A ANPD revisa seu Regulamento de Fiscalização e o que será cobrado é prova, não arquivo. Veja onde o acervo documental falha.

O processo silencioso que ninguém vê

Há um movimento que acontece em quase toda organização brasileira e que raramente chega à pauta de um comitê de privacidade. A política de privacidade foi aprovada em 2021 e nunca mais foi revisada. A política de segurança da informação recebeu ajustes em 2023, por exigência de um cliente grande, e a versão anterior continuou circulando. O procedimento de atendimento ao titular nasceu de um modelo baixado da internet e jamais voltou à discussão. O termo de confidencialidade dos colaboradores está em uma pasta compartilhada, em três arquivos diferentes, nenhum deles com data de vigência.

No dia a dia, nada disso parece grave. Os documentos existem, estão assinados e podem ser apresentados a qualquer momento. O programa de privacidade tem cara de programa de privacidade.

A tensão aparece quando alguém faz a pergunta que muda tudo: qual dessas versões estava em vigor no dia do fato investigado? Quem aprovou aquela versão? Quando ela foi comunicada às áreas? Quais colaboradores confirmaram leitura? Existe registro de que o procedimento foi efetivamente aplicado, ou apenas de que ele foi publicado?

É nesse ponto que o silêncio se quebra. O jurídico localiza um arquivo; a tecnologia encontra outro no portal interno; o RH apresenta um terceiro, distribuído na integração de novos funcionários. Três documentos, nenhuma cadeia de custódia, nenhuma evidência de vigência. O programa de privacidade existe, mas não consegue se explicar. E um programa que não se explica, diante de uma autoridade, equivale a um programa que não existe.

O risco invisível: por que isso é mais grave do que parece

Em 9 de setembro de 2026, a ANPD abriu consulta pública para atualizar o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, hoje consolidado na Resolução CD/ANPD nº 1/2021. As contribuições vão até 26 de outubro, pela plataforma Brasil Participativo, e uma audiência pública virtual está marcada para 24 de setembro, com transmissão pelo canal da Agência no YouTube. Concluída essa etapa, a Superintendência de Regulação consolidará a minuta final e a encaminhará ao Conselho Diretor.

A revisão não é cosmética. Ela decorre da ampliação concreta das atribuições da Agência: a fiscalização do Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025), a garantia dos direitos dos usuários e dos deveres dos provedores de aplicações de internet estabelecidos pelo Decreto nº 12.975/2026, que atualiza a regulamentação do Marco Civil da Internet, as diretrizes de proteção das mulheres no ambiente digital previstas no Decreto nº 12.976/2026 e os ajustes decorrentes da Lei nº 15.352/2026, que transformou a ANPD em agência reguladora, reforçou sua autonomia institucional e alterou estrutura organizacional e fluxos decisórios.

Traduzido para a rotina do controlador, isso significa duas coisas. Primeira: o conjunto documental que precisa estar vigente, coerente e comprovável acabou de crescer. Segunda: o rito pelo qual esse conjunto será exigido está sendo reescrito agora, com prazos, pedidos de informação e determinações que não admitem improviso.

A LGPD já dizia isso desde o primeiro dia. O artigo 6º, inciso X, impõe o princípio da responsabilização e prestação de contas, que obriga o agente a demonstrar a adoção de medidas eficazes e capazes de comprovar a observância da norma. O artigo 50 trata das regras de boas práticas e governança, que devem ser estruturadas, aplicadas e atualizadas. O artigo 37 exige o registro das operações de tratamento. Nenhum desses dispositivos fala em ter documentos. Todos falam em demonstrar.

A diferença é decisiva. Em setembro de 2026, ao completar seis anos de vigência da LGPD, a leitura predominante no mercado jurídico passou a ser a de que a fase pedagógica se encerrou e que a próxima etapa é a da efetividade. Não basta mais possuir uma política de privacidade publicada, um encarregado indicado formalmente e cláusulas genéricas nos contratos. A distância entre estar adequado e parecer adequado está exatamente na capacidade de demonstrar que a governança funciona na prática, na data em que precisava funcionar.

Organizações que mantêm seus documentos em pastas de rede, anexos de e-mail e portais internos desatualizados não perdem por ausência de conformidade. Perdem por ausência de prova. E, em processo administrativo sancionador, ausência de prova costuma ser lida como ausência de controle.

Como o módulo Gestão de Documentos do PROTEGON resolve

O módulo Gestão de Documentos do PROTEGON trata o acervo normativo de privacidade como o que ele é: um conjunto de evidências com ciclo de vida, responsáveis e vigência, e não uma coleção de arquivos. Ele resolve o problema em pontos concretos:

• Repositório único com versionamento controlado. Cada política, norma, procedimento, termo e formulário possui histórico completo de versões, com identificação do que mudou e quando, eliminando a dúvida sobre qual texto estava em vigor em determinada data.
• Fluxo formal de elaboração, revisão e aprovação. O documento percorre etapas com responsáveis nomeados e registro de datas, de modo que a aprovação deixa de ser um e-mail perdido e passa a ser um ato rastreável.
• Controle de vigência com alertas de revisão periódica. O sistema sinaliza documentos vencidos ou próximos do prazo de revisão, impedindo que uma política envelheça em silêncio enquanto o tratamento de dados muda.
• Publicação dirigida e registro de ciência. As normas são disponibilizadas aos públicos corretos, com evidência de quem acessou e confirmou leitura, transformando comunicação interna em prova de divulgação efetiva.
• Vínculo com atividades, riscos e controles. Os documentos deixam de viver isolados e passam a estar conectados ao mapeamento de tratamentos, aos riscos identificados e aos controles declarados, o que sustenta a coerência do programa diante de questionamentos.
• Trilha de auditoria exportável. Todo o histórico é recuperável em formato apresentável, permitindo montar rapidamente o dossiê que responde a um pedido de informações da autoridade.

Nada disso é sofisticação documental. É a infraestrutura mínima para que a prestação de contas exigida pelo artigo 6º, inciso X, deixe de depender da memória de uma pessoa.

Do arquivo disperso à previsibilidade

Organizações que estruturam a gestão documental deixam de tratar cada demanda externa como um evento excepcional. Quando chega um pedido de informações da ANPD, um questionário de fornecedor, uma auditoria de cliente ou uma due diligence societária, a resposta deixa de ser uma força-tarefa de vários dias e passa a ser a extração de um conjunto já organizado.

O efeito prático mais visível é a redução do tempo de resposta. Em programas que ainda dependem de busca manual em pastas compartilhadas, não é incomum que mais de 60% do prazo concedido pela autoridade seja consumido apenas na localização e na conferência dos documentos, sobrando pouco para a análise jurídica que realmente importa. Com repositório controlado, essa proporção se inverte.

O segundo efeito é a coerência. Quando o encarregado, o comitê e as áreas operacionais leem a mesma versão do mesmo procedimento, desaparecem as contradições que costumam aparecer justamente durante a fiscalização, quando dois setores descrevem o mesmo processo de formas incompatíveis.

O terceiro efeito é cultural. Documento com vigência, responsável e prazo de revisão deixa de ser peça decorativa e passa a ser instrumento de gestão. O programa de privacidade sai da lógica de projeto com início e fim e entra na lógica de governança permanente, que é exatamente o patamar que a nova configuração institucional da ANPD pressupõe.

Próximo passo

A revisão do Regulamento de Fiscalização vai definir como a Agência pedirá, em quanto tempo e com qual nível de detalhe. O que ela não vai definir é se a sua organização tem o que entregar.

Se a ANPD solicitasse hoje a versão da sua política de privacidade vigente há dezoito meses, com data de aprovação, responsável e evidência de comunicação interna, sua equipe conseguiria apresentar esse conjunto dentro do prazo, sem reconstruir nada? Conheça o módulo que transforma acervo disperso em prova organizada