A ANPD fiscalizou 56 agentes de tratamento e 21 não responderam. Entenda por que o canal do titular virou porta de entrada da fiscalização.

O processo silencioso que ninguém vê

Existe um tipo de falha de conformidade que não aparece em relatório de auditoria, não dispara alerta de sistema e não sensibiliza a diretoria. Ela acontece em silêncio, dentro de uma caixa de e-mail compartilhada.

Um titular envia um pedido de acesso aos seus dados pessoais. A mensagem cai no endereço genérico de contato, publicado no rodapé do site há três anos. Quem abre a caixa é alguém do atendimento, que não sabe se aquilo é reclamação de consumidor, contato comercial ou exercício de direito previsto no art. 18 da LGPD. O e-mail é encaminhado ao jurídico. O jurídico pede subsídio à tecnologia. A tecnologia responde que precisa saber em quais sistemas o titular está cadastrado. Ninguém sabe. E o prazo continua correndo.

Quinze dias depois, o pedido ainda está em análise informal. Trinta dias depois, foi arquivado sem resposta formal. Noventa dias depois, ninguém na organização é capaz de dizer se aquele pedido existiu, quem o tratou e qual foi o desfecho.

Esse é o processo silencioso. Ele não quebra nada, não vaza nada e não aparece em nenhum indicador. Ele apenas deixa de existir enquanto evidência. E é exatamente por isso que se tornou o alvo mais fácil da fiscalização.

O risco invisível: por que 21 silêncios se tornaram processos de sanção

Em junho de 2026, a ANPD concluiu a primeira etapa de um monitoramento sistemático sobre 56 agentes de tratamento, entre 39 órgãos públicos e 17 empresas privadas. O objeto era deliberadamente básico: verificar a indicação e a divulgação do encarregado pelo tratamento de dados pessoais, nos termos da Resolução CD/ANPD nº 18/2024, e a existência de canal próprio, acessível e facilitado para o atendimento aos titulares.

O resultado é o dado mais relevante do semestre para quem responde por conformidade. Apenas 27 agentes atenderam integralmente às solicitações da autoridade. Oito apresentaram pendências e receberam prazo de dez dias úteis para regularização. E 21, mais de um terço do total, simplesmente não responderam às requisições, sendo encaminhados para avaliação da área de sanções.

Observe o que foi fiscalizado. Não houve vazamento de dados, não houve tratamento ilícito de dados sensíveis, não houve decisão automatizada discriminatória. Houve ausência de resposta. A falha apurada é de natureza formal, e a prova de conformidade seria trivial para quem mantém o processo estruturado.

O cenário fica mais exigente a partir daqui. O Mapa de Temas Prioritários para o biênio 2026-2027, aprovado pela Resolução CD/ANPD nº 30/2025 e detalhado na Nota Técnica nº 54/2025/FIS/CGF/ANPD, elege os direitos dos titulares como o primeiro dos quatro eixos de fiscalização. Para o período de julho a dezembro de 2026, a ANPD programou executar metade de um conjunto de 25 atividades de fiscalização voltadas especificamente a esse eixo. Some-se a isso a transformação da ANPD em agência reguladora pela Lei nº 15.352/2026, com autonomia funcional, técnica, decisória, administrativa e financeira, e a criação de 200 cargos efetivos de Especialista em Regulação de Proteção de Dados.

A consequência prática é direta: a probabilidade de a sua organização receber uma requisição de informações da autoridade sobre o atendimento a titulares deixou de ser residual. E, quando ela chegar, o que será avaliado não é a existência de uma política, mas a capacidade de comprovar o fluxo: quem recebeu, quando recebeu, quem decidiu, com qual fundamento e dentro de qual prazo.

O art. 6º, X, da LGPD chama isso de responsabilização e prestação de contas. Na prática, é o único ativo que separa a organização fiscalizada da organização sancionada. Caixas de e-mail compartilhadas e planilhas paralelas não produzem esse ativo; elas produzem versões conflitantes da mesma história.

Como o módulo Requisição do Titular do PROTEGON resolve

O módulo Requisição do Titular (ReqTitular) do PROTEGON foi construído para transformar o atendimento ao titular em processo rastreável, com prazo controlado e evidência gerada por padrão, não por esforço manual.

• Canal único de entrada com registro automático. Toda requisição recebida gera protocolo, data e hora de ciência, o que fixa objetivamente o início da contagem do prazo legal previsto no art. 19 da LGPD.
• Classificação por direito exercido. O pedido é enquadrado entre as hipóteses do art. 18 (confirmação, acesso, correção, anonimização, portabilidade, eliminação, revogação de consentimento), o que evita respostas genéricas e tratamento equivocado da solicitação.
• Fluxo com responsáveis e prazos parametrizados. Cada etapa tem responsável designado, prazo interno e alerta de vencimento, de modo que o gargalo apareça antes do vencimento e não depois dele.
• Verificação de identidade e trilha de decisão. O módulo registra a validação do titular e a fundamentação de eventual atendimento parcial ou negativa, requisito essencial quando a organização precisa justificar limites ao exercício do direito.
• Dossiê de evidência exportável. Cada requisição encerrada gera histórico completo, apto a ser apresentado em requisição de informações da ANPD, em auditoria interna ou em processo administrativo sancionador.
• Indicadores de desempenho do canal. Volume por período, tempo médio de resposta, taxa de atendimento no prazo e requisições reincidentes por titular ou por área responsável.

O módulo opera integrado ao Portal de Privacidade, que garante a divulgação clara do contato do encarregado e do canal de atendimento exigidos pela Resolução CD/ANPD nº 18/2024, e ao módulo de Governança, que consolida os indicadores em painel de acompanhamento para o comitê de privacidade.

Do caos para a previsibilidade: o que muda na prática

Organizações que estruturam o atendimento ao titular em processo instrumentalizado deixam de depender da memória de pessoas específicas. O primeiro efeito é a redução do tempo médio de resposta, porque o roteamento deixa de ser negociado caso a caso. Em ambientes que migram de caixa compartilhada para fluxo parametrizado, é comum observar redução superior a 60% no tempo de tratamento das requisições de menor complexidade, simplesmente porque a triagem e a localização dos dados param de ser refeitas do zero a cada pedido.

O segundo efeito é mais silencioso e mais valioso: a organização passa a saber o que não sabia. O painel expõe quais áreas concentram atrasos, quais sistemas dificultam a localização dos dados e quais tipos de pedido geram mais retrabalho. Essa leitura alimenta decisões de arquitetura de sistemas, de contrato com operadores e de treinamento das equipes.

O terceiro efeito aparece somente quando a autoridade bate à porta. A requisição de informações da ANPD deixa de ser um evento de crise, com mobilização emergencial e reconstituição de histórico a partir de memória e prints, e passa a ser uma exportação de relatório. É exatamente a diferença entre alegar conformidade e demonstrá-la.

Próximo passo

Vinte e uma organizações fiscalizadas pela ANPD não conseguiram responder a uma pergunta simples da autoridade dentro do prazo. Nenhuma delas planejou esse resultado; todas chegaram lá pelo mesmo caminho, um processo que existia no papel e não existia como registro.

Se a ANPD requisitasse hoje o histórico completo das requisições de titulares recebidas pela sua organização nos últimos doze meses, com datas, responsáveis e prazos, quanto tempo levaria para produzir esse relatório? E ele existiria? Conheça o módulo que transforma o canal do titular em rotina controlada e auditável