidentes — a ANPD exige comunicação de incidentes relevantes em prazo curto, atualmente de três dias úteis;
- Compartilhar dados com fornecedores sem contrato que defina responsabilidades.
Como se proteger na prática
A adequação começa por um mapeamento: quais dados a empresa coleta, para quê, onde ficam e com quem são compartilhados. A partir daí, revisam-se contratos, políticas internas, avisos de privacidade e rotinas de RH. O objetivo não é burocracia — é conseguir demonstrar, se fiscalizada, que a empresa leva o tema a sério. Essa demonstração de boa-fé é considerada pela ANPD na dosimetria das sanções.
Se a sua empresa ainda não passou por esse diagnóstico, o momento certo é antes do primeiro incidente.
Este conteúdo tem caráter informativo e não constitui consultoria jurídica, não substitui análise individualizada e não garante qualquer resultado específico.