Fiscalização da ANPD: o que marketing precisa documentar antes de uma notificação

ANPD: EVIDÊNCIAS PARA MARKETING

A fiscalização da ANPD para 2026–2027 coloca direitos dos titulares entre os temas prioritários e prevê atenção ao uso secundário de dados em publicidade direcionada. Para marketing, o efeito prático é claro: não basta dizer que a operação respeita a LGPD. É preciso demonstrar, com evidências rastreáveis, por que cada dado entrou na jornada, onde circulou, quem decidiu sobre o tratamento e como um pedido do titular foi atendido.

A mudança não transforma toda campanha em processo sancionador. A atuação da Agência segue uma lógica responsiva, com monitoramento, orientação, prevenção e, quando necessário, repressão. O risco aumenta quando a empresa não consegue reconstruir as próprias decisões, demora a responder ou apresenta documentos que contradizem a operação real.

Este guia traduz essa exigência em um plano de documentação para gestores de marketing, CRM, mídia, e-commerce e lifecycle.

O que entrou no radar da fiscalização

O Mapa de Temas Prioritários da ANPD para 2026–2027 inclui quatro frentes: direitos dos titulares; proteção de crianças e adolescentes no ambiente digital; tratamento de dados pelo poder público; e tecnologias emergentes no contexto do tratamento de dados pessoais.

Para a rotina de marketing, dois pontos exigem atenção imediata. O primeiro é a efetividade dos direitos do titular. O segundo é o monitoramento do uso secundário de dados pessoais para publicidade comercial direcionada, citado expressamente pela Agência entre as atividades previstas.

Uso secundário acontece quando um dado coletado em um contexto passa a servir a outro propósito. Um e-mail obtido para confirmar uma compra, por exemplo, não ganha automaticamente autorização para alimentar campanhas, públicos semelhantes, enriquecimento de perfil ou ações de parceiros. Cada nova finalidade precisa de enquadramento, transparência e controles compatíveis.

A ANPD também informa que acompanha os regulados por meio das informações e provas apresentadas em resposta aos seus questionamentos. Isso muda a pergunta de conformidade. Em vez de “temos uma política de privacidade?”, a gestão deve perguntar: “conseguimos provar que a prática executada corresponde à política, ao aviso exibido e à escolha registrada?”.

Política publicada não substitui evidência operacional

Uma política de privacidade é necessária, mas descreve compromissos em nível institucional. A fiscalização pode exigir uma visão muito mais concreta da operação: sistemas utilizados, fluxo entre fornecedores, decisões de segmentação, hipóteses legais, retenção, atendimento a titulares e rastreabilidade das mudanças.

A Resolução CD/ANPD nº 1/2021 estabelece que agentes regulados devem fornecer documentos, dados e informações relevantes; permitir conhecimento dos sistemas usados no tratamento; manter os registros durante os prazos aplicáveis; e disponibilizar representante com conhecimento e autonomia para apoiar a atuação da Agência.

Isso faz da documentação um componente do processo de marketing, não um arquivo produzido depois do problema. Uma campanha que passou por mídia, CDP, CRM, plataforma de automação e parceiro de mensuração deve deixar um encadeamento verificável entre decisão, configuração, execução e resultado.

O caso analisado pela ANPD sobre redes de drogarias e programas de fidelidade ilustra a profundidade possível dessa análise. A Nota Técnica nº 6/2025 examina coleta, armazenamento, compartilhamento, publicidade direcionada, consentimento, transparência e direitos do titular. A lição editorial não é presumir que todo programa de relacionamento reproduz aquele caso, mas entender que uma fiscalização pode conectar arquitetura de dados, finalidade comercial e comunicação ao consumidor.

Os sete documentos que marketing deve conseguir apresentar

1. Inventário de tratamentos ligado às jornadas

O inventário deve sair da linguagem genérica e refletir jornadas reais. Para cada ponto de coleta, registre:

• dado capturado e origem;
• finalidade específica;
• hipótese legal adotada e justificativa;
• sistema de destino;
• áreas e fornecedores com acesso;
• prazo ou critério de retenção;
• mecanismo de exclusão, oposição ou revogação, quando aplicável.

Organize o inventário por jornada — aquisição, checkout, onboarding, relacionamento, fidelidade, reativação e atendimento — e vincule cada etapa às plataformas envolvidas. Essa estrutura permite localizar uma operação sem depender da memória de quem configurou a campanha.

2. Matriz de finalidade e uso secundário

A matriz deve comparar a finalidade informada na coleta com os usos posteriores. Ela é especialmente importante quando dados transacionais passam para CRM, mídia ou modelagem de audiência.

Crie uma linha para cada mudança relevante: compra para recomendação; atendimento para segmentação; cadastro em evento para prospecção; comportamento no site para retargeting; dado de fidelidade para parceria comercial. Registre a avaliação realizada, as restrições e a decisão aprovada.

O objetivo não é acumular justificativas. É impedir que integrações tecnicamente possíveis sejam tratadas como usos automaticamente legítimos.

3. Registro de avisos, escolhas e versões

Um print isolado não prova como a interface funcionava para cada pessoa. Preserve a versão do texto exibido, data de vigência, posição do aviso, opções disponíveis, identificador da interface e evento gravado no sistema.

Quando houver consentimento, a organização precisa conseguir relacionar a escolha a um texto e a uma finalidade determinados. Quando a operação usar outra hipótese legal, ainda é necessário demonstrar transparência e respeitar os direitos aplicáveis.

No WhatsApp, por exemplo, comunicação transacional e relacionamento comercial não devem ser agrupados sem critério. O nosso guia sobre consentimento de WhatsApp no checkout mostra como separar sinais e manter evidência auditável.

4. Dossiê de fornecedores e integrações

Liste cada operador ou parceiro que recebe dados, a função exercida, os campos transferidos, a região de processamento, os suboperadores relevantes e o procedimento de encerramento. Contrato e anexo de proteção de dados precisam corresponder à configuração técnica.

Inclua pixels, APIs server-side, plataformas de mídia, ferramentas de personalização, data clean rooms, enriquecimento, atendimento e mensuração. Uma integração desativada na interface, mas ainda enviando eventos, continua sendo risco operacional.

Documente também quem decide a finalidade. Chamar todo fornecedor de operador não resolve situações em que ele define usos próprios para os dados. A classificação deve refletir a relação concreta.

5. Procedimento de direitos do titular

O fluxo deve mostrar como um pedido é autenticado, classificado, distribuído, respondido e comprovado. Defina responsáveis, prazos internos, exceções e sistemas consultados.

Teste casos completos: acesso, correção, eliminação, informação sobre compartilhamento, oposição e revogação. O teste precisa alcançar backups, audiências de mídia, perfis derivados e fornecedores quando forem relevantes para a solicitação.

Métricas úteis incluem tempo até triagem, tempo até conclusão, retrabalho, sistemas pendentes e reincidência. Um painel sem amostra de casos e evidências de execução mede velocidade, mas não demonstra qualidade.

6. Registro de decisões de segmentação

Campanhas de alto impacto pedem uma ficha de decisão: objetivo, público incluído, público excluído, variáveis usadas, riscos identificados, revisão realizada e data de expiração.

Dê atenção especial a dados sensíveis, inferências, geolocalização precisa, perfis de vulnerabilidade e públicos envolvendo crianças ou adolescentes. A segmentação deve ser revisada quando a fonte, a finalidade, o fornecedor ou a lógica mudar.

O mesmo rigor vale para ativos criativos. Claims e imagens precisam ter evidência e aprovação rastreável, como detalhamos no checklist de compliance para anúncios.

7. Log de mudanças e plano de correção

Mantenha histórico das alterações em formulários, banners, taxonomias, integrações, políticas, públicos e regras de retenção. Cada mudança relevante deve indicar solicitante, aprovador, data, motivo e validação pós-implantação.

Quando uma falha aparecer, registre escopo, dados afetados, contenção, correção, prazo e teste de eficácia. A regulação responsiva considera a postura do agente regulado. Uma organização que identifica e corrige com método está em posição diferente de outra que não consegue explicar o ocorrido.

Como montar uma sala de evidências sem criar burocracia inútil

A sala de evidências deve ser um índice confiável, não uma pasta com arquivos desconectados. Organize-a em quatro camadas:

1. Governança: responsáveis, políticas, ato de indicação do encarregado e critérios de aprovação.
2. Operação: inventário, jornadas, matrizes de finalidade, fornecedores e retenção.
3. Execução: versões de interfaces, logs, tickets, campanhas e testes de direitos.
4. Resposta: incidentes, não conformidades, planos de correção e comunicações relevantes.

Defina um proprietário para cada evidência e uma frequência de revisão. Documentos críticos podem ter controle de versão, trilha de aprovação e hash do artefato armazenado. O princípio é simples: a evidência precisa ser íntegra, localizável e compreensível por alguém que não participou do projeto.

Evite exportar bases inteiras para “provar” uma operação. Separe o que pode ser demonstrado por configuração, amostra controlada, log técnico ou relatório agregado. A própria preparação para uma fiscalização deve respeitar segurança, minimização e segredo empresarial.

Um teste de prontidão em 30 dias

Semana 1: escolha uma jornada crítica

Comece por uma jornada com alto volume ou maior sensibilidade, como checkout, fidelidade, lead scoring ou retargeting. Desenhe o fluxo entre interface, tagueamento, CRM, automação, mídia e parceiros.

Semana 2: reconcilie promessa e prática

Compare avisos e políticas com eventos realmente enviados. Valide campos, destinos, hipóteses, retenção e exclusões. Abra uma lista única de divergências com risco, responsável e prazo.

Semana 3: simule um pedido de titular

Use um registro controlado e percorra o processo de ponta a ponta. Verifique se a equipe encontra dados em todas as plataformas, explica compartilhamentos e executa a ação solicitada com evidência.

Semana 4: faça uma revisão executiva

Leve à liderança apenas o que exige decisão: usos sem finalidade clara, fornecedores sem controle suficiente, públicos de maior risco, atrasos de atendimento e integrações sem proprietário. Converta cada ponto em ação, prazo e critério de aceite.

O que fazer ao receber uma notificação

Centralize a coordenação entre encarregado, jurídico, segurança, tecnologia e marketing. Preserve documentos e configurações relacionados ao escopo. Leia com atenção o objeto, o prazo, o formato solicitado e a necessidade de representante.

Responda ao que foi perguntado com evidências identificadas e contexto suficiente. Não esconda divergências nem preencha lacunas com afirmações não verificadas. Quando houver uma correção em andamento, informe escopo, responsável, cronograma e forma de comprovação.

A Resolução nº 1 prevê medidas preventivas como aviso, solicitação de regularização e plano de conformidade. Também estabelece que o não atendimento de uma solicitação pode levar à progressão da atuação e ser considerado agravante em eventual processo sancionador. Cooperação, portanto, não significa resposta improvisada: significa resposta precisa, tempestiva e sustentada por registros.

O guia da ANPD sobre a atuação do encarregado reforça que esse profissional funciona como canal entre titular, agente de tratamento e Agência, além de orientar funcionários e contratados. Isso não retira a responsabilidade das áreas de negócio. Marketing deve conhecer suas próprias jornadas e produzir as evidências que o encarregado precisará coordenar.

Três decisões para a próxima reunião de marketing

1. Escolher uma jornada prioritária e nomear um responsável pelo inventário de ponta a ponta.
2. Aprovar uma matriz de finalidade para qualquer passagem de dados transacionais a publicidade, personalização ou parceria.
3. Agendar um teste trimestral de pedido do titular com participação de CRM, mídia, atendimento, tecnologia e encarregado.

Conclusão

A fiscalização da ANPD não deve ser tratada como um exercício de redação jurídica. Para marketing, prontidão significa conseguir reconstruir a cadeia entre coleta, decisão, ativação, compartilhamento e atendimento ao titular.

A empresa não precisa começar por toda a operação. Precisa começar pela jornada que concentra maior risco e receita, corrigir a distância entre política e prática e transformar documentação em parte do fluxo de mudança. Quando a notificação chegar, a qualidade da resposta dependerá do trabalho que já estava registrado antes dela.

Fontes

• ANPD — Mapa de Temas Prioritários 2026–2027 e atualização da Agenda Regulatória
• ANPD — Fiscalização e regulação responsiva
• ANPD — Resolução CD/ANPD nº 1/2021: processo de fiscalização e processo sancionador
• ANPD — Nota Técnica nº 6/2025 sobre programas de fidelidade e publicidade direcionada
• ANPD — Guia sobre a atuação do encarregado

Conteúdo educativo; a aplicação jurídica depende do contexto de cada organização.