ANPD multou a clínica por vazamento de dados: quanto tempo tenho para recorrer da multa?

A ANPD já aplicou as primeiras sanções administrativas por descumprimento da LGPD, e clínicas que tratam dado de saúde — dado sensível — estão na mira, sobretudo depois de vazamento ou ataque de ransomware. Quando a intimação da decisão chega, o relógio começa a correr, e boa parte das clínicas perde prazo ou desconto por não conhecer o processo sancionador.

Quanto tempo tenho, exatamente, para recorrer?

O art. 58 da Resolução CD/ANPD nº 1/2021, que regula o processo de fiscalização e o processo administrativo sancionador, dá ao agente autuado 10 dias úteis, contados da intimação, para interpor recurso administrativo contra a decisão de primeira instância. O recurso é dirigido ao Conselho Diretor da ANPD, que funciona como última instância administrativa.

A intimação costuma chegar por meio eletrônico, dentro do mesmo processo que já tramitava desde a fiscalização — não existe aviso por carta registrada. Contar o prazo a partir da data errada, ou só perceber a intimação dias depois, é a forma mais comum de perder o direito de recorrer.

Vale mais recorrer ou pagar com desconto?

A decisão passa por três números que a Resolução CD/ANPD nº 4/2023 estabelece:

• Art. 17 — a multa deve ser paga em até 20 dias úteis, contados da ciência oficial da decisão. Esse prazo é contado em dobro para agente de tratamento de pequeno porte, conforme os critérios da Resolução CD/ANPD nº 2/2022.
• Art. 18 — quem renuncia expressamente ao direito de recorrer e paga dentro do prazo do art. 17 tem desconto de 25% sobre o valor da multa aplicada.
• Art. 19 — pagar a multa depois da intimação não impede, por si só, o recurso: é possível pagar e ainda assim recorrer. Mas, nesse caso, não há o desconto de 25%, porque ele exige renúncia expressa ao recurso. Se o recurso for provido, o valor pago retorna à clínica corrigido pela taxa Selic.

Isso cria três caminhos: pagar com desconto e abrir mão do recurso; pagar sem desconto e recorrer mesmo assim; ou não pagar e recorrer, arriscando juros de mora e multa moratória de 0,33% ao dia (limitada a 20%) se o recurso for negado. A escolha depende de quão sólida é a defesa técnica — se há prova de que as medidas de segurança e o plano de resposta ao incidente existiam antes do vazamento, o recurso tende a ter mais chance. Avaliar isso em 10 dias úteis costuma exigir apoio jurídico rápido: um escritório especializado em defesa de médicos pode orientar sobre qual caminho reduz o risco financeiro da clínica.

Como a ANPD calcula o valor da multa?

A dosimetria segue uma fórmula prevista na Resolução CD/ANPD nº 4/2023: o valor final resulta de um valor-base ajustado por circunstâncias agravantes e atenuantes, sempre limitado ao teto legal. O art. 15, II, trava o resultado em 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, ou R$ 50 milhões por infração — o que for menor.

Pesam a favor da clínica a adoção prévia de boas práticas: ter um encarregado de dados (DPO) formalmente indicado, política de retenção e descarte de prontuário documentada, e resposta rápida ao incidente. A ausência dessas medidas costuma funcionar como agravante, assim como reincidência. Guardar dado de paciente em servidor de nuvem fora do Brasil ou compartilhar informação com apps de gestão de terceiros sem cláusula clara de operador também entra na análise como fator que agrava a dosimetria.

O que diz a lei

A sanção tem base na LGPD (Lei nº 13.709/2018), art. 52, que lista as penalidades administrativas aplicáveis a quem trata dado pessoal em desacordo com a lei, incluindo multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. A Resolução CD/ANPD nº 4/2023 regulamenta a dosimetria e a aplicação dessas sanções: art. 15 (teto da multa), art. 17 (prazo de pagamento), art. 18 (desconto por renúncia ao recurso) e art. 19 (efeito do pagamento sobre o direito recursal). Já a Resolução CD/ANPD nº 1/2021, no art. 58, fixa o prazo de 10 dias úteis para o recurso administrativo contra a decisão de primeira instância.

Erros que fazem a clínica perder o prazo ou o desconto

Não monitorar o processo eletrônico depois da fiscalização. A intimação da decisão sancionadora normalmente chega no mesmo canal eletrônico do processo de fiscalização — não por carta. Clínica que só acompanha e-mail genérico de recepção perde o prazo sem perceber.

Pagar a multa sem renunciar formalmente ao recurso. Pagar dentro do prazo não garante, sozinho, o desconto de 25%: o art. 18 exige renúncia expressa ao direito de recorrer.

Recorrer sem provas de medidas de mitigação. Recurso que não anexa evidência concreta — DPO nomeado, log de resposta ao incidente, política de retenção aplicada — dificilmente reverte a dosimetria da primeira instância.

Tratar o caso como encerrado só porque pagou. Se a causa do vazamento não é corrigida (acesso sem controle, prontuário sem prazo de descarte definido), a reincidência pesa muito mais na próxima dosimetria.

Entender o prazo e o cálculo da multa é só a primeira parte: a prevenção, documentando cada decisão sobre dado de paciente, continua sendo o que realmente reduz o risco da clínica.

Perguntas frequentes