A fiscalização da ANPD e o fim da cultura do improviso

Há uma pergunta que ouvi inúmeras vezes, desde que a Lei Geral de Proteção de Dados entrou em vigor: "Qual é a chance de a ANPD (Autoridade Nacional de Proteção de Dados) fiscalizar a minha empresa?"

Durante muito tempo, essa pareceu ser a principal preocupação de muitos empresários e gestores. Confesso, porém, que ela nunca me pareceu a pergunta mais relevante.

A questão realmente importante sempre foi outra: se a fiscalização começasse amanhã, a empresa conseguiria demonstrar que conhece os dados pessoais que trata, compreende os riscos envolvidos em suas operações e adota, de forma consistente, medidas para proteger os direitos dos titulares?

Essa mudança de perspectiva talvez seja o aspecto mais significativo do momento que vivemos. O fortalecimento institucional da Autoridade Nacional de Proteção de Dados, evidenciado pelo aumento das denúncias, das fiscalizações e da consolidação de sua atuação regulatória, não representa apenas uma nova postura da administração pública.

Representa, sobretudo, o amadurecimento de uma ideia que ainda encontra resistência em parte do ambiente empresarial: a de que proteção de dados não é um projeto, mas um modelo permanente de governança.

Durante os primeiros anos de vigência da LGPD, era compreensível que as organizações concentrassem seus esforços na construção de uma estrutura mínima de conformidade. Políticas de privacidade foram elaboradas, contratos revisados, encarregados nomeados, canais de atendimento aos titulares criados e programas de adequação implementados em praticamente todos os setores da economia. Foi um movimento importante e necessário, que permitiu ao país iniciar uma mudança cultural de grandes proporções.

O problema é que muitas empresas passaram a enxergar aquele momento como um ponto de chegada, quando, na verdade, ele representava apenas o início da caminhada. Governança não é fotografia. É movimento.

As organizações mudam continuamente. Novos fornecedores são contratados, operações passam a depender de plataformas cada vez mais complexas, ferramentas de inteligência artificial são incorporadas à rotina dos negócios, bases de dados crescem em velocidade exponencial e informações pessoais começam a circular por ambientes que sequer existiam quando muitos programas de privacidade foram estruturados.

No entanto, não é incomum encontrar inventários de dados que nunca mais foram atualizados, Relatórios de Impacto que já não refletem a realidade operacional da empresa ou políticas internas que permanecem praticamente inalteradas desde sua primeira versão.

Talvez resida aí a maior contribuição da atuação recente da ANPD. Ao contrário do que muitos imaginam, a Autoridade não está apenas fiscalizando documentos; está avaliando a maturidade da governança das organizações. E há uma diferença profunda entre essas duas coisas.

Quem acompanha investigações decorrentes de incidentes de segurança aprende rapidamente que as maiores fragilidades raramente aparecem nos documentos apresentados pela empresa. Elas surgem quando começam as perguntas mais simples. A organização consegue identificar, com rapidez, quais dados foram efetivamente comprometidos? Conhece todos os operadores que participam da cadeia de tratamento? É capaz de reconstruir o caminho percorrido por determinada informação dentro de sua própria estrutura? Seus processos correspondem ao que está formalmente documentado ou existe um descompasso entre a prática e aquilo que foi escrito anos atrás?

São perguntas que parecem elementares, mas que costumam revelar algo muito maior: o grau de conhecimento que a própria empresa possui sobre o funcionamento de suas atividades.

Ao longo dos últimos anos, acompanhando projetos de adequação, programas de governança, procedimentos fiscalizatórios e situações de crise, passei a perceber que as organizações raramente são surpreendidas pela existência de um problema. O que verdadeiramente as surpreende é descobrir, em meio à crise, que conheciam muito menos sobre seus próprios processos do que imaginavam conhecer.

Acreditavam controlar a circulação dos dados, até perceberem que parte significativa desse tratamento havia sido terceirizada sem mecanismos adequados de supervisão. Imaginavam estar preparadas para responder a um incidente de segurança, até constatarem que sequer conseguiam identificar, em tempo razoável, os titulares potencialmente afetados. Julgavam possuir um programa sólido de privacidade, até compreenderem que ele havia permanecido parado no tempo, enquanto a empresa se transformava profundamente ao seu redor.

Essa constatação explica por que considero positiva a evolução institucional da ANPD.

Existe, no Brasil, uma tendência histórica de interpretar o fortalecimento de órgãos reguladores como um entrave à atividade econômica. Penso exatamente o contrário. Economias sofisticadas dependem de instituições igualmente sofisticadas, capazes de estabelecer parâmetros de previsibilidade, segurança jurídica e confiança. Não há ambiente de inovação sustentável onde as regras sejam permanentemente incertas ou onde a proteção de direitos fundamentais dependa exclusivamente da boa vontade dos agentes econômicos.

A proteção de dados deixou de ser preocupação restrita aos departamentos jurídicos ou às equipes de tecnologia. Ela passou a integrar a agenda da governança corporativa porque, em uma economia orientada por dados, a confiança tornou-se ativo estratégico. Investidores observam práticas de governança; consumidores escolhem empresas em que confiam; parceiros comerciais exigem padrões mínimos de segurança; autoridades reguladoras esperam transparência e capacidade de prestação de contas. Nada disso pode ser construído apenas com declarações de compromisso ou documentos produzidos para cumprir uma obrigação formal.

Talvez, por essa razão, a pergunta sobre a probabilidade de uma fiscalização tenha perdido completamente o sentido. A questão que hoje deveria ocupar o centro das preocupações empresariais é infinitamente mais relevante: a organização seria capaz de demonstrar, por meio de evidências concretas, que incorporou a proteção de dados à sua cultura decisória, aos seus processos e à sua forma de gerir riscos?

Há uma diferença importante entre parecer preparado e efetivamente estar preparado. A fiscalização apenas torna essa diferença visível. No fundo, o fortalecimento da ANPD revela algo que transcende a própria proteção de dados

Ele sinaliza que o Brasil começa, ainda que de forma gradual, a abandonar uma antiga cultura de improviso regulatório para construir uma cultura de responsabilidade institucional. Esse talvez seja o verdadeiro desafio colocado às organizações brasileiras: compreender que governança não nasce quando chega a fiscalização, mas muito antes dela, quando a proteção de direitos passa a orientar, de maneira cotidiana, as decisões que moldam o futuro dos negócios.

Porque, ao final, a LGPD (Lei Geral de Proteção de Dados) nunca tratou apenas de dados. Ela sempre tratou de confiança.

Claudia Terra é advogada, presidente da Comissão de Proteção de Dados e Privacidade da OAB-RJ.