ANPD vai avaliar sanção a 21 órgãos e empresas que não responderam sobre DPO

A ANPD concluiu em 25 de junho a primeira fase de dois processos de monitoramento que avaliam a indicação do encarregado pelo tratamento de dados e a existência de canais de comunicação com os titulares. Foram 56 agentes acompanhados pela Superintendência de Fiscalização: 39 órgãos públicos e 17 empresas privadas.

O resultado divide os fiscalizados em três faixas. Vinte e sete cumpriram integralmente as solicitações, oito ainda têm pendências e 21 simplesmente não responderam aos ofícios da Agência. A lista dos silentes já foi encaminhada à Coordenação-Geral de Sanção.

A obrigação de indicar encarregado está no art. 41 da LGPD e foi detalhada pela Resolução CD/ANPD nº 18/2024, que trata da indicação, da autonomia e da divulgação pública do contato. Para o superintendente de Fiscalização, Fabrício Guimarães, a instauração de processo administrativo sancionador é o próximo passo contra quem ignorou a ANPD.

Auditoria do TCU empurrou o setor público para a fila

A predominância de órgãos públicos na lista — 39 dos 56 agentes — não é acaso. Parte dos controladores foi selecionada a partir de uma auditoria que o Tribunal de Contas da União encaminhou à ANPD, identificando organizações sem encarregado nomeado.

Essa auditoria, consolidada no Acórdão 1.372/2025, avaliou 387 órgãos e entidades federais e concluiu que apenas 42% estavam adequadamente preparados para a LGPD; a ausência de encarregado e de política de segurança da informação apareceu entre as falhas graves. Não era inédito: em 2022, o TCU já havia constatado 76,7% das organizações em estágio inexpressivo ou inicial de adequação.

Os nomes que silenciaram confirmam o diagnóstico. Ministério dos Povos Indígenas, TRE-RR, vários Institutos Federais e conselhos profissionais figuram entre os 21 que não responderam. Outros agentes entraram por denúncias e petições de titulares que apontavam canais de contato inexistentes ou inoperantes.

Não responder à Agência já é, sozinho, infração

Os 21 que não responderam entram agora na rota do processo sancionador, regido pelo art. 52 da LGPD. O leque vai de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de publicização e bloqueio dos dados envolvidos.

Para jurídico e compliance, há um ponto que costuma passar despercebido: deixar de atender requisição da ANPD é conduta autônoma e sancionável, independentemente da falha original na indicação do encarregado. O silêncio agrava a posição do agente, não o protege.

Entes públicos não escapam. O art. 52, §3º estende a eles advertência, publicização e outras medidas — fica de fora apenas a multa pecuniária, substituída na prática pela exposição institucional e pela eventual responsabilização de gestores por outras leis, como a de Improbidade Administrativa e o regime estatutário do servidor.

Grandes nomes privados também entraram no radar

O board não deve ler o caso como problema só do setor público. Entre os 17 agentes privados, Google Brasil e iFood aparecem com pendências e prazo de dez dias úteis para corrigir o que falta; OpenAI, XP Investimentos, Natura, Shopee, Méliuz, Hotmart e Grupo Casas Bahia se regularizaram e tiveram o procedimento encerrado.

O movimento ecoa um precedente recente. Em dezembro de 2024, a ANPD notificou 20 grandes empresas — entre elas TikTok, Uber, Vivo, Serasa e X — pela mesma falha de encarregado e de canal de contato. Esse ciclo se encerrou em abril de 2025 com todas adequadas e sem aplicação de sanção.

A leitura para a alta gestão é direta: responder ao ofício no prazo fecha o caso; o silêncio encaminha o agente à área de sanção. A diferença entre os três grupos deste ciclo não foi o porte nem o setor, e sim a disposição de dialogar com a Agência.

Segunda fase chega com a ANPD já como agência

O monitoramento avança com uma ANPD institucionalmente mais forte. A Lei nº 15.352/2026, originada da MP 1.317/2025 e sancionada em fevereiro, transformou a autarquia em agência reguladora plena, com autonomia financeira, carreira própria de fiscais e poder de polícia, reorganizada em seis superintendências — uma delas a de Fiscalização, que conduz estes processos.

A fase repressiva já está em curso: os oito agentes com pendências têm dez dias úteis, a partir da notificação, para se regularizar, e os 21 silentes seguem para a área de sanção.

O recado regulatório antecede a multa. O Mapa de Temas Prioritários 2026-2027 fixou o setor público como eixo explícito de fiscalização, ao lado de biometria e de dados de saúde e financeiros, com atenção a compartilhamento sem base legal e à ausência de encarregado. Quem se enquadra nesse perfil deixou de depender de denúncia para entrar no radar.

Sancionar o poder público esbarra em limite legal

Há um limite estrutural que divide as opiniões sobre o alcance de mirar tantos órgãos públicos. O art. 52, §3º da LGPD afasta a multa pecuniária para entes estatais: contra o poder público, a ANPD dispõe de advertência e publicização, mas não do peso financeiro que recai sobre empresas privadas.

Esse desenho não é novo na prática da Agência. Quando divulgou sua primeira lista de processos sancionatórios, sete dos oito casos já envolviam a Administração Pública — indício de que o setor concentra exposição, ainda que a sanção disponível seja mais branda.

A isso soma-se uma tensão apontada pelo próprio controle externo: o uso da LGPD como pretexto para negar acesso a informação pública. O TCU tratou a invocação genérica da lei nesse sentido como deturpação da norma e cobrou que os órgãos harmonizem proteção de dados e Lei de Acesso à Informação.