Recebi notificação da ANPD
Resposta rápida
Notificação da ANPD exige resposta estruturada em prazo curto, com tom técnico e respeitoso. A primeira ação é ler o documento integralmente: qual o gatilho (incidente comunicado, denúncia, fiscalização espontânea, requerimento de titular), o que está sendo pedido (informações, documentos, esclarecimentos, plano), qual o prazo de resposta. Acione jurídico ou DPO imediatamente — resposta a autoridade tem natureza legal além de técnica. Em paralelo, monte as evidências de conformidade disponíveis: política de privacidade, registro de operações de tratamento (RoPA), termos de consentimento, contratos com operadores, evidências de medidas de segurança. A resposta precisa ser tempestiva (no prazo), completa (responde ao que foi pedido), honesta (não inventa o que não existe) e demonstrativa (anexa evidência do que afirma). Não responder, responder tarde ou minimizar costuma agravar substancialmente o desfecho.
Na empresa pequena, raramente há DPO interno ou jurídico estruturado. A primeira ligação é para advogado de LGPD — se o atual não dominar, vale contratar pontualmente. ANPD não aceita "não tínhamos quem cuidasse disso" como justificativa. A resposta exige montar documentação que talvez não exista de forma organizada: política de privacidade, mapeamento básico de tratamento de dados, contratos com fornecedores que tratam dados. Se a empresa não tem essa documentação, parte da resposta vai ser declarar o que falta e apresentar plano realista para construir — tentar fingir compliance que não existe costuma piorar muito o desfecho. A notificação costuma ser o gatilho para finalmente implementar o programa de privacidade que vinha sendo adiado.
Na empresa média, costuma haver DPO designado e algum nível de programa de privacidade. A resposta passa por DPO coordenando jurídico, TI, gestor da área afetada e direção. Monte equipe de resposta com prazo claro: leitura do pedido, levantamento de evidências, redação coordenada. Se a notificação vem de incidente prévio, o histórico documentado da resposta a esse incidente é evidência central — daí a importância de documentar resposta a incidente em tempo real, não no pós. Evidências comuns: política de privacidade aplicada, registro de operações, contratos com operadores com cláusulas de privacidade, evidências de treinamento, plano de resposta a incidente, log de medidas técnicas. Trate a notificação como prioritária; outras demandas esperam.
Na empresa grande, há DPO formal, comitê de privacidade, jurídico próprio com prática de LGPD e programa de privacidade maduro. A resposta segue rito estabelecido: ativação de processo de resposta a autoridade, equipe dedicada (DPO, jurídico, CISO, comunicação institucional), revisão por escritório externo se o caso for sensível. Evidências de conformidade estão organizadas e atualizadas — programa maduro produz documentação contínua que sustenta resposta sem improvisação. Comunicação externa coordenada com comunicação institucional e RI, especialmente se há risco de vazamento da notificação para mídia. Para sanções relevantes, articulação com associações setoriais e benchmarking com pares ajuda a calibrar resposta. Pós-resposta, atualização de programa com aprendizado é mandatória.
- Chegou ofício, e-mail oficial ou comunicação no canal eletrônico da ANPD
- A notificação cita incidente que você comunicou antes
- A notificação tem origem em denúncia de titular ou de terceiro
- É fiscalização espontânea (sem incidente prévio relatado)
- Há pedido de informações, documentos ou plano em prazo definido
- Há referência a tipo de tratamento de dados que sua empresa realiza
A primeira ação: ler o documento direito
O reflexo de panicar dispara a resposta errada. Antes de qualquer ação, leia integralmente, com tempo, junto com jurídico. Identifique cinco pontos: o gatilho da notificação (incidente, denúncia, fiscalização), o que está sendo pedido (informações, documentos, esclarecimentos, plano de remediação), qual o prazo, qual o canal de resposta, se há intimação para reunião ou audiência. A clareza sobre o pedido define a estrutura da resposta.
Sobre o prazo
Prazos da ANPD são curtos e o cumprimento é determinante. Em geral variam entre dias e poucas semanas, dependendo do tipo de procedimento. Pedido de prorrogação fundamentado pode ser feito quando o prazo é objetivamente inviável — mas tem que ser pedido com antecedência e com justificativa real, não no último dia. Perder prazo sem pedir prorrogação é demonstração de descaso, não de problema operacional, aos olhos da autoridade.
- Leia integralmente com jurídico. Identifique gatilho, pedido, prazo, canal. Não improvise leitura técnica sem jurídico.
- Acione DPO se há DPO designado. A resposta passa por ele. Sem DPO, contrate advogado de LGPD imediatamente — não tente conduzir sozinho.
- Defina equipe de resposta. DPO, jurídico, TI, gestor da área de tratamento afetada, direção. Reunião inicial para alinhar prazo, divisão e quem coordena.
- Levante evidências de conformidade. Política de privacidade, RoPA, termos de consentimento, contratos com operadores, evidências de medidas de segurança, registros de treinamento, plano de resposta a incidente.
- Construa narrativa coerente. Responde ao pedido, demonstra com evidência, reconhece o que não está em conformidade (se for o caso) com plano de remediação realista.
- Revise antes de enviar. Jurídico, DPO e direção precisam aprovar. Resposta a autoridade não é texto técnico solto — é peça que pode ser usada em procedimento sancionador.
- Documente a resposta enviada. Cópia completa, protocolo, data, comprovante. Resposta protocolada é evidência da tempestividade.
O que evidenciar na resposta
A resposta precisa demonstrar, não só afirmar. Para cada ponto da resposta, anexe ou aponte para o documento que sustenta. Evidências mais comuns que costumam entrar.
Documentação de programa de privacidade
Política de privacidade publicada e versão histórica, registro de operações de tratamento (RoPA), termo de uso, contratos de tratamento com operadores. Mostra que há programa formalizado, não improviso.
Evidências de medidas de segurança
Política de segurança da informação, evidências técnicas (firewall, criptografia, MFA, gestão de acessos, EDR), procedimento de backup e recuperação. Mostra que o tratamento tem proteção adequada ao risco.
Histórico de resposta a incidentes (se aplicável)
Para notificações relacionadas a incidente, o histórico documentado da resposta a esse incidente é central: linha do tempo, contenção, avaliação de risco, comunicações realizadas, remediação executada. Sem esse histórico documentado, defender resposta tempestiva fica difícil mesmo se ela aconteceu.
Evidências de treinamento e governança
Registros de treinamento em LGPD para o time, atas de comitê de privacidade, indicadores monitorados, auditorias internas. Mostra que privacidade é prática contínua.
Plano de remediação
Quando há não conformidade real, o plano de remediação realista costuma ser o que mais reduz risco de sanção severa. O plano precisa cobrir: causa raiz identificada, ações imediatas para cessar a não conformidade, ações estruturais para prevenir reincidência, cronograma exequível com responsáveis nomeados, indicadores de acompanhamento. Promessa vaga ("vamos melhorar nossa governança") não rende; plano concreto com data e dono rende.
Perder o prazo sem pedir prorrogação. Demonstração de descaso aos olhos da autoridade. Pedido de prorrogação fundamentado e antecipado costuma ser aceito.
Responder sem jurídico. Resposta a autoridade tem natureza legal além de técnica. Improvisar texto técnico solto pode gerar afirmação que enfraquece defesa em procedimento sancionador.
Inventar conformidade que não existe. Autoridade investiga. Discrepância entre o que se afirma e o que se constata costuma agravar substancialmente.
Negar ou minimizar sem fundamento. ANPD costuma já ter informação que motivou a notificação. Negar o que é fato perde credibilidade para o resto.
Não construir plano de remediação concreto. "Vamos melhorar" não rende. Plano com causa raiz, ações, cronograma, responsáveis e indicadores demonstra programa real.
- Jurídico e DPO revisaram e aprovaram
- Resposta cobre todos os pontos pedidos pela ANPD
- Para cada afirmação relevante, há evidência anexada ou referenciada
- Não conformidades identificadas têm plano de remediação concreto
- O tom é técnico, respeitoso, sem defensividade
- Prazo será cumprido (ou prorrogação foi formalmente pedida)
- Cópia completa e protocolo estão arquivados internamente