A ANPD passou de órgão em estruturação para autoridade com capacidade de fiscalização real. Empresas que tratavam LGPD como formalidade jurídica precisam entender o que a Autoridade efetivamente monitora, quais regulamentações já estão em vigor e o que é esperado de quem usa cloud para tratar dados de brasileiros.
O que é a ANPD
A Autoridade Nacional de Proteção de Dados é o órgão federal responsável por fiscalizar o cumprimento da LGPD, editar regulamentos e normas, promover o conhecimento das normas e das garantias de proteção de dados e aplicar sanções.
Criada pela LGPD (2018) e estruturada como autarquia de natureza especial desde 2022 (Decreto nº 10.474/2020), a ANPD ganhou autonomia técnica e financeira que reforça sua capacidade de atuação independente.
A ANPD não é um órgão burocrático de licenciamento — você não pede autorização para tratar dados. Ela fiscaliza, investiga denúncias e aplica sanções. O modelo é mais próximo do Procon ou da CADE do que de uma agência licenciadora.
Como a ANPD fiscaliza o tratamento de dados em cloud
A fiscalização da ANPD ocorre de duas formas principais:
Investigações por denúncia: qualquer titular de dados pode denunciar à ANPD uma violação de seus direitos. Denúncias de incidentes de segurança, recusa de atendimento de direitos (acesso, correção, deleção) e tratamento sem base legal são as categorias mais comuns.
Fiscalização temática proativa: a ANPD define ciclos de fiscalização por tema. Já realizou ciclos sobre cookies, transferência internacional de dados, dados de crianças e adolescentes, e uso de dados pessoais em IA — setores e empresas são monitorados independentemente de denúncia.
Para empresas que usam cloud, os pontos de atenção são:
- Transferência internacional de dados (quando cloud está fora do Brasil)
- Relação controlador-operador (sua empresa vs o provedor de cloud)
- Notificação de incidentes (tempo, conteúdo e destinatários)
- Atendimento dos direitos dos titulares (como dados em cloud permitem exercício de direitos)
Regulamentações que a ANPD já editou
A ANPD tem produzido regulamentações que precisam ser incorporadas à governança de dados das empresas:
Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024):
Define as condições para transferência de dados pessoais ao exterior — o que impacta diretamente quem usa cloud estrangeira. Estabelece:
- Lista de países com proteção adequada reconhecida pela ANPD
- Cláusulas Contratuais Padrão (CCP) como mecanismo de garantia para transferências
- Normas corporativas globais (BCR) para grupos empresariais multinacionais
- Exceções específicas (consentimento, execução de contrato, etc.)
Para cloud em servidor fora do Brasil, é necessário enquadrar a transferência em uma dessas bases — ou migrar dados para o Brasil.
Regulamento de Incidentes de Segurança (Resolução CD/ANPD nº 15/2023):
Define o que precisa ser comunicado, para quem e em que prazo:
- Comunicação à ANPD: incidentes que possam acarretar risco ou dano relevante aos titulares — prazo de 3 dias úteis para comunicação preliminar
- Comunicação aos titulares: quando o incidente pode afeitar seus interesses — em tempo hábil
- Conteúdo mínimo: natureza dos dados afetados, número de titulares, medidas técnicas adotadas, riscos e medidas de mitigação
Para cloud, isso significa que se um incidente de segurança ocorrer no provedor (vazamento de dados do cliente armazenados em cloud), você como controlador é responsável pela comunicação — mesmo que a falha tenha sido do provedor.
Regulamento de Comunicação em Caso de Incidente de Segurança (Resolução CD/ANPD nº 2/2022):
Normativa inicial sobre incidentes, complementada posteriormente pela Resolução 15. Define obrigações de controladores e operadores.
O que as empresas precisam ter documentado
Para uma interação com a ANPD — seja em fiscalização, seja respondendo a denúncia — você precisa demonstrar:
ROPA (Registro de Operações de Tratamento):
Mapeamento documentado de quais dados pessoais você trata, com qual finalidade, base legal, período de retenção, quem tem acesso e onde ficam armazenados (incluindo provedor de cloud). É o ponto de partida de qualquer análise de conformidade.
RIPD (Relatório de Impacto à Proteção de Dados):
Exigido para tratamentos que possam gerar alto risco aos titulares. A ANPD pode exigir o RIPD a qualquer momento. Tratamentos com dados sensíveis em larga escala, decisões automatizadas com impacto significativo e uso de dados em IA são candidatos prioritários.
Evidência de base legal:
Para cada operação de tratamento, a base legal deve estar documentada. “Legítimo interesse” precisa de avaliação documentada (Legítimo Interesse Assessment — LIA). Consentimento precisa de registro de quando e como foi obtido.
Contrato com o operador (DPA):
Contrato formalizado com o provedor de cloud (e qualquer outro operador que trate dados por sua conta) especificando as instruções de tratamento — conforme exigido pelo art. 39 da LGPD.
Responsabilidade entre controlador e operador
A LGPD distingue claramente:
Controlador: quem toma as decisões sobre o tratamento — finalidade, meios, quais dados. Sua empresa, que decide usar cloud para processar dados de clientes, é o controlador.
Operador: quem trata dados por conta do controlador, seguindo suas instruções. O provedor de cloud é o operador.
Como a ANPD avalia a responsabilidade em caso de incidente:
- O controlador responde perante os titulares e a ANPD — sempre
- O operador responde quando age em desacordo com as instruções do controlador ou viola a LGPD
- Ambos podem responder solidariamente quando há dano
Isso significa que a falha do provedor de cloud não exime sua empresa de responsabilidade perante a ANPD. Você precisa ter mecanismos de governança sobre o operador: contrato adequado, monitoramento de conformidade e canal de comunicação para incidentes.
A Adentro oferece infraestrutura cloud com dado no Brasil, DPA incluído no contrato e suporte à documentação de conformidade LGPD — facilitando sua relação com a ANPD.