A Agência Nacional de Proteção de Dados concluiu a primeira fase de dois processos de monitoramento sobre indicação de encarregado de dados e canais de atendimento ao titular. Dos 56 agentes de tratamento avaliados — 39 órgãos públicos e 17 empresas privadas —, 27 cumpriram integralmente as solicitações, oito apresentaram pendências e vinte e um deles simplesmente não responderam; a lista dos silenciosos foi encaminhada à Coordenação-Geral de Sanção para análise das medidas cabíveis, incluindo multa. A ação prioritária para qualquer controlador é tratar o canal do titular como processo auditável: protocolo numerado, prazo controlado e trilha de resposta guardada — antes que o próximo ofício da Agência chegue.

O critério de seleção muda a leitura do caso. Parte dos controladores entrou na mira por auditoria do Tribunal de Contas da União, que identificou organizações públicas sem encarregado nomeado; outra parte veio dos próprios titulares, em denúncias e petições que apontavam ausência de encarregado ou canal de contato deficiente. O gatilho da fiscalização, portanto, é o titular que tentou exercer um direito e não conseguiu. Quem responde bem os pedidos que chegam reduz a chance de aparecer na próxima leva de monitoramento.

O que a fiscalização encontrou

O resultado divide os fiscalizados em três grupos. Os 27 que atenderam às solicitações tiveram o processo concluído. Os oito com pendências receberam prazo de dez dias úteis, contado da notificação, para se regularizar. Os 21 que ignoraram os ofícios seguem expostos a sanção administrativa — entre as possibilidades estão advertência e multa previstas na lei. Na lista dos que não responderam predominam órgãos públicos: conselhos federais de odontologia, administração e museologia, detrans do Amapá e do Maranhão, institutos federais de ensino, um ministério e um tribunal regional eleitoral. Entre os privados aparecem uma faculdade e uma certificadora digital. Já o grupo de pendências inclui nomes que tratam volume alto de dados, como Google Brasil, iFood e duas universidades federais.

Números à parte, o objeto da cobrança é operacional: existe encarregado indicado, o contato dele está publicamente acessível e o canal responde? A Agência deixou claro que disponibilizar o contato não basta — responder às manifestações, inclusive as encaminhadas pela própria ANPD, faz parte da conformidade. Controlador que publica um e-mail que ninguém monitora mantém a irregularidade com outra roupagem e, pior, acumula evidência contra si: cada pedido sem resposta vira potencial petição de titular.

O elo que a agência ataca

A exigência não é nova. O regulamento do encarregado, aprovado pela Resolução CD/ANPD nº 18, de 16 de julho de 2024, traduz em linguagem normativa o que o artigo 41 da LGPD já determinava: a identidade e as informações de contato do encarregado devem ser divulgadas publicamente, de forma clara e objetiva, em local de destaque e de fácil acesso no site do agente de tratamento. A diferença agora é que a norma saiu do papel e passou a produzir consequência: o monitoramento transforma a página do encarregado em item verificável de fiscalização, não em formalidade escondida na política de privacidade.

O padrão que atrai ofício é conhecido das equipes de privacidade: política com e-mail genérico, formulário sem comprovante de envio, caixa postal revisitada a cada quinzena. A ANPD já registrou, em relatório do seu ciclo de monitoramento, que formulários sem emissão de comprovante impedem o titular de provar contato prévio — pré-requisito para peticionar à Agência — e que a ausência de resposta aos seus encaminhamentos é critério de seleção para fiscalização. Silêncio, aqui, não é neutro: é sinal de risco acumulando.

O prazo que ancora a resposta

Do lado da lei, a régua é o artigo 19 da LGPD. A confirmação da existência de tratamento e o acesso aos dados devem ser providenciados de imediato, em formato simplificado; quando o titular pede origem dos dados, critérios utilizados e finalidade, entra a exigência reforçada: a resposta completa precisa sair em prazo de até 15 dias contado da data do requerimento. A própria ANPD resume a régua na orientação ao titular — atendimento imediato para o essencial e 15 dias para a declaração clara e completa. Um SLA interno calibrado nesses limites, com folga para fins de semana e feriados, evita que o prazo legal vire o teto operacional da equipe.

Quem decide cada resposta

Fiscalização punitiva expõe um problema de governança que antecede a multa: decidir a resposta de um titular não é atribuição exclusiva do encarregado. Ele recebe, orienta e adota providências, mas a decisão sobre base legal, retenção e eliminação pertence ao controlador, com apoio jurídico e das áreas donas dos dados. Sem matriz de decisão definida, o pedido atravessa semanas em correio interno e o prazo estoura sem que ninguém tenha decidido nada. O modelo que funciona nomeia um responsável por decisão, um prazo para cada etapa e um caminho de escalonamento quando a área dona não responde — o mesmo princípio de autoridade explícita que rege a resposta a incidentes de segurança.

A evidência que protege

Quando o ofício chega, a defesa do controlador é documental. A Agência valoriza quem responde com rastreabilidade: protocolo, data, conteúdo da resposta e correção promovida. A lógica é a mesma do dossiê de evidências exigido pela NIS2 de entidades essenciais na Europa: estar em conformidade não basta, é preciso provar que esteve quando perguntado. No caso brasileiro, a prova nasce do dia a dia do canal do titular, e cada pedido atendido dentro do prazo é um registro a favor da empresa.

A peça de fundo é o registro das operações de tratamento: sem inventário atualizado de bases, finalidades e responsáveis, o encarregado responde no escuro e promete prazos que a operação não consegue cumprir. O pedido de acesso típico exige saber onde o dado está, quem trata e por quanto tempo — informação que só existe se o registro foi mantido antes de a pergunta chegar.

Momento Evidência mínima Risco se faltar
Recebimento do pedido Protocolo numerado com data e canal de origem Titular sem comprovante peticiona à ANPD
Triagem Classificação do direito pedido e SLA atribuído Pedido de acesso tratado como dúvida comercial
Resposta Resposta formal datada, com conteúdo e base legal Prazo legal estourado sem rastro de decisão
Escalonamento Registro de quem decidiu e quando Encarregado assume sozinho o atraso
Divulgação Página do encarregado com contato verificável Canal inoperante configura irregularidade própria
Revisão periódica Relatório mensal de volumes e prazos cumpridos Fiscalização encontra o problema antes da equipe

Prioridades P1 e P2

P1 — esta semana: publicar ou corrigir a página do encarregado com nome e contato funcional em local visível; consolidar um único canal de entrada com emissão automática de protocolo; definir SLA interno de dez dias úteis para a primeira resposta substantiva, reservando a margem final para revisão jurídica; e verificar se o e-mail divulgado chega a uma caixa monitorada por pessoas nomeadas, não a um grupo fantasma.

P2 — este trimestre: testar o canal com pedidos simulados e medir o tempo até a primeira resposta; amarrar o fluxo ao registro de operações de tratamento; treinar o atendimento de primeiro nível para reconhecer pedido de titular e escalonar em vez de improvisar resposta; e incluir o cenário de ofício da ANPD no plano de resposta da equipe de privacidade, com responsável definido e prazo interno de resposta em cinco dias úteis. O monitoramento divulgado pela Agência mostra o que a fiscalização olha primeiro — e o silêncio é o que mais custa.

Fontes