A atuação da Autoridade Nacional de Proteção de Dados está entrando em uma nova etapa. Após um período marcado principalmente pela orientação e conscientização, movimentações recentes indicam uma postura mais ativa diante de organizações que não cumprem obrigações básicas da Lei Geral de Proteção de Dados.
Em matéria publicada pelo Jornal Visão de Negócios, João Saldanha, Advisor Estratégico em GRC e Governança Algorítmica na Tripla, explica que o cenário deve ser interpretado com atenção, mas sem alarmismo.
Segundo o especialista, o avanço de processos de monitoramento não significa que todas as organizações avaliadas serão automaticamente sancionadas. No entanto, demonstra que a inércia, a ausência de respostas e uma conformidade meramente performática começam a gerar consequências concretas.
Ausência de DPO ainda representa uma falha básica
O monitoramento realizado pela ANPD envolveu 56 agentes de tratamento, entre organizações públicas e privadas. Desse total, 21 entidades não responderam às solicitações de adequação e foram encaminhadas para análise de possíveis medidas sancionatórias.
Entre as principais irregularidades identificadas estão a ausência de um Encarregado pelo Tratamento de Dados Pessoais, também conhecido como DPO, e a inexistência de um canal efetivo de comunicação com os titulares.
Para João Saldanha, essas falhas demonstram que algumas organizações ainda não implementaram sequer os elementos mínimos de governança exigidos pela legislação.
O encarregado funciona como ponto de contato entre a empresa, os titulares dos dados e a autoridade reguladora. Não indicar claramente quem exerce essa função ou manter apenas um canal de comunicação inoperante enfraquece a capacidade da organização de demonstrar conformidade.
Uma nova etapa para a proteção de dados no Brasil
O amadurecimento da fiscalização ocorre em um momento de fortalecimento institucional da autoridade, que passou ao status de Agência Nacional de Proteção de Dados.
De acordo com Saldanha, a mudança não deve ser vista apenas como uma alteração de nomenclatura. Uma agência reguladora possui estrutura e atribuições voltadas à regulamentação, fiscalização e aplicação de sanções.
Além das responsabilidades relacionadas à LGPD, a atuação da agência tende a abranger novas pautas digitais, como a proteção de crianças e adolescentes em ambientes virtuais e a futura governança da Inteligência Artificial no país.
Esse cenário amplia o cálculo de risco das empresas e exige uma visão integrada entre privacidade, segurança da informação, compliance e governança tecnológica.
Conformidade precisa ser demonstrável
A nova fase da fiscalização reforça que a adequação à LGPD não pode se limitar à publicação de uma política de privacidade genérica ou à criação de documentos que não refletem a operação real da empresa.
As organizações precisam demonstrar que possuem processos consistentes para atender titulares, responder a incidentes, controlar o acesso às informações, avaliar riscos e prestar contas sobre o tratamento de dados pessoais.
Mais do que possuir políticas, é necessário apresentar evidências de que os controles são conhecidos, aplicados, monitorados e atualizados.
Para João Saldanha, a percepção de que a LGPD não seria efetivamente fiscalizada tornou-se um erro estratégico. A etapa de conscientização cumpriu seu papel, e as empresas que mantiveram uma adequação superficial terão cada vez mais dificuldade para alegar desconhecimento ou ausência de orientação.
Leia a matéria completa no Jornal Visão de Negócios.
