Fiscalização e sanções: a ANPD avalia conduta, risco e cooperação

Fiscalização da ANPD não se resume à aplicação de multa. A Autoridade possui processo regulatório e sancionador próprio, e a resposta do agente de tratamento depende de documentos, evidências e capacidade de demonstrar como a operação funciona. A Resolução CD/ANPD nº 1/2021 disciplina fiscalização e processo administrativo sancionador; a Resolução nº 4/2023 trata da dosimetria de sanções.

A pior hora para montar governança é depois da intimação

Quando a organização recebe uma demanda, precisa localizar rapidamente políticas, registros, contratos, decisões, logs e responsáveis. Documentos produzidos depois do fato podem até ajudar a corrigir a operação, mas não substituem evidências de controles existentes no período analisado.

Uma resposta sólida separa três tarefas: entender exatamente o objeto da fiscalização, preservar informações relevantes e coordenar áreas técnicas e jurídicas para apresentar fatos consistentes.

Sanção depende de contexto e dosimetria

A LGPD prevê diferentes sanções administrativas. A regulamentação de dosimetria estrutura fatores usados pela ANPD para aplicação das medidas. Isso significa que não existe uma conta universal do tipo “vazamento = multa de X%”. Gravidade, natureza da infração, circunstâncias e demais fatores previstos no regime precisam ser considerados no caso concreto.

A empresa deve evitar dois extremos: minimizar qualquer contato da Autoridade como “pedido simples” ou tratar toda fiscalização como certeza de multa máxima.

Correção voluntária não apaga o passado, mas muda a gestão do risco

Identificar falha e corrigir processo, acesso, contrato ou transparência é relevante independentemente do estágio regulatório. O registro das providências ajuda a demonstrar governança e impede repetição.

A adequação também deve priorizar pontos que geram evidência: registro de operações, resposta a direitos, segurança, contratos e decisões de base legal. Um conjunto de políticas sem execução tem pouca utilidade quando a pergunta da fiscalização é “mostre como isso funcionava”.

Comunicação interna precisa ser centralizada

Respostas fragmentadas aumentam risco de contradição. É útil designar responsáveis por reunir documentos, validar fatos técnicos e manter versão única da cronologia. O encarregado pode participar da articulação, sem substituir quem detém a decisão ou evidência em cada área.

A fiscalização é, no fundo, um teste de rastreabilidade: a organização consegue provar que as decisões de proteção de dados existiam antes de serem cobradas?

Escopo da resposta deve acompanhar exatamente a demanda

Entregar volume indiscriminado de documentos pode expor informações irrelevantes e criar contradições. A equipe deve mapear cada pergunta da Autoridade à evidência correspondente, explicando contexto quando um documento isolado puder ser mal interpretado.

Área técnica precisa participar da narrativa factual

Incidente, segurança, logs e arquitetura não devem ser descritos pelo jurídico sem validação de quem opera os sistemas. Da mesma forma, respostas técnicas precisam ser traduzidas para demonstrar finalidade e governança. Uma matriz de fatos, evidências e responsáveis reduz ruído entre áreas.

Histórico de correções deve permanecer preservado

Atualizar política ou controle depois de identificar problema é adequado, mas apagar versões anteriores destrói cronologia. Conservar documentos e registros de mudanças permite mostrar o que existia em cada período e quais medidas foram adotadas posteriormente.

Treinamento só vale como evidência se tiver relação com a função

Apresentação genérica anual pode ter utilidade de conscientização, mas equipes que tratam dados críticos precisam de orientação específica sobre seus processos. Registro de conteúdo, público e periodicidade ajuda a demonstrar que o treinamento atacou risco real.

A organização também deve separar resposta à fiscalização de investigação interna. É possível cooperar com a Autoridade sem interromper a apuração que identifica causa e corrige o processo. Um responsável central pode controlar versões dos documentos enviados, registrar perguntas pendentes e preservar a cadeia de aprovação. Esse cuidado evita que uma área entregue material preliminar enquanto outra apresenta conclusão diferente sobre o mesmo fato.

Quando houver sanção ou medida corretiva, o plano de implementação precisa ter responsável, prazo e evidência. Cumprir formalmente uma determinação sem incorporar o controle à rotina pode fazer a mesma falha reaparecer e tornar a resposta regulatória apenas episódica.

Corrigir cedo muda a qualidade da resposta

A fiscalização também testa se a organização consegue identificar a causa do problema e impedir repetição. Plano de ação, responsável, prazo interno, evidência de implementação e verificação posterior formam uma trilha muito mais útil do que uma coleção de políticas produzidas às pressas. Quando a falha envolve fornecedor, a correção pode exigir rever instruções, acesso, cláusulas e o próprio desenho da contratação.

Isso conecta fiscalização a governança contínua: o objetivo não é preparar uma pasta para a ANPD, mas manter controles que consigam explicar decisões antes, durante e depois de uma ocorrência.