A Autoridade Nacional de Proteção de Dados (ANPD) deixou a fase de orientação e passou a aplicar multas reais em 2026 — inclusive contra microempresas. Segundo apuração da Minotto Contabilidade, a primeira sanção da história da ANPD atingiu a Telekall Infoservice, uma microempresa multada em cerca de R$ 14.400, valor calculado sobre 2% do faturamento anual — o critério que a lei usa para dimensionar a pena. Se o site da sua empresa coleta e-mail num formulário de contato, usa cookies de rastreamento (Google Analytics, Meta Pixel) ou guarda conversa de WhatsApp, ele já trata dado pessoal e está dentro do escopo dessa fiscalização, independente do tamanho do negócio.
O que mudou na fiscalização da ANPD
Até pouco tempo atrás, a ANPD era vista por muitos empresários como um órgão de orientação — que publicava guias, mas raramente autuava. Isso mudou. A agência passou a operar como um fiscalizador de verdade, com equipe própria e orçamento próprio, definiu prioridades de fiscalização para 2026-2027 (dados de saúde, biometria, informações financeiras e dados de menores de idade) e adotou uma postura de auditoria mais ativa.
A seriedade da nova fase aparece também no tratamento dado a quem ignora a ANPD: segundo a DPOnet, empresas como Google e iFood receberam penalidades com prazo de correção de 10 dias úteis, e 21 entidades foram encaminhadas direto para processo sancionador por não responderem às solicitações da agência. Não responder deixou de ser uma opção segura — vale tanto para uma multinacional quanto para o escritório de 15 pessoas que nunca pensou em LGPD além do rodapé do site.
Por que isso importa para o site da sua empresa, não só para as grandes
O caso da Telekall Infoservice é o dado mais importante para quem toca uma empresa pequena: porte não é escudo. O que determina se a sua empresa está no radar da ANPD é se ela trata dado pessoal — e a maioria dos sites institucionais trata, mesmo sem perceber:
- Formulário de contato que salva nome, e-mail e telefone
- Botão de WhatsApp que abre conversa e guarda o histórico
- Google Analytics ou Meta Pixel rodando antes de qualquer consentimento
- Newsletter ou captura de lead para campanhas de anúncio
- Cadastro de cliente feito por planilha ou CRM ligado ao site
Qualquer um desses pontos já enquadra o site na LGPD. A exigência básica é: política de privacidade publicada e atualizada, banner de consentimento de cookies que bloqueia o rastreamento até o visitante aceitar, e um encarregado de dados (DPO) identificado para responder solicitações.
O que fazer na prática, sem virar projeto de meses
Ajustar um site que já está no ar não costuma exigir reconstrução. Os itens que resolvem a maior parte da exposição são pontuais:
- Mapear o que o site coleta hoje — formulário, WhatsApp, cookies de analytics e pixel de anúncio
- Publicar (ou revisar) a política de privacidade para refletir exatamente o que o site faz, sem texto genérico copiado de outro site
- Instalar um banner de consentimento de cookies que bloqueia o disparo de rastreamento até o aceite do visitante (o padrão técnico atual é o Google Consent Mode v2)
- Nomear um encarregado de dados — pode ser terceirizado, não precisa ser uma contratação interna nem um cargo técnico dedicado
- Ter um protocolo simples de resposta: quem lê e responde se a ANPD ou um cliente pedir os dados que a empresa guarda sobre ele
Quando esses itens não vieram desde a criação do site, o caminho mais eficiente é resolver tudo de uma vez — junto com uma manutenção ou repaginação —, em vez de ir corrigindo peça por peça conforme a pressão aparece. É exatamente esse pacote (banner de consentimento, dados estruturados, tracking configurado corretamente) que entra por padrão quando um site institucional é construído do zero hoje.
Perguntas frequentes
- Minha empresa pequena também pode ser multada pela ANPD?
- Sim. A primeira multa aplicada pela ANPD, segundo apuração da Minotto Contabilidade, foi contra uma microempresa (Telekall Infoservice), no valor de aproximadamente R$ 14.400, calculado sobre 2% do faturamento anual da empresa. Porte não é critério de isenção — o que importa é se a empresa trata dado pessoal, e um site com formulário de contato ou cookies de rastreamento já se enquadra.
- Preciso ter um encarregado de dados (DPO) mesmo sendo uma empresa pequena?
- Sim, a LGPD exige a indicação de um encarregado independente do porte da empresa. Para negócios pequenos, esse papel pode ser terceirizado — não precisa ser uma contratação interna nem um cargo técnico dedicado, apenas alguém identificado e disponível para responder solicitações.
- O que meu site precisa ter para estar em conformidade com a LGPD?
- No mínimo três itens: uma política de privacidade publicada e atualizada que reflita o que o site realmente faz, um banner de consentimento de cookies que bloqueia o rastreamento (Analytics, Pixel) até o visitante aceitar, e um encarregado de dados identificado para responder pedidos da ANPD ou de clientes.
- Quanto tempo leva para colocar um site em conformidade com a LGPD?
- Ajustes de conformidade — banner de consentimento, política de privacidade e formalização do encarregado de dados — costumam ser resolvidos em poucos dias quando feitos de forma direta, especialmente se aproveitados junto com uma manutenção ou repaginação do site. Não é, na maioria dos casos, um projeto separado de meses.
