Para algumas empresas, o incidente de segurança comunicado à ANPD em 2021 ou 2022 parecia um episódio encerrado: o fato foi informado, as medidas emergenciais foram adotadas e o assunto deixou de ocupar espaço na agenda. A retomada desses casos pela Agência mostra, porém, que a comunicação pode ser apenas o início de uma relação regulatória mais longa.

A pergunta deixou de ser apenas “o que aconteceu?” Agora, a ANPD quer saber: “o que foi feito desde então?”

Empresas que comunicaram incidentes há quatro ou cinco anos podem ser chamadas a apresentar informações sobre as providências adotadas depois do evento e sobre a situação atual de seus programas de privacidade. Não se trata necessariamente de reabrir o incidente como se nada tivesse sido feito, mas de verificar se as medidas anunciadas foram implementadas e se continuam funcionando.

Essa retomada é especialmente relevante porque a operação das empresas mudou. Sistemas foram substituídos, fornecedores passaram a tratar dados, produtos foram lançados, bases foram compartilhadas e novas ferramentas, inclusive de inteligência artificial, entraram no cotidiano. Um plano corretivo que fazia sentido em 2022 pode, hoje, estar incompleto ou desconectado da realidade.

A organização pode ser questionada, por exemplo, sobre as causas do incidente, as medidas corretivas, a reavaliação de fornecedores, a atuação do Encarregado, o funcionamento do canal para titulares e as evidências de testes, treinamentos e monitoramento. O ponto central é a continuidade: o que foi prometido precisa ser demonstrável e permanecer adequado ao contexto atual.

Monitoramento também é fiscalização

O movimento se conecta a uma mudança mais ampla na atuação da ANPD. Em um ciclo de monitoramento sobre a indicação do Encarregado e a existência de canais de comunicação com os titulares, a Agência analisou 56 empresas e órgãos públicos. Destas, 27 atenderam integralmente às solicitações; 8 apresentaram pendências e receberam prazo para regularização; e 21 não responderam e tiveram seus casos encaminhados à área responsável pela análise de sanções.

O dado é eloquente: nenhuma dessas 21 organizações precisava estar envolvida em um grande vazamento para entrar no radar sancionador. Bastou não responder à ANPD.

Durante o painel “Fale com a ANPD”, realizado no 17º Seminário de Proteção à Privacidade e aos Dados Pessoais, Jorge Fontelles, da Superintendência de Fiscalização, explicou que a atuação da Agência não começa necessariamente com um processo sancionador. O monitoramento pode funcionar como porta de entrada, com coleta de informações, análise de documentos e identificação de situações que exigem apuração individualizada.

Na prática, uma empresa pode ser chamada primeiro a demonstrar conformidade. Se não responder, apresentar informações insuficientes ou deixar de corrigir uma pendência, o caso pode avançar para a fiscalização e, posteriormente, para a análise de sanções. Como resumiu Fontelles, as ações de fiscalização não se limitam à abertura de processos: elas também começam antes, por meio do monitoramento.

Uma Agência mais capaz de acompanhar o tempo

A ANPD também deixou de ser uma instituição pequena e de atuação pontual. Atualmente, conta com cerca de 500 pessoas, entre servidores, colaboradores e estagiários, além de uma estrutura interna ampliada e especializada. A transformação em agência reguladora reforçou sua autonomia e reorganizou suas áreas de atuação.

A Agência passou a reunir estruturas dedicadas à regulação, fiscalização e inovação tecnológica, além de novos cargos de especialista em regulação de dados pessoais. A separação entre a instrução dos processos fiscalizatórios e a análise dos processos sancionadores amplia a especialização das etapas. Para as empresas, a consequência prática é simples: há mais capacidade institucional para monitorar, fiscalizar, instruir processos e analisar sanções.

A retomada de incidentes antigos evidencia o valor da prestação de contas – ou accountability. Lucas Borges, superintendente de Regulação da ANPD, afirmou que o registro das operações de tratamento deve “representar o dia a dia da empresa”, e não ser produzido apenas para cumprir formalmente uma exigência.

Uma política publicada no site, um inventário elaborado há quatro anos ou um contrato padrão não bastam se já não refletem a operação. Imagine uma empresa que atualizou seu mapeamento em 2022 e, desde então, contratou uma plataforma de recursos humanos, adotou ferramentas de inteligência artificial e passou a compartilhar dados com novos prestadores. Formalmente, ela ainda possui um inventário. Na prática, porém, pode não conseguir explicar quais dados são tratados, por quem, para quais finalidades e sob quais controles.

Compliance, nesse contexto, não é produzir documentos para preencher uma pasta. É manter registros atuais, coerentes e capazes de explicar as decisões, os riscos identificados e as medidas adotadas.

Empresas que comunicaram incidentes ou interromperam seus programas de adequação deveriam revisar, de forma integrada:

  • o histórico de comunicações e respostas encaminhadas à ANPD;
  • as medidas corretivas prometidas e efetivamente implementadas;
  • a indicação e a atuação prática do Encarregado;
  • o funcionamento do canal de atendimento aos titulares;
  • • o inventário das operações, os contratos com fornecedores e os controles de segurança;
  • os treinamentos, testes, indicadores, auditorias e planos de melhoria.

A finalidade não é reunir documentos antigos para responder rapidamente a um ofício. É verificar se a empresa consegue apresentar evidências atuais e explicar, de maneira consistente, o que mudou desde o incidente.

Conclusão: conformidade é uma obrigação contínua

A fase educativa da ANPD não desapareceu. A Agência continua orientando agentes de tratamento, produzindo guias e concedendo prazos para regularização. Mas a orientação agora convive com monitoramento, fiscalização, encaminhamento para sanção e penalidades de grande impacto.

A mensagem para compliance, jurídico, segurança da informação, Encarregados e alta administração é direta: o risco não está apenas no incidente isolado, mas na incapacidade de demonstrar evolução depois dele.

Para quem deixou o programa de privacidade “engavetado”, o momento de retomá-lo não é quando chegar o ofício. É antes. Porque, quando a ANPD perguntar o que mudou desde 2021 ou 2022, “estamos providenciando” pode não ser mais suficiente.

O novo padrão de conformidade não é afirmar que a empresa está adequada. É conseguir provar, dentro do prazo, que ela está.