ANPD abriu processo contra sua empresa: o que acontece agora

Muita empresa descobre que tem processo na ANPD quando a intimação já chegou. O prazo está correndo, a documentação não existe, o DPO terceirizado não sabia de nada, e a defesa vai ser montada na correria. Esse é o pior cenário: não porque a multa é certa, mas porque a empresa chega fragilizada num processo em que postura e documentação valem pontos concretos na dosimetria da sanção.

O processo administrativo sancionador da ANPD tem fases definidas e prazos que não param. Entender cada uma delas muda o resultado. Cooperação e transparência são atenuantes formais previstos no art. 52 da LGPD, e a autarquia considera isso na hora de calcular a multa.

A ANPD investiga antes de intimar

Ninguém acorda com um processo administrativo sancionador. Antes dele, existe uma fase de monitoramento e apuração preliminar. A ANPD recebe reclamações de titulares, monitora notícias de incidentes, acompanha setores de alto risco como saúde, educação e financeiro, e pode agir de ofício. Nessa fase, a empresa geralmente não sabe que está no radar.

Quando a apuração preliminar identifica indício concreto de infração, a autarquia abre formalmente o Processo Administrativo Sancionador. É aí que a intimação é expedida. Na prática, isso significa que quando o documento chega, a ANPD já tem alguma coisa em mãos.

Nossa leitura: empresas que têm DPO atuante e respondem proativamente a reclamações de titulares raramente chegam ao PAS de surpresa. Cooperar antes da intimação formal pesa na avaliação de boa-fé durante todo o processo.

A intimação chegou: o que ela diz e quanto tempo você tem

A intimação descreve o fato investigado, a base legal da infração imputada e o prazo para apresentação de defesa. O prazo costuma ser de 20 dias úteis para a defesa inicial, mas o documento pode fixar prazo diferente. Não assuma. Leia o inteiro teor da intimação no dia em que ela chegar.

A ciência pode se dar por e-mail com confirmação de leitura, por publicação no DOU ou por correspondência com AR. O prazo começa a correr da data de ciência, não da data de envio. Isso importa muito. Salve o e-mail com data, guarde o aviso de recebimento, documente o momento exato em que a empresa tomou conhecimento.

Assim que a intimação chegar, o primeiro movimento é:

• Identificar o número do processo e a coordenação responsável dentro da ANPD
• Mapear quais dados, sistemas ou processos internos são objeto da investigação
• Reunir documentação existente: ROPA, política de privacidade, registros de consentimento, contrato com DPO
• Verificar se houve incidente anterior relacionado ao mesmo fato
• Definir um ponto focal único para toda comunicação com a ANPD durante o processo

Defesa não é só negar: o que a ANPD quer ver

O erro mais comum que a gente vê é a empresa montar uma defesa focada em contestar os fatos. Isso raramente é suficiente. A ANPD não quer só saber se aconteceu ou não aconteceu. Ela quer saber o que a empresa fez quando descobriu o problema, que medidas foram tomadas, e se existe um programa de governança de dados funcionando.

Os atenuantes formais do art. 52 incluem boa-fé, cooperação, adoção de política de boas práticas, não reincidência e proporcionalidade do dano. Uma defesa bem construída documenta cada um desses pontos, não só o mérito técnico da acusação.

Na prática, isso significa juntar à defesa: comprovante de nomeação do DPO (art. 41), registros de treinamento de equipe, logs de acesso, evidências de medidas de segurança adotadas antes e depois do fato, política de privacidade publicada. Não é para mostrar que a empresa é perfeita. É para mostrar que ela leva o assunto a sério, e que qualquer falha foi tratada, não escondida.

A instrução: quando a ANPD pede mais e o processo se alonga

Depois da defesa inicial, o processo entra na fase de instrução. A ANPD pode solicitar documentos adicionais, pedir esclarecimentos, ouvir o titular que reclamou ou requisitar perícia técnica. Cada diligência tem prazo específico para resposta.

Ignorar uma diligência ou responder fora do prazo é registrado como falta de cooperação. Responder com informações contraditórias ao que foi dito na defesa inicial é pior ainda. Consistência ao longo de toda a instrução é tão importante quanto o conteúdo da defesa.

Falando sério: muita empresa perde pontos na instrução não por má-fé, mas por desorganização. O time de TI diz uma coisa, a área jurídica diz outra, e o DPO terceirizado nem sabia que o processo existia. Um ponto focal único resolve boa parte disso.

A decisão de 1ª instância: o que pode sair e o que pesa no cálculo

Ao final da instrução, o processo vai ao Conselho Diretor da ANPD para decisão. O resultado pode ser arquivamento, advertência com prazo para adequação, multa, publicização da infração, bloqueio ou eliminação de dados. Não é tudo ou nada.

A multa vai até 2% do faturamento bruto da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. O art. 52 lista os fatores que determinam o valor final: gravidade e natureza da infração, número de titulares afetados, vantagem auferida pelo infrator, condição econômica do controlador, reincidência, grau de dano, cooperação com a ANPD, adoção de política interna de boas práticas. Empresa com programa de governança documentado pode ter a sanção reduzida de forma significativa.

Para microempresas, EPP, startups e profissionais autônomos, a Resolução CD/ANPD 02/2022 prevê regime diferenciado: a primeira sanção costuma ser advertência com prazo para adequação, antes de qualquer multa pecuniária. Mas isso pressupõe que a empresa se enquadre no regime simplificado e que o fato não seja grave o suficiente para pular essa etapa.

Recurso ao Conselho Diretor: a janela que a maioria não usa bem

Contra a decisão de 1ª instância cabe recurso ao próprio Conselho Diretor da ANPD. O prazo é curto, em geral 10 dias úteis da intimação da decisão, mas o documento de intimação vai especificar. Não espere o prazo acabar para decidir se recorre ou não.

O recurso não é automático nem genérico. Ele precisa ser fundamentado com fatos e direito. Alegar que a multa é desproporcional sem demonstrar os números não funciona. O recurso tem que apontar vício na instrução, erro na aplicação da lei, ou circunstâncias concretas que não foram consideradas na decisão de 1ª instância.

Antes de recorrer, vale verificar:

• Se todos os atenuantes do art. 52 foram efetivamente considerados na decisão
• Se o cálculo da multa seguiu a metodologia prevista no Regulamento de Dosimetria da ANPD
• Se houve cerceamento de defesa durante a instrução, como prazo insuficiente ou diligência negada sem fundamentação
• Se a decisão está baseada em fatos provados no processo, não em presunções
• Se o enquadramento no regime simplificado (PME) foi levado em conta

Na prática, a taxa de revisão em recurso existe e não é desprezível. O esforço técnico vale.

O que fazer nos próximos 15 dias se você ainda não tem estrutura nenhuma

Se a empresa não tem DPO nomeado, não tem ROPA atualizado e a política de privacidade do site é aquele template genérico de 2020, o risco de receber uma intimação sem ter nada para juntar à defesa é concreto. E processo se defende com documentação. O que não está registrado não existiu.

Nos próximos 15 dias, o mínimo é:

• Nomear formalmente um encarregado (DPO), ainda que terceirizado, e publicar o contato no site conforme art. 41, §1º
• Mapear os dados que a empresa trata: quais, de quem, com qual finalidade e com qual base legal do art. 7º
• Registrar esse mapeamento, mesmo que em planilha, com data e responsável
• Criar mecanismo de resposta a titular: você consegue atender uma solicitação em 15 dias, como exige o art. 19?
• Guardar evidências do que já foi feito: e-mails, atas, prints datados, contratos com fornecedores de tecnologia

Documentação retroativa não existe. O que você registra hoje é o que vai existir amanhã se a intimação chegar. Esse é o ponto de partida.