Pular para o conteúdo
Indene
pt

Compliance e regulatório

ANPD propõe presumir inexistente o documento não entregue na fiscalização

A minuta do novo regulamento de fiscalização da ANPD, em consulta até 26 de outubro, traz a apuração de incidente para dentro do processo, cria medidas cautelares e presume contra quem não entrega o que foi pedido. A prova passa a ser ônus de quem trata o dado.

Por Rafael LimaCFO

5 min de leitura

Páginas de norma empilhadas sobre fundo claro, com uma linha marcada em verde, e o título What you cannot prove, you did not do.
Páginas de norma empilhadas sobre fundo claro, com uma linha marcada em verde, e o título What you cannot prove, you did not do.

A ANPD está revendo, em consulta pública aberta até 26 de outubro de 2026, o regulamento que define como fiscaliza e como pune. A mudança que mais pesa para quem trata dado pessoal cabe num parágrafo da minuta: se a empresa recusar ou entregar incompleta a informação pedida, a agência pode presumir verdadeiros os fatos não contestados e inexistentes os documentos não apresentados. Na leitura da Indene, a proposta desloca o ônus da prova para o regulado, e o momento de produzi-la passa a ser antes do incidente, não depois da notificação.

O que está em consulta

A Autoridade Nacional de Proteção de Dados virou agência reguladora pela Lei nº 15.352, de 25 de fevereiro de 2026, e agora ajusta suas regras de fiscalização à nova estrutura. A consulta pública começou em 9 de setembro, na plataforma Brasil Participativo, e revisa a Resolução CD/ANPD nº 1/2021. Saíram três documentos: a minuta, a Análise de Impacto Regulatório (AIR) e o voto do diretor relator. A audiência pública foi em 24 de setembro, com 43 inscritos.

Boa parte da revisão trata das competências novas da agência, como a proteção de crianças e adolescentes no ambiente digital e os deveres dos provedores de aplicações de internet. Para quem cuida de segurança e de risco, o que importa é outra coisa: a minuta passa a tratar a comunicação e a apuração de incidente de segurança como parte do processo de fiscalização (art. 2º, § 4º), e muda as ferramentas que a ANPD tem para investigar e cobrar.

O que muda na prática

tema regra de 2021 proposta da minuta
Investigação procedimento preparatório, para averiguação preliminar (art. 40) procedimento investigativo, que pode ser aberto por causa de um incidente de segurança, com inspeção técnica presencial ou remota e coleta de evidência digital (arts. 32 e 33)
Informação não entregue pode caracterizar obstrução à fiscalização (art. 6º) além da obstrução, presunção de veracidade dos fatos não contestados e de inexistência dos documentos não apresentados (art. 33, § 2º)
Monitoramento serve para planejar a fiscalização e analisar a conformidade (art. 18) a ANPD pode notificar a empresa para interromper ou corrigir a conduta ainda no monitoramento (art. 18, § 2º)
Regularização "solicitação de regularização" (art. 32) "determinação de regularização", com agravante se não for cumprida (art. 36)
Medida cautelar sem disciplina no regulamento pode ser adotada sem ouvir a empresa antes, inclusive quando o dano vem de incidente de segurança, com multa diária de até $ 9,65 milhões no total (arts. 14-A a 14-E)
Defesa dez dias úteis dez dias úteis, e a empresa informa o faturamento no Brasil do ano anterior; se não informar, a ANPD estima (art. 47, § 1º)
Sigilo cabe à empresa pedir o sigilo (art. 5º, § 2º) sem indicação precisa da informação e da hipótese legal, o documento é tratado como público (art. 5º)

O teto da multa diária cautelar equivale a $ 9,65 milhões (R$ 50 milhões na fonte; PTAX de 30 de setembro de 2026, Banco Central).

Ficam de fora desta consulta os prazos de comunicação de incidente, que seguem na Resolução CD/ANPD nº 15/2024, e as regras de cálculo da multa, que a ANPD revisa num processo separado. A Resolução nº 15 continua exigindo comunicação à agência e aos titulares em três dias úteis, quando houver risco ou dano relevante, e registro de todo incidente, inclusive o não comunicado, por cinco anos.

O caso que mostra o critério

Em 8 de julho de 2026, a ANPD abriu processo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social que administra unidades públicas de saúde, por um ataque de ransomware ocorrido em 2025 que atingiu cerca de 500 mil registros, segundo a própria instituição. A sanção ainda será definida.

O comunicado da agência descreve o problema em termos de prova. A entidade afirmou que não havia risco relevante aos titulares, mas, segundo a ANPD, não apresentou comprovação. Publicou um aviso no site em vez de comunicar os titulares, e o aviso não trazia data, natureza dos dados nem medidas adotadas. E não apresentou evidências técnicas das próprias alegações, "mesmo após reiterados questionamentos". Com a minuta em vigor, esse silêncio teria mais um efeito: a presunção contra quem não entregou.

O que isso significa para instituições financeiras

Dado financeiro e dado de autenticação estão entre os critérios que a Resolução nº 15 usa para definir risco relevante. Para banco, cooperativa, instituição de pagamento e fintech, isso quer dizer que boa parte dos incidentes com dado pessoal tende a exigir comunicação em três dias úteis. Quem decide não comunicar precisa mostrar por quê, com evidência, e guardar esse registro por cinco anos.

A instituição regulada pelo Banco Central já responde a uma fiscalização documental parecida, com o mesmo horizonte de cinco anos para a documentação de segurança cibernética. A minuta da ANPD aproxima as duas cobranças. A boa notícia é que a mesma trilha serve às duas: o registro do incidente, a avaliação de risco com data e autor, o teste do controle que falhou e a correção comprovada. A má notícia é para quem guarda essa trilha em e-mail e planilha avulsa, porque a minuta tira da empresa o benefício da dúvida.

O que fazer agora

  1. Leia a minuta e envie contribuição até 26 de outubro pelo Brasil Participativo, em especial sobre a presunção do art. 33, § 2º, e sobre as medidas cautelares sem manifestação prévia.
  2. Confira se o registro de incidentes inclui os que não foram comunicados, com o conteúdo mínimo do art. 10 da Resolução nº 15, e se ele é guardado por cinco anos.
  3. Para cada incidente classificado como sem risco relevante, mantenha a evidência técnica que sustenta essa conclusão: foi a falta dela que pesou no caso Isac.
  4. Faça o cadastro de usuário externo no SEI da ANPD e defina quem recebe as intimações; o prazo de defesa continua de dez dias úteis.
  5. Prepare a classificação de sigilo dos documentos que podem ser pedidos, com a hipótese legal e uma versão ocultada pronta.

A regra que a ANPD propõe é a mesma que orienta a metodologia da Indene: declarado não é prova. Uma evidência com origem, data e autor responde ao Banco Central e à ANPD ao mesmo tempo. Leia a metodologia.

Referências

Assuntos

Continue lendo

Todas as notícias