Muitas organizações lembram da proteção de dados apenas quando surge um problema:
- uma reclamação;
- um incidente de segurança;
- uma solicitação de titular;
- uma fiscalização.
Mas o cenário regulatório está mudando.
A LGPD deixou de ser uma discussão limitada a documentos publicados no site da empresa.
Hoje, a pergunta mais importante é:
se a autoridade solicitar evidências de conformidade amanhã, a empresa conseguirá demonstrar seus controles?
Esse debate ganhou força após a iniciativa da Autoridade Nacional de Proteção de Dados (ANPD) de revisar seu modelo de fiscalização.
Em 03/09/2026, a ANPD abriu circuito deliberativo sobre proposta de revisão do Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, prevendo a possibilidade de submissão da minuta à consulta pública.
Ainda não existe uma nova regra definitiva.
Mas existe uma sinalização clara:
a fiscalização de proteção de dados tende a exigir cada vez mais evidências concretas de governança.
A conformidade deixou de ser apenas uma declaração. Precisa ser demonstrada.
Quando a LGPD começou a ser aplicada, muitas empresas concentraram esforços em adequações iniciais:
- políticas de privacidade;
- avisos de tratamento;
- contratos;
- consentimentos;
- ajustes documentais.
Essas medidas continuam importantes.
Mas a maturidade regulatória caminha para uma nova etapa:
a empresa possui controles reais capazes de proteger os dados que trata?
Em uma fiscalização, pode ser necessário apresentar:
- registros de tratamento;
- controles de segurança;
- análise de riscos;
- gestão de incidentes;
- contratos com operadores;
- procedimentos internos;
- treinamentos;
- evidências de acompanhamento.
Existe uma diferença significativa entre:
“Temos preocupação com privacidade.”
e
“Conseguimos demonstrar nossa estrutura de proteção.”
LGPD deixou de ser assunto exclusivo do Jurídico
Outro ponto relevante é que proteção de dados não pertence apenas ao Jurídico ou ao responsável pela privacidade.
Os dados pessoais circulam pela empresa inteira.
O RH trata informações de colaboradores.
O Marketing trabalha com dados de clientes.
A Tecnologia protege sistemas.
O Financeiro processa informações.
O Comercial mantém relacionamento com consumidores.
O Compras contrata fornecedores que podem tratar dados.
Por isso, uma fiscalização pode envolver diversas áreas simultaneamente.
A pergunta estratégica passa a ser:
quem dentro da empresa consegue localizar rapidamente as evidências necessárias para responder uma demanda da ANPD?
O risco está em descobrir a falta de controle apenas quando houver fiscalização
Empresas frequentemente investem em proteção de dados quando o problema aparece.
Mas, em privacidade, preparação é parte da prevenção.
Uma organização que começa a procurar informações apenas após uma fiscalização já está em posição defensiva.
A empresa precisa saber previamente:
- quais dados trata;
- onde estão armazenados;
- quem possui acesso;
- por qual finalidade são utilizados;
- quais fornecedores participam do processo;
- quais controles existem.
O que a empresa deve fazer agora
Um passo importante é estruturar um verdadeiro ambiente de evidências de conformidade.
Esse material deve reunir:
- inventário de tratamentos;
- contratos relevantes;
- registros de incidentes;
- procedimentos internos;
- controles de segurança;
- treinamentos realizados;
- documentos de governança.
Não se trata de criar documentos apenas para uma eventual fiscalização.
Trata-se de construir uma estrutura que permita à empresa responder rapidamente quando necessário.
A decisão que muda dentro da empresa
A LGPD precisa deixar de ser tratada como um projeto pontual.
Ela deve ser administrada como um processo contínuo.
Assim como controles financeiros, compliance ou segurança operacional, proteção de dados exige acompanhamento permanente.
A consequência de não agir
O risco é a empresa descobrir, durante uma fiscalização, que até possui boas práticas, mas não consegue comprová-las.
E, em ambientes regulatórios, aquilo que não pode ser demonstrado se aproxima de algo que não existe.
