A atuação da Agência Nacional de Proteção de Dados (ANPD) tem entrado em uma nova fase. Se, nos primeiros anos da Lei Geral de Proteção de Dados (LGPD), o foco da Agência esteve voltado para orientações e construção do ambiente regulatório, agora os movimentos demonstram um avanço na fiscalização e no acompanhamento das organizações.

A primeira etapa de monitoramento realizada pela ANPD avaliou 56 agentes de tratamento de dados (entre órgãos públicos e empresas privadas) e trouxe um importante retrato sobre o estágio de maturidade das organizações brasileiras em relação à proteção de dados.

Mais do que verificar o cumprimento de duas obrigações específicas da LGPD, a fiscalização revelou um cenário que merece atenção: muitas instituições ainda enfrentam dificuldades para atender requisitos considerados básicos da legislação.

Neste artigo, analisamos o que os resultados dessa fiscalização indicam e quais lições podem ser extraídas pelas organizações que buscam fortalecer sua governança em privacidade e proteção de dados.

A primeira fase da fiscalização da ANPD

A ANPD avaliou 56 agentes de tratamento, sendo:

• 39 órgãos públicos; 
• 17 empresas privadas. 

O objetivo foi verificar o cumprimento de duas exigências fundamentais previstas na LGPD:

• a indicação do Encarregado pelo Tratamento de Dados Pessoais (DPO); 
• a disponibilização de canais de comunicação para que os titulares possam exercer seus direitos. 

Embora pareçam requisitos simples, eles representam a porta de entrada para qualquer programa de privacidade.

Os resultados foram divididos em três grupos:

• 27 organizações atenderam integralmente às solicitações; 
• 8 apresentaram pendências, mas ainda passíveis de regularização; 
• 21 sequer responderam aos ofícios enviados pela ANPD. 

Mais do que números, esses resultados ajudam a compreender diferentes níveis de maturidade em privacidade e proteção de dados.

O que os resultados revelam sobre a maturidade das organizações

Os três grupos identificados pela fiscalização representam estágios bastante distintos de adequação à LGPD.

As organizações que atenderam às solicitações demonstram possuir uma estrutura mínima de governança em privacidade, com processos capazes de responder às demandas do órgão regulador.

Já aquelas que apresentaram pendências indicam que existe algum nível de estruturação, mas ainda há ajustes importantes a serem realizados para alcançar maior conformidade.

O grupo que mais chama atenção, entretanto, é o das organizações que simplesmente não responderam aos ofícios da ANPD.

Esse comportamento pode indicar que a proteção de dados ainda não faz parte das prioridades estratégicas da instituição ou que sequer existe uma estrutura responsável por acompanhar esse tipo de demanda regulatória.

Em outras palavras, não responder à autoridade responsável pela fiscalização da LGPD pode revelar um grau de maturidade bastante inferior ao esperado para organizações que tratam diariamente dados pessoais de clientes, colaboradores e cidadãos.

O que chama atenção entre as instituições fiscalizadas

A lista das organizações fiscalizadas também trouxe alguns pontos interessantes para reflexão.

Entre as instituições que não responderam à ANPD predominam órgãos públicos, como conselhos federais, universidades, institutos federais e DETRANs.

Ao mesmo tempo, entre as organizações que apresentaram pendências aparecem empresas de grande porte, como Google Brasil e iFood.

Esses resultados ajudam a desconstruir algumas ideias comuns sobre conformidade com a LGPD.

O setor público ainda enfrenta desafios relevantes

Espera-se que órgãos públicos sejam referência em transparência, governança e conformidade.

No entanto, justamente essas instituições concentraram boa parte das ausências de resposta.

Diversos fatores podem contribuir para esse cenário, como limitações orçamentárias, ausência de estruturas dedicadas à privacidade, rotatividade de gestores e baixa priorização da agenda de proteção de dados.

Independentemente da causa, o resultado evidencia um desafio importante: Como organizações que tratam diariamente dados pessoais de milhões de cidadãos não estão em conformidade com a Lei Geral de Proteção de Dados?

Porte da empresa não garante conformidade

Outro ponto relevante é a presença de grandes empresas entre aquelas que apresentaram pendências.

Esse dado demonstra que recursos financeiros, equipes jurídicas robustas ou departamentos especializados não garantem, por si só, a conformidade com a LGPD.

Na prática, a adequação depende de processos bem definidos, governança contínua e, principalmente, priorização do tema dentro da organização.

A proteção de dados deixou de ser apenas uma responsabilidade jurídica e passou a fazer parte da gestão de riscos e da estratégia empresarial.

Por que a ANPD começou justamente pelo encarregado de dados?

A escolha da ANPD não foi aleatória.

O Encarregado pelo Tratamento de Dados Pessoais e os canais de comunicação com os titulares representam duas das obrigações mais básicas previstas pela LGPD.

São requisitos que demonstram, de forma objetiva, se existe uma estrutura mínima para atender às demandas relacionadas à privacidade.

Se uma organização ainda não consegue cumprir essas exigências iniciais, surge uma pergunta inevitável:

Como ela administra obrigações muito mais complexas, como inventário de dados, avaliação de riscos, gestão de incidentes, revisão contratual ou programas contínuos de governança?

Por isso, esses dois critérios funcionam quase como um indicador da maturidade da empresa.

Em muitos casos, a ausência de um encarregado formalmente designado ou de um canal funcional de atendimento não representa um problema isolado.

Ela costuma estar acompanhada de outras lacunas importantes, como:

• ausência de inventário de dados pessoais;
• políticas de privacidade desatualizadas;
• inexistência de treinamentos internos;
• falta de processos documentados;
• governança insuficiente sobre o tratamento de dados.

A fiscalização também precisa amadurecer

Embora a atuação da ANPD venha se fortalecendo, também é importante observar que o próprio processo regulatório continua em evolução.

Um caso recente de processo sancionador gerou discussões justamente porque a informação de contato do encarregado estava disponível no site da organização, embora não estivesse apresentada da forma considerada adequada pela fiscalização.

Situações como essa evidenciam a importância de fortalecer não apenas a capacidade fiscalizatória da Agência, mas também a previsibilidade das regras.

A autorização para realização de concurso público da ANPD representa um avanço importante nesse sentido, ampliando a capacidade técnica para orientar, monitorar e fiscalizar as organizações.

Ao mesmo tempo, ainda existe espaço para que normas complementares tragam maior clareza sobre aspectos práticos da conformidade, reduzindo interpretações divergentes e aumentando a segurança jurídica para empresas e órgãos públicos.

O que esperar das próximas fiscalizações da ANPD

As consequências dessa primeira etapa já começaram a produzir efeitos.

Os 21 agentes de tratamento que não responderam aos ofícios tiveram seus casos encaminhados para a Coordenação-Geral de Fiscalização e Sanção da ANPD, dando origem aos respectivos processos sancionadores.

Já os oito agentes com pendências receberam prazo para regularização antes da adoção de medidas mais severas.

Além disso, os processos podem ser acompanhados publicamente por meio do Sistema Eletrônico de Informações (SEI) e do painel disponibilizado pela própria ANPD, reforçando a transparência das ações da Agência.

O aspecto mais relevante, porém, vai além dos processos individuais.

A própria ANPD informou que esta representa apenas a primeira etapa de um plano mais amplo de fiscalização, indicando que novas ações deverão ocorrer de forma contínua.

Isso sinaliza uma mudança importante na atuação do regulador: a conformidade com a LGPD deixa de ser vista como um projeto pontual e passa a exigir acompanhamento permanente.

Como as empresas podem se preparar

Independentemente do porte ou do segmento de atuação, as organizações precisam compreender que a adequação à LGPD não termina após a implantação inicial de políticas e documentos.

A conformidade exige atualização constante, revisão de processos, capacitação das equipes e monitoramento contínuo das práticas relacionadas ao tratamento de dados pessoais.

Mais do que evitar sanções, um programa consistente de privacidade fortalece a governança corporativa, aumenta a confiança de clientes e parceiros e reduz riscos operacionais.

Nesse contexto, conhecer o nível de maturidade da organização é um dos primeiros passos para identificar oportunidades de melhoria antes que uma fiscalização aconteça.

Se sua empresa deseja entender como está o processo de conformidade com a LGPD, realizar um diagnóstico inicial pode ajudar a identificar lacunas, definir prioridades e orientar os próximos passos da adequação de forma estruturada.

Considerações finais

A primeira grande fiscalização da ANPD trouxe uma mensagem importante para o mercado: a proteção de dados passou definitivamente a integrar a agenda de acompanhamento do regulador.

Os resultados mostram que ainda existe um caminho significativo para muitas organizações, independentemente do seu porte ou setor de atuação.

Ao mesmo tempo, reforçam que investir em governança, processos e cultura de privacidade não deve ser visto apenas como uma obrigação legal, mas como um elemento estratégico para fortalecer a confiança, reduzir riscos e preparar a empresa para um cenário regulatório cada vez mais ativo.