ANPD: o que é e o que ela cobra da sua empresa

O telefone toca numa terça-feira. Um cliente avisa que recebeu e-mail de cobrança com o nome completo dele, o CPF e o valor exato da última compra. O remetente é outra empresa, que ele desconhece. Alguém tirou aquela lista de algum lugar.

Nas duas horas seguintes, o dono do negócio faz três perguntas bem práticas. A quem ele precisa avisar, em quanto tempo e o que acontece se não avisar.

Quem responde essa pergunta no Brasil é a ANPD. Ela existe desde a Lei Geral de Proteção de Dados, fiscaliza o cumprimento dela e aplica as sanções quando o caso vira processo.

A ANPD avalia o que você consegue comprovar com documento datado. O Regulamento de Dosimetria converte política de governança, cooperação e medida corretiva em desconto percentual sobre a multa. Quem não registrou o que fez chega ao processo sem nada para apresentar.

O que a ANPD é, no desenho do Estado

Ela é a autoridade nacional de proteção de dados, e a sua missão é verificar o cumprimento das regras da LGPD e investigar infrações. A página de fiscalização da ANPD descreve a abordagem como regulação responsiva: as medidas são proporcionais à resistência do regulado. A escala começa por orientação e prevenção e chega à sanção quando a empresa não corrige.

O alcance é amplo. Entram todos os agentes de tratamento, controlador e operador, pessoa natural ou jurídica, de direito público ou privado. A regra vale quando o tratamento acontece no Brasil. Vale também quando a oferta de bens e serviços é dirigida a pessoas no país, ou quando os dados foram coletados aqui.

Isso coloca na mira a loja de bairro com cadastro de cliente e a clínica com ficha de paciente. Alcança também o prestador que processa folha de pagamento para terceiros. Se você já leu sobre LGPD para PMEs, este texto cobre a outra metade: quem cobra e como.

As sanções que ela pode aplicar

O artigo 52 da Lei 13.709 lista o que a ANPD tem disponível. A advertência vem com prazo para corrigir. A multa simples chega a 2% do faturamento da empresa no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração. A multa diária obedece ao mesmo limite total.

Depois vêm três medidas que doem de outra forma. A publicização da infração, depois de apurada e confirmada, coloca o caso em público. O bloqueio impede o uso dos dados envolvidos até a regularização. A eliminação apaga esses dados.

Existem ainda três medidas mais duras: suspensão parcial do funcionamento do banco de dados, suspensão da atividade de tratamento e proibição do tratamento. Todas valem por até seis meses, prorrogáveis por igual período. Pela lei, essas três só entram depois de já ter havido ao menos uma das sanções anteriores no mesmo caso.

Para quem vive de dado de cliente, bloqueio e suspensão pesam mais que a multa. A multa sai do caixa uma vez; a suspensão para a operação.

O Regulamento de Dosimetria e os descontos que ninguém reivindica

A Resolução CD/ANPD nº 4, de 2023, é onde o valor da multa é construído. Vale ler, porque ela transforma comportamento da empresa em percentual.

A base de cálculo combina a classificação da infração, o faturamento do último exercício disponível no ramo de atividade afetado e o grau do dano. A infração é classificada em leve, média ou grave. É média quando pode afetar significativamente direitos fundamentais do titular, como discriminação, violação de imagem ou reputação, fraude financeira e uso indevido de identidade. Vira grave quando soma a isso tratamento em larga escala, vantagem econômica ou risco à vida. Também é grave o caso com dados sensíveis, com dados de criança, adolescente ou idoso, sem hipótese legal ou com prática irregular sistemática. Obstruir a fiscalização também é grave.

Em cima da base vêm agravantes somáveis: reincidência específica acrescenta 10% por caso, até 40%; reincidência genérica, 5% por caso, até 20%; descumprir medida preventiva ou de orientação, 20% por caso, até 80%; descumprir medida corretiva, 30% por caso, até 90%.

E vêm os atenuantes, que são a parte que a empresa controla:

• cessar a infração antes do procedimento preparatório desconta 75%, caindo para 50% se a cessação vier depois dele e antes do processo sancionador, e 30% se vier já no processo;
• política de boas práticas e governança, ou mecanismos internos de proteção adotados de forma reiterada, desconta 20%;
• medidas que revertam ou mitiguem os efeitos descontam 20% ou 10%, segundo o momento;
• cooperação e boa-fé descontam 5%.

O regulamento diz que medidas adotadas apenas para cumprir determinação administrativa ou judicial não contam como atenuante. O ônus de comprovar os requisitos é do infrator. Esses dois trechos juntos explicam a tese deste post. O desconto de 20% por governança depende de prova: política com data anterior ao incidente, ata de aprovação, registro de treinamento. A ANPD também quer evidência de que o processo rodou, e documento criado na semana da fiscalização não serve.

Comunicar incidente: três dias úteis e um formulário

O artigo 48 da lei obriga o controlador a comunicar à autoridade e aos titulares qualquer incidente de segurança que possa acarretar risco ou dano relevante, descrevendo os dados afetados, as pessoas envolvidas, as medidas técnicas usadas, os riscos, o motivo de eventual demora e o que foi feito para mitigar o dano.

O prazo está no regulamento de comunicação de incidente, a Resolução CD/ANPD nº 15, de 2024. São três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, salvo prazo em legislação específica. Faltando informação, cabe comunicação preliminar com complementação em até vinte dias úteis. Agentes de pequeno porte contam esses prazos em dobro.

A comunicação é feita por peticionamento eletrônico no sistema SEI do órgão, pelo encarregado ou por representante legalmente constituído, com os documentos de representação anexados. Vale testar esse caminho antes de precisar dele. Criar usuário externo e juntar procuração no meio de um incidente custa horas que você não tem.

Três dias úteis é curto para quem só tem o telefone do fornecedor de TI. É confortável para quem mantém um plano de resposta a incidentes com responsável nomeado e modelo de comunicado pronto. A diferença entre os dois casos é um documento de duas páginas escrito antes.

Tipo de sanção, o que dispara e o que você precisa ter guardado

A coluna da direita é quase idêntica ao que um programa de governança, risco e compliance produz como subproduto. Quem já tem GRC rodando descobre que a conversa com a fiscalização da ANPD é uma consulta aos próprios registros.

O que montar nos próximos trinta dias

1. Inventário de dados pessoais. Quais dados você guarda, em qual sistema, por quanto tempo e com qual base legal. Uma planilha honesta vale mais que ferramenta comprada e vazia.
2. Encarregado nomeado por documento. Com nome, e-mail publicado e ato de designação assinado, porque é esse ato que o peticionamento pede.
3. Fluxo de incidente com prazo de três dias úteis escrito. Quem detecta avisa quem, quem decide se comunica, quem redige, quem protocola.
4. Cadastro no sistema de peticionamento, feito agora. Usuário externo criado e procuração anexada fora do calor de um incidente.
5. Política de boas práticas com data e aprovação registrada. É o atenuante de 20%, e ele só existe se houver papel anterior ao fato.
6. Registro de atendimento ao titular. Pedido recebido, prazo, resposta dada. Reclamação de titular é uma das portas de entrada da fiscalização.
7. Contrato com operador revisado. Quem processa dado por você responde também, e a repartição de responsabilidade precisa estar escrita.

Nenhum item dessa lista exige software novo. Cada um exige uma pessoa com nome e sobrenome responsável por manter aquilo atualizado, assunto que aparece igual em cibersegurança para PMEs.

O que fica

A LGPD existe desde 2018, e a fiscalização amadureceu em cima de dois regulamentos da ANPD. Um diz como a multa é calculada; o outro, em quanto tempo você precisa falar. Os dois recompensam registro e punem improviso.

Se for guardar um número desta página, guarde dois. Três dias úteis para comunicar um incidente que possa trazer risco relevante ao titular. E 20% de desconto na multa para quem tiver política de boas práticas e governança comprovada antes do fato. Desses dois, só o segundo depende de você, e ele custa uma reunião e uma ata assinada.