ANPD: fiscalização e sanções na prática

De autoridade regulatória a autoridade fiscalizatória

A Lei Geral de Proteção de Dados (Lei 13.709/2018) criou a ANPD, mas a autoridade passou seus primeiros anos estruturando normas, publicando regulamentos e construindo capacidade institucional. O poder sancionatório entrou em vigor em agosto de 2021, mas as primeiras autuações demoraram a chegar.

Isso mudou a partir de 2023. A ANPD concluiu seu primeiro processo administrativo sancionador e impôs penalidades concretas. Desde então, a autoridade expandiu sua estrutura de fiscalização, passou a conduzir inspeções temáticas por setor e tornou público que pretende aumentar o volume de processos. Para as empresas que aguardavam, a mensagem é objetiva: o período de tolerância implícita acabou.

O que a ANPD pode aplicar

O artigo 52 da LGPD define as sanções administrativas disponíveis. Não se trata apenas de multa. A ANPD dispõe de um conjunto graduado de penalidades que pode aplicar individualmente ou em combinação, dependendo da gravidade e da recorrência da infração.

• Advertência com indicação de prazo para adoção de medidas corretivas
• Multa simples de até 2% do faturamento bruto da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração
• Multa diária pelo descumprimento de medidas corretivas determinadas pela autoridade
• Publicização da infração nos meios de comunicação, após devidamente apurada e confirmada
• Bloqueio dos dados pessoais relacionados à infração até sua regularização
• Eliminação dos dados pessoais tratados em desconformidade com a lei

O regulamento de dosimetria aprovado pela ANPD define como os valores são calculados. A autoridade considera a natureza e a gravidade da infração, a boa-fé do agente, a vantagem auferida ou pretendida, o grau do dano, o patrimônio do responsável, a reincidência e a cooperação com a investigação. Empresas que demonstram transparência e tomam medidas corretivas voluntárias durante o processo costumam receber valores menores. Empresas que resistem ou ocultam informações tendem a receber os maiores.

Quais infrações estão sendo punidas

Os processos conduzidos até agora revelam padrões recorrentes. Não são casos sofisticados de vazamento em grande escala. São falhas estruturais que existem em grande parte das empresas brasileiras.

Tratamento sem base legal

A LGPD exige que cada operação de tratamento de dados pessoais se apoie em uma das dez hipóteses legais do artigo 7. Compartilhar dados sem que o titular tenha autorizado e sem que outra base legal se aplique foi a infração central no primeiro processo sancionador da ANPD. A empresa autuada compartilhou dados de clientes com terceiros sem base legal adequada e sem informar os titulares.

A lição prática: cada fluxo de dados na sua organização precisa ter uma base legal documentada. Não é suficiente alegar interesse legítimo de forma genérica. A ANPD espera que a empresa consiga demonstrar, por escrito, qual hipótese legal sustenta cada tratamento específico.

Falha na notificação de incidentes

O artigo 48 da LGPD obriga o controlador a comunicar incidentes de segurança que possam acarretar risco ou dano relevante aos titulares. A comunicação deve ser feita à ANPD e aos titulares afetados em prazo razoável. A ANPD publicou regulamento fixando em 72 horas o prazo máximo para a notificação inicial à autoridade.

Empresas que sofrem incidentes e não notificam ficam expostas a duas infrações simultâneas: o próprio incidente (falha de segurança) e o descumprimento da obrigação de comunicação. O segundo pode ser mais grave do que o primeiro, pois demonstra desconhecimento dos próprios procedimentos regulatórios.

Ausência ou inadequação do DPO

A nomeação de um Encarregado de Proteção de Dados (DPO) é obrigatória para todos os controladores e operadores que tratam dados pessoais, com poucas exceções para microempresas e empresas de pequeno porte. A ANPD tem verificado não apenas se há um DPO nomeado, mas se a pessoa indicada tem real capacidade de desempenhar a função e se as informações de contato estão publicadas de forma acessível no site da empresa.

Ausência de política de privacidade adequada

Avisos de privacidade copiados de modelos genéricos, desatualizados ou que descrevem tratamentos que a empresa não realiza (ou não descrevem os que realiza) foram identificados em inspeções. A ANPD verifica se o documento reflete a realidade operacional da empresa, não apenas se ele existe.

Como funciona a fiscalização temática

A ANPD não depende exclusivamente de denúncias para abrir processos. A autoridade conduz ciclos de fiscalização temática, nos quais define um setor ou tipo de tratamento e investiga um grupo de empresas de forma coordenada, independentemente de ter recebido reclamações específicas.

Os primeiros ciclos temáticos focaram em telecomunicações e, em seguida, saúde. Ambos os setores tratam volumes significativos de dados sensíveis. As empresas investigadas recebem notificações pedindo que respondam questionários sobre suas práticas de proteção de dados, apresentem documentação de conformidade e expliquem processos específicos.

A resposta a essa notificação é o primeiro ponto de avaliação. Uma empresa que responde de forma organizada, apresenta documentação coerente e demonstra que tem processos estruturados transmite uma imagem muito diferente de uma empresa que responde de forma fragmentada ou que não consegue apresentar nenhuma documentação.

O processo administrativo na prática

Quando a ANPD identifica uma possível infração, seja por denúncia, por inspeção temática ou por comunicação de incidente, o processo segue um rito definido no regulamento do processo administrativo sancionador.

• Abertura de processo e notificação da empresa investigada
• Fase de instrução com coleta de provas, possibilidade de inspeção presencial ou remota
• Defesa e contraditório pela empresa autuada, com prazo para apresentar razões e provas
• Relatório da autoridade instrutora com recomendação de penalidade ou arquivamento
• Decisão do Conselho Diretor da ANPD, com possibilidade de recurso

O processo é administrativo, não judicial, mas pode ser contestado no Judiciário após o esgotamento das instâncias administrativas. Empresas que recebem notificação da ANPD devem envolver advogados especializados em proteção de dados desde a primeira resposta, não apenas quando a penalidade já está decidida.

O que colocar em ordem agora

A probabilidade de sua empresa receber uma fiscalização temática depende do setor e do volume de dados tratados. A probabilidade de receber uma denúncia depende de como os titulares percebem o tratamento de seus dados. Mas a capacidade de responder adequadamente a qualquer uma dessas situações depende do que você tem documentado hoje.

• Mapeamento de dados. Você precisa saber quais dados trata, com qual base legal, por quanto tempo e com quem compartilha. Sem isso, qualquer questionário da ANPD será respondido de forma fragmentada.
• DPO nomeado e publicado. Verifique se o nome e o canal de contato do Encarregado estão no seu site de forma acessível. A ANPD verifica isso nas inspeções iniciais.
• Política de privacidade atual. O documento deve descrever o que a empresa realmente faz. Genérico não resolve. Se seu site tem formulário de captação de leads, o aviso de privacidade deve descrever o que acontece com esses leads.
• Plano de resposta a incidentes com etapa de notificação. O plano precisa incluir explicitamente quem decide se o incidente atinge o limiar de notificação à ANPD e quem executa essa notificação dentro do prazo de 72 horas.
• Contratos com operadores. Se sua empresa compartilha dados com prestadores de serviços, os contratos precisam incluir cláusulas específicas de proteção de dados conforme o artigo 37 da LGPD.

O site da ANPD em gov.br/anpd publica as decisões dos processos administrativos e os regulamentos aplicáveis. A leitura das decisões publicadas é a forma mais direta de entender o que a autoridade considera infração e como os valores são calculados.

Para um panorama completo das obrigações da LGPD, veja nosso Guia de Conformidade com a LGPD.