A ANPD concluiu o monitoramento de encarregados e canais de atendimento: 21 organizações já respondem por sanção. Veja como não entrar nessa lista.

O processo silencioso que ninguém vê

Em uma terça-feira qualquer, um titular envia um e-mail pedindo acesso aos dados que a empresa mantém sobre ele. A mensagem cai na caixa de um analista que está de férias. O encaminhamento manual passa por três pessoas, vira um anexo em planilha, e o prazo legal começa a correr sem que ninguém esteja cronometrando. Quinze dias depois, o titular não recebeu resposta. Não houve má-fé: houve ausência de processo.

Esse é o tipo de falha que não aparece em nenhum relatório, não dispara nenhum alarme e não consta de nenhuma ata. É um processo silencioso, invisível, que só ganha rosto quando a Autoridade Nacional de Proteção de Dados bate à porta. E foi exatamente isso que aconteceu com dezenas de organizações brasileiras.

Em junho de 2026, a ANPD concluiu a primeira etapa de dois processos de monitoramento que verificaram duas obrigações básicas da Lei Geral de Proteção de Dados: a indicação de um encarregado pelo tratamento de dados e a disponibilização de um canal acessível para que os titulares exerçam seus direitos. Foram monitorados 56 agentes de tratamento, entre 39 órgãos públicos e 17 empresas privadas. O resultado expôs a fragilidade que muitos preferem não enxergar: 27 atenderam integralmente, oito ficaram com pendências e 21 simplesmente não responderam. Esses 21 foram encaminhados à área responsável pela aplicação de sanções.

A pergunta incômoda que esse número levanta é simples: quantas das organizações que “atenderam” o fizeram porque tinham um processo estruturado, e quantas correram atrás no susto, montando às pressas uma resposta que não conseguiriam repetir na próxima requisição?

O risco invisível: por que isso é mais grave do que parece

A obrigação não é nova nem obscura. O artigo 18 da LGPD garante ao titular o direito de confirmar a existência de tratamento, acessar seus dados, corrigir, anonimizar, eliminar, portar e revogar consentimento. O artigo 19 estabelece prazos concretos: a confirmação ou o acesso devem ser providenciados em formato simplificado imediatamente, ou por declaração clara e completa no prazo de até quinze dias. Já o artigo 41 obriga o controlador a indicar um encarregado, cuja função, detalhada na Resolução CD/ANPD nº 18/2024, inclui receber reclamações e comunicações dos titulares e prestar esclarecimentos.

O ponto que escapa à maioria das organizações é que cumprir essas obrigações no papel não basta. A fiscalização não pergunta apenas “você tem um encarregado?” ou “existe um canal?”. Ela pergunta se o canal funciona, se as requisições são registradas, se os prazos são cumpridos e se há prova disso. É a lógica da accountability, princípio expresso no artigo 6º, inciso X, da LGPD: não basta estar em conformidade, é preciso ser capaz de demonstrar a conformidade.

Aqui mora o risco invisível. Uma empresa pode ter encarregado nomeado, banner de privacidade publicado e um endereço de e-mail divulgado, e ainda assim falhar de forma estrutural. Quando a requisição depende de memória humana, de encaminhamentos por e-mail e de planilhas que ninguém audita, não existe rastro confiável. No dia em que a ANPD pedir o histórico de atendimentos dos últimos doze meses, a organização descobre que não tem como provar nada. E a ausência de prova, perante a Autoridade, pesa quase tanto quanto a ausência da própria conformidade.

Pense no caso prático de uma requisição de eliminação de dados. O titular pede o apagamento; a empresa precisa avaliar se há base legal ou obrigação de retenção que justifique manter parte das informações, responder de forma fundamentada e registrar a decisão. Sem um processo, essa análise vira uma troca de e-mails entre jurídico, tecnologia e atendimento, sem dono claro e sem prazo controlado. Multiplique isso por dezenas de requisições por mês e a conta de exposição cresce silenciosamente.

Não é coincidência que os direitos do titular tenham sido eleitos um dos quatro temas prioritários de fiscalização para o biênio 2026-2027, conforme a Resolução CD/ANPD nº 30/2025. A mensagem ao mercado é clara: o canal de atendimento ao titular deixou de ser um detalhe operacional e virou linha de frente da fiscalização.

Como o módulo Requisição do Titular do PROTEGON resolve

O módulo Requisição do Titular do PROTEGON foi desenhado para transformar esse fluxo frágil e manual em um processo controlado, rastreável e auditável de ponta a ponta. Em vez de depender de e-mails dispersos e planilhas, a organização passa a operar um canal único, com cada solicitação registrada, classificada e cronometrada desde a entrada.

Na prática, o módulo entrega capacidades concretas:

• Recebimento centralizado das requisições por um canal padronizado, eliminando a dispersão entre caixas de e-mail e atendentes diferentes.
• Classificação automática do tipo de direito exercido (acesso, correção, eliminação, portabilidade, revogação de consentimento), com o fluxo correto para cada caso previsto no artigo 18.
• Contagem automática de prazos com alertas de vencimento, evitando que os quinze dias do artigo 19 expirem sem resposta.
• Trilha de auditoria completa, registrando quem tratou cada requisição, quando, com qual decisão e qual fundamento, gerando a prova que a accountability exige.
• Validação de identidade do titular antes da entrega de dados, reduzindo o risco de vazamento para terceiros que se passam pelo titular.
• Relatórios consolidados de volume, prazos cumpridos e pendências, prontos para apresentar ao encarregado, ao comitê de governança ou à própria ANPD.

A diferença não está em ter um canal, mas em ter um canal que produz evidência. Cada atendimento deixa de ser um esforço pontual e passa a ser um registro permanente, recuperável em segundos.

Do caos para a previsibilidade

Organizações que estruturam o atendimento ao titular saem da lógica reativa, na qual cada requisição é uma pequena crise, para uma lógica previsível, na qual o processo simplesmente roda. O encarregado deixa de descobrir requisições atrasadas por acaso e passa a acompanhar um painel em tempo real. O jurídico para de reconstruir históricos no susto, porque o histórico já está pronto.

Em ambientes que adotam esse tipo de controle, é plausível observar que mais de 80% das requisições passam a ser respondidas dentro do prazo legal, simplesmente porque o prazo deixou de depender da memória de alguém. O ganho mais relevante, porém, não é estatístico: é a tranquilidade de poder responder a uma fiscalização com um relatório completo em vez de uma justificativa improvisada.

É a diferença entre fazer parte dos 27 que comprovaram conformidade e fazer parte dos 21 encaminhados para sanção. Quando o módulo Requisição do Titular conversa com o Portal de Privacidade, que dá visibilidade pública ao canal, e com a Governança, que consolida indicadores para o comitê e o encarregado, a exposição que antes era estrutural se transforma em rotina controlada.

Há também um efeito cultural relevante. Quando o atendimento ao titular passa a ser mensurável, ele entra na pauta da alta gestão como qualquer outro indicador operacional. Deixa de ser uma obrigação que vive na sombra do encarregado e passa a ser um compromisso institucional, com metas, responsáveis e acompanhamento periódico.

Próximo passo

A fiscalização de junho não foi um evento isolado: foi um aviso sobre o que vem pela frente. A próxima rodada vai encontrar sua empresa preparada ou improvisando.

Sua organização consegue provar, hoje, que respondeu a cada requisição de titular dentro do prazo legal, com registro de quem tratou e como? Se a resposta depende de procurar e-mails e abrir planilhas, a exposição já existe; ela apenas ainda não foi cobrada