Multa da LGPD: quanto custa e quem paga quando a agência erra

Quando se fala em multa da LGPD, a maioria dos donos de agência imagina um risco distante, reservado a bancos e grandes varejistas. É um erro de leitura. A lei vale para qualquer empresa que trata dado pessoal, e agência de tráfego trata dado pessoal o dia inteiro.

Neste artigo, explicamos quanto a multa pode custar, por que ela nem é a pior sanção e quem paga a conta quando o erro acontece dentro da agência.

Quanto custa a multa da LGPD

A LGPD prevê, no art. 52, uma multa simples de até 2% do faturamento da empresa no Brasil no último exercício. O limite é de R$ 50 milhões por infração.

Também existe a multa diária, aplicada até que a empresa corrija o problema. E o cálculo considera a gravidade, a vantagem obtida, a reincidência e a cooperação da empresa. A ANPD detalhou esses critérios num regulamento de dosimetria publicado em 2023.

Para uma agência que fatura R$ 2 milhões por ano, 2% são R$ 40 mil por infração. E um único problema pode envolver mais de uma infração.

A ANPD já multou empresa pequena

A primeira multa aplicada pela ANPD, em 2023, não foi para uma gigante. Foi para uma microempresa que oferecia listas de contatos de WhatsApp para campanhas. O valor ficou na casa de R$ 14 mil.

O detalhe que interessa às agências: entre as infrações apontadas estavam a falta de base legal para usar os dados e a falta de um encarregado de dados. Ou seja, não ter alguém respondendo pela privacidade já foi motivo de punição.

A multa nem é a pior parte

O art. 52 traz outras sanções que, para uma agência, podem doer muito mais:

• Publicização da infração. O nome da empresa aparece associado a uma violação da LGPD. Para quem vende confiança, isso é devastador.
• Bloqueio dos dados envolvidos até a regularização.
• Eliminação dos dados tratados de forma irregular, como uma base inteira de leads.
• Suspensão do banco de dados ou da atividade de tratamento por até seis meses.
• Proibição parcial ou total de atividades ligadas ao tratamento de dados.

Imagine a sua agência proibida de usar listas de clientes ou de operar campanhas com dados de um cliente por seis meses. A multa vira o menor dos problemas.

O risco mais comum não vem da ANPD

A fiscalização da ANPD é só uma das portas. Na prática, os problemas chegam com mais frequência por outros caminhos:

• Ações de consumidores pedindo indenização por uso indevido de dados.
• Reclamações no Procon de leads que não autorizaram o contato.
• Cláusulas de indenização no contrato com o cliente.
• Restrições nas plataformas, como a BM suspensa após denúncias.

Quem paga a multa da LGPD quando a agência erra

Na relação com cada cliente, a agência costuma ser operadora e o cliente, controlador. O art. 42 diz que o operador responde junto com o controlador quando descumpre a lei ou não segue as instruções lícitas dele.

E existe uma armadilha: se a agência decide sozinha o que fazer com os dados, ela passa a ser tratada como controladora. Usar a base de um cliente em outro, guardar leads depois do fim do contrato ou montar prospecção própria com esses dados são exemplos. Aprofundamos isso no artigo sobre operador de dados.

Um exemplo do dia a dia

Imagine que uma planilha com 8 mil leads de um cliente de estética fique aberta por link público. Um concorrente encontra, usa os contatos, e as pessoas começam a reclamar.

O cliente é questionado e descobre que o link foi criado pela agência. Não existe contrato de dados, nem registro de quem acessava a planilha. Nessa situação, a agência não tem como provar que seguiu instruções. Ela responde junto com o cliente, pode ser cobrada por indenizações e, quase certamente, perde a conta.

Nenhuma dessas consequências depende de a ANPD abrir um processo. Por isso, a pergunta certa não é só "quanto é a multa?". É também "quanto custa perder esse cliente, e os clientes que ele indicaria?".

O que reduz a punição

O mesmo art. 52 lista o que pesa a favor da empresa na hora de calcular a sanção. Entre os critérios estão:

1. Boa-fé e cooperação com a autoridade.
2. Adoção de procedimentos internos para tratar dados com segurança.
3. Correção rápida do problema.
4. Política de boas práticas e governança.

Traduzindo: ter documentação, contrato com cada cliente e alguém responsável faz diferença real no tamanho da conta.

Prevenir custa menos

Um DPO custa muito menos que uma multa, e muito menos que perder um cliente grande por falta de resposta. No plano Growth, a Dattis é o DPO da sua agência por R$ 97 por cliente ao mês e mantém a documentação de cada conta em dia.

Antes de decidir, descubra onde você está: faça a Auditoria da sua agência e veja os pontos que mais expõem a sua agência a uma multa da LGPD.