Recebemos essa ligação com frequência maior do que gostaríamos: "chegou um e-mail da ANPD, o que a gente faz?". Geralmente o cliente já perdeu uns 5 dias tentando entender sozinho se aquilo é golpe, se é sério, se pode esperar. Não pode.
Processo administrativo na ANPD não é igual multa de trânsito que você ignora e some. Tem instrução, tem prazo, tem instância recursal. E tem uma coisa que empresário de Blumenau e do Vale do Itajaí ainda trata como exagero: o silêncio conta contra você. Falando sério, a pior defesa que já vimos foi nenhuma defesa.
Por que a ANPD bateu na sua porta
Na prática, três portas de entrada abrem a maioria dos processos. A primeira é denúncia: ex-funcionário insatisfeito, cliente que reclamou e não recebeu resposta em 15 dias como manda o art. 19 da LGPD, ou concorrente que resolveu jogar sujo. A segunda é incidente de segurança não comunicado, que viola o art. 48 e costuma ser o gatilho mais grave porque mostra omissão, não só falha técnica.
A terceira é fiscalização de ofício, mais comum em setor que lida com dado sensível: saúde, financeiro, RH terceirizado. Se sua empresa está numa dessas frentes, a chance de cair numa varredura setorial é maior que a média.
- Reclamação de titular sem resposta em 15 dias (art. 19)
- Vazamento de dados sem comunicação em prazo razoável (art. 48)
- Ausência de encarregado formalmente nomeado (art. 41)
- Fiscalização setorial em saúde, fintech, cobrança ou RH terceirizado
A notificação não é a multa
Primeiro ponto que precisa ficar claro: existe diferença entre processo de fiscalização, que é fase preparatória e ainda não aplica sanção, e o Processo Administrativo Sancionador (PAS), que já corre com auto de infração formal. Muita empresa recebe a primeira e já entra em pânico achando que a multa está definida. Não está.
A intimação inicial normalmente traz o prazo pra manifestação dentro do próprio documento, e nossa leitura é que esse prazo costuma girar entre 10 e 15 dias úteis, dependendo da fase. Não conte com prorrogação automática. Se precisar de mais tempo pra reunir documentação, peça formalmente, por escrito, antes do prazo vencer, não depois.
A defesa que resolve, não a que parece bonita
Defesa de PAS não é peça de retórica. É documentação que prova que a empresa tratou o dado com base legal válida (art. 7º) e tinha estrutura mínima de governança rodando antes do problema aparecer, não depois.
- Ata ou contrato de nomeação do encarregado (art. 41)
- Política de privacidade vigente na data do fato apurado
- Registro de incidentes de segurança, mesmo os que não geraram comunicação
- Contratos com operadores de dados (fornecedor de nuvem, folha, CRM)
- Evidência da base legal usada pro tratamento questionado
Se a empresa não tem nada disso pronto quando a intimação chega, a defesa vira reconstituição às pressas, e isso aparece. A ANPD sabe diferenciar governança real de documento produzido depois do fato pra parecer que sempre existiu.
Postura durante a instrução: coopere, mas não confesse à toa
Tem uma tensão que todo empresário sente e poucos administram bem: quer parecer colaborativo, mas não quer admitir culpa sem necessidade. A saída não é enrolar prazo nem mandar resposta evasiva. É responder com o que foi pedido, dentro do prazo, sem adiantar interpretação jurídica que compete à defesa técnica.
Nossa leitura: cada pedido de esclarecimento complementar durante a instrução é uma chance de fechar lacuna, não uma armadilha pra evitar. Ignorar ofício da ANPD durante a instrução pesa mais contra a empresa do que o próprio fato investigado, porque sinaliza descaso institucional.
Se a decisão vier desfavorável: existe recurso
A decisão em primeira instância dentro da ANPD não é definitiva. Existe recurso administrativo pro Conselho Diretor, e o prazo pra apresentar também costuma vir fixado no próprio ato decisório. Guarde o comprovante de protocolo, porque perda de prazo recursal transforma multa discutível em multa definitiva, sem outra chance dentro da via administrativa.
Vale lembrar o teto: até 2% do faturamento da empresa no Brasil no último exercício, limitado a R$ 50 milhões por infração. É limite alto, mas na prática a maioria das sanções aplicadas até agora ficou bem abaixo disso, porque a ANPD tem priorizado advertência e prazo de adequação pra empresa que mostra boa-fé e capacidade de correção.
Regime simplificado ajuda? Só se o dever de casa já foi feito
A Resolução CD/ANPD 02/2022 dá tratamento diferenciado pra microempresa, EPP, startup e profissional autônomo, com prazo maior pra atendimento de algumas exigências. Mas isso não isenta ninguém de processo, e não substitui ter encarregado nomeado e política de privacidade em vigor.
Na prática, empresa pequena do Vale do Itajaí que se enquadra no regime simplificado ganha fôlego de prazo, não imunidade. Achar que "sou pequeno, não vão me pegar" é a segunda pior estratégia depois de ignorar a intimação.
O que fazer nas próximas duas semanas
Se você recebeu qualquer comunicação da ANPD, ou mesmo se ainda não recebeu mas sabe que tem exposição:
- Localize e confirme o prazo exato descrito na intimação, não estime de memória
- Reúna política de privacidade, ata do encarregado e contratos de operador em uma pasta única
- Levante todo incidente de segurança dos últimos 12 meses, comunicado ou não
- Formalize resposta por escrito dentro do prazo, mesmo que seja pedido de dilação
- Não responda ao fiscal por telefone ou informalmente sem registro escrito depois
Empresa que trata processo da ANPD como prioridade nas primeiras semanas costuma sair com advertência ou prazo de correção. Empresa que trata como e-mail perdido na caixa de entrada costuma sair com multa e processo mais longo do que precisava ser.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
