Tempo de leitura: 10 min · Publicado em 08/10/2026
Ao receber uma requisição ou intimação da ANPD, a empresa deve identificar o procedimento, a finalidade, o prazo e os documentos exigidos antes de preparar a resposta. A comunicação não significa, sozinha, aplicação de multa. Também não pode ser tratada como contato facultativo. Uma manifestação consistente conecta fatos, registros, medidas adotadas e fundamentos jurídicos, respeitando o ato recebido e protegendo informações sem impedir a fiscalização.
O recorte é a empresa formalmente chamada a prestar informações ou se manifestar. O trabalho pode envolver jurídico, encarregado, TI, administração e fornecedores. Uma política genérica de privacidade, enviada sem confronto com os fatos, dificilmente esclarece toda a demanda.
Confirme a comunicação e leia o procedimento completo
Verifique autenticidade por canal oficial, identificação da empresa, número do processo, remetente e forma de acesso. Não forneça credenciais ou documentos por um link desconhecido apenas porque a mensagem menciona a ANPD.
Obtenha o ato integral e seus anexos. Identifique se foi solicitado esclarecimento, regularização, documento, comparecimento, defesa ou recurso. Uma comunicação pode apresentar perguntas sobre operação específica sem já imputar uma infração em processo sancionador.
O regulamento de fiscalização da ANPD distingue atividades de monitoramento, orientação, prevenção e repressão. As medidas preventivas não são, por si, sanções. Já o processo sancionador possui fases próprias e garantias de contraditório e defesa.
Também podem existir averiguações preliminares por procedimento preparatório. Não conclua que toda diligência exige a mesma manifestação ou que só haverá fiscalização se um titular reclamar. O enquadramento depende do conteúdo e do estágio documentado.
Registre a ciência oficial e confira o prazo do ato
Guarde comunicação, confirmação de acesso, anexos e informação sobre a ciência oficial. Distribua a tarefa com antecedência interna, incluindo tempo para obter registros de terceiros e conferir o conteúdo.
O art. 8º do regulamento determina que seus prazos corram da ciência oficial em dias úteis, excluindo o começo e incluindo o vencimento. O art. 12 disciplina formas de ciência. Em meio eletrônico, prevê a consulta ao documento ou, sem consulta, dez dias úteis após o envio da intimação.
Isso não autoriza ignorar mensagens nem escolher a data que favorece a empresa. Examine o meio empregado, o ato e os registros do procedimento. Data do recebimento informal de um aviso e data de ciência oficial podem exigir distinção.
Não generalize um único prazo de resposta. O art. 47 prevê defesa no prazo máximo de dez dias úteis após a intimação decorrente do auto de infração, na forma indicada. Essa regra não transforma qualquer pedido de informação em defesa de dez dias.
Se houver dificuldade real, apresente pedido fundamentado conforme o procedimento, sem presumir concessão. Uma solicitação de esclarecimento ou prorrogação não deve ser tratada como suspensão automática. Indisponibilidade do sistema possui condições específicas: registre a ocorrência e confira a regra, sem confiar apenas em uma captura isolada.
Transforme a requisição em tarefas verificáveis
Relacione cada pergunta a responsável, documento, período e providência. Separe informação já disponível, registro mantido por fornecedor e questão que exige apuração técnica. O objetivo é responder ao que foi pedido, sem omitir ponto relevante nem anexar toda a base de dados indiscriminadamente.
| Pedido recebido | Confronto interno | Entrega a conferir |
|---|---|---|
| Descrição do tratamento | Fluxo real, finalidade e participantes | Narrativa compatível com a operação |
| Documentos contratuais | Versões e responsabilidades | Anexos identificados e pertinentes |
| Informação técnica | Registros e método de apuração | Relatório com limites explícitos |
| Medidas corretivas | Execução, responsável e resultado | Evidência além da promessa |
| Informação protegida | Necessidade e risco de divulgação | Pedido fundamentado de sigilo |
Use identificação consistente dos anexos. Explique origem, data e função de cada documento. Se um dado ainda não foi confirmado, indique a lacuna e a apuração realizada; não preencha com estimativas apresentadas como fato.
Confira se a pessoa que assinará possui poderes e se há representante apto a prestar suporte. O art. 5º prevê colaboração e disponibilização de representante com conhecimento e autonomia quando requisitado. A designação interna precisa corresponder à capacidade efetiva de explicar a operação.
Preserve documentos e obtenha informações dos fornecedores
O art. 5º do regulamento prevê entrega de documentos e informações relevantes nas condições estabelecidas pela ANPD, acesso necessário à avaliação e submissão a auditorias. Também determina manutenção dos registros pelos prazos legais e regulamentares e durante a tramitação de processos em que sejam necessários.
Organize preservação de arquivos, versões e registros técnicos pertinentes. Não elimine dados ou substitua documentos com o propósito de impedir a apuração. Diferencie a política regular de retenção das necessidades específicas do procedimento em andamento.
Identifique contratos de hospedagem, processamento, suporte e segurança. Solicite ao fornecedor informações delimitadas e guarde a resposta. O fato de um terceiro manter os registros não encerra a análise dos deveres da empresa perante a fiscalização.
A questão de acesso a sistemas após o fim do contrato de TI pode influenciar a disponibilidade da prova. A resposta à ANPD deve esclarecer a situação concreta e as providências, sem atribuir automaticamente toda a responsabilidade ao fornecedor.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Proteja informações sem negar acesso devido à ANPD
Segredo comercial, dados pessoais e informações de segurança exigem cuidado na apresentação. O art. 5º, § 2º, permite solicitar sigilo sobre informações empresariais cuja divulgação possa violar segredo comercial ou industrial.
Identifique os trechos, explique o fundamento e o risco de divulgação e formule o pedido no canal apropriado. Marcar todas as páginas como confidenciais não demonstra, sozinho, que todo o conteúdo deva receber a mesma restrição.
Sigilo perante terceiros não equivale a autorização para ocultar da ANPD informações necessárias ao exercício de suas atribuições. Se houver dúvida sobre extensão, formato ou proteção, peça esclarecimento fundamentado sem presumir que deixou de existir o dever de atender.
Envie arquivos pelo meio indicado e controle acesso interno. Não use grupos abertos, redes sociais ou ferramentas não autorizadas para circular bases de clientes. A atuação administrativa precisa reduzir exposição desnecessária sem inviabilizar a resposta exigível.
Diferencie explicação jurídica, apuração técnica e correção
A área técnica esclarece funcionamento, registros, eventos e limitações da apuração. A análise jurídica relaciona esses fatos às obrigações aplicáveis e às questões do procedimento. Uma afirmação de segurança não comprova funcionamento; uma conclusão técnica também não substitui, sozinha, todo o enquadramento legal.
Se a demanda estiver relacionada a incidente, confronte cronologia, informações conhecidas em cada momento e medidas adotadas. O guia sobre providências jurídicas diante de ransomware trata da emergência. Aqui, o núcleo é a manifestação no procedimento oficial, que não substitui uma comunicação de incidente devida.
Da mesma forma, contratos e atividades reais importam para avaliar papéis e responsabilidades. A discussão sobre vazamento por prestador de TI é complementar. Não basta inserir a palavra operador para dispensar a descrição das decisões efetivamente tomadas por cada participante.
Correções posteriores devem ser descritas com data e alcance. Não apresente política criada após o fato como se estivesse implementada antes. Medidas novas podem ser relevantes, mas precisam ser separadas da prova de como a operação funcionava no período apurado.
Responda à regularização com evidências e acompanhe o processo
Uma solicitação de regularização exige identificar situação, providências e prazo. Se for necessário plano de conformidade, o regulamento prevê objeto, ações, prazos, acompanhamento e trajetória dos resultados. O plano não dispensa as demais obrigações aplicáveis.
Conecte compromisso a responsável e evidência de execução. Treinamento anunciado, contrato em negociação ou configuração planejada não equivalem a medida concluída. Se a execução for parcial, informe o que foi feito e o que permanece pendente.
Exemplo hipotético: uma empresa recebe pedido sobre acesso de fornecedores a dados de clientes. Seus contratos antigos não descrevem todo o fluxo, e os registros mostram permissões mais amplas do que a política atual. A resposta precisa explicar período, funcionamento e limites da prova, além das medidas corretivas efetivas. Apenas anexar a política nova não esclarece a divergência.
Confira anexos, assinatura, formato e protocolo de envio. Guarde a versão apresentada e acompanhe comunicações posteriores. O protocolo demonstra apresentação, não concordância da ANPD com o conteúdo ou encerramento do procedimento.
Perguntas frequentes
Receber uma diligência significa que a empresa já foi multada?
Não. Identifique fase e finalidade. Fiscalização, medidas preventivas e processo sancionador possuem funções e atos diferentes.
Toda resposta à ANPD tem prazo de dez dias úteis?
Não. A defesa após auto de infração tem previsão específica. Outros pedidos dependem do ato e das regras aplicáveis.
Posso negar documentos por segredo comercial?
Não presuma essa autorização. Formule pedido fundamentado de sigilo sem impedir acesso necessário à fiscalização.
Enviar uma política de privacidade atualizada basta?
Não necessariamente. A resposta deve esclarecer fatos e perguntas concretas, com documentos compatíveis com o período examinado.
O protocolo comprova que o procedimento terminou?
Não. Guarde a apresentação e acompanhe os atos seguintes. Encerramento depende do procedimento e da manifestação competente.
Na prática, organize resposta e estratégia administrativa em conjunto
Quando a demanda envolve operação relevante, vários fornecedores ou fatos tecnicamente controvertidos, reúna ato, autos acessíveis, contratos e registros para análise integrada. A atuação jurídica pode delimitar manifestação, proteger informações, organizar prova, avaliar correção e conduzir defesa administrativa. Nenhuma dessas medidas garante arquivamento ou ausência de sanção; a decisão depende dos fatos, das obrigações e da apuração.
Leia também
Vazamento de prontuário eletrônicoDados de saúde acrescentam questões específicas.Ler o guia
Dados de pacientes na saída de sócioConflito societário e guarda exigem apuração própria.Ler o guia
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Fontes oficiais consultadas
- LGPD — arts. 6º, 37, 46, 48, 50, 52 e 55-J: registros, segurança, incidentes e fiscalização
- ANPD — página da Resolução CD/ANPD 1/2021 com as alterações da Resolução 4/2023; texto não substitui o DOU de 29/10/2021 — arts. 5º a 12, 30 a 36 e 40 a 50
- ANPD — Saiba como fiscalizamos: etapas, cooperação e sigilo empresarial
