Recebeu notificação da ANPD? O passo a passo do processo administrativo

O ofício chegou por e-mail, foi direto pro spam, e só apareceu quando alguém do financeiro abriu por acaso. Isso aconteceu com um cliente nosso há pouco tempo. A empresa tinha 10 dias úteis pra responder e descobriu no dia 6. Deu tempo, mas por pouco.

Processo administrativo da ANPD não é multa automática. É um rito, com fases, prazos e direito de defesa. O problema é que a maioria das empresas brasileiras nunca leu o regulamento que rege esse processo e trata o ofício como se fosse spam ou boleto vencido. Nossa leitura: quem entende o rito ganha tempo. Quem ignora, perde o jogo antes de jogar.

Como o processo começa: denúncia, fiscalização ou fato notório

A ANPD não bate na porta do nada. O processo nasce de três formas: denúncia de titular (o cliente que reclamou que teve o CPF vazado), fiscalização de ofício (a autarquia decidiu olhar o setor, como aconteceu com bancos e fintechs) ou repercussão de incidente que já apareceu na imprensa ou em outro órgão, como Procon ou Ministério Público.

Antes de virar processo sancionador, geralmente existe uma fase preliminar de apuração. A ANPD manda um ofício pedindo esclarecimentos, documentos, política de privacidade, contrato com fornecedor de tecnologia. Essa fase ainda não é acusação formal. Na prática, é o momento mais barato pra resolver o problema, porque ainda dá pra demonstrar boa-fé antes de qualquer sanção entrar na mesa.

A intimação: o relógio começa a correr

Se a fase preliminar não convence a autarquia, o processo é instaurado e a empresa é intimada formalmente. A partir daí, o prazo pra apresentar defesa costuma ser de 10 dias úteis, prorrogáveis por mais 10 mediante pedido justificado. Perder esse prazo não significa perder o processo, mas significa perder a primeira e mais barata chance de argumentar.

Falando sério: empresa que recebe intimação e leva três semanas pra decidir quem vai cuidar disso já perdeu metade do prazo de defesa discutindo internamente quem é o responsável. É o erro mais comum que vemos em empresas de Blumenau e do Vale do Itajaí, principalmente têxteis e varejo, que não têm encarregado definido nem processo interno de resposta.

A defesa: o que precisa estar na peça

Defesa administrativa na ANPD não é carta de próprio punho. É peça técnica que precisa amarrar fato, base legal e prova documental. O que costuma fazer diferença:

• Cópia da política de privacidade vigente na data do fato apontado, não a versão atual
• Registro de operações de tratamento, se a empresa já tiver o mapeamento de dados feito
• Contrato com operadores de dados: fornecedor de nuvem, CRM, folha de pagamento
• Evidência da base legal usada para o tratamento questionado, conforme art. 7º da LGPD
• Histórico de atendimento a titulares, com os prazos de resposta cumpridos (art. 19, 15 dias)
• Nome e contato do encarregado, exigido pelo art. 41

Empresa que não tem nada disso organizado monta a defesa em cima da hora, com documento remendado. A ANPD percebe. E isso pesa na dosimetria da sanção, mesmo quando o mérito ainda nem foi decidido.

Instrução: perícia, diligência e o pedido de mais documentos

Depois da defesa, o processo entra na fase de instrução. A ANPD pode pedir diligências complementares, perícia técnica sobre o sistema envolvido, ou simplesmente mais documentos. Nessa fase, a empresa não decide o ritmo. Quem decide é o relator do processo dentro da autarquia.

Na prática, essa etapa pode durar meses. Não existe prazo fatal curto para a ANPD decidir, o que frustra quem espera resposta rápida. Nossa leitura: use esse tempo a seu favor. Enquanto o processo tramita, corrigir a falha apontada, trocar o fornecedor de nuvem sem contrato de tratamento de dados, por exemplo, conta a favor na hora da decisão. Mostra que a empresa agiu, não ficou parada esperando o resultado.

A decisão: da advertência aos R$ 50 milhões por infração

O art. 52 da LGPD lista as sanções possíveis: advertência com prazo pra correção, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados pessoais envolvidos.

Na prática, a ANPD raramente começa pela multa. O histórico de decisões mostra preferência por advertência com prazo de adequação em casos de primeira infração, sem dado sensível envolvido e sem dano relevante a titular. Multa pesada aparece quando há reincidência, dado sensível na jogada (saúde, biometria, dado de criança) ou recusa em colaborar durante o processo. Esse último ponto é o que mais vemos empresa errar: tratar o processo como inimigo em vez de oportunidade de mostrar que já corrigiu.

Recurso: até onde dá pra brigar

Da decisão da Coordenação-Geral cabe recurso ao Conselho Diretor da ANPD, também em prazo curto, em regra 10 dias úteis. É a última instância administrativa. Depois disso, resta o Judiciário, mais lento e mais caro, mas que permite discutir questões que a via administrativa não resolveu, como interpretação de base legal ou proporcionalidade da multa.

Na prática: recurso bem fundamentado, com fato novo ou correção já implementada, tem chance real de reduzir a sanção. Recurso genérico, repetindo a defesa já apresentada, não muda nada e só atrasa o trânsito em julgado administrativo.

Empresa pequena tem tratamento diferente?

Tem, e pouca gente sabe disso. A Resolução CD/ANPD 02/2022 criou regime simplificado para microempresa, empresa de pequeno porte, startup e profissional autônomo, com prazos mais longos e critérios mais brandos de dosimetria. Se sua empresa em Santa Catarina se enquadra nesse perfil, isso precisa estar na defesa, expresso, com CNAE e faturamento comprovado. A ANPD não aplica o regime de ofício. Se a empresa não alegar, ninguém alega por ela.

O que fazer nas próximas duas semanas

Se o ofício já chegou, ou se você só quer parar de torcer pra ele nunca chegar, o roteiro é objetivo:

• Nomeie um encarregado com nome e contato públicos, mesmo que seja função acumulada por enquanto
• Reúna política de privacidade, registro de operações de tratamento e contratos com operadores de dados num único lugar
• Confirme se sua empresa se enquadra no regime simplificado da Resolução 02/2022 e documente isso
• Se já existe ofício da ANPD na caixa de entrada, conte os dias úteis a partir do recebimento, não da leitura
• Corrija a falha apontada antes da decisão, não depois

Processo administrativo não se resolve com sorte. Se resolve com papel organizado antes de precisar dele.