A organização notificou o ataque à ANPD e mesmo assim virou alvo de sanção. O que faltou não foi correção: foi evidência.

O incidente que a própria organização comunicou, e que mesmo assim virou processo

Em 2025, uma organização social responsável pela gestão de unidades públicas em diferentes estados brasileiros sofreu um ataque de ransomware. Os sistemas ficaram inacessíveis, os dados foram sequestrados e a instituição fez o que a lei determina: comunicou o incidente à ANPD.

Em julho de 2026, essa mesma organização foi notificada da instauração de um Processo Administrativo Sancionador. O caso envolve cerca de 500 mil registros de titulares, entre eles aproximadamente 78 mil crianças e adolescentes e quase 48 mil idosos. Se as infrações forem confirmadas, a entidade estará sujeita às sanções do artigo 52 da LGPD, que vão de advertência a multa de até 2% do faturamento, além de suspensão ou proibição das atividades de tratamento.

A pergunta que fica é incômoda: se a organização comunicou o incidente por iniciativa própria, por que virou alvo de sanção?

A resposta está em um detalhe que costuma passar despercebido nos programas de privacidade. Segundo o auto de infração, a organização não apresentou elementos técnicos suficientes para demonstrar a adoção de medidas corretivas, mesmo após sucessivos questionamentos da ANPD. Ela alegou que o incidente não gerou risco relevante, mas não trouxe evidências que sustentassem a afirmação. A comunicação aos titulares se resumiu a um aviso genérico no site institucional, sem data do incidente, natureza dos dados ou providências adotadas. E o portal sequer exibia as informações sobre o encarregado, exigência do artigo 41, parágrafo 1º, da LGPD.

O problema, portanto, não foi apenas o ataque. Foi a incapacidade de transformar as falhas identificadas em correções documentadas e de provar, com evidências, o que foi feito antes e depois.

Por que isso é mais grave do que parece

A LGPD é uma lei de accountability. O artigo 6º, inciso X, exige do agente de tratamento a demonstração de medidas eficazes e capazes de comprovar a observância das normas de proteção de dados. O inciso VIII consagra a prevenção. E o artigo 48, parágrafo 3º, manda o controlador, na comunicação de incidentes, indicar as providências adotadas para reverter ou mitigar os efeitos do prejuízo. Em todos esses dispositivos, o verbo central é o mesmo: demonstrar.

A Resolução CD/ANPD nº 15/2024, que regula a comunicação de incidentes de segurança, reforça esse dever ao exigir o registro de todos os incidentes, inclusive os não comunicados, com a avaliação de risco e as medidas de tratamento. Já a Resolução CD/ANPD nº 4/2023, que rege a dosimetria das sanções, transforma a conduta pós-infração em dinheiro: a adoção reiterada e demonstrada de mecanismos capazes de minimizar danos e a pronta correção das irregularidades são circunstâncias que reduzem a penalidade. Quem corrige e comprova paga menos; quem corrige e não comprova é tratado como quem não corrigiu.

É exatamente nesse ponto que a maioria das organizações falha. Auditorias internas apontam desvios que morrem em relatórios engavetados. Incidentes geram reuniões de emergência, mas nenhum plano de ação formal. Fiscalizações e ofícios são respondidos com alegações genéricas, porque ninguém consegue reconstituir quem corrigiu o quê, quando e com qual evidência. A não conformidade não tratada vira passivo oculto: invisível no dia a dia, devastadora quando a ANPD pergunta.

O caso recente ilustra o custo dessa lacuna. A organização teve sucessivas oportunidades de demonstrar as correções e não conseguiu. Cada resposta insuficiente agravou a percepção de descumprimento dos princípios da prevenção e da prestação de contas, e o que era um incidente comunicado voluntariamente terminou em processo sancionador.

Como o módulo Registro de Não Conformidade do PROTEGON resolve

O módulo Registro de Não Conformidade do PROTEGON existe para fechar essa lacuna: transformar cada falha identificada, venha ela de um incidente, de uma auditoria ou de um ofício da ANPD, em um ciclo formal de correção com evidências. Na prática, o módulo entrega:

• Registro estruturado de cada não conformidade, com origem, descrição, gravidade, processos e dados afetados, eliminando os desvios que se perdem em e-mails e atas;
• Planos de ação com responsável e prazo definidos, distinguindo correção imediata, ação corretiva e ação preventiva, no modelo que auditores e fiscais esperam encontrar;
• Anexação de evidências a cada ação concluída: laudos técnicos, prints de configuração, políticas revisadas, listas de presença de treinamentos, tudo vinculado à não conformidade de origem;
• Verificação de eficácia, etapa formal que confirma se a correção de fato eliminou a causa raiz, evitando reincidência;
• Trilha de auditoria completa e relatórios executivos, prontos para responder questionamentos da ANPD com cronologia, responsáveis e provas, sem retrabalho;
• Indicadores de melhoria contínua, que mostram à diretoria o estoque de não conformidades abertas, o tempo médio de tratamento e as áreas reincidentes.

O módulo conversa com outras frentes da plataforma. As falhas reveladas por um ataque alimentam o módulo Gestão de Incidentes, que organiza a resposta e os prazos da Resolução CD/ANPD nº 15/2024, enquanto as causas estruturais abastecem o módulo Gestão de Riscos, atualizando a matriz e as prioridades de mitigação.

Do caos para a previsibilidade

Organizações que tratam não conformidades como processo, e não como constrangimento, operam em outro patamar. O achado de auditoria deixa de ser crítica e vira plano de ação com dono e prazo. O incidente deixa de ser segredo e vira fonte estruturada de correções. E o ofício da ANPD deixa de gerar pânico, porque a resposta está pronta: basta extrair o relatório com a cronologia e as evidências.

O efeito aparece em três frentes. Primeiro, a resposta a questionamentos regulatórios sai completa na primeira tentativa, reduzindo o vaivém de ofícios que agravou o caso recente. Segundo, a dosimetria de eventual sanção muda de patamar, porque a pronta correção das irregularidades passa a ser demonstrável documento a documento. Terceiro, a reincidência cai de forma perceptível, já que a verificação de eficácia impede que a mesma falha retorne com outro nome; instituições com ciclos maduros de melhoria contínua relatam reduções expressivas no retrabalho de adequação, muitas vezes superiores à metade do esforço anterior.

Próximo passo

O recado do novo processo sancionador da ANPD é direto: comunicar o incidente é só o começo. A Autoridade quer ver a falha registrada, a correção executada, a evidência arquivada e a eficácia verificada. Corrigir sem provar, aos olhos da fiscalização, é o mesmo que não corrigir.

Se a ANPD questionasse amanhã as correções do seu último incidente ou da sua última auditoria, sua equipe reuniria as evidências em dias ou em meses? Conheça o módulo Registro de Não Conformidade do PROTEGON e transforme cada falha identificada em correção documentada, verificada e defensável