ANPD conclui primeira fiscalização de encarregados e leva 21 casos à sanção

A Lei Geral de Proteção de Dados completou sete anos com uma reputação ambígua no mundo corporativo: norma importante, cobrança distante. Em junho de 2026, essa percepção ficou um pouco mais difícil de sustentar.

A Autoridade Nacional de Proteção de Dados concluiu o primeiro ciclo de monitoramento sobre um ponto básico da lei — a indicação do encarregado pelo tratamento de dados pessoais e a disponibilização de canal de comunicação com os titulares — e encaminhou 21 entidades à Coordenação-Geral de Sanção.

Não é uma fiscalização sobre vazamento, algoritmo ou transferência internacional. É sobre o item mais elementar da conformidade.

O que a ANPD verificou e o que encontrou

O monitoramento teve como base a Resolução CD/ANPD nº 18, de 16 de julho de 2024, que trata da atuação do encarregado pelo tratamento de dados pessoais.

Os números divulgados pela Autoridade em 25 de junho de 2026:

• 56 agentes de tratamento monitorados, sendo 39 órgãos públicos e 17 empresas privadas;
• 27 regularizaram integralmente a situação;
• 8 apresentaram pendências e receberam dez dias úteis, a contar da notificação, para corrigi-las;
• 21 não responderam aos pedidos de adequação e foram encaminhados à Coordenação-Geral de Sanção para análise e adoção das medidas cabíveis.

O dado mais revelador não é o número de irregulares. É o número de silenciosos: 21 de 56 simplesmente não responderam. Em muitos casos, isso não indica má-fé — indica que o ofício chegou a um endereço que ninguém monitora, ou a uma área que não sabia que a resposta era sua responsabilidade.

É um padrão que quem trabalha com obrigações eletrônicas reconhece de imediato.

Por que o RH é a área mais exposta

Quando se fala em proteção de dados, a conversa costuma migrar rápido para marketing, comercial ou tecnologia. Mas o Departamento Pessoal é, em quase toda empresa, o maior concentrador de dados pessoais sensíveis — a categoria que a LGPD protege com rigor adicional.

Estão sob a guarda do RH e do DP, entre outros: atestados médicos e informações de saúde ocupacional, exames admissionais, periódicos e demissionais, dados biométricos usados no registro de ponto, informações sobre afastamentos e benefícios previdenciários, dados de dependentes — inclusive de menores —, informações sindicais e financeiras da folha de pagamento.

A LGPD classifica dados sobre saúde, biometria e filiação sindical como dados pessoais sensíveis. A consequência prática é que o RH trata, todos os dias, o tipo de informação que exige base legal mais criteriosa, controle de acesso mais restrito e política de retenção mais bem definida.

Se um titular — um empregado, um ex-empregado, um candidato — procurar a empresa para exercer um direito previsto na lei, é bastante provável que o pedido diga respeito a dados sob custódia do RH. E é o canal do encarregado que deve receber esse pedido.

O que a fiscalização checou, traduzido para o dia a dia

Três perguntas simples resumem o que estava em avaliação:

A empresa indicou formalmente um encarregado? Não basta alguém “responder por LGPD” informalmente. A indicação precisa existir e ser identificável.

A identidade e o contato do encarregado estão publicamente disponíveis? O canal deve ser acessível ao titular, o que na prática significa estar publicado em local visível — tipicamente no site da empresa.

Esse canal funciona e é monitorado? Um e-mail publicado que ninguém lê é pior do que nenhum canal, porque cria expectativa e registra omissão.

Para o RH, há uma quarta pergunta que decorre das três: os processos da área sabem para onde encaminhar uma solicitação de titular quando ela chega por outro caminho — pelo gestor direto, pelo canal de denúncias ou pelo próprio DP?

O contexto: a fiscalização não para aqui

A ANPD publicou, ao final de 2025, seu mapa de temas prioritários para o biênio 2026-2027, por meio das Resoluções CD/ANPD nº 30 e nº 31 de 2025, que também atualizaram a agenda regulatória. Entre os temas listados está inteligência artificial e tecnologias emergentes — assunto que toca diretamente processos de recrutamento, triagem e avaliação que já usam automação.

A leitura razoável é que o ciclo de encarregados foi o primeiro passo de uma atuação mais estruturada, começando pelo requisito mais objetivo e verificável.

Um roteiro de verificação para o RH

Não se trata de refazer o programa de privacidade da empresa. Trata-se de checar itens concretos:

1. Confirme quem é o encarregado e se a indicação está formalizada em documento.
2. Verifique se o contato está publicado e se alguém acompanha esse canal com rotina definida — inclusive durante férias e afastamentos do responsável.
3. Liste os tratamentos de dados do RH: recrutamento, admissão, folha, ponto, saúde ocupacional, benefícios, desligamento e guarda pós-contratual.
4. Revise o controle de acesso. Quantas pessoas conseguem abrir um atestado médico ou um ASO hoje? A resposta costuma surpreender.
5. Defina prazos de retenção e descarte. Currículos de processos seletivos encerrados e dados de ex-empregados além do prazo legal de guarda são o passivo silencioso mais comum na área.
6. Documente as decisões. Em fiscalização, a diferença entre uma empresa organizada e uma desorganizada raramente está na prática — está na capacidade de demonstrá-la.

A LGPD prevê, entre as sanções administrativas aplicáveis pela Autoridade, advertência e multa, com limites definidos no próprio texto legal. Mas o custo mais frequente não é o da multa: é o do processo de resposta improvisado, conduzido às pressas por uma equipe que descobriu a obrigação junto com o ofício.

Dados de jornada e biometria estão entre os mais sensíveis sob custódia do DP. Mantê-los em um sistema com controle de acesso, histórico de alterações e finalidade clara — em vez de espalhados em planilhas e arquivos locais — é parte do que a Stelanto resolve na origem, e é também o que torna possível responder com segurança quando alguém pergunta o que a empresa guarda e por quê.

O que acompanhar

Os 21 casos encaminhados à Coordenação-Geral de Sanção ainda estão em análise, e a ANPD não divulgou prazo para conclusão. Vale acompanhar as publicações da Autoridade sobre o desfecho desses processos, porque é ali que se formará a referência prática de como a fiscalização será conduzida — e o que, na leitura do regulador, separa uma pendência corrigível de uma infração.

Enquanto isso, a tarefa do RH é anterior e mais simples: garantir que, se o ofício chegar, alguém o leia.