ANPD fecha o cerco pelo básico: 21 entidades a caminho de processo por não ter encarregado de dados

Durante anos, a crítica mais repetida sobre a LGPD foi que ela não pegava. A fiscalização era tímida, as multas eram raras, e muita empresa tratou a lei como um item de intenção. Esse período acabou — e o recado mais claro veio no ponto mais básico da lei.

A ANPD concluiu um ciclo nacional de monitoramento para verificar algo elementar: se as organizações indicaram um encarregado pelo tratamento de dados pessoais e se divulgaram publicamente o contato dele.

Os números

Foram 56 agentes de tratamento monitorados — 39 órgãos públicos e 17 empresas privadas. O resultado:

• 27 atenderam integralmente às exigências;
• 8 apresentaram pendências e receberam prazo de 10 dias úteis para regularizar, sob pena de sanção. Entre os nomes com pendência apareceram empresas grandes e conhecidas;
• 21 simplesmente não responderam aos pedidos de informação da autoridade e foram encaminhados diretamente à coordenação de sanções, para abertura de processo administrativo sancionador.

Ou seja: 37,5% dos fiscalizados ignoraram a ANPD — e é exatamente esse grupo que caminha para a punição. Não por ter vazado dado nenhum, mas por não responder e não cumprir o básico.

O que a lei exige, em português claro

O artigo 41 da LGPD determina que o controlador indique um encarregado pelo tratamento de dados pessoais — a pessoa que funciona como canal entre a empresa, os titulares dos dados e a autoridade. E o §1º é direto: a identidade e as informações de contato do encarregado devem ser divulgadas publicamente, de forma clara e objetiva, de preferência no site da organização.

Três pontos que costumam ser mal resolvidos:

• Indicar não basta; tem que divulgar. Um encarregado nomeado por documento interno, sem contato publicado, não cumpre o §1º.
• O contato precisa funcionar. Um endereço de e-mail que ninguém lê é pendência, não conformidade.
• Vale para empresa de qualquer tamanho. A ANPD dispensa o pequeno agente de tratamento de indicar o encarregado em certas situações, mas ele precisa manter um canal de comunicação com os titulares. Na prática, ninguém escapa de ter um caminho de contato.

O contexto que aumenta o risco

Este ciclo de fiscalização não é um episódio isolado. Em 2026, a ANPD foi transformada em agência reguladora, com autonomia financeira, quadro próprio e estrutura equivalente à de outras agências. O número de processos abertos saltou, e a autoridade publicou um mapa de temas prioritários para 2026 e 2027: direitos dos titulares, proteção de crianças e adolescentes, dados tratados pelo poder público e inteligência artificial.

O detalhe estratégico deste caso é o método: a ANPD começou pela obrigação mais fácil de verificar — a que se checa abrindo o site da empresa. É uma varredura barata para a autoridade e um teste que qualquer organização deveria passar.

O que fazer hoje, em 20 minutos

1. Abra o site da sua empresa e procure o contato do encarregado. Se você não achar em menos de um minuto, um titular também não acha — e a ANPD tampouco.
2. Confirme que o canal responde. Mande uma mensagem de teste e veja se chega a alguém que sabe o que fazer com ela.
3. Registre a nomeação por escrito, com as atribuições definidas, e informe quem na empresa responde quando o encarregado estiver ausente.
4. Combine o fluxo de resposta. Pedido de titular tem prazo, e pedido da ANPD também. O caso dos 21 mostra que não responder é o pior caminho possível.

Ter encarregado e publicar o contato é o item mais barato de toda a adequação à LGPD. Estar entre os que não fizeram nem isso, agora, custa caro — e a conta chega por carta registrada.

Fontes

• Lei nº 13.709/2018 (LGPD) — art. 41 e parágrafos: planalto.gov.br
• ANPD — notícias e comunicados oficiais sobre fiscalização: gov.br/anpd
• Foto de capa: evento oficial sobre a Lei Geral de Proteção de Dados Pessoais — Ministério das Comunicações, CC BY 2.0, via Wikimedia Commons
• Segunda imagem: Esplanada dos Ministérios, Brasília — Agência Senado, CC BY-SA 4.0, via Wikimedia Commons