ANPD encaminha 21 agentes à área sancionadora - Deveres de DPO e atendimento a titulares

A Agência Nacional de Proteção de Dados concluiu a primeira fase de processos de monitoramento voltados à apuração de eventuais descumprimentos da LGPD relacionados à indicação do encarregado pelo tratamento de dados pessoais e à disponibilização de canais de comunicação com titulares.

O ponto de maior atenção é o encaminhamento de 21 agentes de tratamento à área responsável pela análise sancionadora, em razão da ausência de resposta às solicitações da ANPD. A medida não significa aplicação automática de penalidade, mas indica uma escalada relevante da fiscalização e reforça que obrigações estruturais de governança em privacidade já estão sendo cobradas de forma concreta pela Autoridade.

A Nota Técnica nº 6/2025/DIM/CGF/ANPD evidencia que a ausência de indicação do encarregado, a falta de informações claras de contato ou a deficiência no canal de comunicação com titulares podem comprometer o exercício de direitos previstos na LGPD e dificultar a atuação da própria ANPD.

O que motivou o monitoramento

O procedimento foi instaurado para verificar irregularidades relacionadas à ausência de indicação, identidade ou informações de contato do encarregado pelo tratamento de dados pessoais, bem como à ausência ou deficiência de canal de comunicação com titulares.

Parte dos agentes foi selecionada a partir de informações encaminhadas por auditoria do Tribunal de Contas da União, que identificou organizações públicas sem encarregado de dados nomeado. Outros foram incluídos a partir da análise de requerimentos recebidos pela ANPD, envolvendo denúncias, petições de titulares, ausência de canal de contato adequado e situações em que demandas encaminhadas pela Autoridade não foram respondidas.

A seleção considerou controladores de maior porte, volume de dados tratados e abrangência da atuação, com o objetivo de gerar maior impacto fiscalizatório e ampliar a efetividade da atuação regulatória.

Quem é o encarregado pelo tratamento de dados

O encarregado, também conhecido como DPO, é a pessoa indicada pelo controlador para atuar como canal de comunicação entre a organização, os titulares dos dados pessoais e a ANPD.

Nos termos do art. 41 da LGPD, o controlador deve indicar encarregado pelo tratamento de dados pessoais. Entre suas atribuições estão o atendimento aos titulares de dados, a interlocução com a ANPD, a orientação interna sobre as práticas de tratamento de dados pessoais e o acompanhamento das medidas necessárias para o cumprimento da legislação.

Trata-se, portanto, de uma função estratégica para a gestão de riscos regulatórios, operacionais e reputacionais relacionados à proteção de dados.

O encarregado também desempenha função relevante na gestão de incidentes e no fornecimento de respostas rápidas e adequadas em caso de reclamações de titulares ou solicitações da ANPD.

Indicação formal não é suficiente

A fiscalização demonstra que nomear um encarregado não basta. A identidade e as informações de contato do DPO devem estar disponíveis de forma clara, objetiva, atualizada, em local de destaque e de fácil acesso.

O canal de comunicação também precisa funcionar na prática. Titulares devem conseguir exercer seus direitos de forma simples e efetiva, incluindo solicitações de acesso, correção, eliminação, informação sobre compartilhamento, portabilidade e revisão de decisões automatizadas, quando aplicável.

Canais genéricos, desatualizados, inacessíveis ou sem resposta efetiva podem indicar falha de governança. A ausência de canal adequado impede ou dificulta o exercício de direitos e prejudica a atuação da ANPD, que deixa de contar com interlocutor definido dentro da organização.

Do monitoramento à análise sancionadora

O caso demonstra como funciona a escalada fiscalizatória da ANPD. A atuação pode começar com monitoramento, solicitação de informações e pedidos de adequação. No entanto, quando o agente não responde aos ofícios ou não corrige as pendências identificadas, o caso pode ser encaminhado à Coordenação Geral de Sanção para avaliação das medidas cabíveis.

Esse encaminhamento é relevante porque sinaliza possível evolução para processo administrativo sancionador, destinado à apuração de infrações à LGPD. Embora a abertura de processo sancionador não implique penalidade automática, ela aumenta a exposição regulatória e exige resposta técnica, documentada e tempestiva do agente de tratamento.

A ausência de resposta à ANPD tende a agravar o risco, pois revela falha não apenas na obrigação específica monitorada, mas também na capacidade de interlocução regulatória.

A partir desse movimento da ANPD, agentes de tratamento devem revisar sua estrutura mínima de conformidade em proteção de dados. A avaliação deve abranger a indicação formal do encarregado, a publicação atualizada de sua identidade e informações de contato, a efetividade do canal de atendimento aos titulares, a existência de fluxo interno para triagem e resposta às solicitações, o registro das demandas recebidas e a definição de responsáveis para responder comunicações da Agência.

Também é recomendável verificar se a organização possui evidências da atuação do DPO, registros de pedidos de titulares, histórico de respostas, prazos internos, procedimentos para incidentes de segurança e documentação que comprove medidas de governança em proteção de dados.

A análise é especialmente importante para organizações que tratam grande volume de dados pessoais, lidam com dados sensíveis, mantêm bases amplas de clientes, usuários ou colaboradores, ou operam canais digitais de atendimento.

DPO como estrutura de governança

A atuação do encarregado deve ser compreendida como parte da governança de privacidade. O DPO contribui para a implementação dos princípios da LGPD, especialmente transparência, responsabilização e prestação de contas.

O modelo pode ser interno ou externo, conforme porte, complexidade e risco das atividades de tratamento. Em organizações sem equipe especializada dedicada, o modelo de DPO as a Service pode oferecer suporte técnico recorrente para manter canais, fluxos, registros, treinamentos e respostas regulatórias em funcionamento.

O importante é que a atuação seja efetiva. A simples indicação nominal do encarregado, sem canal funcional, sem resposta aos titulares e sem capacidade de interação com a ANPD, já não é suficiente. A fiscalização recente confirma que a ANPD migrou de uma análise predominantemente formal para uma análise de efetividade, em que a existência do canal importa menos do que sua capacidade real de funcionar.

Conclusão

O caso confirma uma mudança de padrão na atuação da ANPD: a fiscalização deixou de se concentrar na existência formal de estruturas de privacidade e passou a testar, na prática, se elas funcionam. Para o mercado, isso significa que documentação e nomeação não bastam mais como prova de conformidade, é a capacidade efetiva de resposta ao titular e à própria Autoridade que será analisada daqui em diante.

MLB Advogados está à disposição para auxiliar organizações na estruturação ou revisão da atuação do DPO, na implementação de canais de atendimento aos titulares e na avaliação de conformidade com as exigências da LGPD e da ANPD.