A ANPD reescreve as regras do processo sancionador e o prazo para provar conformidade encurta. Veja o que muda e como se antecipar.

O processo silencioso que antecede a fiscalização

Quase nenhuma organização descobre que está sendo fiscalizada no dia em que o processo é aberto. A descoberta vem antes, em sinais pequenos que ninguém conecta: uma denúncia de titular protocolada no canal de atendimento e respondida fora do prazo; um incidente comunicado com atraso; um formulário de consentimento que ficou no ar por meses sem revisão; um relatório de impacto que foi iniciado, discutido em reunião e nunca concluído.

Esses sinais convivem pacificamente com a rotina porque não doem. A política de privacidade está publicada, o Encarregado está nomeado, o comitê se reúne trimestralmente e o projeto de adequação foi encerrado com festa há dois anos. No papel, o programa existe. Na prática, ninguém sabe dizer, em setembro, qual era o estado real da conformidade em março.

Foi exatamente esse intervalo entre o que a organização declara e o que consegue demonstrar que a ANPD colocou sob os holofotes. Em 9 de setembro de 2026, a Autoridade abriu consulta pública para atualizar o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, a Resolução CD/ANPD nº 1/2021. A revisão não é cosmética: ela acompanha a transformação da ANPD em agência reguladora pela Lei nº 15.352/2026, incorpora as novas atribuições sobre provedores de aplicações de internet trazidas pelo Decreto nº 12.975/2026 e as diretrizes de proteção de mulheres no ambiente digital do Decreto nº 12.976/2026, além do Estatuto Digital da Criança e do Adolescente.

Traduzindo para a linguagem de quem opera o programa: a autoridade que fiscaliza acabou de ganhar mais músculo institucional e está, neste momento, reescrevendo como vai perguntar, em quanto tempo espera resposta e o que considera prova. As contribuições vão até 26 de outubro de 2026, com audiência pública em 24 de setembro.

O risco invisível: quem não registra, não prova

O artigo 6º, inciso X, da LGPD não pede boa intenção. Ele exige responsabilização e prestação de contas, ou seja, a demonstração da adoção de medidas eficazes e capazes de comprovar a observância das normas. O ônus é do agente de tratamento, e é um ônus ativo: não basta estar adequado, é preciso ter como provar que se estava adequado no momento relevante.

O artigo 37 reforça isso ao impor o registro das operações de tratamento, e o artigo 50 desloca a conformidade do campo do documento único para o campo do programa de governança em privacidade, com mecanismos de supervisão, planos de resposta e revisão contínua. Some-se a Resolução CD/ANPD nº 15/2024, que fixa prazo de três dias úteis para comunicar incidentes relevantes, e a Resolução CD/ANPD nº 4/2023, que estabelece a dosimetria das sanções do artigo 52 e trata expressamente a adoção de política de boas práticas e governança como circunstância a ser considerada na gradação da penalidade.

Aqui mora a assimetria que derruba programas maduros. Quando a fiscalização chega, o pedido de informações não vem com meses de antecedência. Ele chega com prazo curto e escopo específico, e a organização precisa recuperar evidências de períodos já encerrados: qual era a base legal daquela atividade em janeiro, quem aprovou, qual controle estava implementado, quando a não conformidade foi identificada, o que foi feito depois.

A resposta típica é conhecida. Alguém abre uma planilha de controle que parou de ser atualizada no meio do ano, cruza com e-mails, pede prints para três áreas diferentes e monta às pressas um dossiê que descreve o presente e silencia sobre o passado. Esse dossiê responde ao ofício, mas não sustenta o argumento que realmente importa na dosimetria: o de que existia um programa vivo, auditado e corrigido ao longo do tempo.

A diferença entre uma advertência e uma multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, raramente está na existência da política. Está na capacidade de mostrar histórico.

Como o módulo Auditor Legal do PROTEGON resolve

O Auditor Legal é o módulo do PROTEGON que transforma exigência normativa em item auditável e verificação em registro datado. Em vez de tratar conformidade como um diagnóstico anual, ele a trata como um ciclo permanente, com trilha de evidências acumulada a cada rodada.

Na prática, o módulo permite:

• Estruturar checklists de auditoria vinculados diretamente a dispositivos da LGPD, a resoluções da ANPD e a normas setoriais aplicáveis, de modo que cada resposta fique amarrada ao fundamento legal que a justifica.
• Aplicar a verificação por área, processo ou unidade, com responsável designado, prazo e evidência anexada, eliminando a auditoria que existe apenas na cabeça do Encarregado.
• Registrar o resultado de cada ciclo com data, autor e anexos, preservando o histórico das rodadas anteriores em vez de sobrescrever o retrato atual.
• Classificar automaticamente os achados por criticidade e encaminhá-los como não conformidades tratáveis, com plano de ação, prazo e verificação de eficácia.
• Consolidar indicadores de aderência por requisito legal e por área, expondo onde a conformidade regrediu entre um ciclo e outro.
• Exportar o conjunto de evidências em formato organizado, pronto para instruir resposta a pedido de informações da autoridade.

Dois módulos complementam esse arranjo. O Registro de Não Conformidade recebe os achados da auditoria e os conduz até o encerramento com verificação de eficácia, garantindo que o apontamento não morra na planilha. A Gestão de Documentos mantém políticas, avisos e procedimentos sob controle de versão, com data de vigência e aprovação registradas, de forma que a organização saiba qual texto estava vigente em qualquer data do passado.

Do improviso à previsibilidade

A mudança percebida por quem adota esse arranjo é menos espetacular e mais estrutural do que se imagina. A organização deixa de responder à pergunta “estamos em conformidade?” com uma opinião e passa a respondê-la com um número, uma data e um anexo.

O efeito prático aparece em três frentes. A primeira é o tempo de resposta: montar a instrução de um ofício deixa de ser um projeto de duas semanas mobilizando cinco áreas e passa a ser uma exportação filtrada por período e por requisito. A segunda é a qualidade da defesa: em processos sancionadores, a demonstração de que as falhas foram identificadas internamente, registradas e corrigidas antes da atuação da autoridade é argumento de mitigação previsto na regulamentação de dosimetria, e não retórica. A terceira é a priorização: com indicadores por requisito, o comitê discute os pontos que efetivamente regrediram, em vez de revisitar o mesmo diagnóstico genérico a cada reunião.

Em programas que operam com ciclos curtos de auditoria interna, é razoável esperar que mais de 60% dos achados sejam resolvidos antes de qualquer exposição externa, simplesmente porque foram vistos enquanto ainda eram pequenos. A conformidade deixa de ser um evento e vira uma série temporal.

Próximo passo

O regulamento de fiscalização está sendo reescrito agora, com participação aberta até outubro. Quando a nova versão entrar em vigor, ela não vai perguntar se a sua organização tinha boas intenções.

Se a ANPD solicitar hoje as evidências de conformidade do primeiro semestre, sua organização consegue apresentá-las com data, responsável e histórico de correção, ou vai reconstruir o passado a partir de memória e e-mails? Conheça o módulo que transforma auditoria de conformidade em rotina registrada e defensável