Com novo status de agência reguladora e criação de cargos de fiscalização, autoridade atua sobre falhas no compartilhamento de dados, incidentes de cibersegurança e omissão do Encarregado (DPO)
A fiscalização da Agência Nacional de Proteção de Dados (ANPD) passou por uma guinada no país, ampliando a verificação direta sobre empresas privadas e órgãos públicos. Por meio de processos administrativos, auditorias e investigações de incidentes de segurança, o regulador passou a exigir que as organizações demonstrem, na prática, a efetividade de seus programas de privacidade. O movimento ganha força após a aprovação da Lei 15.352, que transformou a ANPD em autarquia de natureza especial (agência reguladora) e criou 200 cargos efetivos de Especialista em Regulação de Proteção de Dados, focados em inspeção e controle.
A ofensiva fiscalizatória atinge práticas operacionais e estruturas corporativas. Recentemente, a agência avançou na apuração de denúncias contra grandes organizações, como o processo administrativo instaurado contra a Claro por indícios de compartilhamento excessivo de dados e barreiras no atendimento aos titulares, além do monitoramento sobre a Serasa. Outro frente de atuação envolveu o Instituto Saúde e Cidadania, alvo de apuração após um ataque de ransomware que comprometeu aproximadamente 500 mil registros de pacientes, incluindo dados sensíveis de saúde.
Para Hesron Hori, especialista em gestão de riscos corporativos e sócio e diretor de Risk Assessment da Under Protection, a atuação mais rigorosa da agência coloca à prova a eficácia real das estruturas de conformidade montadas no setor corporativo:
“A empresa precisa demonstrar como protege os dados pessoais, quem responde pelos riscos, quais controles estão funcionando e como reage quando ocorre um incidente. A fiscalização aumenta a pressão para que a LGPD deixe de existir apenas no papel. Políticas internas, sozinhas, já não bastam para comprovar que os dados estão protegidos.”
Riscos operacionais, multas e a fusão entre LGPD e Cibersegurança
As sanções previstas pela LGPD em caso de descumprimento confirmado podem alcançar até 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. No entanto, especialistas destacam que o impacto financeiro direto é apenas uma parte do prejuízo decorrente de falhas no tratamento de dados.
O especialista da Under Protection pontua que vazamentos de informações e falhas de governança afetam diretamente a viabilidade dos negócios:
“Um problema com dados pessoais pode afetar a operação, a reputação, a confiança dos clientes e a capacidade de a companhia responder ao regulador. Por isso, LGPD, cibersegurança e segurança da informação não podem funcionar como agendas separadas. Uma empresa pode ter política de privacidade, contratos revisados e um encarregado indicado, mas isso não significa que esteja protegida. Quando acontece um ataque, são os controles, os processos internos e a capacidade de resposta que mostram se a governança funciona de verdade.”
DPO no radar da fiscalização e o desafio da terceirização
A atuação da ANPD também passou a verificar minuciosamente o papel do Encarregado pelo Tratamento de Dados Pessoais (conhecido como DPO). Em ação recente de monitoramento com 56 agentes de tratamento, o órgão identificou que 21 organizações não responderam às solicitações de adequação enviar pela autoridade. Esses casos foram encaminhados para a avaliação de sanções administrativas.
Diante desse cenário, a indicação meramente formal do profissional deixa de atender às exigências regulatórias:
“Ter um nome publicado no site não resolve a governança de dados. O encarregado precisa estar conectado aos processos, aos fornecedores, à segurança da informação e à resposta a incidentes. A fiscalização aumenta a importância de apresentar evidências de que esse trabalho acontece continuamente.”
Embora a legislação brasileira permita a terceirização do papel de DPO — em modelos conhecidos como DPO as a Service —, a delegação do cargo não exime a empresa contratante das responsabilidades legais sobre a proteção dos dados e a gestão de riscos de privacidade perante o órgão regulador e os titulares das informações.