ANPD cobra DPO e canal efetivo: o recado para empresas

O monitoramento da ANPD mudou o tom da conversa

A ANPD informou, em 3 de julho de 2026, que concluiu a primeira fase de dois processos de monitoramento sobre a indicação de encarregados pelo tratamento de dados e sobre a existência de canais de comunicação entre controladores e titulares.

O número chama atenção: entre 56 agentes de tratamento avaliados, 27 atenderam integralmente às solicitações da Autoridade, oito ainda tinham pendências a corrigir e 21 não responderam aos pedidos de adequação. Segundo a ANPD, a ausência de resposta e a desconformidade podem levar a novas medidas, inclusive sanções.

Esse dado é importante porque tira a LGPD do campo do “um dia precisamos organizar isso”. A Autoridade está olhando para obrigações básicas, fáceis de verificar e difíceis de justificar quando não existem. A empresa indica quem é o encarregado? O contato está público? O canal funciona? Alguém responde? Há prazo, registro e encaminhamento interno?

Nada disso exige uma tecnologia sofisticada. Exige governança.

O problema não é só não ter encarregado de dados

Não indicar um encarregado de dados é um risco evidente. Mas existe um segundo risco, mais comum: indicar alguém apenas no papel.

Isso acontece quando a empresa coloca um e-mail na política de privacidade, mas ninguém acompanha a caixa. Ou quando nomeia uma pessoa que não tem tempo, autonomia técnica ou acesso às áreas. Ou quando o atendimento recebe um pedido de titular e responde como se fosse uma reclamação comum. Ou quando o jurídico só descobre a solicitação depois que o prazo já virou problema.

Na prática, o risco aparece assim:

• o canal de privacidade existe, mas não tem responsável diário;
• pedidos de titulares chegam pelo SAC, WhatsApp, e-mail comercial ou redes sociais e se perdem;
• a empresa não sabe onde localizar os dados do titular;
• o DPO não consegue acionar RH, TI, financeiro, marketing ou fornecedores;
• não há registro da análise feita antes da resposta;
• respostas negativas são enviadas sem fundamento claro;
• fornecedores tratam dados pessoais, mas não entram no fluxo de governança;
• incidentes chegam ao encarregado tarde demais.

A LGPD não exige teatro. Ela exige responsabilidade demonstrável. Quando a ANPD pergunta, a empresa precisa conseguir mostrar o que faz, quem faz, quando faz e com base em qual critério.

O que a ANPD está sinalizando para empresas

O monitoramento da ANPD reforça três pontos práticos.

Primeiro: o encarregado precisa ser encontrável. O titular não deve precisar investigar quem responde por privacidade dentro da empresa. A informação precisa estar em lugar visível e em linguagem simples, especialmente na política de privacidade e nos canais oficiais.

Segundo: o canal precisa funcionar. Um formulário quebrado, uma caixa de e-mail abandonada ou um atendimento que não reconhece pedidos de LGPD podem ser vistos como falhas reais. Canal não é decoração. É operação.

Terceiro: a empresa precisa responder à Autoridade. Não responder a um pedido de adequação piora o cenário, porque demonstra ausência de controle ou baixa prioridade institucional. Mesmo quando há pendência, uma resposta organizada permite demonstrar esforço de correção.

Esse é o ponto em que o DPO as a Service pode ser relevante. Não como blindagem automática contra sanção, mas como estrutura de apoio para a empresa não depender de memória individual, boa vontade ou correria.

DPO as a Service não é terceirizar a responsabilidade

Vale ser direto: contratar DPO as a Service não transfere a responsabilidade da empresa para o fornecedor. O controlador continua responsável pelas decisões sobre tratamento de dados. A liderança continua tendo que aprovar prioridades. As áreas continuam tendo que cumprir processos.

O que o DPO as a Service pode oferecer é outra coisa: especialização, rotina e coordenação.

Em vez de deixar uma pessoa interna sozinha, acumulando privacidade com outras funções, a empresa passa a contar com apoio dedicado para orientar decisões, organizar fluxos, registrar evidências e acompanhar mudanças regulatórias. Em muitos casos, isso é mais realista do que contratar um DPO sênior em tempo integral, principalmente para empresas que têm risco relevante, mas ainda não têm volume suficiente para uma área própria de privacidade.

Um bom modelo de DPO as a Service costuma apoiar:

• indicação formal do encarregado e revisão de conflitos de interesse;
• definição de canal de atendimento aos titulares;
• triagem e resposta a solicitações;
• comunicação entre jurídico, TI, RH, marketing, atendimento e liderança;
• atualização de políticas e avisos de privacidade;
• revisão de contratos e fornecedores;
• orientação para novos projetos que envolvam dados pessoais;
• apoio em incidentes, quando aplicável;
• criação de relatórios e evidências de governança.

O serviço não deve ser vendido como “LGPD resolvida”. Deve ser entendido como uma função contínua de suporte e coordenação.

Como revisar o canal de titulares

A primeira revisão é simples: faça o caminho do titular. Entre no site da empresa como se fosse uma pessoa querendo exercer seus direitos. Procure a política de privacidade. Veja se o contato do encarregado está claro. Envie uma mensagem de teste. Verifique quem recebe, em quanto tempo responde e qual é o roteiro interno.

Depois, olhe para a operação:

1. O canal de privacidade está visível no site, app, contrato ou política?
2. Existe uma pessoa ou equipe acompanhando esse canal em rotina definida?
3. A equipe sabe diferenciar pedido de acesso, correção, eliminação, informação, oposição e revogação de consentimento?
4. Há procedimento para confirmar identidade sem pedir documentos em excesso?
5. A empresa registra data de recebimento, análise, resposta e justificativa?
6. Existe regra para envolver fornecedores quando o dado está em sistemas de terceiros?
7. Há prazo interno menor que o prazo legal, para evitar resposta de última hora?
8. O encarregado consegue orientar a resposta antes do envio?

Se a resposta for incerta, o problema não é só jurídico. É operacional.

O papel do jurídico, da TI e do atendimento

Privacidade costuma falhar quando vira assunto de uma área só.

O jurídico ajuda a definir base legal, critérios de resposta e limites. A TI localiza dados, controla acessos, apoia eliminação e registra evidências. O atendimento reconhece pedidos e evita respostas impulsivas. O RH trata dados de colaboradores e candidatos. O marketing usa bases, cookies, campanhas e ferramentas de automação. O financeiro pode ter dados bancários, cobrança e inadimplência. A liderança decide prioridade e recursos.

O encarregado de dados fica no centro dessa conversa. Sem processo, ele vira gargalo. Com processo, vira coordenador.

Esse é um dos benefícios mais concretos do DPO as a Service: a empresa ganha uma camada que ajuda a traduzir a LGPD para cada área, sem exigir que todo mundo vire especialista em privacidade.

Como a TOGETHER atua nesses casos

A TOGETHER trabalha com DPO as a Service e governança de privacidade para empresas que precisam transformar LGPD em rotina, não em documento parado.

Na prática, a atuação pode começar por um diagnóstico rápido do canal de titulares e da indicação do encarregado. A partir daí, a TOGETHER ajuda a estruturar um fluxo de atendimento, definir responsáveis, revisar políticas, criar modelos de resposta, orientar áreas internas e montar evidências mínimas para demonstrar conformidade.

O apoio também pode envolver revisão de fornecedores, treinamento de equipes, acompanhamento de incidentes, participação em reuniões com áreas críticas e suporte consultivo para novos projetos que tratem dados pessoais.

Para empresas que já têm DPO interno, a TOGETHER pode atuar como apoio especializado. Para empresas que ainda não têm estrutura, pode assumir a função de DPO as a Service dentro de um escopo flexível, alinhado ao porte, ao risco e à maturidade da organização.

A ideia não é criar burocracia. É reduzir exposição, organizar responsabilidades e dar segurança para a empresa responder bem antes que o problema chegue por denúncia, reclamação ou ofício da ANPD.

Checklist rápido para a próxima reunião interna

Leve estas perguntas para jurídico, compliance, TI e atendimento:

• Quem é o encarregado de dados indicado pela empresa?
• O contato está público, atualizado e fácil de encontrar?
• O canal de titulares foi testado nos últimos 30 dias?
• Quem recebe e classifica os pedidos?
• Há modelo de resposta aprovado?
• A empresa registra evidências de cada solicitação?
• Fornecedores entram no fluxo quando necessário?
• O DPO participa de decisões sobre novos sistemas, campanhas e contratos?
• Existe plano de substituição se a pessoa responsável estiver ausente?
• A liderança recebe algum relatório periódico sobre privacidade?

Se a maioria das respostas depender de “acho que sim”, é hora de organizar.

Referências

• ANPD. “ANPD conclui monitoramento de encarregados de dados e vai avaliar sanção a 21 empresas e órgãos públicos”. Publicado em 03/07/2026. https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-conclui-monitoramento-avaliar-sancao-empresas-orgaos-publicos
• Resolução CD/ANPD nº 18/2024, sobre a atuação do encarregado pelo tratamento de dados pessoais.