ANPD multa empresa BR em R$ 3 milhões. Sua PME pode ser a próxima?

Uma empresa brasileira foi notificada de uma multa de R$ 3.000.000,00. O motivo: falhas na proteção de dados pessoais que expuseram milhares de pessoas. A autoridade fiscalizadora não é a Receita Federal. É a ANPD, e a lei é a LGPD. Este não é um caso isolado. É o primeiro sinal de que o período de adaptação acabou.

Por que uma multa de R$ 3 milhões importa para sua PME?

Porque a LGPD não olha para o tamanho do CNPJ. Ela olha para o dano. A empresa multada não foi um gigante do varejo ou um banco. Foi uma operadora de planos de saúde. O que ela fez de errado? Deixou um sistema de agendamento online exposto na internet, sem senha, por meses. Dados de pacientes, incluindo nome, CPF, endereço e procedimento médico, estavam abertos para qualquer um que soubesse o link.

A falha é técnica, mas a responsabilidade é do negócio. Para a ANPD, não importa se foi "um erro do fornecedor" ou "uma falha no sistema terceirizado". A conta vai para o CNPJ que coletou os dados. Na sua empresa, quem cuida dos dados dos clientes? Do cadastro do e-commerce? Das notas fiscais com CPF? Do controle de ponto dos funcionários? Cada um desses pontos é um vetor para uma multa que pode chegar a 2% do seu faturamento, limitada a R$ 50 milhões por infração.

O que a ANPD viu e o que ela vai ver no seu escritório?

A ação da ANPD segue um roteiro que toda empresa deve conhecer. Ela não começou com a multa. Começou com uma investigação motivada por um vazamento real. Depois, a autoridade verificou se a empresa tinha:

• Um Encarregado de Dados (DPO) nomeado e acessível;
• Um mapeamento de onde os dados pessoais fluem;
• Medidas técnicas mínimas (como criptografia e controle de acesso);
• Contratos em ordem com operadores (fornecedores que processam dados).

A empresa multada falhou em todos esses pontos. Na prática, isso se traduz em cenários comuns em PMEs e escritórios contábeis: planilhas com CPF de clientes enviadas por WhatsApp, backups de sistemas contábeis em HDs externos sem senha, acesso total de estagiários a todos os clientes no software de gestão, e-mails com anexos sensíveis sem qualquer proteção.

A pergunta da ANPD é simples: quais dados você coleta e como você os protege? Se a resposta for "não sabemos" ou "o sistema cuida", o risco já está materializado.

A multa é só o começo. O que mais pode vir?

Os R$ 3 milhões são a sanção administrativa. Mas o processo não para aí. A LGPD abre caminho para:

• Ações individuais de indenização: Cada pessoa cujos dados foram vazados pode processar a empresa por danos morais. Um vazamento de 10 mil registros pode gerar 10 mil processos.
• Bloqueio ou eliminação dos dados: A ANPD pode ordenar que a empresa pare de tratar os dados, o que, para um e-commerce ou uma clínica, significa parar de operar.
• Publicação da infração: Seu nome no "ranking" público das empresas penalizadas, com impacto irreparável na reputação.

Para o contador, o risco é duplo: o do seu próprio escritório (que lida com dados fiscais e salariais sensíveis) e o dos seus clientes, que podem trazer o problema para a sua mesa junto com uma notificação extrajudicial.

A digitacao vai sumir. O contador estrategico, nao.

A LGPD não é uma burocracia a mais. É uma redefinição do valor do dado. O escritório que só digita e transmite declarações está sentado em um ativo de risco. O escritório que entende os fluxos de dados do cliente, que ajuda a estruturar a coleta e o consentimento, e que audita os processos internos, se torna parceiro estratégico.

A DLL vê essa transição nos clientes que evoluem. Não se trata de virar especialista em privacidade da noite para o dia. Trata-se de integrar a proteção ao ciclo natural do negócio: ao contratar um funcionário, ao emitir uma nota, ao integrar um novo software. A tecnologia que automatiza a contabilidade também deve automatizar a segurança. Um sistema que preenche a guia do DARF sozinho também deve criptografar o arquivo de transmissão. A responsabilidade segue do CNPJ, mas a execução pode e deve ser segura por design.

A primeira multa da ANPD é um marco. Ela tira a LGPD do campo da teoria e a coloca no campo do risco financeiro mensurável. Para sua empresa, a pergunta deixou de ser "se vamos nos adequar" e passou a ser "quanto vai custar se não nos adequarmos". O período de avisos acabou. A fiscalização começou.