A multa simples da LGPD é de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração (art. 52, II da Lei 13.709/2018). Não é 2% do faturamento bruto, e o teto de R$ 50 milhões é limite, não uma alternativa "o que for maior". Antes da multa a lei põe a advertência com prazo para corrigir; depois dela, sanções que vão até a proibição de tratar dados — que, para um curso online, é o fim da operação. E o que decide de que lado dessa conta você fica não é o texto da lei: é o que a plataforma onde o seu curso roda faz com o dado do aluno todo dia.
Quem vende curso online costuma descobrir a LGPD por uma frase solta: "a multa é de 2% do faturamento". A frase circula em post de rede social, em conversa de bastidor e — o que é mais novo — nas respostas automáticas de busca. Ela está quase certa, e o "quase" é a parte cara.
Este artigo faz duas coisas. Primeiro, lê o texto do art. 52 com o Planalto aberto e corrige a conta, porque o número errado leva a decisões erradas nos dois sentidos: gente que se apavora sem motivo e gente que relaxa porque "2% do meu faturamento é pouco". Depois — e é aqui que ele se separa do que já existe sobre o assunto — traduz a lei para o único lugar onde ela é cumprida ou descumprida no seu negócio: a plataforma onde o curso roda.
"2% do faturamento": a frase que quase todo mundo repete errado
O texto do art. 52, II, da Lei 13.709/2018, conferido no Planalto em 07/09/2026, é este:
"multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração"
São três precisões que quase ninguém faz, e cada uma muda uma decisão diferente:
- É "excluídos os tributos", não "faturamento bruto". A base de cálculo é o faturamento no Brasil menos os tributos, o que já afasta a leitura de que a ANPD olharia o número cheio da nota. Para um curso vendido com imposto embutido no preço, a diferença não é decorativa.
- Os R$ 50 milhões são teto, não alternativa. Circula muito a versão "2% ou 50 milhões, o que for maior". A lei diz o contrário: 2% limitados a R$ 50 milhões. O teto protege o grande, não pune o pequeno.
- O limite é por infração. Essa é a parte que, dependendo do caso, é pior e não melhor: um mesmo processo pode reunir mais de uma infração, e o teto se aplica a cada uma. Some-se a isso a multa diária do inciso III, que corre observando o mesmo limite total.
Vale registrar de onde vem o vício. Em consultas feitas em 06 e 07 de setembro de 2026, as respostas automáticas do Google repetem o termo "bruto" ao explicar a multa — ora dizendo "faturamento bruto anual do último exercício (excluídos os tributos)", numa mesma frase contraditória, ora dizendo apenas "2% do faturamento bruto anual", sem qualquer menção à exclusão dos tributos. O termo se repete; a formulação, não. Por isso o que este artigo corrige é a palavra, com o texto da lei ao lado — não um print de tela.
E não vale generalizar para "toda inteligência artificial erra isso": na mesma rodada de consultas, outra ferramenta de busca com IA citou a regra corretamente, com "excluídos os tributos" e "por infração" no lugar. O problema não é a máquina: é o conteúdo jurídico repetido que alimenta o índice, e que ela reproduz.
A multa é a última linha, não a primeira: a escada de sanções do art. 52
Fixar-se no valor da multa esconde o desenho real da lei. O art. 52 não é um artigo sobre multa; é uma lista de sanções administrativas que a autoridade aplica, segundo o § 1º, de forma gradativa, isolada ou cumulativa, depois de procedimento com ampla defesa, considerando gravidade, boa-fé do infrator, vantagem obtida, condição econômica, reincidência, grau do dano, cooperação e a pronta adoção de medidas corretivas.
O primeiro degrau é advertência, com indicação de prazo para adoção de medidas corretivas. Ou seja: no desenho da lei, o caminho normal de quem é fiscalizado começa com uma chance de corrigir. Quem tem processo documentado e consegue mostrar o que já fazia chega nessa conversa em outra posição — o § 1º lista explicitamente, entre os critérios, "a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano" e "a pronta adoção de medidas corretivas".
No outro extremo estão os degraus que a Lei 13.853/2019 acrescentou e que quase nunca aparecem nos textos sobre o assunto: suspensão parcial do funcionamento do banco de dados pelo período máximo de seis meses, prorrogável por igual período; suspensão do exercício da atividade de tratamento pelo mesmo prazo; e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
Pare um segundo nesse último. Para um curso online, "proibição de tratar dados" não é uma multa que se paga e segue a vida: sem tratar dado pessoal não há matrícula, não há login, não há emissão de nota, não há aula liberada para um aluno específico. É o desligamento da operação. E há um degrau antes dele que dói de um jeito diferente: a publicização da infração. Num mercado que vive de confiança — o aluno compra antes de receber —, virar caso público custa matrícula por muito mais tempo do que custa o cheque.
O risco de quem é pequeno não é o valor: é a interrupção
Se o seu faturamento é modesto, 2% dele é um número pequeno — e é exatamente por isso que olhar só a multa dá uma falsa sensação de segurança. O que pode quebrar um curso pequeno é o degrau que para a operação, e a conta de reparação individual que vem por fora do processo administrativo. Voltamos a ela na seção do art. 42.
Sair do Brasil não tira você do alcance da ANPD
Existe uma crença arraigada no mercado de infoprodutos de que hospedar lá fora "sai do radar", e a crença gêmea de que a LGPD obriga a manter tudo em servidor brasileiro. As duas estão erradas, e a página de Fiscalização da ANPD resolve a primeira em uma frase, conferida em 07/09/2026:
"Estão sujeitos à fiscalização todos os agentes de tratamento (Controlador ou Operador), sejam eles pessoa natural, jurídica de direito público ou privado, independentemente do meio, do país - sede da organização ou de onde estejam localizados os dados, desde que: a operação de tratamento esteja sendo realizada no território nacional; o tratamento tenha por objetivo a oferta de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou os dados pessoais tenham sido coletados no Brasil."
Se você vende curso para aluno no Brasil, você preenche o critério. O servidor estar em outro continente não muda isso — muda apenas quem você vai ter que convencer a colaborar no dia em que precisar responder à autoridade ou ao próprio aluno.
E a segunda crença, a de que a lei obriga a hospedar no Brasil, também não se sustenta: a LGPD não tem regra de localização de dados em território nacional. O que ela tem é o art. 33, que lista as hipóteses em que a transferência internacional é permitida — para países ou organismos que proporcionem grau de proteção adequado; mediante garantias na forma de cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais ou selos, certificados e códigos de conduta; e outras situações específicas, como autorização da autoridade nacional.
Traduzindo: hospedar fora não é proibido, é regulado. E a diferença prática entre "proibido" e "regulado" é quem faz o trabalho: se o dado sai do país, alguém precisa ter escolhido a hipótese do art. 33 que autoriza a saída e ter o documento que a sustenta. Se você nunca discutiu isso com o seu fornecedor, provavelmente ninguém escolheu. É a mesma discussão, pelo lado do vídeo e do fornecedor de streaming, que está no artigo e quando o fornecedor do vídeo é gringo?, do blog da JMVStream.
O mapa: quais dados do aluno o seu curso trata sem perceber
Antes de qualquer checklist, é preciso saber o que está em jogo. A conversa sobre LGPD em curso online quase sempre para no cadastro — nome, e-mail, CPF. Só que o cadastro é a metade fácil. A outra metade é gerada pela plataforma, sozinha, enquanto o aluno assiste.
| Dado | De onde vem | Por que a LGPD alcança |
|---|---|---|
| Nome e e-mail | cadastro | identificam a pessoa natural — dado pessoal por definição |
| CPF | cadastro / nota fiscal | obrigatório para emitir a nota, e o mais sensível a vazamento por permitir cruzamento |
| Endereço | cadastro / cobrança | dado de localização, sujeito ao princípio da necessidade |
| Dados de pagamento | checkout | tratados por você ou pelo gateway — em ambos os casos há responsabilidade a definir em contrato |
| Endereço IP | gerado pela plataforma | registro de acesso que revela localização aproximada e rotina |
| Histórico de visualização | gerado pela plataforma | diz o que a pessoa estudou, quando e quantas vezes |
| Tempo de aula e progresso | gerado pela plataforma | perfil de comportamento — exige finalidade declarada e retenção definida |
| Comportamento na plataforma | gerado pela plataforma | o mais esquecido de todos, e o que mais cresce com o tempo |
Os quatro últimos são os que o infoprodutor esquece que existem, porque ninguém os digitou: eles nascem do uso.
Esses quatro últimos são o motivo pelo qual a conformidade não se resolve no formulário de cadastro. Eles se acumulam em log, em banco e em backup, e caem direto sob os princípios do art. 6º: finalidade (propósito legítimo, específico, explícito e informado ao titular), adequação (compatibilidade com a finalidade informada), necessidade (limitação ao mínimo necessário) e segurança (medidas técnicas e administrativas contra acesso não autorizado e situações acidentais ou ilícitas).
A pergunta prática que decorre disso é curta e a maioria das operações não sabe responder: por quanto tempo você guarda o histórico de aula de um aluno que cancelou há três anos, e por quê?
A pegadinha da marca d'água: ela precisa do dado do aluno
Aqui está o ponto que nenhum texto jurídico sobre LGPD e curso online costuma tocar, porque exige conhecer o encanamento do vídeo.
A defesa mais eficaz contra gravação de tela é a máscara que exibe o CPF ou o e-mail do próprio aluno sobreposto à aula. Ela funciona porque transfere o risco: quem grava está gravando o próprio identificador junto. É a técnica descrita em detalhe no artigo sobre proteção do curso contra screencast.
Só que, para o CPF aparecer sobre o vídeo, ele precisa estar disponível onde o vídeo é servido. Se o seu player e o seu streaming estão em um fornecedor, é para lá que esse dado vai — e, se esse fornecedor está fora do país, você acabou de criar uma transferência internacional de dado pessoal a partir de uma medida de segurança.
Isso não é argumento para abandonar a marca d'água; é argumento para saber o que ela implica. Uma medida antipirataria cria um fluxo de dado pessoal, e esse fluxo precisa de finalidade declarada, base legal e — se cruzar a fronteira — de uma das hipóteses do art. 33. A conclusão operacional é simples: quanto mais perto do vídeo o dado do aluno tiver que chegar, mais importa onde o vídeo mora.
O que a plataforma tem que entregar (checklist operacional)
Este é o pedaço que a discussão jurídica sobre LGPD não cobre e que, para quem vende curso, é o que decide o resultado. Cada item abaixo está amarrado a um dispositivo da lei.
- Controle de acesso individual e registro de sessão. Quem entrou, quando e de onde. É o que permite dizer, num incidente, quais alunos foram afetados — sem isso, a comunicação do art. 48 vira chute. Também é o alicerce do bloqueio de rateio, tratado no artigo sobre segurança no nível do login.
- Política de retenção declarada e mecanismo de eliminação. O art. 16 determina que os dados sejam eliminados após o término do tratamento, ressalvadas as hipóteses de conservação que ele lista (obrigação legal, pesquisa, transferência regular e uso exclusivo anonimizado). Isso exige um botão que exista de verdade, não uma cláusula de política de privacidade.
- Canal para o titular exercer direitos. O art. 18 dá ao aluno o direito de obter confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos e portabilidade. Alguém precisa receber esse pedido e conseguir cumpri-lo dentro da plataforma.
- Plano de comunicação de incidente. O art. 48 exige comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante, em prazo razoável definido pela autoridade, com conteúdo mínimo definido em lei. Plano escrito antes, não improvisado depois.
- Contrato com o fornecedor na condição de operador. O art. 5º, VII, define operador como quem realiza o tratamento em nome do controlador. Se a plataforma trata dado do seu aluno, ela é operadora — e o contrato precisa dizer isso, com obrigação de notificar incidente, limites de subcontratação e destino dos dados no fim do contrato.
- Clareza sobre responsabilidade. O art. 42 distribui a responsabilidade civil entre controlador e operador. Saber de antemão quem responde por quê é o que evita descobrir isso numa audiência.
Um recorte útil para decidir: os itens 1, 2 e 3 são funcionalidades — ou existem no produto, ou não existem, e nenhum contrato os cria. Os itens 4, 5 e 6 são documentos, e podem ser exigidos de quem já é seu fornecedor. Comece perguntando os três primeiros, porque são os que levam tempo para trocar.
Quem denuncia não é a fiscalização: é o seu aluno
Há uma imagem mental equivocada de como um caso de LGPD começa: a de um fiscal que aparece. Na prática, o gatilho quase sempre é o titular — a pessoa cujo dado vazou. É ela quem tem interesse direto, é ela quem percebe primeiro (recebe o spam, vê o próprio dado circulando, é avisada por um serviço de checagem de vazamento) e é ela quem registra a reclamação.
Para quem vende curso, isso reposiciona a questão. O aluno insatisfeito não é só um risco de reembolso e de reclamação pública: é o acionador mais provável de um processo administrativo. Vale dizer com honestidade o que se sabe e o que não se sabe aqui: as denúncias de titulares vêm crescendo, e é assim que o assunto aparece no episódio que originou este texto — mas o número específico citado no ar não foi confirmado em fonte primária, e por isso não é reproduzido aqui.
O mesmo critério vale para os casos concretos. A primeira sanção aplicada pela ANPD é citada no episódio, e também por respostas automáticas de busca, no valor de R$ 14.400 — mas a página de sanções administrativas da ANPD não lista os casos em linha, remetendo a outras bases, e as versões divergem sobre quem foi sancionado e quando. Então fica registrado assim: a primeira sanção aplicada pela ANPD teria sido de R$ 14.400 (dado citado no podcast e repetido por respostas de IA — não confirmado em fonte primária). O mesmo vale para a multa milionária de 2025 mencionada no episódio. Ordem de grandeza é uma coisa; fato verificado é outra, e um artigo que fala de conformidade não pode confundir as duas.
Para um curso pequeno, a conta que dói não é a da ANPD: é o art. 42
Se o seu faturamento é modesto, você já percebeu o problema do raciocínio "2% é pouco". O risco financeiro real de um vazamento em curso online costuma estar fora do processo administrativo — está na reparação civil, que cada aluno pode cobrar por conta própria.
É o que diz o art. 42: o controlador ou o operador que, no exercício de atividade de tratamento, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo. E o artigo tem três engrenagens que mudam o cálculo:
- Solidariedade do operador (§ 1º, I): o operador responde solidariamente quando descumprir as obrigações da lei ou não seguir as instruções lícitas do controlador — e nessa hipótese equipara-se ao controlador. É por isso que o contrato de operador do checklist não é burocracia.
- Solidariedade entre controladores (§ 1º, II): controladores diretamente envolvidos no tratamento do qual decorreu o dano respondem solidariamente.
- Inversão do ônus da prova (§ 2º): o juiz pode inverter o ônus a favor do titular quando a alegação for verossímil, quando houver hipossuficiência para produzir prova ou quando produzi-la for excessivamente oneroso para ele. Na prática, quem terá de demonstrar que tratava os dados corretamente é você.
A consequência aritmética é direta: num negócio em que 2% do faturamento é um número pequeno, um conjunto de ações individuais de alunos pode superar de longe a sanção administrativa — e cada uma delas corre independentemente de a ANPD ter ou não instaurado processo. O § 3º ainda prevê que a reparação por danos coletivos possa ser exercida coletivamente em juízo.
Não há como estimar valores aqui, e este artigo não vai fingir que há: quanto custa um dano moral individual depende do caso, do juízo e da prova, e citar jurisprudência que não se leu é o tipo de atalho que estraga um texto sobre conformidade. O que dá para afirmar com o texto da lei na mão é o mecanismo — e o mecanismo aponta para o mesmo lugar que o checklist da seção anterior: a defesa mais barata é conseguir demonstrar o que você fazia antes do incidente.
O episódio que originou este artigo
A pauta veio do episódio LGPD na Hospedagem de Vídeo: Hospedar Fora do Brasil Pode Quebrar Seu Curso com Multa Milionária, do podcast Café & Tech, publicado em 18 de junho de 2026 (1h09min): assistir ao episódio completo no YouTube.
O mapa de dados do aluno e a observação sobre a marca d'água — os dois pontos mais originais deste texto — saíram de lá. Já a conta da multa, não: o episódio repete "2% do faturamento bruto" e, mais adiante, "2% ou 50 milhões, o que for maior". As duas formulações estão corrigidas acima, com o texto do art. 52 aberto. O trecho abaixo é reproduzido com as notas de correção no lugar.
Abrir o trecho do episódio sobre dados do aluno, marca d'água e sanções
Mário Sérgio: E falando dessa questão da proteção, para ficar bem claro aqui pro pessoal também: quando você hospeda um curso online, você trata de dados pessoais dos seus alunos. Normalmente esses dados são nome, e-mails, CPF — quando tem principalmente a emissão da nota fiscal, que é um documento obrigatório —, endereço IP, que seria a questão da localização, dados de pagamento, que é pior ainda, que é a questão de dados de cartão de crédito, e por aí vai. Histórico de visualização, tempo de aula, rotina, progresso e o comportamento dentro da plataforma. Tudo isso se enquadra em dados que precisam de proteção em conformidade com a LGPD.
Mário Sérgio: A LGPD exige que esses dados tenham finalidade específica — ou seja, única e exclusivamente aquela finalidade, consumir o seu conteúdo —, segurança adequada, transferência internacional legal apenas se for legalizado, e a transparência, principalmente quando você está hospedando esse vídeo fora do Brasil: você não hospeda só o arquivo, você está transferindo todos esses dados que eu citei para trafegar internacionalmente.
Josimar Machado: É aí que o bicho pega. Nós, como pioneiros, criamos uma camada de segurança adicional há doze anos, que era a máscara de screencast, que fica exibindo o CPF ou e-mail do cara na tela. Para aquilo chegar no vídeo, os dados têm que estar onde? No mesmo lugar do vídeo, na plataforma.
[Nota do editor: este é o ponto de partida do H2 sobre marca d'água deste artigo. A afirmação de que a JMV criou a técnica há doze anos é da própria empresa, não um fato verificado por terceiros.]
Josimar Machado: E aí você coloca a hospedagem num local desses — pensa se vaza um trem desse: multa de até 2%. Se me multam hoje com 2% do meu faturamento bruto, eu fecho a empresa.
[Nota do editor: a base de cálculo não é o faturamento bruto. O art. 52, II, da Lei 13.709/2018 diz "de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 por infração". Em outro trecho do episódio a regra é descrita como "2% ou 50 milhões, o que for maior", o que também não confere: os R$ 50 milhões são teto, não alternativa.]
Mário Sérgio: Quem regulamenta geralmente essas multas é a ANPD, que é a Autoridade Nacional de Proteção de Dados. E o número de denúncias explodiu — e sabe de onde vem a maioria dessas denúncias? De cidadãos que têm reclamações sobre violações dos seus próprios dados. A população está cada vez mais consciente dos seus direitos quanto à proteção de seus dados. Aquilo que a gente falou lá no comecinho: às vezes nem é o seu concorrente, é o próprio aluno.
[Nota do editor: o percentual de crescimento das denúncias citado no episódio, assim como os valores de sanções específicas mencionados na sequência, não foram confirmados em fonte primária e por isso não aparecem no corpo deste artigo.]
Se depois de ler isso você foi conferir o que a sua operação registra e não achou resposta para "quais alunos foram afetados", o problema não é jurídico: é de produto. Controle de acesso individual, log de sessão por aluno, retenção definida e marca d'água servida junto com o vídeo são coisas que a plataforma entrega ou não entrega — na Nochalks elas vêm integradas, com o dado hospedado no Brasil. Para conversar sobre como isso fica no seu curso, chame no WhatsApp (11) 4063-8923, em horário comercial estendido.
Aviso. Este artigo é informativo e não é parecer jurídico. Ele reúne texto de lei em vigor e a página oficial de fiscalização da autoridade, com as fontes linkadas para conferência, e sinaliza expressamente o que não foi confirmado em fonte primária. Cada operação tem particularidades — de base legal, de contrato e de arquitetura — que só um advogado, olhando a sua, consegue avaliar.