Quanto pode custar um incidente de LGPD?

Como funciona a calculadora de multa da LGPD?

A calculadora combina fatores relacionados à gravidade do incidente, à natureza dos dados envolvidos, à quantidade de titulares afetados, ao nível de exposição/acesso, às medidas de segurança existentes e ao faturamento da empresa. Com base nesses fatores, ela apresenta um Risk Score de 0 a 100 e uma faixa estimada de exposição financeira, não um valor exato de multa.

Qual é o valor da multa da LGPD?

A LGPD (Lei nº 13.709/2018) prevê, no Art. 52, multa simples de até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. A lei também prevê sanções não pecuniárias, como advertência, publicização da infração, bloqueio e eliminação de dados pessoais, e suspensão parcial ou total das atividades de tratamento.

Quanto a ANPD pode multar uma empresa?

O limite legal é de até 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração, conforme o Art. 52, II, da LGPD. Isso é um teto máximo previsto em lei, não o valor normalmente aplicado. Na prática, o valor de cada sanção é calculado caso a caso, considerando a gravidade da infração e outros critérios legais.

Como a ANPD calcula uma multa?

A ANPD aplica uma metodologia de dosimetria (Resolução CD/ANPD nº 4/2023) que classifica a infração como leve, média ou grave, calcula um valor-base a partir de um percentual sobre o faturamento (variável conforme a gravidade e o grau do dano), e então ajusta esse valor com base em circunstâncias agravantes, como reincidência ou inação diante de medidas corretivas, e atenuantes, como cessação rápida da infração, boas práticas de governança e cooperação com a autoridade. O Art. 52, §1º, da LGPD lista os critérios gerais que orientam essa análise: gravidade e natureza da infração, boa-fé, vantagem auferida, condição econômica, reincidência, grau do dano, cooperação, mecanismos internos de mitigação, política de boas práticas, pronta adoção de medidas corretivas e proporcionalidade.

Um vazamento de dados gera multa automaticamente?

Não. Um incidente de segurança, por si só, não gera multa automática. A ANPD precisa apurar se houve efetivamente uma infração à LGPD, considerando o contexto, as medidas de segurança adotadas e a conduta da empresa antes e depois do incidente, dentro de um processo administrativo regular.

O que fazer depois de um vazamento de dados?

• Conter o incidente e preservar evidências técnicas.
• Avaliar o impacto real sobre os titulares dos dados afetados.
• Verificar se o incidente representa risco relevante que exija comunicação à ANPD e aos titulares, em até 3 dias úteis (Resolução CD/ANPD nº 15/2024).
• Documentar todas as medidas tomadas, mesmo quando a comunicação à ANPD não for necessária.
• Buscar apoio técnico e jurídico especializado para conduzir a resposta ao incidente.

Empresas de saúde possuem riscos adicionais?

Sim. Dados de saúde são classificados como dados pessoais sensíveis pelo Art. 5º, II, da LGPD, junto com dados sobre origem racial ou étnica, convicção religiosa, opinião política, dados genéticos e biométricos, entre outros. A Resolução CD/ANPD nº 4/2023 trata o envolvimento de dados sensíveis como um fator que pode caracterizar uma infração como grave, o que eleva a faixa de multa aplicável. Hospitais, clínicas e laboratórios, por lidarem rotineiramente com dados de saúde, estão sujeitos a esse padrão mais rigoroso de análise.