A ANPD está batendo à porta: sua empresa está preparada para responder?

Para algumas empresas, o incidente de segurança comunicado à ANPD em 2021 ou 2022 parecia um episódio encerrado: o fato foi informado, as medidas emergenciais foram adotadas e o assunto deixou de ocupar espaço na agenda. A retomada desses casos pela Agência mostra, porém, que a comunicação pode ser apenas o início de uma relação regulatória mais longa.

A pergunta deixou de ser apenas “o que aconteceu?” Agora, a ANPD quer saber: “o que foi feito desde então?”

Empresas que comunicaram incidentes há quatro ou cinco anos podem ser chamadas a apresentar informações sobre as providências adotadas depois do evento e sobre a situação atual de seus programas de privacidade. Não se trata necessariamente de reabrir o incidente como se nada tivesse sido feito, mas de verificar se as medidas anunciadas foram implementadas e se continuam funcionando.

Essa retomada é especialmente relevante porque a operação das empresas mudou. Sistemas foram substituídos, fornecedores passaram a tratar dados, produtos foram lançados, bases foram compartilhadas e novas ferramentas, inclusive de inteligência artificial, entraram no cotidiano. Um plano corretivo que fazia sentido em 2022 pode, hoje, estar incompleto ou desconectado da realidade.

A organização pode ser questionada, por exemplo, sobre as causas do incidente, as medidas corretivas, a reavaliação de fornecedores, a atuação do Encarregado, o funcionamento do canal para titulares e as evidências de testes, treinamentos e monitoramento. O ponto central é a continuidade: o que foi prometido precisa ser demonstrável e permanecer adequado ao contexto atual.

O movimento se conecta a uma mudança mais ampla na atuação da ANPD. Em um ciclo de monitoramento sobre a indicação do Encarregado e a existência de canais de comunicação com os titulares, a Agência analisou 56 empresas e órgãos públicos. Destas, 27 atenderam integralmente às solicitações; 8 apresentaram pendências e receberam prazo para regularização; e 21 não responderam e tiveram seus casos encaminhados à área responsável pela análise de sanções.

O dado é eloquente: nenhuma dessas 21 organizações precisava estar envolvida em um grande vazamento para entrar no radar sancionador. Bastou não responder à ANPD.

Durante o painel “Fale com a ANPD”, realizado no 17º Seminário de Proteção à Privacidade e aos Dados Pessoais, Jorge Fontelles, da Superintendência de Fiscalização, explicou que a atuação da Agência não começa necessariamente com um processo sancionador. O monitoramento pode funcionar como porta de entrada, com coleta de informações, análise de documentos e identificação de situações que exigem apuração individualizada.

Na prática, uma empresa pode ser chamada primeiro a demonstrar conformidade. Se não responder, apresentar informações insuficientes ou deixar de corrigir uma pendência, o caso pode avançar para a fiscalização e, posteriormente, para a análise de sanções. Como resumiu Fontelles, as ações de fiscalização não se limitam à abertura de processos: elas também começam antes, por meio do monitoramento.

A ANPD também deixou de ser uma instituição pequena e de atuação pontual.