Resumo: A primeira multa da LGPD foi para uma microempresa de telemarketing, não para uma big tech. Em 2026, a ANPD abriu 19 processos sancionadores num único mês.
A lição que ninguém esperava
Em 2023, a Autoridade Nacional de Proteção de Dados aplicou sua primeira multa pecuniária. O alvo não foi uma multinacional de tecnologia, um banco de investimento ou uma rede de varejo. Foi uma microempresa de telemarketing. Duas infrações — tratamento de dados sem base legal e descumprimento de determinações da fiscalização — totalizaram R$ 14.400.
O valor parece baixo. A mensagem, não.
A ANPD começou por onde a resistência era menor: empresas sem estrutura jurídica, sem encarregado funcional, sem registro de operações. E em junho de 2026, abriu 19 processos sancionadores num único mês — o maior lote da sua história. Não é mais fase de avisos.
Se você administra uma PME e ainda trata a LGPD como assunto de TI ou de "empresa grande", estes são os cinco anti-padrões que transformam o seu negócio no próximo da fila.
1. Acreditar que "somos pequenos demais para a ANPD"
Por que acontece: A cobertura de mídia sobre proteção de dados gira em torno de big techs. A multa de R$ 153,7 milhões contra a ByteDance (TikTok) em agosto de 2026, por exemplo, dominou o noticiário. O gerente administrativo de uma empresa com 30 funcionários olha esse noticiário e conclui que a fiscalização não chega até ele.
O que os dados dizem: Três em cada quatro pequenos negócios ainda não concluíram a adequação à LGPD, segundo levantamento do Sebrae. A pesquisa da Data Privacy Brasil (2024) mostrou que apenas 30% das empresas brasileiras se consideram totalmente em conformidade. A ANPD sabe disso — e sabe que a maioria dos expostos são PMEs.
O custo real: A primeira empresa multada não era "grande demais para ignorar". Era pequena demais para se defender. Sem encarregado, sem registro de operações, sem resposta às solicitações da autoridade. O padrão se repete: das 21 entidades encaminhadas para análise de sanção em 2026, o motivo principal foi o mesmo — não responderam às solicitações sobre encarregado e canal de comunicação.
Sua empresa tem um canal de atendimento ao titular de dados publicado e funcional? Se a resposta é "acho que sim", você provavelmente está nesse grupo.
2. Nomear um DPO que ninguém encontra
Por que acontece: A empresa descobre que precisa de um encarregado de dados (DPO), indica alguém internamente — muitas vezes o próprio gerente de TI ou o administrativo — e publica o nome numa página que ninguém visita. Caixa marcada, assunto encerrado.
O problema: Um encarregado sem canal funcional, sem autonomia e sem qualificação é tratado pela ANPD como ausência de indicação. Das entidades monitoradas em 2026, a dinâmica é clara: a autoridade não pergunta só "vocês têm DPO?". Ela pergunta "o DPO responde?" — e testa.
O anti-padrão concreto: Indicar o sócio-fundador como DPO, criar um e-mail genérico ([email protected]) que redireciona para uma caixa que ninguém monitora, e nunca treinar a pessoa indicada. A ANPD enviou solicitações aos canais publicados e mediu quem respondeu. Quem não respondeu entrou na fila de sanções.
3. Não saber onde moram os dados dos seus clientes
Por que acontece: Dados pessoais entram por formulários do site, por WhatsApp, por planilhas compartilhadas, por e-mail. Cada canal cria uma cópia. Em dois anos, ninguém sabe quantas versões do CPF de um cliente existem dentro da empresa — nem em quais máquinas estão.
A falha mais recorrente: A falta de registro das operações de tratamento — o chamado inventário de dados — é uma das violações que mais aparecem nas fiscalizações setoriais. Sem ele, a empresa não consegue responder a três perguntas que a ANPD faz em qualquer inspeção: quais dados vocês coletam, com que base legal, e com quem compartilham.
Se a ANPD pedisse hoje o registro das operações de tratamento da sua empresa, você entregaria em 24 horas? Se precisaria de uma semana para montar, isso já é um risco documentado.
4. Tratar a LGPD como um projeto que "já fizemos"
Por que acontece: A empresa contratou uma consultoria, produziu uma política de privacidade, atualizou o site, treinou a equipe — e parou. Dois anos depois, a política menciona sistemas que foram trocados, o treinamento cobriu pessoas que saíram, e três novos fornecedores com acesso a dados pessoais entraram sem cláusula de proteção no contrato.
O perigo: Cada novo sistema, cada novo parceiro, cada novo processo que lida com dados pessoais precisa passar pelo crivo. Se a empresa parou de revisar contratos com operadores de dados há mais de 12 meses, a adequação que fez já expirou na prática.
O que não fazer: Contratar uma consultoria para produzir um relatório de 200 páginas que ninguém lê depois. Isso é compliance de gaveta — existe no papel e não muda um processo sequer. O gerente administrativo que confia nesse documento está pagando para se sentir seguro, não para estar seguro.
5. Ignorar o prazo de 3 dias para comunicar incidentes
Por que acontece: A empresa não tem plano de resposta a incidentes. Quando acontece algo — um vazamento, um acesso indevido, um ransomware — o primeiro reflexo é resolver em silêncio. Chamar a TI, trocar senhas, e torcer para que ninguém perceba.
O que mudou: A Resolução CD/ANPD nº 15/2024 fixou o prazo de 3 dias úteis para comunicação à Autoridade e aos titulares afetados. Para uma PME sem protocolo definido, isso significa que o relógio começa a correr antes de alguém ter entendido o que aconteceu.
A armadilha: Comunicação tardia, ou feita apenas à ANPD sem avisar os titulares, é fator agravante no cálculo da multa. A empresa que tenta esconder o incidente cria dois problemas: o vazamento original e a infração por não comunicar. A segunda costuma sair mais cara que a primeira.
O que muda quando o controle deixa de ser manual
A maioria dos erros acima tem uma raiz comum: o gerente administrativo está sozinho, cuidando de compliance com planilhas, e-mails e boa vontade. Quando a empresa cresce, os dados se multiplicam — mas o processo de controle não acompanha.
Automação faz diferença concreta aqui. Não automação de marketing ou de vendas — automação do processo de governança de dados em si. Na prática, funciona assim: o sistema monitora continuamente onde estão os dados pessoais na empresa — quais planilhas, quais sistemas, quais repositórios. Quando um contrato com cláusula de compartilhamento de dados vence em 30 dias, o gerente administrativo recebe um alerta automático. Quando um titular solicita exclusão dos seus dados, o sistema identifica todas as cópias e instrui o processo de eliminação. Quando um incidente é registrado, o relógio de 3 dias começa com uma checklist pronta: quem avisar, o que documentar, qual comunicação sai para a ANPD e para os titulares.
Nenhuma dessas ações exige que alguém lembre de verificar manualmente. É o tipo de fluxo que a Sincron IA configura para PMEs que precisam de governança de dados sem montar um departamento jurídico. O resultado não é "estar em compliance" no abstrato — é ter um registro auditável que responde à ANPD em horas, não em semanas.
O retorno é direto: segundo o estudo do Ponemon Institute, empresas que investem em conformidade gastam o equivalente a US$ 222 por colaborador. As que não investem acabam pagando US$ 820 por colaborador quando o problema aparece — 2,7 vezes mais. Para uma PME com 40 funcionários, a diferença entre prevenir e remediar pode passar de R$ 100 mil num único evento.
Um ponto honesto: automação não substitui julgamento jurídico. Se o incidente envolve dados sensíveis de menores, por exemplo, nenhum sistema decide sozinho como comunicar ao titular. Isso precisa de um humano qualificado. O que a automação faz é garantir que esse humano seja acionado no momento certo, com as informações certas, dentro do prazo.
O que priorizar amanhã de manhã
Se você reconheceu dois ou mais anti-padrões neste post, a sequência é esta:
1. Teste o canal do DPO. Envie um e-mail para o endereço publicado no site e meça quanto tempo leva para receber uma resposta. Se ninguém responder em 48 horas, esse canal não existe na prática — e a ANPD vai chegar à mesma conclusão.
2. Peça o inventário de dados. Se ele não existe, você tem o anti-padrão #3. Se existe mas tem mais de 12 meses sem revisão, você tem o #4.
3. Defina o protocolo de incidentes. Não precisa ser um documento de 50 páginas. Precisa responder a três perguntas: quem é acionado, em quanto tempo, e qual comunicação sai para a ANPD e para os titulares.
O custo de montar isso é uma fração do custo de não ter. E se você precisa de ajuda para estruturar o processo e automatizar os controles, converse com a Sincron IA — começamos pelo diagnóstico de onde estão os buracos antes de propor qualquer solução.
Perguntas que o gerente administrativo faz antes de agir
"PME tem mesmo que cumprir a LGPD integralmente?"
Sim. A Resolução CD/ANPD nº 2/2022 prevê flexibilizações para micro e pequenas empresas — prazo em dobro para atender solicitações, por exemplo. Mas não isenta do cumprimento da lei. A primeira multa aplicada pela ANPD foi justamente contra uma microempresa.
"Quanto custa uma adequação básica para PME?"
Depende do volume de dados e da complexidade dos processos. Para empresas com até 50 funcionários, o investimento inicial costuma equivaler a 1-3 salários de um analista administrativo. O custo de uma multa — até 2% do faturamento — é ordens de grandeza maior.
"Se nunca tive um incidente, preciso de plano de resposta?"
A ausência de incidentes conhecidos não significa ausência de incidentes. Significa ausência de detecção. O plano de resposta existe para o dia em que algo acontecer — e a ANPD verifica se ele existe independentemente de incidentes reportados.
"Quando a ANPD fiscaliza, o que ela pede primeiro?"
Canal do encarregado funcional, registro das operações de tratamento e política de privacidade. Esses três itens são o filtro inicial. Se não passam, a fiscalização avança para análise detalhada — e o processo sancionador fica mais provável.
"Posso resolver tudo com uma política de privacidade no site?"
A política de privacidade é o mínimo visível. Mas a ANPD não verifica só o que está publicado — verifica o que está implementado. Uma política bem escrita com processos inexistentes por trás é pior que não ter, porque demonstra ciência da obrigação sem cumprimento efetivo.
Receba insights de automação e IA
Conteúdo exclusivo sobre automação empresarial, inteligência artificial e produtividade. Sem spam.
