Nova fiscalização da ANPD coloca à prova a proteção de dados nas empresas
Após audiência pública, Datalege aponta o que organizações devem observar enquanto proposta de revisão segue em consulta até 26 de outubro
Senhas compartilhadas, acessos que continuam ativos depois da saída de funcionários e procedimentos de segurança que ninguém sabe explicar. Situações como essas mostram a distância que pode existir entre uma política de proteção de dados e a rotina de uma empresa. Para a Datalege Consultoria Empresarial, a revisão das regras de fiscalização da Agência Nacional de Proteção de Dados (ANPD) é uma oportunidade para reduzir essa distância antes que ela apareça durante uma fiscalização.
A proposta foi debatida em audiência pública no dia 24 de setembro e permanece aberta a contribuições até 26 de outubro de 2026. A ANPD pretende atualizar o regulamento de fiscalização e do processo administrativo sancionador, aprovado em 2021, para adequá-lo às competências que passou a exercer no ambiente digital. O texto ainda será analisado pela área técnica e submetido ao Conselho Diretor.
Na avaliação de Mario Toews, sócio da Datalege e especialista em Segurança da Informação, o ponto de partida para as empresas é verificar se conseguem demonstrar a aplicação das medidas que adotaram. “Uma política escrita é importante, mas ela precisa aparecer na prática. A empresa deve saber quem tem acesso aos dados, quem responde por cada processo e como registra as decisões tomadas para proteger essas informações”, afirma.
Isso envolve olhar para questões concretas: os acessos aos sistemas são revistos? Há um procedimento conhecido para comunicar e tratar incidentes? Treinamentos, avaliações de risco e correções de falhas ficam registrados? Para Toews, essas informações permitem identificar fragilidades e também demonstrar as providências tomadas pela organização. “A conformidade precisa deixar rastros. Se uma medida de segurança foi adotada, a empresa deve conseguir explicar como ela funciona e apresentar evidências de sua aplicação”, diz.
A atualização proposta pela ANPD acompanha uma ampliação de suas atribuições. Além da proteção de dados pessoais, a Agência passou a exercer competências relacionadas à proteção de crianças e adolescentes na internet, aos direitos dos usuários de plataformas digitais e ao enfrentamento da violência contra mulheres no ambiente digital. Essas responsabilidades motivam a revisão dos procedimentos de fiscalização, embora as obrigações específicas variem conforme a atividade de cada organização.
No caso das plataformas digitais, a ANPD informa que sua atuação terá caráter sistêmico. A fiscalização deverá observar mecanismos de prevenção de riscos, estruturas de governança, canais de denúncia e medidas técnicas e organizacionais, considerando o funcionamento do serviço como um todo.
Para as demais empresas, a discussão também serve de alerta sobre a continuidade dos programas de proteção de dados. “Adequação não é um documento produzido uma vez e guardado. Mudam as pessoas, os fornecedores, os sistemas e os riscos. Os controles precisam acompanhar essas mudanças”, observa Toews.
Após o encerramento da consulta pública, em 26 de outubro, a ANPD analisará as contribuições recebidas e encaminhará a minuta ao Conselho Diretor. Até a aprovação de uma nova resolução, permanece em vigor o regulamento atual.
