Multas da LGPD: ANPD abre consulta para revisar a dosimetria

A Autoridade Nacional de Proteção de Dados (ANPD) publicou no Diário Oficial da União de 15 de outubro de 2026 o aviso de consulta pública sobre uma minuta que altera o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4/2023. É esse regulamento que define, na prática, como a autoridade calcula multas e escolhe as sanções aplicadas a quem descumpre a LGPD. Para lojas virtuais e marketplaces, que tratam diariamente nome, CPF, endereço, telefone e histórico de compras de milhares de clientes, o tema é diretamente ligado ao risco do negócio.

O que aconteceu

Segundo os avisos publicados, as contribuições à consulta podem ser enviadas de 15 de outubro a 30 de novembro de 2026, exclusivamente pela plataforma Brasil Participativo, onde também está a íntegra da minuta. Além disso, a ANPD fará uma audiência pública virtual em 29 de outubro, transmitida pelo seu canal no YouTube, com inscrições abertas entre 15 e 24 de outubro.

Os avisos não detalham quais dispositivos serão alterados. Por isso, é importante não tirar conclusões antecipadas: o texto em discussão é uma proposta, que pode mudar com as contribuições, e só produzirá efeitos depois de aprovado e publicado. A revisão se soma a outra consulta aberta pela ANPD neste ano sobre o regulamento de fiscalização, o que indica que a autoridade está reorganizando todo o seu processo sancionador.

Como funcionam as sanções hoje

Enquanto a revisão não é concluída, valem as regras atuais. A própria LGPD (art. 52) prevê, entre outras sanções, advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e, em situações mais graves, suspensão das atividades de tratamento.

O regulamento de dosimetria detalha esse cálculo. Em linhas gerais, a infração é classificada como leve, média ou grave, conforme fatores como o volume de titulares afetados, o uso de dados sensíveis ou de crianças e adolescentes, a obtenção de vantagem econômica e a obstrução à fiscalização. Depois, o valor-base é ajustado por agravantes, como a reincidência, e por atenuantes, como a interrupção da infração, a adoção de boas práticas e de governança em privacidade, medidas para reduzir o dano e a cooperação com a autoridade.

Na prática, isso significa que a forma como a empresa se organiza antes de um incidente pesa no valor da eventual sanção. É justamente esse equilíbrio que pode ser recalibrado com a revisão.

Por que lojas virtuais devem acompanhar

• Volume de dados: mesmo uma loja de porte modesto acumula bases com milhares de clientes, o que pode influenciar a classificação da gravidade de um incidente.
• Cadeia de fornecedores: plataformas de e-commerce, gateways de pagamento, ferramentas de marketing e transportadoras recebem dados dos clientes. Falhas nessa cadeia também podem gerar responsabilidade.
• Marketing digital: envio de ofertas, uso de cookies, remarketing e compartilhamento de listas são pontos frequentes de questionamento.
• Fim de ano: a temporada de Black Friday e Natal aumenta o volume de cadastros e a exposição a fraudes e vazamentos.

Checklist de cuidados

1. Mapeie quais dados pessoais a loja coleta, para que finalidade, onde são guardados e com quem são compartilhados.
2. Revise a política de privacidade e o banner de cookies, verificando se correspondem ao que a loja realmente faz.
3. Confira os contratos com plataformas, gateways, agências e transportadoras: eles devem prever obrigações de segurança e de comunicação de incidentes.
4. Indique um encarregado (DPO) ou verifique se a empresa se enquadra na dispensa aplicável a agentes de pequeno porte.
5. Tenha um plano de resposta a incidentes por escrito, com responsáveis e prazos para comunicar a ANPD e os clientes, quando necessário.
6. Documente treinamentos, controles de acesso e revisões de segurança. Essa documentação é o que demonstra boas práticas e governança.
7. Avalie se faz sentido participar da consulta pública, diretamente ou por meio de entidades do setor, até 30 de novembro.

Quando buscar orientação jurídica

A orientação é recomendável quando a loja sofrer um incidente de segurança, receber ofício ou notificação da ANPD ou de órgãos de defesa do consumidor, tratar dados de crianças e adolescentes, operar com grande base de clientes ou depender de muitos fornecedores que acessam dados. Também vale revisar o programa de privacidade assim que a versão final do novo regulamento for publicada, para alinhar documentos e rotinas às regras que efetivamente estiverem em vigor.

Para analisar a situação da sua empresa, o escritório pode ajudar.