A Era da boa intenção da proteção de dados acabou. Agora é preciso provar.
Durante muito tempo, bastava dizer que a empresa estava "se adequando à Lei Geral de Proteção de Dados".
A expressão aparecia em reuniões, apresentações para a diretoria e até em materiais institucionais. Afinal, a LGPD era recente, muitas dúvidas ainda precisavam ser respondidas e a própria Autoridade Nacional de Proteção de Dados (ANPD) adotava uma postura predominantemente orientativa. Havia espaço para aprendizado, ajustes e amadurecimento.
Mas toda fase de transição chega ao fim.
Ao concluir o ciclo de monitoramento sobre a obrigatoriedade de indicação do Encarregado pelo Tratamento de Dados (DPO) e sinalizar que organizações que permaneceram em desconformidade poderão ser submetidas a processos sancionadores, a ANPD faz mais do que iniciar uma nova etapa fiscalizatória. Ela evidencia uma mudança na forma como o Estado passa a olhar para a governança das organizações.
O que está em jogo não é apenas a indicação de um encarregado. É a expectativa de que as empresas sejam capazes de demonstrar, de forma concreta, que sabem governar os riscos relacionados aos dados pessoais que tratam.
A maturidade regulatória muda as perguntas
Toda legislação relevante passa por um ciclo semelhante. Primeiro, o regulador orienta. Publica guias, esclarece conceitos, estimula boas práticas e cria condições para que organizações compreendam suas novas responsabilidades.
Depois, naturalmente, a pauta muda. Já não basta saber o que a norma exige. É preciso mostrar que ela foi incorporada ao funcionamento da organização.
Essa evolução não é exclusiva da proteção de dados. Ela pode ser observada em temas como integridade, prevenção à corrupção, segurança cibernética, sustentabilidade e, mais recentemente, inteligência artificial. Em todos esses campos, percebe-se um movimento semelhante, onde, a conformidade deixa de ser medida pela existência de documentos e passa a ser avaliada pela capacidade institucional de transformar princípios em práticas.
A atuação da ANPD insere-se exatamente nesse contexto. Mais do que fiscalizar uma obrigação específica, ela sinaliza que o tempo da adequação permanente está sendo substituído pelo tempo da responsabilização.
O verdadeiro ativo que está sendo avaliado é a governança
Quando pensamos em fiscalização, é comum imaginar uma lista de exigências legais. Mas essa visão talvez seja limitada.
Na prática, o que um regulador procura identificar é algo muito mais amplo, como, se a organização possui mecanismos capazes de prevenir riscos, tomar decisões consistentes, atribuir responsabilidades e responder de maneira transparente quando surgem problemas.
Em outras palavras, o que está sendo avaliado é a qualidade da governança. É por isso que reduzir essa discussão ao DPO seria perder de vista a transformação mais relevante.
O encarregado é importante, sem dúvida. Contudo, sua existência, por si só, não garante conformidade. Da mesma forma que um Código de Ética não garante uma cultura ética, ou que um Comitê de Compliance não elimina riscos de integridade.
Esses instrumentos são importantes porque representam estruturas de governança. Mas somente produzem resultados quando fazem parte de um sistema que influencia decisões, comportamentos e responsabilidades.
Ainda confundimos governança com produção de documentos?
Essa talvez seja a reflexão que mais me inquieta. Durante muitos anos, desenvolvemos uma cultura organizacional em que conformidade era frequentemente associada à elaboração de políticas, procedimentos e manuais.
Esses documentos continuam sendo essenciais. O problema surge quando eles se tornam o objetivo final, e não o ponto de partida. Governança não é o conjunto de documentos que a organização produz. É a capacidade de fazer com que esses documentos orientem comportamentos, distribuam responsabilidades, permaneçam vivos na rotina das pessoas e na cultura da organização. É justamente essa capacidade que começa a ser colocada à prova.
Accountability é muito mais do que prestar contas
Entre os princípios da LGPD, sempre considerei a accountability um dos mais sofisticados. Traduzida, muitas vezes, como prestação de contas, ela costuma ser compreendida como uma obrigação de demonstrar conformidade. Mas talvez exista uma leitura ainda mais interessante.
Accountability é o mecanismo que transforma confiança em evidência.
Empresas sempre desejaram transmitir confiança a clientes, colaboradores, investidores e parceiros. A diferença é que, em um ambiente regulatório mais maduro, confiança deixa de ser construída apenas pelo discurso institucional.
Ela passa a depender da capacidade de demonstrar processos, controles, responsabilidades, decisões consistentes e cultura interna. É essa mudança que aproxima privacidade, compliance e governança. Não porque todos sejam iguais, mas porque todos dependem da mesma lógica, ou seja, organizações confiáveis são aquelas capazes de demonstrar como governam seus riscos.
A notícia é sobre a ANPD. A transformação é sobre as organizações.
Talvez, daqui a alguns anos, olhemos para esse momento não como o início de uma fiscalização mais intensa, mas como um marco simbólico da maturidade institucional brasileira. A proteção de dados deixa de ocupar um espaço restrito ao jurídico ou à tecnologia e passa a integrar a própria avaliação da qualidade da gestão e da cultura organizacional.
Isso exige uma mudança de postura das lideranças. A proteção de dados não pode permanecer restrita ao DPO. Compliance não pode continuar concentrado apenas na área de controles. Governança não pode ser percebida apenas como uma exigência regulatória.
Todos esses elementos fazem parte da mesma capacidade organizacional, como, administrar riscos, tomar decisões responsáveis e sustentar relações de confiança. Essa talvez seja a principal mensagem da nova fase da ANPD. Não estamos assistindo apenas ao fortalecimento de uma autoridade reguladora.
Estamos vendo consolidar-se uma expectativa diferente sobre o papel das organizações na sociedade.
Durante muito tempo, perguntávamos se as empresas estavam em conformidade com a lei. Talvez a pergunta mais importante, daqui para frente, seja outra: elas conseguem demonstrar que sabem governar os riscos dos dados pessoais pelos quais são responsáveis?
Essa diferença, embora sutil, separa organizações que cumprem obrigações daquelas que inspiram confiança.
Referência:
Autoridade Nacional de Proteção de Dados (ANPD). ANPD conclui ciclo de monitoramento sobre a indicação do Encarregado pelo Tratamento de Dados Pessoais (DPO), publicado em 26 de junho de 2026. Disponível em: https://www.gov.br/anpd
Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), especialmente o princípio da responsabilização e prestação de contas (accountability) previsto no art. 6º, X.
ISO/IEC 27701:2019 – Privacy Information Management.
ISO 37301:2021 – Compliance Management Systems.
OECD. Recommendation of the Council on Digital Government Strategies e materiais sobre governança de dados e confiança digital
Comentários