ANPD é a Autoridade Nacional de Proteção de Dados, o órgão público responsável por regular, fiscalizar e aplicar sanções referentes à LGPD no Brasil. Criada pela própria lei, tornou-se autarquia de natureza especial com autonomia técnica e decisória pela Lei 14.460/2022.
É o endereço onde uma reclamação sobre uso indevido de dados vai parar, e também a fonte das normas que detalham o que a lei diz de forma genérica.
O que ela faz
Quatro funções, e vale distinguir porque elas aparecem em momentos diferentes:
- Regula. Publica resoluções e guias que detalham a aplicação da lei, como o regime simplificado para agentes de pequeno porte.
- Orienta. Produz material de apoio voltado especialmente a pequenas empresas, que é a produção menos conhecida e a mais útil.
- Fiscaliza. Apura de ofício ou por reclamação, e pode pedir informações e documentos.
- Sanciona. Aplica as penalidades previstas na lei quando constata infração.
A terceira e a quarta costumam ser confundidas. Receber pedido de informação não significa estar sancionado, significa estar sendo apurado, e o que a empresa faz nessa etapa muda bastante o desfecho.
Como uma reclamação chega
O caminho típico começa com um titular insatisfeito. Normalmente alguém que pediu para sair de uma lista, não foi atendido, e registrou reclamação em canal público de atendimento ao cidadão.
A autoridade então pode encaminhar o caso à empresa, com prazo para manifestação. O conteúdo desse primeiro contato é quase sempre o mesmo: qual a base legal do tratamento, como o dado foi obtido e o que foi feito com o pedido do titular.
Repare que são exatamente as três coisas que uma operação organizada já tem registradas. Para quem registra origem, data e consentimento, responder é trabalho de uma tarde. Para quem não registra nada, é o momento de descobrir que não há o que responder.
As sanções previstas
A lei lista, em ordem crescente de gravidade:
- Advertência, com prazo para adotar medidas corretivas
- Multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração
- Multa diária
- Publicização da infração
- Bloqueio dos dados a que se refere a infração
- Eliminação dos dados
- Suspensão parcial do funcionamento do banco de dados, por até seis meses
- Suspensão do exercício da atividade de tratamento
- Proibição parcial ou total do exercício da atividade
Para operação pequena, a sanção mais temida não é a multa, e sim a suspensão do banco de dados ou da atividade de tratamento. Empresa que vende por WhatsApp e perde o direito de tratar a base por seis meses perde o canal, não só o dinheiro.
A dosimetria, ou seja, como a autoridade calcula o peso da sanção, está regulamentada e considera gravidade, boa-fé, vantagem obtida, condição econômica, reincidência, grau do dano, cooperação e adoção de política de boas práticas.
Esse último critério é o que mais interessa a quem ainda está se organizando: ter política escrita e registro de operações pesa a favor mesmo quando houve falha.
O que a atuação dela tem priorizado
Vale separar o que a lei permite do que a autoridade tem feito.
Na prática, a atuação brasileira começou pela via educativa e corretiva, com determinações de ajuste e pedidos de informação, concentrando sanções mais duras em casos de maior gravidade, vazamento relevante ou falta de cooperação. A autoridade também tem produzido material orientativo em vez de apenas punir.
Isso não é razão para descuido, por dois motivos. O primeiro é que a postura de uma autoridade muda com o tempo e com o volume de reclamações. O segundo é que o custo de se organizar é baixo e o de se defender sem registro é alto.
O que fazer ao receber um contato da autoridade
- Não ignore o prazo. Silêncio é o pior cenário possível, e pesa na dosimetria.
- Reúna o registro do caso concreto. Origem do contato, autorização, histórico do atendimento, o que foi feito com o pedido.
- Corrija o que estiver errado antes de responder. Boa-fé e medida corretiva adotada são critérios considerados.
- Procure orientação jurídica. Este verbete explica o cenário, não substitui advogado.
- Guarde a resposta e o que gerou o problema. Reincidência é critério agravante, e evitar a segunda vez vale mais que ganhar a primeira.
Onde o disparo em massa aparece nisso
Vale ser direto: disparo em massa para base sem autorização é o cenário que mais gera reclamação de titular, porque alcança muita gente que nunca ouviu falar da empresa, e porque uma parte dessas pessoas sabe onde reclamar.
A proteção não está em enviar menos, está em enviar para quem autorizou e em conseguir demonstrar isso. É a mesma medida que melhora a conversão, o que torna a decisão mais fácil do que parece.
A autoridade também trata de uso agregado de dados, assunto do verbete de anonimização e pseudonimização, relevante para quem pensa em publicar indicadores de mercado.
Termos relacionados
LGPD · Titular dos dados · Base legal · Consentimento · Anonimização e pseudonimização
Onde aprofundar
O guia de disparo de mensagens pela API oficial descreve o processo de envio com registro de autorização.
O Azallon Dispara PRO mantém o histórico de origem, autorização e descadastro de cada contato, que é o conjunto de informações que a autoridade pede primeiro.
Este verbete descreve a estrutura e a atuação da ANPD conforme a Lei 13.709/2018, a Lei 14.460/2022 e resoluções consultadas em outubro de 2026, e não substitui orientação jurídica para o seu caso concreto.