Menu
Não é assunto só de big tech
Boa parte do debate se concentrou nas plataformas digitais, no ECA Digital e em sanções como a multa de R$ 153,7 milhões aplicada ao TikTok em agosto. A leitura é compreensível, mas incompleta. As regras de procedimento valem para qualquer empresa que trate dados pessoais, da indústria com cadastro de clientes ao provedor regional de internet. Há um detalhe pouco comentado. A minuta coloca expressamente dentro do processo de fiscalização a comunicação e a apuração de incidentes de segurança. Para uma empresa de médio porte, o contato mais provável com a ANPD não é uma investigação aberta por iniciativa da agência, mas a comunicação de um vazamento ou de um ataque de ransomware. É justamente nesse momento, sob pressão e com prazo correndo, que as quatro mudanças abaixo farão diferença.1. Alguém precisa estar designado para receber os avisos da agência
A proposta exige que a empresa se cadastre como usuária externa do sistema eletrônico da ANPD já na primeira manifestação, e concentra ali as comunicações do processo. Havendo mais de uma pessoa cadastrada, a empresa deve indicar quem recebe as notificações. Manter esse cadastro atualizado passa a ser responsabilidade exclusiva da empresa, e o aviso enviado ao endereço cadastrado vale como recebido, ainda que ninguém o tenha lido. Os prazos correm da ciência oficial e são contados em dias úteis, e o prazo de defesa contra um auto de infração é de dez dias úteis. Um e-mail parado na caixa de um funcionário que já saiu da empresa pode custar a própria chance de se explicar. O cadastro deve estar ligado a uma função, e não a uma pessoa, com substituto definido e rotina de conferência.2. Responder pela metade passa a ter preço
Deixar de atender a uma requisição da ANPD já podia ser tratado como obstrução à fiscalização. A novidade está nas consequências. Pela minuta, a recusa injustificada ou a entrega incompleta de informações pode caracterizar obstrução, os fatos não contestados serão presumidos verdadeiros e os documentos não apresentados serão considerados inexistentes. Na prática, a política de privacidade que existe mas não foi enviada no prazo passa a valer como se nunca tivesse sido escrita. O inverso também preocupa, porque um documento produzido às pressas depois da requisição dificilmente convence de que o controle já funcionava antes dela. O mesmo raciocínio chega ao valor da multa. Na defesa, a empresa deverá informar o faturamento obtido no Brasil no ano anterior, e a omissão autoriza a agência a estimá-lo. Esse número importa porque a multa da LGPD pode chegar a 2% do faturamento da empresa, do grupo ou do conglomerado no Brasil, excluídos os tributos, limitada a R$ 50 milhões por infração. Definir qual número apresentar, e com qual suporte documental, é trabalho conjunto do jurídico e da contabilidade, sobretudo em grupos com holding e mais de uma operação. O silêncio, em resumo, passa a jogar contra.3. O que é sigiloso precisa ser apontado com clareza
Ao entregar documentos com informação sensível de negócio, a empresa terá de indicar com precisão o trecho sigiloso e a hipótese legal que o protege. Também deverá apresentar uma versão pública do arquivo, com essas partes ocultadas, e responderá pela eficácia técnica da ocultação. Nesse desenho, o que não for apontado com precisão fica acessível ao público. Preços, custos, margens, contratos com fornecedores e o próprio faturamento informado na defesa podem acabar expostos a concorrentes por descuido. A ocultação merece cuidado técnico. Uma tarja preta desenhada sobre o PDF nem sempre apaga o texto por baixo dela, que continua podendo ser copiado ou pesquisado. A versão pública precisa ser gerada com ferramenta que remova de fato o conteúdo e conferida antes do protocolo.4. A agência pode agir antes de ouvir a empresa
A minuta disciplina medidas cautelares que a ANPD poderá adotar antes ou durante o processo, sem ouvir a empresa, quando identificar perigo de dano ou risco ao resultado da apuração. Para garantir o cumprimento, poderá fixar multa diária, limitada ao total acumulado de R$ 50 milhões. Cabe recurso ao Conselho Diretor, mas ele não suspende automaticamente a ordem. Essa multa diária não se confunde com a sanção final. Ela serve para forçar o cumprimento da cautelar e corre em paralelo ao processo, que ainda pode terminar em penalidade própria. Na mesma linha, o que hoje é uma solicitação de regularização passa a ser uma determinação. Os planos de conformidade ganham ações, prazos e critérios de acompanhamento, e a empresa terá de comprovar os resultados. Descumprir o plano leva à atuação repressiva e agrava a punição em eventual processo sancionador. Por isso, assumir em um plano compromissos que a operação não consegue entregar é pior do que negociar prazos realistas desde o início.O que organizar antes da versão final
Nada disso está em vigor, e seria precipitado implantar a minuta como se fosse norma. Mas os ajustes que ela sugere custam pouco e já melhoram a resposta a uma fiscalização ou a um incidente sob as regras atuais. O primeiro é definir quem responde pelos avisos da ANPD, com cadastro institucional, substituto e rotina de monitoramento. O segundo é saber onde estão os documentos que podem ser pedidos, como políticas, registros das operações de tratamento, contratos com fornecedores e relatórios de incidentes, e garantir que existam antes de qualquer requisição. O terceiro é marcar de antemão o que é realmente sigiloso e testar a produção de versões públicas. O quarto é alinhar com a contabilidade o dado de faturamento que seria apresentado numa defesa. Vale ainda avaliar a participação na consulta, diretamente ou pela associação setorial. A combinação entre comunicações concentradas em um único sistema, prazos curtos e presunção de veracidade é um ponto legítimo de contribuição, e o prazo termina em 26 de outubro. A versão final ainda pode mudar em detalhes, mas tende a manter a direção. A empresa que chegar a ela com responsável definido, documentos localizáveis e sigilo mapeado terá transformado uma exigência regulatória em vantagem de prazo. O WCBAdv acompanha a consulta pública e atualizará esta análise quando a ANPD publicar o texto final.
Advogada Associada · OAB/SC 69.710 · Corporate & LGPD
Atua nas frentes societária e empresarial do escritório, com foco em contratos, estruturação de operações e programas de conformidade à LGPD. Graduada pela Unisul e pós-graduada em Privacidade e Proteção de Dados pelo Instituto Legale.
