Entenda quem fiscaliza a LGPD, quando a ANPD atua, quais outros órgãos podem aparecer e como preparar sua empresa para reclamações, incidentes e notificações.

Uma loja virtual recebe a reclamação de um cliente que não entende por que continua recebendo ofertas depois de pedir a interrupção dos contatos. No mesmo dia, o gestor descobre que uma agência de marketing acessa a base de clientes e pergunta: quem pode fiscalizar essa situação, a ANPD ou outro órgão? A dúvida é prática, porque uma resposta improvisada pode aumentar o problema.

Principais pontos

• A ANPD é a autoridade nacional central para orientar e fiscalizar a aplicação da LGPD dentro de suas competências legais.
• A existência da ANPD não impede a atuação de outros órgãos quando o caso também envolve consumo, regulação setorial, interesse coletivo, dano individual ou discussão judicial.
• Fiscalização, orientação, solicitação de informações, processo administrativo e sanção são formas diferentes de atuação.
• Uma reclamação ou notificação exige organização e apuração, mas não prova automaticamente que a empresa será punida.
• Em incidente que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a ANPD e os titulares em até 3 dias úteis, conforme a regulamentação vigente da ANPD.
• A empresa precisa demonstrar coerência entre o que declara, o que faz e o que consegue comprovar.
• O preparo mais útil envolve inventário de tratamentos, definição de responsáveis, gestão de fornecedores, segurança, resposta a titulares e registro de decisões.
• Documentos prontos aceleram a organização, mas precisam ser adaptados às operações reais e acompanhados de controles executados.

Quem pode procurar sua empresa por causa da LGPD?

A resposta para quem fiscaliza a LGPD começa pela ANPD, a Autoridade Nacional de Proteção de Dados. A Lei nº 13.709/2018 atribui à autoridade competências como zelar pela proteção dos dados pessoais, fiscalizar e aplicar sanções administrativas, requisitar informações e editar regulamentos e procedimentos. A base oficial para essas atribuições é a própria LGPD, especialmente seus arts. 55-J e seguintes, além do portal institucional da ANPD, na seção de competências e regulamentação.

Isso não significa que todo contato externo seja uma fiscalização administrativa da ANPD. O titular pode exercer direitos diretamente perante o controlador, como confirmação da existência de tratamento, acesso e correção. Se a empresa não responder adequadamente, a pessoa pode recorrer à ANPD ou a outros canais, conforme o caso. Um órgão de defesa do consumidor, como um Procon, pode examinar uma falha de informação, uma oferta, um atendimento ou uma prática abusiva em uma relação de consumo. Sua atuação decorre de suas próprias competências, ainda que o fato também envolva proteção de dados.

O Ministério Público não substitui a ANPD como autoridade nacional. Ele pode atuar quando houver possível lesão a interesses difusos, coletivos ou individuais homogêneos, observadas suas atribuições constitucionais e legais. O Poder Judiciário, por sua vez, decide pedidos individuais ou coletivos, obrigações de fazer, indenizações e outras controvérsias submetidas à Justiça. Autoridades setoriais também podem agir quando a operação estiver submetida a regras próprias, como ocorre em setores regulados.

O critério para decidir a prioridade não é o nome do órgão, mas a natureza do fato, o prazo recebido e o risco atual. Uma solicitação do titular exige verificar o direito invocado e o procedimento interno aplicável. Uma notificação da ANPD deve ser protocolada, distribuída a um responsável e respondida no prazo indicado no documento. Uma comunicação sobre incidente exige contenção técnica imediata e avaliação de risco, sem esperar a chegada de uma autoridade. Já uma demanda de órgão de consumo deve ser analisada também sob a ótica da transparência da oferta, do atendimento e da relação contratual.

Na loja virtual do exemplo, a empresa deve separar os caminhos. Primeiro, verifica se o pedido de interrupção foi recebido e executado. Depois, identifica a campanha, o fornecedor, a base usada e os registros de supressão. Se houver apenas falha de atendimento, a prioridade é corrigir o contato e responder ao cliente. Se houver uso indevido em escala, vazamento ou exposição de dados, a situação deve ser escalada internamente e submetida à análise de incidente. Se o caso alcançar muitos consumidores ou revelar prática reiterada, a empresa deve avaliar também a possibilidade de atuação de órgão de consumo ou do Ministério Público.

Uma reclamação não prova automaticamente uma infração nem determina multa. Ela, porém, cria uma oportunidade de demonstrar fatos, decisões e correções. A empresa deve evitar respostas defensivas sem apuração, promessas que não consegue cumprir e o envio indiscriminado de dados pessoais a quem não precisa recebê-los.

Como definir a prioridade diante de um contato externo

Situação	Prioridade inicial	Resposta adequada
Pedido de titular	Verificar identidade, direito solicitado e prazo do canal	Responder pelo procedimento interno, limitar a divulgação ao necessário e registrar a decisão
Notificação da ANPD	Protocolar o documento e conferir o prazo expressamente indicado	Designar responsável, reunir informações pertinentes e responder de forma completa e verificável
Incidente de segurança	Conter o evento e avaliar risco ou dano relevante	Registrar fatos, preservar evidências de modo seguro e comunicar quando exigido pela regulamentação
Órgão de consumo, Ministério Público ou Judiciário	Identificar a competência e o objeto do procedimento	Responder no canal próprio, sem apresentar o órgão como se exercesse a fiscalização administrativa central da LGPD

Qual é o papel da ANPD e como interpretar seus poderes?

A ANPD exerce a função de autoridade nacional dentro das competências definidas pela LGPD. Para interpretar uma atuação concreta, é importante distinguir orientação, fiscalização, processo administrativo e sanção. Uma orientação pode aparecer em guia, perguntas frequentes, nota técnica, resolução ou resposta institucional. A fiscalização busca verificar fatos e práticas. O procedimento administrativo organiza a coleta de informações, a análise e o direito de manifestação. A sanção é uma consequência possível, não automática, depois da apuração e da observância do processo aplicável.

A base oficial para as competências da ANPD é a Lei nº 13.709/2018, especialmente os arts. 55-A a 55-J, e o Regulamento de Fiscalização e Processo Administrativo Sancionador aprovado pela Resolução CD/ANPD nº 1/2021, com suas alterações e atos posteriores publicados no portal da ANPD. A lei prevê, entre outras medidas, advertência, multa simples, multa diária, publicização da infração, bloqueio ou eliminação dos dados envolvidos e outras sanções administrativas, sempre dentro dos requisitos legais e da análise do caso. Não é correto tratar a multa como resultado inevitável de qualquer reclamação.

Na prática, a ANPD pode iniciar uma atividade de monitoramento, pedir informações, instaurar procedimento de fiscalização ou encaminhar a apuração para processo administrativo sancionador. Um ofício pode solicitar registros de tratamento, contratos, políticas, evidências de segurança, informações sobre titulares afetados e providências corretivas. A empresa deve conferir a autenticidade da comunicação, observar o canal oficial, identificar o prazo e preservar o sigilo de dados que não sejam necessários à resposta.

A resposta precisa ser específica. Se a pergunta envolver uma campanha de marketing, não basta anexar uma política de privacidade genérica. É necessário explicar a finalidade, os dados usados, a base legal considerada, o período, os sistemas, os fornecedores, a forma de atendimento ao titular e as mudanças feitas após a ocorrência. Se determinado documento não existir, a empresa deve declarar isso e explicar quais medidas adotará, em vez de criar um registro retroativo com aparência de contemporâneo.

A distinção entre controlador, operador e encarregado ajuda a distribuir as tarefas, mas não elimina a responsabilidade de governança. O controlador decide as finalidades e os elementos essenciais do tratamento. O operador trata os dados em nome do controlador e deve cumprir as instruções e obrigações contratuais aplicáveis. O encarregado atua como canal de comunicação e pode apoiar a organização das respostas, conforme o contexto e as regras aplicáveis. A Resolução CD/ANPD nº 18/2024 trata da atuação do encarregado; ela não deve ser confundida com a Resolução CD/ANPD nº 19/2024.

A Resolução CD/ANPD nº 19/2024 não é, pelo seu escopo, o regulamento geral de procedimentos e garantias para o exercício dos direitos dos titulares. Ela aprova o Regulamento de Transferência Internacional de Dados Pessoais e estabelece cláusulas-padrão contratuais, conforme publicação oficial da ANPD. Portanto, não é adequado citá-la como fundamento para acesso, correção ou eliminação. Para direitos dos titulares, devem ser consultados a LGPD, os materiais oficiais da ANPD sobre direitos dos titulares e as normas específicas eventualmente aplicáveis.

Quando a ANPD realiza fiscalização, a empresa deve respeitar os limites do pedido e responder somente com informações pertinentes, completas e seguras. O controlador precisa coordenar a resposta, o operador deve fornecer os dados operacionais sob sua guarda e o encarregado pode organizar o canal. A eventual sanção depende da competência, dos fatos, da gravidade, da extensão do dano, da cooperação e dos demais critérios legais e regulamentares; não decorre apenas da existência de um documento ausente.

1. Conferir a autenticidade da comunicação e o prazo indicado no próprio ato.
2. Identificar o controlador responsável pela decisão e os operadores que participaram da atividade.
3. Reunir evidências datadas: registros, contratos, logs disponíveis, respostas e medidas corretivas.
4. Submeter a resposta a uma revisão de consistência, necessidade e segurança antes do envio.

Como uma pequena empresa deve se preparar para uma fiscalização?

A preparação não deve ser um roteiro genérico de sete movimentos, mas um conjunto de controles que possam ser verificados. Comece por um inventário simples dos tratamentos: clientes, leads, funcionários, fornecedores, gravações, cookies, dados financeiros, sistemas de pagamento e integrações. Para cada fluxo, registre finalidade, categorias de dados, origem, acesso, compartilhamento, prazo ou critério de retenção e responsável. Se não for possível mapear tudo de uma vez, priorize o que envolve maior volume, dados sensíveis, crianças, dependência de terceiros ou impacto potencial.

O documento mínimo pode ser uma planilha versionada ou um registro equivalente, desde que contenha data de atualização, responsável e justificativa para mudanças. Um inventário sem revisão periódica rapidamente perde valor. Como referência operacional, uma pequena empresa pode revisar os tratamentos críticos a cada 6 meses e reavaliá-los sempre que lançar produto, trocar fornecedor, alterar finalidade ou sofrer incidente. Esse intervalo é uma prática de organização, não um prazo imposto indistintamente pela LGPD.

Defina responsabilidades por escrito. A direção deve aprovar prioridades e aceitar riscos residuais; o responsável por privacidade ou pelo atendimento deve manter o inventário e controlar demandas; a área de tecnologia deve cuidar de acessos, cópias, atualizações e registros disponíveis; o financeiro ou administrativo deve revisar contratos e fornecedores. Quando houver encarregado, suas atribuições devem ser documentadas conforme o contexto e a Resolução CD/ANPD nº 18/2024. O importante é que cada controle tenha um dono identificável e um prazo de execução.

A empresa também precisa controlar fornecedores. Contratos com plataformas de marketing, hospedagem, folha de pagamento, suporte e analytics devem indicar finalidade, instruções, segurança, confidencialidade, subcontratação, apoio a direitos dos titulares, comunicação de incidentes e encerramento do acesso. A LGPD trata das responsabilidades de controlador e operador, inclusive no art. 39, e os arts. 46 a 49 tratam de segurança e prevenção. A contratação de um fornecedor não elimina a necessidade de avaliar o tratamento realizado em nome da empresa.

Em relação a dados sensíveis, o cuidado deve ser maior. A LGPD define essa categoria no art. 5º, II, e estabelece bases legais específicas no art. 11. Saúde, biometria vinculada a uma pessoa, origem racial ou étnica, religião e filiação sindical são exemplos legais de dados sensíveis. A empresa deve perguntar se o dado é realmente necessário, restringir acessos, evitar coleta por conveniência e documentar a finalidade e a base legal analisada. Não se deve concluir que todo dado sensível é proibido, nem que qualquer finalidade comercial autoriza seu uso.

Incidentes exigem um procedimento separado. A Resolução CD/ANPD nº 15/2024, que regulamenta a comunicação de incidente de segurança, determina que o controlador comunique à ANPD e aos titulares um incidente que possa acarretar risco ou dano relevante aos titulares. A comunicação deve ser feita em até 3 dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais e pode gerar risco ou dano relevante, conforme os termos da resolução. Se não for possível reunir tudo inicialmente, a comunicação deve conter as informações disponíveis e ser complementada no prazo previsto pela norma. A empresa deve consultar o texto vigente da resolução e as orientações da ANPD para o caso concreto.

O dever de preservar evidências não significa conservar dados pessoais indiscriminadamente. Preserve, com acesso restrito e medidas de segurança, registros necessários para entender o evento, como alertas, logs disponíveis, comunicações, versões de configurações e decisões tomadas. Separe esses registros dos dados que não são necessários à investigação. Respeite a finalidade, a necessidade, os prazos de retenção e as hipóteses de eliminação ou anonimização previstas na LGPD e em outras normas aplicáveis. Depois do período justificável, elimine ou anonimize o que não precisar mais ser mantido, registrando a decisão quando isso for relevante.

Para responder a titulares, adote um canal único, protocolo ou identificador e prazo interno inferior ao prazo externo aplicável, quando houver prazo definido. A equipe deve confirmar a identidade de forma proporcional, localizar os dados, avaliar limites legais e registrar a resposta. Para uma fiscalização, mantenha uma pasta de evidências com controle de versões, lista de documentos enviados, destinatário, data, responsável e justificativa de eventual informação omitida. Esses mecanismos tornam a preparação verificável sem exigir uma estrutura incompatível com o porte da empresa.

Perguntas frequentes

A ANPD é o único órgão que fiscaliza o cumprimento da LGPD?

Não. A ANPD é a autoridade nacional central dentro de suas competências, mas órgãos de defesa do consumidor, autoridades setoriais, Ministério Público e Poder Judiciário podem atuar conforme os fatos e suas próprias atribuições. A Lei nº 13.709/2018 e os materiais oficiais da ANPD são as referências principais.

Uma empresa pequena também pode ser fiscalizada pela ANPD?

Sim. O porte reduz a estrutura disponível, mas não elimina a necessidade de responder a solicitações, proteger dados e demonstrar decisões. A empresa deve manter controles proporcionais ao risco e conseguir explicar seus tratamentos.

Receber uma reclamação de titular significa que haverá multa?

Não. A reclamação pode iniciar uma apuração ou exigir resposta, mas não equivale automaticamente a uma sanção. Você deve verificar os fatos, preservar registros de modo seguro, responder ao titular e corrigir a falha quando ela existir.

Quais documentos separar ao receber uma solicitação de autoridade?

Separe registros de tratamento, avisos de privacidade, contratos com fornecedores, histórico de atendimento, controles de acesso, evidências de segurança, avaliações de risco e medidas corretivas. Envie apenas informações pertinentes, com revisão de consistência e proteção contra exposição desnecessária.

Quem deve responder pela LGPD dentro de uma pequena empresa?

A direção deve definir responsabilidades e um coordenador interno precisa centralizar informações e prazos. O encarregado, quando designado, pode organizar comunicações, mas cada área deve fornecer dados confiáveis sobre sua própria operação.

O que fazer quando um fornecedor causa um problema com dados pessoais?

Contenha o problema, preserve evidências necessárias com segurança, identifique os dados atingidos e verifique as obrigações contratuais. A empresa deve apurar sua própria participação e documentar as correções, mesmo quando a falha começou no fornecedor.

A política de privacidade sozinha comprova adequação?

Não. Ela informa aspectos do tratamento, mas não substitui controles de acesso, contratos, registros, treinamento, resposta a titulares e gestão de incidentes. O documento precisa corresponder às práticas reais.

A Resolução CD/ANPD nº 19/2024 regulamenta os direitos dos titulares?

Não nesse sentido geral. A Resolução CD/ANPD nº 19/2024 trata de transferência internacional de dados pessoais e cláusulas-padrão contratuais. Para direitos dos titulares, consulte a LGPD e os materiais e normas específicas publicados pela ANPD.

Quando um incidente deve ser comunicado?

Quando o incidente puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a ANPD e os titulares em até 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024 e o texto vigente das orientações oficiais. A empresa deve registrar a avaliação e complementar as informações quando a norma exigir.

Como começar sem contratar uma consultoria cara?

Mapeie os cinco tratamentos mais relevantes, escolha um responsável, reúna contratos e avisos existentes e registre as principais lacunas. Faça uma revisão inicial em 30 dias e uma revisão dos tratamentos críticos a cada 6 meses. Documentos prontos devem ser adaptados antes do uso.

Conclusão

A pergunta “quem fiscaliza a LGPD?” só fica realmente útil quando se transforma em decisão operacional. A ANPD ocupa o centro da fiscalização administrativa da proteção de dados, mas não absorve as competências de órgãos de defesa do consumidor, autoridades setoriais, Ministério Público ou Poder Judiciário. Cada instituição pode atuar por fundamento, procedimento e finalidade próprios.

Fontes

1. Perguntas Frequentes — Autoridade Nacional de Proteção de Dados. Agência Nacional de Proteção de Dados (ANPD). Repositório de perguntas e respostas da ANPD sobre a aplicação da LGPD e direitos dos titulares, oferecendo explicações claras e didáticas.
2. Regulamentações ANPD. Agência Nacional de Proteção de Dados (ANPD). Conjunto de regulamentações e atos normativos da ANPD que orientam a aplicação da LGPD e direitos dos titulares.
3. Direito dos Titulares. Agência Nacional de Proteção de Dados (ANPD). Página da ANPD que explica os direitos dos titulares de dados pessoais assegurados pela LGPD, incluindo acesso, correção e eliminação.
4. Direitos dos Titulares — Resolução CD/ANPD nº 19/2024. Agência Nacional de Proteção de Dados (ANPD). Resolução que regulamenta os direitos dos titulares de dados pessoais, detalhando procedimentos e garantias.
5. Comunicado de Incidente de Segurança. Agência Nacional de Proteção de Dados (ANPD). Instruções sobre como comunicar incidentes de segurança que possam afetar dados pessoais, conforme exigências da LGPD.
6. Glossário ANPD. Agência Nacional de Proteção de Dados (ANPD). Glossário com definições e termos utilizados na LGPD, útil para esclarecer conceitos e terminologias relacionadas à proteção de dados.