Fiscalização da ANPD: encarregados na mira e sanções à vista

Agência conclui primeira fase de monitoramento sobre encarregados e canais de atendimento a titulares; 21 entidades podem ser sancionadas.

Fiscalização da ANPD entra em fase decisiva

A fiscalização da ANPD alcançou um novo patamar de maturidade. A Agência concluiu a primeira fase de dois processos de monitoramento que avaliam o cumprimento de obrigações basilares da Lei nº 13.709/2018 (LGPD): a indicação do encarregado pelo tratamento de dados pessoais e a disponibilização de canais de comunicação entre controladores e titulares. O resultado, divulgado pela Superintendência de Fiscalização (SFI), repercutiu com força no mercado ao longo desta semana e coloca uma pergunta incômoda na mesa de qualquer gestor: sua instituição responderia a um ofício da autoridade?

Dos 56 agentes de tratamento monitorados (39 órgãos públicos e 17 empresas privadas), 27 cumpriram integralmente as solicitações da Agência, oito ainda apresentam pendências e 21 simplesmente não responderam aos ofícios. A lista dos que silenciaram foi encaminhada à Coordenação-Geral de Sanção para análise e instauração de processos administrativos sancionadores.

O que aconteceu

O monitoramento teve origem em duas frentes. A primeira foi uma auditoria do Tribunal de Contas da União (TCU), que identificou organizações públicas sem encarregados de dados nomeados. A segunda foi o conjunto de requerimentos de titulares (denúncias e petições) recebidos pela ANPD apontando ausência de indicação de encarregado ou deficiência do canal de contato. Foram priorizados controladores de maior porte, das esferas federal e estadual, considerando o volume de dados tratados e a abrangência de atuação.

As entidades que atenderam integralmente tiveram seus processos concluídos; entre elas estão OpenAI, Shopee, Natura e XP Investimentos. As que apresentaram pendências, grupo que inclui Google Brasil, iFood e órgãos públicos relevantes, receberam prazo de dez dias úteis, contados da notificação, para regularização. Já as 21 que não responderam, entre as quais figuram conselhos profissionais ligados à saúde, como o Conselho Federal de Odontologia (CFO) e o Conselho Nacional de Técnicos em Radiologia (CONTER), poderão responder a processo sancionador pelo simples fato de terem ignorado a autoridade.

A repercussão foi imediata. Análises publicadas nesta semana apontam que o movimento sinaliza o fim da conformidade superficial com a LGPD: aquela que se resume a uma política de privacidade no site e a um e-mail institucional sem gestão, sem dono e sem prazo de resposta.

Por que isso importa para a saúde e os setores regulados

O objeto do monitoramento é o coração operacional da LGPD. O art. 41 da lei exige que o controlador indique encarregado e divulgue publicamente sua identidade e suas informações de contato (art. 41, § 1º). Cabe ao encarregado, nos termos do art. 41, § 2º, inciso I, aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências. A Res. 18/2024 da ANPD detalhou essas obrigações: a indicação deve ocorrer por ato formal do controlador e as informações do encarregado devem estar disponíveis de forma visível e de fácil acesso no site da organização.

Para o setor de saúde, o recado é direto. Hospitais, clínicas, laboratórios e operadoras tratam dados sensíveis (art. 5º, inciso II, da LGPD) em larga escala e em fluxos complexos, envolvendo prontuários, resultados de exames e informações de beneficiários. A presença de conselhos profissionais da área da saúde entre os notificados mostra que o ecossistema setorial já está no radar da autoridade. Some-se a isso o Mapa de Temas Prioritários 2026-2027, que elegeu direitos dos titulares e tratamento de dados pelo Poder Público como eixos de fiscalização, e o cenário fica claro: encarregado atuante e canal do titular funcional serão cobrados com rigor crescente, inclusive em instituições públicas de ensino e de saúde.

Implicações práticas para o Encarregado e o gestor

A primeira lição é processual: não responder à ANPD é, por si só, caminho para a sanção. O silêncio diante de ofícios configura descumprimento de determinação da autoridade e tende a agravar a dosimetria prevista na Res. 4/2023, que orienta a aplicação das penalidades do art. 52 da LGPD, incluindo multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração.

A segunda lição é de governança: a indicação do encarregado não pode ser decorativa. É preciso ato formal de nomeação, publicação adequada, estrutura de apoio, autonomia técnica e fluxos que garantam resposta tempestiva aos titulares e à autoridade. O encarregado que existe apenas no papel expõe a instituição exatamente ao cenário que a ANPD acaba de transformar em prioridade de fiscalização.

O que fazer a partir de agora

Algumas providências podem ser adotadas de imediato:

• Conferir se a indicação do encarregado está formalizada em ato específico e se os dados de contato estão publicados no site, conforme a Res. 18/2024.
• Testar, na prática, o canal do titular: registrar uma solicitação simulada e medir tempo, qualidade e rastreabilidade da resposta.
• Definir responsável e fluxo interno para recebimento e resposta de ofícios da ANPD, incluindo o monitoramento dos canais oficiais e do peticionamento eletrônico.
• Documentar evidências de conformidade, pois o histórico de diligência e a boa-fé pesam na dosimetria de eventuais sanções.
• Levar o tema à alta administração: responder ou ignorar a autoridade deixou de ser questão operacional e passou a ser risco institucional relevante.

Como o ecossistema HDPO pode ajudar

A HDPO atua exatamente na lacuna exposta por esse monitoramento. O serviço de DPOaaS (Encarregado como Serviço) assegura indicação formal, canal do titular gerido com prazos definidos e interlocução técnica qualificada com a ANPD. A plataforma PROTEGON centraliza requisições de titulares, evidências e trilhas de auditoria, enquanto o advisory da HDPO apoia gestores de saúde, educação, indústria, planos de saúde, mineração e cartórios na estruturação da governança exigida pela LGPD e pelas resoluções da ANPD.