Fiscalização da ANPD em 2026: o que o monitoramento de encarregados ensina

O debate sobre sanções da ANPD precisa começar por uma distinção importante. Fiscalização, monitoramento e processo administrativo sancionador são etapas e instrumentos diferentes. Uma organização pode receber uma solicitação de adequação sem ter sido multada, assim como uma notícia sobre fiscalização não prova, por si só, que houve uma decisão definitiva contra todos os agentes envolvidos.

Em julho de 2026, a ANPD informou que concluiu a primeira fase de um monitoramento sobre a indicação de encarregados e a disponibilização de canais de comunicação com titulares. Segundo a notícia oficial da Autoridade, foram analisados 56 agentes de tratamento: 27 atenderam integralmente às solicitações, oito ainda tinham pendências e 21 não responderam. A própria ANPD esclareceu que a ausência de resposta ou o não atendimento pode levar a novas medidas, inclusive sanções. Portanto, o dado mostra uma atuação de monitoramento com possíveis desdobramentos, não uma lista de 21 multas já aplicadas.

O caso de 2026 chama atenção porque trata de elementos básicos da governança: a indicação de um encarregado e a existência de um canal acessível para comunicação com titulares. Esses itens não são meros detalhes de apresentação institucional. O encarregado atua como ponto de contato entre controlador, titulares e ANPD, enquanto o canal permite que a pessoa peça informação, encaminhe uma reclamação ou tente exercer seus direitos de maneira compreensível.

A ANPD informou que alguns agentes foram selecionados a partir de auditoria encaminhada pelo Tribunal de Contas da União, que identificou organizações públicas sem encarregados nomeados. Outros foram selecionados a partir de denúncias, petições de titulares, demandas da própria Autoridade e solicitações que não receberam resposta. Também foram priorizados controladores de maior porte, considerando o volume de dados e a abrangência de atuação.

Há uma lição operacional nesse movimento. A governança não é avaliada apenas pelo conteúdo de uma política. Ela aparece na capacidade de responder, indicar responsáveis, manter informações públicas corretas e demonstrar que o canal funciona. Um endereço de e-mail publicado no rodapé, sem acompanhamento, triagem ou resposta, pode não ser suficiente para sustentar uma operação madura de direitos dos titulares.

O monitoramento também evidencia que a resposta à Autoridade precisa ser tratada como um processo interno. Ao receber um ofício, a organização deve identificar o escopo, preservar o documento, nomear quem coordena a resposta, buscar as áreas responsáveis e consolidar evidências antes do envio. Responder rapidamente não significa enviar uma declaração genérica. A resposta precisa ser fiel ao estado real da organização, indicar o que já existe, reconhecer pendências e apresentar prazos que possam ser cumpridos.

Monitoramento é uma atividade usada para acompanhar o cumprimento de obrigações ou avaliar um tema prioritário. A organização pode ser oficiada, apresentar documentos e receber uma oportunidade de corrigir pendências. Fiscalização é mais ampla e pode envolver requerimentos de informação, inspeções, análise de denúncias, petições de titulares e outras medidas previstas no regulamento da Autoridade.

O processo administrativo sancionador é o caminho formal para apurar uma infração e decidir se uma sanção deve ser aplicada. A página oficial de sanções administrativas da ANPD informa que o processo é regulado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021, posteriormente alterada pela Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, que aprovou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas.

Essa sequência importa para a comunicação interna e externa. Uma empresa pode estar em fase de monitoramento, em procedimento preparatório, em processo sancionador ou diante de uma decisão sujeita a recurso. Cada situação exige análise própria. O uso de expressões como condenação final, multa confirmada ou precedente definitivo só deve ocorrer quando a fonte oficial demonstrar exatamente esse status.

A dosimetria é a análise usada para definir a resposta administrativa adequada à infração. A Resolução CD/ANPD nº 4/2023 prevê que as sanções podem ser aplicadas de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto. Isso afasta a ideia de uma tabela automática em que determinada falha sempre produz a mesma multa.

Entre os critérios previstos estão a gravidade e a natureza da infração, os direitos afetados, a boa-fé, a vantagem auferida ou pretendida, a condição econômica, a reincidência, o grau do dano, a cooperação, a adoção demonstrada de mecanismos e procedimentos internos, a política de boas práticas e governança, a pronta adoção de medidas corretivas e a proporcionalidade entre a falta e a intensidade da sanção.

Esses critérios não funcionam como promessa de desconto. A existência de uma política, um contrato ou uma plataforma não elimina uma infração. O que pode importar é a adoção real, reiterada e demonstrável de medidas adequadas, além da forma como a organização coopera, corrige a conduta e preserva os direitos dos titulares no caso concreto.

O regulamento classifica as infrações em leves, médias ou graves, considerando a gravidade, a natureza e os direitos afetados. Uma infração média pode afetar de maneira significativa interesses e direitos fundamentais, limitar o exercício de direitos ou causar danos materiais ou morais, sem preencher os requisitos de uma infração grave.

Para a classificação grave, o regulamento prevê a combinação da hipótese de infração média com fatores como tratamento em larga escala, vantagem econômica, risco à vida, uso de dados sensíveis ou dados de crianças, adolescentes ou idosos, ausência de hipótese legal, efeitos discriminatórios ilícitos ou abusivos, adoção sistemática de práticas irregulares ou obstrução da fiscalização. A presença de um tema sensível não autoriza concluir automaticamente que todo caso será grave. A classificação depende da análise do processo e dos elementos demonstrados.

Essa distinção é útil para a prevenção. Uma organização deve priorizar tratamentos que envolvam grande volume, dados sensíveis, públicos vulneráveis, impacto financeiro, decisões relevantes ou dificuldade de exercício de direitos. O objetivo não é tentar adivinhar a multa, mas reduzir as condições que tornam a infração mais grave e documentar por que os controles escolhidos são proporcionais.

A multa não é a única resposta possível. A Resolução CD/ANPD nº 4/2023 prevê advertência, multa simples, multa diária, publicização da infração, bloqueio dos dados pessoais, eliminação dos dados pessoais, suspensão parcial do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento e proibição parcial ou total do exercício de atividades relacionadas ao tratamento. A aplicação depende do caso, da medida necessária e da decisão fundamentada.

Uma sanção não pecuniária pode afetar a operação de modo mais direto do que uma multa. Bloquear ou eliminar dados pode interromper um serviço; suspender uma atividade pode exigir mudança imediata de arquitetura, contratos e atendimento. Por isso, o plano de conformidade não deve olhar apenas para o valor financeiro potencial. Deve considerar a continuidade do tratamento, a dependência de fornecedores, os dados compartilhados e a capacidade de corrigir a causa da irregularidade.

A resolução também prevê progressão da atuação quando uma sanção ou determinação não é cumprida. Isso reforça a importância de acompanhar prazos e guardar evidências de execução. Uma organização que recebe uma determinação deve saber exatamente qual conduta precisa ser corrigida, qual documento prova a correção e quem será responsável por comunicar o resultado.

O encarregado não deve ser tratado como um nome colocado em uma página para cumprir uma formalidade. Ele precisa ter condições de receber comunicações, encaminhar demandas, orientar áreas internas e apoiar a interação com titulares e ANPD. A estrutura pode variar conforme o porte e o contexto da organização, mas a responsabilidade precisa estar clara e o canal precisa funcionar.

Um canal efetivo tem endereço correto, formulário ou rota acessível, rotina de triagem, registro do pedido, prazo interno, responsável por responder e caminho para envolver outras áreas. Também precisa evitar que o titular seja obrigado a procurar uma pessoa específica ou a explicar várias vezes o mesmo problema. A experiência de atendimento é parte da governança, especialmente quando o pedido envolve confirmação de tratamento, acesso, correção, eliminação ou informação sobre compartilhamentos.

Para a empresa, a existência do canal também cria uma fonte de sinais. Pedidos repetidos podem revelar cadastro desatualizado, finalidade pouco clara, fornecedor que não responde ou processo que não consegue localizar os dados. O canal não deve ser visto apenas como custo de atendimento. Ele pode apontar problemas que precisam entrar no inventário, nos contratos, na segurança e no produto.

Uma resposta consistente não é uma pasta com documentos aleatórios. Ela conecta a pergunta recebida à evidência que demonstra a situação real. Se a ANPD pergunta quem é o encarregado, a organização deve apresentar a designação e a forma de contato. Se pergunta como os titulares são atendidos, deve mostrar o fluxo, os responsáveis, os registros e exemplos de tratamento, com os dados pessoais protegidos quando necessário.

Para uma análise mais ampla, podem ser relevantes o registro das operações, políticas, procedimentos, contratos, avaliações de risco, relatórios de impacto, logs de atendimento, evidências de treinamento, controles de acesso, registros de incidentes, planos corretivos e histórico de revisões. Não é necessário enviar tudo sem critério. É preciso entender o escopo do ofício e selecionar documentos que sejam pertinentes, atuais e verificáveis.

Também é importante preservar a versão histórica. Uma política criada depois do ofício não prova que o controle existia antes do problema. Ela pode demonstrar uma medida corretiva, mas a organização deve distinguir o estado anterior, a causa identificada, a ação adotada e a situação atual. Essa transparência é mais confiável do que tentar apresentar uma adequação recente como se fosse antiga.

O primeiro erro é não responder ou perder o prazo porque o ofício ficou preso em uma caixa de entrada. A organização precisa ter um processo para identificar comunicações oficiais, distribuir tarefas e acompanhar vencimentos. O segundo é responder com frases genéricas, sem anexar evidências ou sem esclarecer o que ainda não foi localizado.

Outro problema é apresentar documentos contraditórios. Uma política diz que o canal funciona, mas o endereço retorna erro. O site informa um encarregado, enquanto o documento interno indica outra pessoa. O registro de operações aponta um fornecedor que não aparece no contrato atual. Contradições não significam necessariamente uma infração autônoma, mas dificultam a análise e mostram que a governança não está sincronizada.

Também é arriscado apagar documentos, alterar logs ou reconstruir evidências depois do recebimento de uma demanda. Preserve os materiais relevantes, restrinja o acesso, mantenha a cadeia de aprovação e registre as correções sem reescrever a história. A resposta deve ser tecnicamente cuidadosa e juridicamente responsável.

Um plano de 30 dias não substitui a adequação contínua, mas pode reduzir rapidamente as lacunas mais visíveis. O foco deve ser criar uma base de resposta, priorizar riscos e transformar pendências em tarefas acompanháveis. O prazo abaixo é uma sugestão operacional, não um prazo legal universal.

Uma operação pequena pode acompanhar contatos, documentos e pendências em uma estrutura simples, desde que exista controle de acesso, responsável e histórico. A dificuldade aumenta quando a organização possui muitas áreas, processos, fornecedores, unidades e demandas de titulares. Nesse cenário, informações ficam espalhadas entre planilhas, e-mails, contratos, chamados e documentos sem relação clara.

Uma plataforma de governança pode ajudar a centralizar o mapeamento, relacionar operações aos responsáveis, acompanhar pendências, organizar evidências e registrar revisões. Na LGPD Cloud, esse trabalho pode apoiar a criação de uma visão contínua da adequação e facilitar a consulta do que foi analisado, do que permanece em aberto e de quem precisa agir.

A ferramenta não garante conformidade, não substitui o encarregado e não elimina a necessidade de análise jurídica, técnica ou administrativa. Seu valor está em tornar o processo mais observável e menos dependente de memória individual. O critério de escolha deve ser a dificuldade concreta que a organização precisa resolver, e não o desejo de produzir um painel com muitos indicadores.

O monitoramento divulgado pela ANPD em 2026 não deve ser usado para criar pânico nem para afirmar que todas as organizações estão prestes a receber uma multa. Ele mostra algo mais concreto: a Autoridade está observando obrigações básicas, usando informações de auditorias, denúncias, petições e demandas não respondidas, e pode encaminhar casos sem resposta para análise de medidas cabíveis.

Para as empresas e órgãos públicos, a preparação começa antes do ofício. Mantenha o encarregado identificado, o canal acessível, os processos mapeados, os responsáveis definidos e as evidências atualizadas. Quando uma pendência existir, registre-a, atribua prazo e acompanhe a correção. Se a fiscalização chegar, a organização terá condições de responder com precisão, separar fatos de planos futuros e demonstrar cooperação sem inventar uma conformidade que ainda não existe.

Sanção administrativa é assunto sério, mas governança não deve ser construída apenas pelo medo da multa. A melhor proteção é uma rotina que permita saber o que a organização faz com dados pessoais, quais direitos estão envolvidos, quem decide, quem executa e como os controles são revistos. Essa rotina também torna a resposta mais rápida e confiável quando a ANPD ou um titular fizer uma pergunta difícil.