O que é a ANPD
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por fiscalizar o cumprimento da Lei Geral de Proteção de Dados (LGPD), a lei geral brasileira sobre proteção de dados pessoais (Lei nº 13.709/2018). A própria lei criou a ANPD, que começou a funcionar em 2020. Depois, ela ganhou o status de autarquia especial federal vinculada ao Ministério da Justiça. Tem orçamento próprio e independência administrativa em relação aos reguladores setoriais.
O alcance é amplo. A LGPD se aplica a qualquer tratamento de dados pessoais realizado no Brasil ou voltado a pessoas localizadas no país. Por isso, a ANPD supervisiona empresas, órgãos públicos e organizações sem fins lucrativos em todos os setores, incluindo saúde, finanças, telecomunicações, educação e administração pública. Os reguladores setoriais mantêm suas competências e atuam em conjunto com ela.
Poderes e instrumentos regulatórios
A ANPD reúne os papéis de criadora de normas, consultora e fiscalizadora. Seus principais instrumentos são:
| Instrumento | O que significa |
|---|---|
| Regulamentos | Normas vinculantes que implementam a LGPD, por exemplo a comunicação de incidentes |
| Orientação e interpretação | Posicionamentos oficiais, guias técnicos e consultas públicas |
| Fiscalização e inspeção | Poder de exigir informações, auditar o tratamento e exigir evidências |
| Investigação e sanções | Processos administrativos que podem terminar em advertências, multas ou restrições |
| Cooperação | Coordenação com autoridades brasileiras e reguladores estrangeiros de proteção de dados |
Investigações e processos administrativos
Os casos chegam à ANPD por meio de reclamações de titulares, comunicações de violações de dados feitas por organizações, encaminhamentos de outras autoridades ou do próprio monitoramento da autoridade. Quando a investigação é aberta, o controlador pode ser instado a apresentar documentos e explicações. O caso pode ser encerrado com um compromisso corretivo ou seguir para um processo administrativo formal, no qual as partes apresentam sua defesa.
Ao considerar uma sanção, a autoridade pondera os fatores previstos na lei. Entre eles estão a gravidade e a natureza da infração, a natureza dos dados afetados, incluindo os dados sensíveis, a ocorrência de dano, a má-fé, a vantagem econômica obtida, a reincidência e a cooperação com a investigação. Desde 2023, esses critérios estão detalhados nos regulamentos de fiscalização e de sanções da ANPD. A atuação passou de documentos orientativos para multas expressivas em casos que criam precedentes.
Sanções que a ANPD pode aplicar
Com base no art. 52 da LGPD, uma infração confirmada pode resultar em um conjunto gradual de sanções. Multas diárias podem ser aplicadas enquanto a violação persistir. As multas são calculadas sobre o faturamento no Brasil do exercício anterior, excluídos os tributos, e limitadas a 50 milhões de reais por infração.
| Sanção | O que envolve | Aplica-se a |
|---|---|---|
| Advertência | Prazo para medidas corretivas, geralmente em infrações leves ou primárias | Infrações leves ou primárias |
| Multas | Até 2% do faturamento no Brasil, limitadas a 50 milhões de reais | Faturamento no Brasil do exercício anterior, sem tributos |
| Publicização da infração | Publicação da decisão após o encerramento do processo | Infração confirmada |
| Bloqueio ou eliminação de dados | Bloqueio dos dados envolvidos até a correção, ou determinação de sua eliminação | Dados envolvidos |
| Suspensão e proibição | Suspensão parcial do banco de dados por até seis meses, ou proibição do tratamento | Atividade de tratamento |
A ANPD no cenário internacional
A LGPD foi fortemente influenciada pelo GDPR europeu. No Brasil, a ANPD ocupa a posição que as autoridades nacionais de supervisão têm na UE: um regulador independente que aplica a lei e define seu sentido prático por meio de regulamentação. Ela participa de redes de cooperação internacional, como a Global Privacy Assembly. Casos transfronteiriços envolvem cada vez mais processos paralelos perante a ANPD e autoridades europeias.
Para organizações multinacionais, a proteção de dados no Brasil é uma frente de trabalho separada. As regras, prazos e sanções da ANPD se aplicam ao tratamento que alcança o Brasil, mesmo quando o estabelecimento principal da empresa e sua documentação de GDPR estão em outro lugar.
Como as organizações interagem com a ANPD
Para uma organização que trata dados pessoais no Brasil, a relação com a autoridade é, sobretudo, preventiva e processual. Essas obrigações normalmente fazem parte de um programa de adequação à LGPD:
| Obrigação | O que significa |
|---|---|
| Encarregado (DPO)Canal com a ANPD | Designar uma pessoa para receber solicitações e contatar a ANPD; divulgar seus dados de contato |
| Comunicação de incidentesRelatório de incidente | Comunicar incidentes relevantes em até três dias úteis após a ciência |
| Solicitações de informaçãoDocumentação | Apresentar a documentação do tratamento nos prazos fixados |
| Consulta préviaTratamento de alto risco | Consultar a ANPD antes do tratamento, se o alto risco permanecer |
| Transferências internacionaisMecanismo de transferência | Usar um mecanismo legal de transferência, como as cláusulas-padrão contratuais da ANPD |
Por onde começar
Uma empresa que trata dados pessoais no Brasil pode começar com uma lista curta: quem é o controlador, quais categorias de dados mantém, quem responde às solicitações da ANPD e quem comunicaria um incidente em até três dias úteis. Controles como a prevenção contra perda de dados (DLP) ajudam a mostrar para onde esses dados vão. Empresas multinacionais devem tratar o Brasil como uma frente própria, e não como uma nota de rodapé no programa de GDPR.
Leitura adicional: Use o sistema Anexet Ultimate DLP para atender ao RGPD.
A primeira pergunta de um regulador raramente é sobre a violação em si. Ele quer saber quem guarda os dados pessoais, para quê e quem responde por eles.
Anexet Team