Serasa, R$ 200 milhões de multa e o motivo pelo qual a sua empresa pode ser a próxima

Em dezembro de 2023, o Ministério Público Federal entrou com uma ação pedindo R$ 200 milhões de multa contra a Serasa Experian. Motivo? Comercialização irregular de dados de 223 milhões de brasileiros — basicamente, todo mundo no país, incluindo gente que já morreu.

Some a isso o pedido de indenização individual de R$ 30 mil por pessoa afetada e você chega num número que dá vertigem.

A Serasa é uma das maiores empresas de análise de crédito do país. Tem time jurídico, time de segurança, processos. E mesmo assim está respondendo na justiça.

Pergunta direta: e a sua empresa, está pronta?

O que muita gente ainda não entendeu sobre a LGPD

A Lei Geral de Proteção de Dados não é mais novidade. Está em vigor desde 2020 e a Autoridade Nacional de Proteção de Dados (ANPD) já está aplicando multas. O que muita gente perdeu foi a mudança no jogo: não é mais opcional.

E o pior: a multa por incidente vai até R$ 50 milhões ou 2% do faturamento — o que for maior. Por incidente. Se acontecerem três, são três multas.

Some indenização individual a cada cliente afetado, custo de notificação obrigatória em 72 horas, advogados, consultoria forense, gestão de crise na imprensa. O dinheiro evapora rápido.

O caso que ninguém quer protagonizar

Em 2024, a Justiça condenou a Caixa Econômica, a Dataprev e a União a pagar até R$ 60 bilhões por um vazamento que expôs dados de 4 milhões de beneficiários do Auxílio Brasil. A decisão ainda cabe recurso, mas o recado para o mercado é claro: o judiciário está levando a sério.

Já o STJ tem firmado posição de que vazamento de dados sensíveis (saúde, financeiro, biometria) gera dano moral presumido — ou seja, o cliente nem precisa provar que sofreu prejuízo para receber indenização.

Tradução para CFO: se vazou dado sensível, prepare o cheque.

"Mas eu sou uma empresa pequena, não vão me notar"

Foi exatamente isso que a Telekall Infoservice, uma microempresa de telemarketing do Espírito Santo, pensou. Em julho de 2023, virou a primeira empresa a ser multada pela ANPD. O valor foi modesto (R$ 14.400), mas o recado foi claro: a fiscalização não escolhe tamanho.

E aqui tem um detalhe que poucos executivos sabem: parte da multa foi por não ter um encarregado de dados nomeado. Só isso. Empresa pequena, infração pequena, multa proporcional. Mas multa.

Se a sua empresa não tem essa figura, hoje, agora, você já está em descumprimento.

A conta que todo executivo deveria fazer

Quanto custa prevenir:

Auditoria de adequação à LGPD: a partir de R$ 2900 mil
Pentest para identificar falhas de segurança: R$ 5 a 50 mil
Implantação de controles e treinamento: variável, mas geralmente abaixo de R$ 100 mil

Quanto custa remediar depois do estrago:

Multa ANPD: até R$ 50 milhões por incidente
Indenizações individuais: R$ 5 a 30 mil por cliente
Honorários de gestão de crise: centenas de milhares
Queda de receita pela perda de confiança: incalculável

A matemática é desconfortável de tão simples.

A verdade que ninguém gosta de ouvir

A maioria das empresas brasileiras está vulnerável agora. Não porque os gestores sejam ruins, mas porque a área de TI foi tradicionalmente vista como custo, não como proteção. E quando o incidente acontece, geralmente já é tarde para fazer alguma coisa que não seja apagar incêndio.

A diferença entre quem vira manchete e quem dorme tranquilo costuma estar em três decisões simples: fez auditoria, corrigiu o que precisava, e revisa periodicamente.

Onde a NexGuard entra

A gente não vende susto, vende sossego. O serviço é direto: avaliamos a maturidade da sua empresa em relação à LGPD, identificamos as falhas críticas, e entregamos um plano de ação priorizado pelo risco real.

Em algumas semanas, você sai do território "vamos torcer para não acontecer" para "estamos protegidos e em conformidade".

Quer entender em quais pontos sua empresa está exposta? Agende uma conversa de 20 minutos. Sem termos técnicos, sem pressão. Só uma análise honesta de onde você está e o que precisa ser feito.

A próxima manchete pode ser de outra empresa. Ou pode ser a sua. A decisão ainda é sua — por enquanto.

Casos documentados pelo Ministério Público Federal, Tribunal de Justiça e Autoridade Nacional de Proteção de Dados (ANPD).