A lei prevê um conjunto gradual de sanções administrativas aplicáveis pela Autoridade Nacional de Proteção de Dados, iniciando por advertência com prazo para adoção de medidas corretivas. Há ainda multa simples, limitada a percentual do faturamento com teto por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos.
Em situações mais graves, admite-se a suspensão parcial ou total do funcionamento do banco de dados e da atividade de tratamento, medida com potencial de interromper operações que dependem dessas informações. A dosimetria considera gravidade, boa-fé, vantagem obtida, condição econômica, reincidência, cooperação e a existência de política de boas práticas.
Além da esfera administrativa, permanecem as responsabilidades civil e consumerista, com possibilidade de ações individuais e coletivas movidas por titulares, associações e Ministério Público. Na prática, a existência de um programa de conformidade documentado costuma ser considerada como atenuante, o que reforça o valor da adequação preventiva. A autoridade tem privilegiado, em sua atuação inicial, medidas orientativas e prazos para correção, o que não afasta a aplicação de sanções mais severas em casos de descumprimento reiterado.
