A nova minuta da ANPD permite paralisar sua operação antes do mérito ser julgado; veja como manter evidências sempre prontas.

O processo silencioso que vira exposição da noite para o dia

Toda semana, em algum comitê de privacidade país afora, alguém repete a mesma frase tranquilizadora: “está tudo documentado, temos política, temos ROPA, temos plano de resposta a incidente”. O problema é que ninguém testa essa afirmação até o dia em que ela precisa ser provada, não apenas declarada.

Imagine a cena. Um e-mail da Autoridade Nacional de Proteção de Dados (ANPD) chega à caixa de entrada do encarregado às 9h de uma segunda-feira. Não é uma notificação de rotina: é o aviso de que a Superintendência de Fiscalização identificou risco sistêmico em determinado tratamento de dados e vai avaliar a adoção de medida cautelar. A partir daquele momento, o relógio já está correndo, e a empresa não tem dias, tem horas, para reunir evidências de que os controles de privacidade não existem só no papel.

É nesse intervalo, entre o aviso e a resposta, que muitas organizações descobrem a diferença entre ter uma política de privacidade e ter um programa de privacidade auditável. A primeira mora em um documento estático, assinado uma vez e esquecido em uma pasta compartilhada. O segundo vive em evidências vivas: quem implementou o controle, quando, com que resultado, e quem revalidou essa informação na última reavaliação.

Esse tipo de lacuna raramente é fruto de má-fé. Na maioria dos casos, a organização até implementou os controles corretos em algum momento: revisou contratos com fornecedores, treinou colaboradores, ajustou um formulário de consentimento. O problema é que essas ações ficaram registradas de forma dispersa, em e-mails, atas de reunião e planilhas individuais, sem um repositório único que amarre cada controle à sua evidência, à sua data e ao seu responsável. Quando a cobrança chega, a empresa não está sem conformidade, está sem prova de conformidade, o que, para fins de fiscalização, produz o mesmo efeito prático.

O risco invisível: por que a nova minuta da ANPD muda o jogo

A ANPD abriu consulta pública para atualizar a Resolução CD/ANPD nº 1/2021, que disciplina o processo de fiscalização e o processo administrativo sancionador. A audiência pública para discutir a proposta ocorreu em 24 de setembro de 2026, e as contribuições da sociedade podem ser enviadas até 26 de outubro de 2026. Na prática, a revisão amplia o escopo de atuação da autoridade, alcançando também provedores de aplicações de internet e temas como proteção de crianças e adolescentes no ambiente digital.

O ponto mais sensível da minuta é a disciplina das medidas cautelares e preventivas. O texto autoriza a Superintendência de Fiscalização a adotar essas medidas antes ou durante o processo administrativo, sempre que houver “perigo de dano ou risco ao resultado do processo”, com multa diária para compelir o cumprimento. Segundo a análise publicada pelo Migalhas em 24 de setembro de 2026, essas multas diárias podem chegar a R$ 50 milhões, e a exposição é dupla: uma sanção pelo descumprimento da própria cautelar, somada à eventual sanção administrativa prevista no art. 52 da Lei Geral de Proteção de Dados, aplicada ao final do processo.

Isso significa que a empresa pode ser penalizada antes de qualquer decisão sobre o mérito da infração. O prazo para reagir a uma notificação de irregularidade, nos termos da minuta, é de dez dias úteis, com direito a manifestação e até participação de terceiros interessados na condição de amicus curiae. Dez dias úteis é tempo suficiente para escrever uma boa defesa jurídica. Não é tempo suficiente para, do zero, reconstruir um inventário de tratamentos, localizar quem aprovou determinada base legal e provar que uma medida de segurança estava, de fato, em vigor na data do incidente.

O risco real, portanto, não é apenas a multa. É a assimetria de tempo: a autoridade decide em minutos que há risco sistêmico; a empresa tem dias para provar o contrário, e só consegue fazer isso se a evidência já existir antes da notificação chegar. Some-se a isso o fato de que a minuta amplia expressamente a competência fiscalizatória da ANPD para além do tratamento de dados isolado, alcançando a governança de plataformas digitais e a proteção de crianças e adolescentes no ambiente on-line, à luz do ECA Digital. Ou seja, o universo de organizações potencialmente alcançadas por uma medida cautelar cresce exatamente no momento em que o custo de não ter evidência pronta também aumenta.

Como o módulo Auditor Legal do PROTEGON resolve

O módulo Auditor Legal do PROTEGON foi desenhado exatamente para eliminar essa corrida contra o tempo, transformando auditoria interna em rotina contínua, e não em mutirão de última hora. Na prática, o módulo:

• Mantém um checklist de auditoria interna vinculado a artigos da LGPD e a resoluções da ANPD, permitindo verificar, a qualquer momento, quais controles estão implementados e quais estão pendentes.
• Registra evidências com carimbo de data e hora e histórico de versões, de modo que a empresa consiga demonstrar não apenas que um controle existe, mas desde quando ele está em vigor.
• Vincula cada controle a um responsável nomeado, com trilha de aprovação, o que evita a pergunta sem resposta de “quem validou isso” no meio de uma fiscalização.
• Programa reavaliações periódicas com alertas automáticos antes de uma evidência vencer ou perder validade, evitando que um controle “documentado uma vez” fique desatualizado sem que ninguém perceba.
• Consolida, em painel único, a cobertura da auditoria por área e por atividade de tratamento, mostrando lacunas antes que um fiscal as encontre.
• Integra achados de auditoria a planos de correção com prazo, permitindo que uma não conformidade identificada internamente vire ação rastreada, em vez de anotação perdida em ata de reunião.

Quando a notificação da ANPD chega, o time de privacidade não precisa reconstruir a história: ele exporta a evidência que já estava organizada, com data, responsável e status atualizado, respondendo à autoridade com precisão em vez de justificativa.

Resultados práticos: do caos para a previsibilidade

Instituições que adotam auditoria contínua costumam relatar uma mudança visível de postura diante da fiscalização. O tempo médio para reunir evidências de conformidade para um único controle, que em processos manuais pode levar dias entre e-mails, planilhas soltas e pastas de rede, cai para minutos quando a evidência já está centralizada e indexada. Em organizações que estruturam esse fluxo, a redução no tempo de resposta a pedidos formais de comprovação pode superar 60%, exatamente o tipo de agilidade que os dez dias úteis da nova minuta vão exigir.

Mais importante do que a velocidade é a consistência. Auditoria contínua reduz a dependência de uma pessoa específica que “sabe onde está tudo”, substituindo memória institucional por evidência estruturada, disponível mesmo quando o responsável original já não está mais na empresa. Essa exposição se transforma em rotina controlada quando cada controle tem dono, prazo e histórico, e deixa de depender de um herói de plantão na hora da fiscalização.

O ganho também aparece antes de qualquer fiscalização. Ao tornar visíveis, em painel único, as lacunas de cobertura por atividade de tratamento, o módulo permite que o comitê de privacidade priorize correções pelo risco real, em vez de reagir apenas quando um incidente ou uma notificação externa obriga a organização a olhar para dentro. A auditoria deixa de ser um evento anual de calendário e passa a ser um estado permanente da operação, exatamente o padrão que a nova regulação da ANPD parece pressupor como razoável.

Próximo passo

Se a ANPD abrisse um processo de fiscalização contra a sua empresa amanhã, o seu time conseguiria reunir, em dez dias úteis, evidências completas de que os controles de privacidade realmente funcionam, e não apenas existem no papel? Conheça o módulo Auditor Legal e descubra como transformar auditoria interna em rotina previsível, antes que a fiscalização a transforme em urgência

Conteúdo produzido com apoio de IA e revisão humana.