Movimento Fiscalizatório e Sancionador da ANPD: Urgência da Conformidade na Administração Pública

A Agência Nacional de Proteção de Dados (ANPD) vem consolidando, nos últimos anos, um movimento fiscalizatório e sancionador cada vez mais robusto, demonstrando que o ciclo de maturidade regulatória da proteção de dados no Brasil ingressou definitivamente em uma nova fase — a da responsabilização efetiva. Esse avanço se expressa tanto na publicação de regulamentos e resoluções específicas quanto na intensificação das auditorias e instauração de processos administrativos, alcançando, inclusive, os entes e órgãos da Administração Pública direta e indireta.

A atuação da ANPD foi formalmente estruturada pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021, que instituiu o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador. Essa norma delineou um fluxo contínuo de monitoramento, orientação, prevenção e repressão, estabelecendo uma abordagem progressiva que vai da conscientização à sanção, conforme o grau de adequação e a gravidade das infrações. O ciclo fiscalizatório compreende o monitoramento das atividades de tratamento de dados, a orientação por meio de guias e recomendações técnicas, a prevenção com planos de conformidade e medidas corretivas e, quando necessário, a repressão mediante processos administrativos sancionadores.

Complementarmente, a Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, instituiu o Regulamento de Dosimetria e Aplicação de Sanções, que detalhou critérios objetivos de agravamento, reincidência e cálculo de multas, reforçando o caráter técnico e proporcional do poder sancionador da Autoridade. Essas medidas consolidaram a fase repressiva da regulação brasileira, conferindo maior previsibilidade e efetividade à aplicação das penalidades.

Um marco importante desse novo cenário foi o processo sancionador instaurado contra o Município de Feira de Santana, na Bahia, em razão da divulgação indevida, em Diário Oficial, de dados pessoais sensíveis de pacientes com HIV, fibromialgia e anemia falciforme. O caso ilustra que os órgãos e entidades públicas estão sujeitos às mesmas obrigações impostas aos agentes privados, e que o descumprimento das normas de proteção de dados pode gerar consequências administrativas, institucionais e reputacionais severas.

O Tribunal de Contas da União, em sua Auditoria de Conformidade de 2025, confirmou a gravidade do quadro ao constatar que 76,7% dos órgãos e entidades federais ainda se encontram nos níveis inexpressivo ou inicial de adequação à Lei Geral de Proteção de Dados Pessoais (LGPD). O relatório apontou riscos concretos à privacidade dos cidadãos e à segurança das informações pessoais tratadas pelo Poder Público, recomendando a adoção de medidas coordenadas de capacitação, governança e implantação de controles técnicos e administrativos. Essa auditoria resultou também na criação do Painel Nacional de Implementação da LGPD, em parceria com os Tribunais de Contas Estaduais, com o objetivo de mapear o grau de maturidade dos entes públicos nas três esferas federativas e induzir melhorias contínuas.

Já o TCE-RS, no mesmo sentido,l vem reforçando esse movimento de consolidação da cultura de proteção de dados ao encaminhar questionário de conformidade a todos os municípios do Estado, com o objetivo de avaliar o grau de maturidade das administrações locais frente às exigências da LGPD. A iniciativa sinaliza que a adequação deixou de ser uma medida meramente recomendatória e passou a integrar, de forma concreta, o ciclo fiscalizatório e de responsabilização dos gestores públicos. A partir desse novo contexto, a conformidade passa a ser entendida não apenas como cumprimento formal da lei, mas como indicador de governança, transparência e integridade administrativa, com impacto direto nas auditorias, prestações de contas e avaliações institucionais. Assim, o TCE-RS reafirma que a proteção de dados pessoais é hoje um pilar estruturante da boa gestão pública, irradiando seus efeitos sobre todas as esferas do Estado e exigindo dos entes municipais uma postura proativa, documentada e contínua de conformidade

A partir desse contexto, é evidente que a conformidade com a LGPD, especialmente na Administração Pública, não se limita à existência de políticas formais ou de documentos de adequação. É necessário promover uma verdadeira cultura organizacional de proteção de dados, que envolva todos os servidores e contratados, com foco na conscientização e na mudança de comportamento institucional. A ANPD e o TCU convergem ao destacar a importância de programas de sensibilização, campanhas educativas e treinamentos periódicos eficazes, que traduzam de forma acessível as regras e diretrizes institucionais sobre o tratamento de dados pessoais. Tais ações devem reforçar os princípios da responsabilidade compartilhada, da segurança da informação e da transparência, tornando claro o papel de cada agente público na proteção dos dados dos cidadãos.

Diante desse cenário, é urgente que Prefeituras, Câmaras Municipais, Secretarias de Estado, autarquias e demais órgãos da Administração Pública adotem uma postura preventiva, revisando seus fluxos de tratamento de dados, nomeando encarregados, formalizando políticas de privacidade e implementando programas de governança em privacidade. A inércia ou a omissão na adoção dessas medidas pode resultar em sanções administrativas pela ANPD, recomendações ou determinações de órgãos de controle e perda de credibilidade institucional junto à sociedade.

O movimento fiscalizatório e sancionador da ANPD, portanto, marca um novo paradigma: a proteção de dados pessoais passou a ser um dever institucional e um indicador de boa governança pública. Investir em conformidade e em capacitação contínua não é apenas uma obrigação legal, mas um compromisso ético com a transparência, a confiança e a integridade das relações entre o Estado e o cidadão. A proteção de dados, nesse sentido, não é apenas uma exigência normativa, mas a nova fronteira da integridade pública.