advertência, com indicação de prazo para a adoção de medidas corretivas  

cassação definitiva do CNPJ da empresa infratora  

suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 3 meses, prorrogável por igual período 

prisão do controlador de dados em caso de reincidência grave  

multa simples, de até 1% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000