Para algumas empresas, o incidente de segurança comunicado à ANPD em 2021 ou 2022 parecia um episódio encerrado: o fato foi informado, as medidas emergenciais foram adotadas e o assunto deixou de ocupar espaço na agenda. A retomada desses casos pela Agência mostra, porém, que a comunicação pode ser apenas o início de uma relação regulatória mais longa.
A pergunta deixou de ser apenas “o que aconteceu?” Agora, a ANPD quer saber: “o que foi feito desde então?”
Empresas que comunicaram incidentes há quatro ou cinco anos podem ser chamadas a apresentar informações sobre as providências adotadas depois do evento e sobre a situação atual de seus programas de privacidade. Não se trata necessariamente de reabrir o incidente como se nada tivesse sido feito, mas de verificar se as medidas anunciadas foram implementadas e se continuam funcionando.
Essa retomada é especialmente relevante porque a operação das empresas mudou. Sistemas foram substituídos, fornecedores passaram a tratar dados, produtos foram lançados, bases foram compartilhadas e novas ferramentas, inclusive de inteligência artificial, entraram no cotidiano. Um plano corretivo que fazia sentido em 2022 pode, hoje, estar incompleto ou desconectado da realidade.
A organização pode ser questionada, por exemplo, sobre as causas do incidente, as medidas corretivas, a reavaliação de fornecedores, a atuação do Encarregado, o funcionamento do canal para titulares e as evidências de testes, treinamentos e monitoramento. O ponto central é a continuidade: o que foi prometido precisa ser demonstrável e permanecer adequado ao contexto atual.
Monitoramento também é fiscalização
O movimento se conecta a uma mudança mais ampla na atuação da ANPD. Em um ciclo de monitoramento sobre a indicação do Encarregado e a existência de canais de comunicação com os titulares, a Agência analisou 56 empresas e órgãos públicos. Destas, 27 atenderam integralmente às solicitações; 8 apresentaram pendências e receberam prazo para regularização; e 21 não responderam e tiveram seus casos encaminhados à área responsável pela análise de sanções.
O dado é eloquente: nenhuma dessas 21 organizações precisava estar envolvida em um grande vazamento para entrar no radar sancionador. Bastou não responder à ANPD.
Durante o painel “Fale com a ANPD”, realizado no 17º Seminário de Proteção à Privacidade e aos Dados Pessoais, Jorge Fontelles, da Superintendência de Fiscalização, explicou que a atuação da Agência não começa necessariamente com um processo sancionador. O monitoramento pode funcionar como porta de entrada, com coleta de informações, análise de documentos e identificação de situações que exigem apuração individualizada.
Na prática, uma empresa pode ser chamada primeiro a demonstrar conformidade. Se não responder, apresentar informações insuficientes ou deixar de corrigir uma pendência, o caso pode avançar para a fiscalização e, posteriormente, para a análise de sanções. Como resumiu Fontelles, as ações de fiscalização não se limitam à abertura de processos: elas também começam antes, por meio do monitoramento.
Uma Agência mais capaz de acompanhar o tempo
A ANPD também deixou de ser uma instituição pequena e de atuação pontual. Atualmente, conta com cerca de 500 pessoas, entre servidores, colaboradores e estagiários, além de uma estrutura interna ampliada e especializada. A transformação em agência reguladora reforçou sua autonomia e reorganizou suas áreas de atuação.
A Agência passou a reunir estruturas dedicadas à regulação, fiscalização e inovação tecnológica, além de novos cargos de especialista em regulação de dados pessoais. A separação entre a instrução dos processos fiscalizatórios e a análise dos processos sancionadores amplia a especialização das etapas. Para as empresas, a consequência prática é simples: há mais capacidade institucional para monitorar, fiscalizar, instruir processos e analisar sanções.
A retomada de incidentes antigos evidencia o valor da prestação de contas – ou accountability. Lucas Borges, superintendente de Regulação da ANPD, afirmou que o registro das operações de tratamento deve “representar o dia a dia da empresa”, e não ser produzido apenas para cumprir formalmente uma exigência.
Uma política publicada no site, um inventário elaborado há quatro anos ou um contrato padrão não bastam se já não refletem a operação. Imagine uma empresa que atualizou seu mapeamento em 2022 e, desde então, contratou uma plataforma de recursos humanos, adotou ferramentas de inteligência artificial e passou a compartilhar dados com novos prestadores. Formalmente, ela ainda possui um inventário. Na prática, porém, pode não conseguir explicar quais dados são tratados, por quem, para quais finalidades e sob quais controles.
Compliance, nesse contexto, não é produzir documentos para preencher uma pasta. É manter registros atuais, coerentes e capazes de explicar as decisões, os riscos identificados e as medidas adotadas.
Empresas que comunicaram incidentes ou interromperam seus programas de adequação deveriam revisar, de forma integrada:
- o histórico de comunicações e respostas encaminhadas à ANPD;
- as medidas corretivas prometidas e efetivamente implementadas;
- a indicação e a atuação prática do Encarregado;
- o funcionamento do canal de atendimento aos titulares;
- • o inventário das operações, os contratos com fornecedores e os controles de segurança;
- os treinamentos, testes, indicadores, auditorias e planos de melhoria.
A finalidade não é reunir documentos antigos para responder rapidamente a um ofício. É verificar se a empresa consegue apresentar evidências atuais e explicar, de maneira consistente, o que mudou desde o incidente.
Conclusão: conformidade é uma obrigação contínua
A fase educativa da ANPD não desapareceu. A Agência continua orientando agentes de tratamento, produzindo guias e concedendo prazos para regularização. Mas a orientação agora convive com monitoramento, fiscalização, encaminhamento para sanção e penalidades de grande impacto.
A mensagem para compliance, jurídico, segurança da informação, Encarregados e alta administração é direta: o risco não está apenas no incidente isolado, mas na incapacidade de demonstrar evolução depois dele.
Para quem deixou o programa de privacidade “engavetado”, o momento de retomá-lo não é quando chegar o ofício. É antes. Porque, quando a ANPD perguntar o que mudou desde 2021 ou 2022, “estamos providenciando” pode não ser mais suficiente.
O novo padrão de conformidade não é afirmar que a empresa está adequada. É conseguir provar, dentro do prazo, que ela está.
