Sua empresa recebeu um ofício da ANPD solicitando documentos, explicações ou regularização?

A primeira decisão é compreender exatamente o que está sendo apurado e qual providência foi exigida. Uma requisição de informações, uma medida preventiva e uma intimação para defesa em processo sancionador têm funções diferentes.

A resposta empresarial deve reunir quatro elementos: prazo corretamente identificado, fatos verificáveis, documentos pertinentes e medidas efetivamente implementadas. Enviar apenas uma política de privacidade ou afirmar que o fornecedor cuida de tudo pode deixar sem resposta a questão central da fiscalização.

Também é possível contestar uma imputação, apresentar provas, discutir o enquadramento jurídico e questionar a sanção pelos meios cabíveis. A defesa exige coerência com a operação real da empresa e com aquilo que já foi informado aos clientes, aos parceiros e à própria Agência.

Este guia explica como transformar a notificação em um trabalho organizado, com participação da direção, do jurídico, do encarregado e das equipes responsáveis pelos sistemas e pelo atendimento.

O cenário atual fiscalização alcança a rotina das empresas

Ao divulgar seu Relatório Integrado de Gestão de 2025, em maio de 2026, a ANPD informou a instauração de 81 processos de fiscalização naquele ano. Esse número identifica processos instaurados: não corresponde a 81 condenações, multas ou vazamentos confirmados. A distinção evita avaliar o risco empresarial por uma estatística que mede outra coisa. Fonte: balanço oficial da ANPD.

Outro sinal concreto apareceu no monitoramento sobre encarregados e canais de comunicação. Em notícia publicada em julho de 2026, originalmente divulgada em junho, a Agência relatou a análise de 56 agentes: 27 atenderam integralmente às solicitações, oito apresentavam pendências e 21 não responderam aos pedidos de adequação. A relação dos que não responderam foi encaminhada para análise de medidas cabíveis; a notícia não anunciou a condenação definitiva de todos eles. Fonte: monitoramento da ANPD.

Para a gestão, a consequência prática é clara: até uma falha aparentemente simples, como um canal sem responsável, pode impedir o exercício de direitos e dificultar a relação com a fiscalização. A exposição começa antes de eventual multa, com levantamento de informações, mobilização de equipe e correção de processos.

Notificação da ANPD significa que a empresa já foi multada

Não. A Resolução CD/ANPD nº 1/2021, em texto consolidado, organiza a fiscalização e o processo administrativo sancionador. Seu desenho combina monitoramento, orientação, prevenção e repressão.

Situação identificada	Finalidade principal	Atenção da empresa
Monitoramento	Reunir informações para avaliar o ambiente regulado	Explicar a operação e atender ao pedido recebido
Orientação	Promover compreensão das regras e boas práticas	Verificar a aplicação das orientações ao negócio
Medida preventiva	Corrigir ou evitar situações de risco ou desconformidade	Executar e comprovar providências no prazo determinado
Procedimento preparatório	Esclarecer indícios antes de eventual processo sancionador	Organizar fatos, documentos e representação
Processo administrativo sancionador	Apurar infrações e decidir sobre sanções	Exercer contraditório e defesa nas fases cabíveis

 

Essa sequência não é uma garantia de que toda empresa receberá primeiro orientação informal, depois aviso e só então autuação. O regulamento admite a instauração do processo sancionador nas hipóteses previstas, inclusive de ofício. O conteúdo dos autos define o estágio efetivo.

Aviso, solicitação de regularização e plano de conformidade são medidas preventivas previstas no regulamento. Embora não constituam sanção, seu descumprimento pode provocar progressão da atuação e ser considerado agravante em processo sancionador. Por isso, chamar um ofício de “apenas um pedido” pode produzir uma decisão empresarial inadequada.

As primeiras providências ao receber o ofício

Confirme a autenticidade e obtenha o conteúdo integral

Verifique remetente, identificação da empresa, número do processo e documentos associados pelos canais oficiais. Uma mensagem que cita a LGPD não autoriza o envio de credenciais ou bases de clientes para um endereço desconhecido.

Depois da confirmação, reúna o ato integral, os anexos e as comunicações anteriores. Identifique os fatos examinados, as perguntas formuladas e o formato exigido para a resposta. Algumas demandas envolvem um tratamento específico; outras procuram verificar governança ou atendimento aos titulares.

Registre quem recebeu a comunicação, quando houve acesso e qual documento demonstra a ciência oficial. A data em que a diretoria tomou conhecimento internamente pode ser diferente da data juridicamente relevante para a contagem.

Defina responsáveis e um calendário interno

A direção deve designar uma coordenação com capacidade de obter informações de atendimento, tecnologia, recursos humanos, marketing e fornecedores. Cada área precisa saber o que entregar, a origem dos registros e quem confere sua consistência.

Crie uma relação das solicitações com responsável, documento esperado, prazo interno e situação. Reserve tempo para analisar divergências e protocolar a versão final. A rotina evita descobrir, no vencimento, que os registros estão com um prestador ou que a pessoa autorizada não tem acesso ao processo.

Preserve documentos desde o início

Suspenda descartes automáticos pertinentes à apuração, conforme orientação técnica e jurídica, e preserve comunicações, contratos, registros de acesso e versões de documentos. A contenção de um risco pode ser necessária imediatamente, mas deve ser executada com documentação do que foi alterado e por quê.

Não produza políticas com data retroativa, não apague histórico para “limpar” o ambiente e não apresente treinamento planejado como já realizado. O regulamento exige conservação de informações necessárias ao processo e prevê deveres de cooperação com a fiscalização.

Quem deve responder controlador operador encarregado ou advogado

A LGPD, especialmente seu artigo 5º, diferencia o controlador, responsável pelas decisões referentes ao tratamento, do operador, que trata dados em nome do controlador. A classificação precisa refletir a atividade concreta. O título utilizado no contrato, sozinho, pode não explicar todas as operações.

Uma empresa pode ser controladora dos dados de seus empregados e operadora em determinado serviço prestado a outro negócio. Também pode participar de fluxos em que diferentes empresas tomam decisões próprias. Antes de atribuir toda a responsabilidade ao fornecedor, verifique quem definiu finalidade, acesso, retenção e compartilhamentos.

O encarregado recebe comunicações e ajuda a encaminhar as providências. Pela Resolução CD/ANPD nº 18/2024, a função não transfere ao profissional a responsabilidade do controlador pela conformidade. Devem existir recursos, autonomia técnica e atenção a conflitos de interesses.

A representação no procedimento também deve estar comprovada conforme o ato e o canal utilizados. Confira designação, procuração, atos constitutivos e poderes pertinentes. Juristas, encarregados e técnicos têm contribuições diferentes; uma resposta consistente depende da coordenação entre eles, sem concentrar no suporte de tecnologia decisões jurídicas que ele não pode fundamentar sozinho.

Quais documentos podem sustentar a resposta da empresa

O conjunto depende do objeto fiscalizado. Uma investigação sobre compartilhamento comercial exige provas diferentes de uma apuração sobre acesso indevido ou canal de privacidade indisponível. Comece pela pergunta feita e associe a ela a evidência correspondente.

Documentos frequentemente relevantes incluem:

• registro das operações de tratamento relacionadas aos fatos;
• contratos e instruções documentadas a fornecedores;
• versões dos avisos de privacidade vigentes no período;
• justificativa da base legal e da finalidade de cada operação examinada;
• histórico de pedidos de titulares e respostas efetivamente enviadas;
• controles de acesso, registros técnicos e relatórios de investigação;
• designação do encarregado e funcionamento do canal de contato, quando aplicáveis;
• comprovação de treinamentos, testes e medidas corretivas;
• registros de incidentes e das decisões sobre comunicação;
• relatório de impacto, quando existente, pertinente ou exigido.

Uma relação de presença comprova participação em determinado treinamento; não demonstra, sozinha, que todas as pessoas conheciam todos os procedimentos. Um contrato com cláusula de segurança também não comprova que as permissões estavam configuradas corretamente. Explique o alcance de cada documento, suas limitações e sua relação com o período investigado.

Para operações de prospecção e enriquecimento cadastral, o artigo sobre data brokers e uso de bases de dados ajuda a reconhecer perguntas sobre origem e finalidade que podem aparecer na relação com o consumidor. Na resposta regulatória, essas perguntas precisam ser enfrentadas com os registros específicos do negócio.

Como estruturar uma manifestação que esclareça os fatos

Apresente uma cronologia verificável

Organize os acontecimentos por data: início do tratamento, contratação do fornecedor, alteração de sistema, pedido do titular, identificação da falha, contenção e correção. Separe o que foi confirmado, o que permanece em investigação e a informação que depende de terceiro.

Se houver divergência entre o relato do cliente e os registros internos, descreva a diferença e indique a prova. Evite conclusões sobre intenção ou má-fé sem elementos. Uma reclamação improcedente pode ser contestada com firmeza e respeito, demonstrando o que ocorreu.

Responda aos pontos da requisição

Uma manifestação pode começar com síntese dos fatos e do objeto, seguir pelos esclarecimentos de cada item e terminar com documentos, medidas e pedidos juridicamente cabíveis. Use um índice de anexos que permita localizar a prova citada.

Quando não houver informação disponível, explique a razão e a providência adotada para obtê-la. Isso exige atenção ao prazo e às possibilidades processuais; informar a dificuldade não equivale a receber autorização para deixar de cumprir a requisição.

Demonstre correções com evidência

“O canal foi regularizado” deve vir acompanhado da data, do endereço, do fluxo interno e de evidência de funcionamento. “O acesso foi restringido” pede descrição da alteração e documentação técnica pertinente. Preserve o estado anterior quando necessário para compreender os fatos.

O plano de conformidade previsto no regulamento deve conter objeto, prazos, ações, critérios de acompanhamento e trajetória de resultados. A iniciativa da empresa em propor medidas não assegura sua aceitação nem substitui determinações existentes.

Quando a notificação envolve várias áreas ou documentos contraditórios, um diagnóstico jurídico da situação pode organizar o objeto da apuração, as evidências e as decisões que exigem avaliação técnica.

Prazos de defesa e recurso onde a atenção deve ser maior

No processo sancionador regido pela Resolução nº 1/2021, o artigo 47 prevê intimação para apresentação de defesa no prazo máximo de dez dias úteis, na forma indicada no ato. O artigo 58 estabelece dez dias úteis, contados da intimação da decisão, para interposição do recurso administrativo ao Conselho Diretor. São hipóteses específicas; não representam prazo único para qualquer comunicação da ANPD.

Pelo artigo 8º, os prazos definidos naquele regulamento começam na ciência oficial, são contados em dias úteis e excluem o dia inicial, incluindo o vencimento. O artigo 12 disciplina a ciência conforme a forma da intimação: no meio eletrônico, considera a consulta ao documento ou, se ela não ocorrer, dez dias úteis após o envio. Não abrir a comunicação não é uma estratégia para impedir o início da contagem.

Requisições de documentos e determinações de regularização exigem leitura de seus próprios termos. Eventual pedido de prorrogação precisa observar a hipótese aplicável e sua apreciação; não presuma suspensão do prazo. A Lei nº 9.784/1999 tem aplicação subsidiária, sem afastar as regras específicas do procedimento.

O recurso deve enfrentar os fundamentos da decisão e respeitar legitimidade, cabimento e forma de protocolo. O efeito suspensivo previsto no artigo 60 é limitado à matéria contestada, com a ressalva regulamentar para risco de prejuízo de difícil ou incerta reparação. Avalie o que continua exigível durante a tramitação.

Multas e outras sanções como avaliar a exposição real

O artigo 52 da LGPD prevê advertência, multas, publicização da infração, bloqueio e eliminação dos dados relacionados à irregularidade, além de hipóteses de suspensão e proibição de atividades de tratamento. Algumas medidas podem afetar a continuidade de processos comerciais e operacionais, mesmo sem representar pagamento direto.

A multa simples pode alcançar até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Esse é um teto legal, não uma cobrança automática decorrente de qualquer reclamação.

A Resolução CD/ANPD nº 4/2023 regulamenta dosimetria e aplicação das sanções. Considera gravidade, natureza da infração, direitos afetados, boa-fé, vantagem obtida ou pretendida, condição econômica, reincidência, dano, cooperação e medidas corretivas, entre outros fatores.

Por isso, a defesa deve examinar também a classificação da infração, os dados econômicos utilizados, as circunstâncias consideradas e a proporcionalidade. Provas de governança e correção têm importância; um certificado ou política isolada não oferece imunidade.

Sanções mais restritivas, como suspensão e proibição de tratamento, estão sujeitas a condições legais e regulamentares próprias. O regime de órgãos e entidades públicos também é diferente: a LGPD não lhes aplica, pelo artigo 52, as multas simples e diária da mesma forma prevista para pessoas jurídicas privadas.

Por fim, sanção administrativa da ANPD e indenização ao consumidor são consequências distintas. O tratamento regulatório não encerra automaticamente uma disputa civil ou consumerista. O panorama sobre vazamento de dados e direitos dos titulares permite compreender questões que podem surgir em outra frente, sem confundir os procedimentos.

Pequenas empresas têm tratamento diferenciado

A Resolução CD/ANPD nº 2/2022 prevê flexibilizações para agentes de tratamento de pequeno porte, observados seus requisitos e exclusões. Receita, grupo econômico e tratamento de alto risco podem interferir no enquadramento.

Isso não equivale a isenção da LGPD. Continuam relevantes bases legais, princípios, segurança e direitos dos titulares. A dispensa de indicar encarregado, quando aplicável, exige disponibilização de canal de comunicação com o titular.

Também não se deve simplesmente dobrar toda data de defesa ou recurso. O regulamento estabelece situações de prazo diferenciado e remete a normas específicas. O enquadramento e o ato recebido devem ser examinados antes de definir o calendário processual. Se a empresa invoca um benefício regulatório, deve manter os elementos que sustentam essa condição.

E se a fiscalização começou por um incidente de segurança

A Resolução CD/ANPD nº 15/2024 exige comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante, conforme os critérios regulamentares. O prazo geral é de três dias úteis a partir do conhecimento, pelo controlador, de que o incidente afetou dados pessoais, com ressalvas e regras específicas, inclusive para pequenos agentes abrangidos.

A existência de um ataque, sozinha, não resolve a análise. É preciso avaliar dados afetados, contexto, titulares, consequências e proteção existente. A decisão sobre comunicar deve ser fundamentada. Os registros de incidentes, inclusive dos não comunicados, devem ser mantidos pelo prazo mínimo regulamentar de cinco anos, sem prejuízo de obrigações adicionais.

A página empresarial de Comunicação de Incidente de Segurança orienta o uso do SEI!ANPD pelo controlador, mediante encarregado ou representante constituído. Esse procedimento é diferente do canal utilizado pelo cidadão para petições e denúncias. Já uma resposta em processo existente deve seguir o ato recebido.

Para aprofundar a preparação operacional, consulte o artigo sobre resposta empresarial a incidentes em 2026. Aqui, o foco adicional é demonstrar à fiscalização o que aconteceu e o que foi efetivamente feito.

Dois exemplos hipotéticos de decisões empresariais

Loja com canal de privacidade que não funcionava

Uma loja recebe ofício sobre pedidos de consumidores sem resposta. O site tinha um endereço eletrônico, mas a caixa estava desativada. A empresa preserva os registros disponíveis, identifica o período de falha, ativa um fluxo com responsável e revisa as solicitações pendentes.

A manifestação explica o problema, demonstra as correções e informa como os pedidos serão acompanhados. A medida adotada não transforma a falha passada em inexistente; permite apresentar uma situação documentada e discutir as consequências conforme o procedimento.

Prestadora que atribuiu o problema ao sistema contratado

Uma prestadora é questionada sobre acesso indevido a cadastros. O fornecedor afirma que a empresa criou permissões amplas; a empresa acredita que a configuração veio pronta. Antes de enviar acusações, reúne contrato, chamados de suporte, registros de configuração e histórico de mudanças.

A investigação pode revelar responsabilidades diferentes para cada parte. A resposta precisa separar fatos confirmados, medidas de contenção e pontos ainda em apuração. A discussão contratual com o fornecedor não autoriza abandonar o atendimento à fiscalização ou aos titulares. São exemplos ilustrativos, sem correspondência com clientes reais ou previsão de desfecho.

Checklist para responder e reduzir a repetição do problema

• Confirmar autenticidade, objeto e integridade da comunicação.
• Registrar a ciência oficial e conferir o prazo aplicável.
• Obter acesso aos autos por representante habilitado.
• Distribuir solicitações entre responsáveis com datas internas.
• Preservar documentos, registros e versões pertinentes.
• Explicar o papel da empresa e dos fornecedores em cada tratamento.
• Responder aos itens com anexos identificados e informações coerentes.
• Fundamentar pedidos de sigilo de documentos específicos.
• Comprovar correções realizadas e acompanhar as pendências.
• Conferir protocolo, próximos atos e continuidade das obrigações.

Depois da resposta, teste o processo que falhou. Um canal deve ser acompanhado; um procedimento de segurança precisa de execução; um contrato deve permitir obter registros do prestador. A prevenção melhora quando cada controle tem responsável, evidência e revisão compatível com o risco da atividade.

O que analisamos em casos como esse

Na análise jurídica de uma notificação, examinamos o estágio do procedimento, a ciência e os prazos, o conteúdo dos autos, a representação e o enquadramento da empresa como agente de tratamento. Conferimos a aderência dos documentos à operação real e as diferenças entre registros técnicos, comunicações e relatos.

Também avaliamos a pertinência de pedidos de sigilo, o atendimento de medidas anteriores, as correções possíveis, as teses de defesa e os critérios de eventual dosimetria. Quando há consumidores ou fornecedores envolvidos, a estratégia considera a coerência entre as diferentes frentes, preservando direitos e provas.

Perguntas frequentes sobre notificação e defesa na ANPD

1 Toda empresa notificada será multada

Não. O resultado depende do procedimento, dos fatos, das provas e das decisões cabíveis. Existem atividades de monitoramento e medidas preventivas que não são sanções. Isso não torna facultativo atender à notificação.

2 Qual é o prazo para apresentar defesa

O artigo 47 da Resolução nº 1/2021 prevê prazo máximo de dez dias úteis na hipótese de intimação para defesa após lavratura do auto de infração. Confirme a ciência oficial e a forma indicada no ato. Outras comunicações podem exigir providências em prazos próprios.

3 Posso simplesmente encaminhar o ofício ao fornecedor

O fornecedor pode precisar prestar informações e cooperar, mas o encaminhamento não substitui a resposta devida pela empresa intimada. É necessário identificar papéis, responsabilidades, documentos e quem possui poderes para atuar no processo.

4 Posso corrigir uma falha enquanto apresento defesa

Sim. Correção e defesa podem caminhar juntas. Documente a situação anterior, a data e o alcance da mudança, preservando as provas pertinentes. A medida corretiva não garante arquivamento ou afastamento de sanção.

5 Preciso entregar informações comerciais sigilosas

A empresa deve cooperar com requisições legítimas e pode solicitar sigilo fundamentado para informações protegidas, identificando documentos e razões. A proteção do segredo empresarial não autoriza uma recusa genérica em fornecer esclarecimentos pertinentes à fiscalização.

6 Nomear um encarregado resolve o procedimento

Depende do objeto. Quando exigida, a indicação formal deve vir acompanhada de condições para atuação e canal efetivo. Outros problemas de tratamento, segurança ou atendimento podem permanecer. A conformidade do controlador não é transferida ao encarregado.

7 Há recurso contra uma sanção

O regulamento prevê recurso administrativo ao Conselho Diretor, em dez dias úteis contados da intimação da decisão, com requisitos próprios. Não cabe recurso contra todo ato: o despacho de instauração do processo sancionador é exemplo de ato irrecorrível no regulamento.

8 A multa de 2 sempre usa o faturamento total do grupo

Não presuma o cálculo apenas pelo teto legal. A LGPD e o regulamento de dosimetria disciplinam faturamento, enquadramento e critérios de cálculo. A análise deve conferir os dados econômicos e a fundamentação utilizados no caso concreto.

9 Comunicar um incidente significa confessar toda responsabilidade

A comunicação atende a obrigação específica quando presentes seus requisitos. Os fatos, as condutas e as consequências continuam sujeitos à análise. O correto é comunicar informações verdadeiras, delimitar o que está confirmado e atualizar o que depende de investigação, conforme as regras aplicáveis.

10 Um acordo com o consumidor encerra a fiscalização

Não automaticamente. A solução do problema e a reparação podem ser relevantes, mas a ANPD exerce atribuição própria. É necessário verificar o objeto do procedimento e comprovar as providências, sem presumir que o acordo privado produza arquivamento regulatório.

Organize a notificação antes de definir a estratégia

Reúna o ofício, os anexos, os comprovantes de ciência, as comunicações anteriores e os documentos da operação examinada. Com esse conjunto, é possível avaliar quais esclarecimentos, correções e medidas de defesa são adequados.

Para solicitar análise da situação e organizar a atuação da empresa, utilize o atendimento do escritório Gutemberg Amorim.

Conteúdo informativo. A aplicação depende dos fatos, do procedimento e das normas vigentes, sem garantia de resultado.

Fontes oficiais e referências

• LGPD — Lei nº 13.709/2018, texto atualizado: artigos 5º, 6º, 37, 46, 48, 50 e 52.
• Resolução CD/ANPD nº 1/2021, texto consolidado: fiscalização, deveres, ciência, prazos, defesa e recurso.
• Resolução CD/ANPD nº 4/2023: dosimetria e sanções.
• Resolução CD/ANPD nº 2/2022, texto consolidado: agentes de tratamento de pequeno porte.
• Resolução CD/ANPD nº 15/2024: comunicação e registro de incidentes.
• Resolução CD/ANPD nº 18/2024 — reprodução oficial do DOU no portal do Governo de Mato Grosso do Sul: encarregado e conflitos de interesses.
• ANPD — balanço do Relatório Integrado de Gestão 2025, divulgado em maio de 2026.
• ANPD — monitoramento de encarregados e canais de comunicação, divulgado em junho e julho de 2026.
• ANPD — canal empresarial de Comunicação de Incidente de Segurança.

Referências consultadas em 23 de outubro de 2026.