lgpd

ANPD como agência reguladora e o novo poder de polícia: o que a lei nº 15.352/2026 sinaliza para programas de integridade e governança de dados

Com poderes de interdição, apreensão e fiscalização reforçada, a proteção de dados deixa de ser assunto restrito ao jurídico e passa a integrar o núcleo do compliance e da gestão de riscos das empresas.

 

A transformação da Autoridade Nacional de Proteção de Dados em agência reguladora, promovida pela Lei nº 15.352/2026, resultante da conversão da Medida Provisória nº 1.317/2025, alterou de forma relevante o ambiente de fiscalização da Lei Geral de Proteção de Dados (Lei nº 13.709/2018). A ANPD passou a ter natureza de autarquia sob regime especial, com autonomia funcional, técnica, decisória, administrativa e financeira, além de poder de polícia.

A mudança importa para muito além dos departamentos de tecnologia e de privacidade. Empresas que contratam com o poder público, organizações com programa de integridade e fornecedores sujeitos a auditoria precisam tratar a governança de dados como parte integrante do compliance, sob pena de exposição a sanções e a medidas restritivas mais incisivas.

 

O que muda com a nova ANPD

O ponto de maior impacto é o poder de polícia. Os fiscais da ANPD passam a poder interditar estabelecimentos, equipamentos e instalações, apreender bens e, em caso de resistência, requisitar o auxílio de força policial. Para sustentar essa atuação, a Lei nº 15.352/2026 criou a Carreira de Regulação e Fiscalização de Proteção de Dados, com vagas a serem preenchidas por concurso público. O resultado é uma autoridade com mais autonomia e maior capacidade operacional de fiscalizar e de sancionar.

Esse fortalecimento se conecta a outro marco recente: a entrada em vigor das regras de proteção de crianças e adolescentes no ambiente digital, que impôs deveres adicionais a quem oferece produtos e serviços digitais ou trata dados de menores. A convergência entre proteção de dados e proteção de vulneráveis amplia o escopo do que a ANPD fiscaliza e eleva o patamar de diligência esperado das organizações.

 

As bases normativas

A base permanece a Lei nº 13.709/2018 (LGPD), agora fiscalizada por uma autoridade com novo desenho institucional definido pela Lei nº 15.352/2026. No campo das transferências internacionais de dados, a Resolução CD/ANPD nº 19/2024 regulamenta os arts. 33 a 36 da LGPD e disciplina as cláusulas-padrão contratuais e as normas corporativas globais; a Resolução CD/ANPD nº 32/2026 reconheceu a União Europeia como jurisdição com nível adequado de proteção. Há interface direta com a Lei nº 12.846/2013 e o Decreto nº 11.129/2022, pois a governança de dados integra o programa de integridade, e com a Lei nº 14.133/2021 nas contratações públicas.

 

A convergência entre proteção de dados e compliance

Com poder de polícia, a atuação da ANPD altera o perfil de risco das organizações. Incidentes de segurança e tratamentos irregulares podem gerar não apenas sanções administrativas, mas também exposição contratual e reputacional, especialmente para fornecedores do setor público, que respondem a exigências de conformidade em editais e contratos. Por isso, programas de integridade precisam incorporar a governança de dados como componente estrutural, e não como anexo formal.

Vale lembrar que o regime sancionatório da LGPD, previsto no art. 52 da Lei nº 13.709/2018, já contempla advertência, multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, além da suspensão parcial ou total do funcionamento do banco de dados ou da atividade de tratamento. O que muda com a nova ANPD não é o catálogo de sanções, e sim a capacidade concreta de fiscalizar e de executar essas medidas, o que torna o risco menos teórico e mais presente no dia a dia das empresas.

Na prática, isso significa manter inventário de dados e mapeamento de tratamentos, bases legais bem definidas, encarregado atuante, gestão de incidentes com plano de resposta, contratos adequados com operadores e mecanismos válidos para transferências internacionais. Para quem trata dados de crianças e adolescentes, somam-se as salvaguardas próprias do ambiente digital, cuja inobservância tende a atrair fiscalização prioritária.

 

Riscos típicos

– Tratar a proteção de dados como tema isolado do compliance aumenta a exposição a sanções e a medidas restritivas, como interdições.

– Realizar transferências internacionais sem mecanismo adequado, como cláusulas-padrão ou normas corporativas globais, pode ser questionado pela ANPD.

– A ausência de plano estruturado de resposta a incidentes amplia danos, custos e risco sancionatório.

– Tratar dados de crianças e adolescentes sem as salvaguardas do ambiente digital eleva a probabilidade de fiscalização.

 

Oportunidades

– Integrar a governança de dados ao programa de integridade, nos termos do Decreto nº 11.129/2022, com políticas, encarregado e gestão de incidentes.

– Revisar bases legais, inventário de dados e contratos com operadores e fornecedores.

– Adequar as transferências internacionais aos mecanismos da Resolução CD/ANPD nº 19/2024 e aproveitar o reconhecimento de adequação da União Europeia.

– Mapear o tratamento de dados de menores à luz das regras do ambiente digital, antecipando-se à fiscalização.

 

Mensagem central

A ANPD reguladora, dotada de poder de polícia, marca o amadurecimento do ambiente de aplicação da lei em proteção de dados no Brasil. A privacidade deixa de ser preocupação setorial e passa a ser prioridade de compliance e de gestão de riscos. Organizações que integrarem a governança de dados aos seus programas de integridade estarão mais preparadas para um cenário em que fiscalização e sanção deixaram de ser hipóteses remotas e passaram a ser parte previsível do custo de operar.

 

 

Fontes

Agência Brasil. Senado aprova MP que transforma ANPD em agência reguladora 

ANPD. Transferência Internacional de Dados

ANPD. Resolução normatiza transferência internacional de dados.

 

Read More

Incidentes de segurança e ameaça interna: o que o relatório de governança em privacidade 2026 sinaliza para controles, cultura e resposta a incidentes

A maior parte dos incidentes registrados nasce de falhas de controle de acesso e de comportamento humano, não de ataques externos, e se concentra nos meses de maior atividade operacional.

 

Quando se fala em incidente de segurança, o imaginário costuma apontar para o ataque externo sofisticado. O Relatório de Governança em Privacidade 2026, produzido pela Be.Aliant a partir de registros de 659 empresas em 2025, sugere um quadro diferente e, para o compliance, mais incômodo: boa parte dos incidentes tem origem interna, em falhas de controle de acesso e de conduta, e não em invasões.

O dado importa porque muda o foco da resposta. Se o problema estivesse concentrado em ataques externos, a solução seria predominantemente tecnológica. Como o relatório aponta para o comportamento humano e para a governança de acessos, a resposta passa a depender tanto de controles quanto de cultura, terreno em que o programa de integridade tem papel direto.

 

A tipologia dos incidentes: a ameaça interna pesa tanto quanto a externa

O relatório mostra que o compartilhamento indevido de dados (21,6%) e a divulgação indevida de dados pessoais (19,8%) somam mais de 40% dos incidentes registrados. A disponibilização indevida de acesso responde por outros 18,7%. Esse conjunto aponta para falhas de controle de acesso e de governança de dados, e não necessariamente para ataques externos. O padrão sugere que a ameaça interna é tão relevante quanto a externa.

O meio de descoberta reforça a leitura. A maior parte dos incidentes foi identificada pelo próprio controlador (38,8%) ou por denúncia de titulares e terceiros (29,7%). Apenas 4,2% chegaram ao conhecimento da organização por notificação do operador, o que indica fragilidade nos mecanismos de monitoramento com fornecedores. A dependência da descoberta interna ou da reclamação de terceiros mostra que faltam sensores automáticos e trilhas de auditoria capazes de detectar o problema na origem.

 

A sazonalidade é um dado acionável

Um dos achados mais úteis do estudo é a distribuição temporal. Os incidentes se concentram no segundo semestre, com destaque para junho (11,8%), setembro (11,2%), outubro (12%) e dezembro (15%). O pico de dezembro merece atenção especial, porque coincide com fechamento de ciclo, migrações de sistema, acessos excepcionais e períodos em que as equipes estão reduzidas.

Essa previsibilidade transforma a sazonalidade em ferramenta de prevenção. Se os meses de maior risco são conhecidos, é possível programar revisões de acesso, testes de segurança e monitoramento reforçado justamente nas janelas mais críticas. Poucos controles oferecem retorno tão alto com esforço tão controlável quanto uma agenda preventiva ancorada em dados históricos.

 

A base normativa: dever de comunicar e prazo definido

No regime da LGPD, incidente de segurança é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais. O art. 48 impõe ao controlador o dever de comunicar à ANPD e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante.

O contorno prático desse dever foi detalhado pela Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança. A norma fixou o prazo de três dias úteis, contados do conhecimento do incidente que afete dados pessoais, para a comunicação à ANPD e aos titulares, além de prever comunicação complementar e a guarda dos registros por, no mínimo, cinco anos. O prazo curto tem consequência direta: sem um plano de resposta estruturado e testado, a organização dificilmente reunirá as informações, avaliará o risco e comunicará dentro da janela regulatória.

 

Onde entra o programa de integridade

Incidentes originados em compartilhamento indevido e em disponibilização indevida de acesso costumam ter raiz em comportamento humano, não em falha técnica. É nesse ponto que a fronteira entre segurança da informação e integridade se dissolve. Programas de capacitação continuada, políticas claras de acesso e cultura de responsabilidade sobre dados são intervenções preventivas de alto retorno, e todas pertencem ao repertório do compliance.

A integração de funções também importa. A resposta a um incidente envolve segurança da informação, privacidade, jurídico e, com frequência, a área responsável pela apuração interna. Quando esses fluxos não estão desenhados, a organização perde tempo precioso na única janela em que a resposta ainda pode conter o dano. A governança de dados, nesse ponto, é menos uma questão de tecnologia e mais de processos e distribuição de responsabilidades.

 

Riscos típicos

– Concentrar a estratégia de segurança na defesa contra ataques externos, subestimando o peso da ameaça interna e das falhas de controle de acesso.

– Operar sem plano de resposta a incidentes testado, o que compromete o cumprimento do prazo de três dias úteis fixado pela ANPD.

– Depender da descoberta pelo próprio controlador ou por terceiros, diante da ausência de trilhas de auditoria e de reporte pelos operadores.

– Ignorar a sazonalidade dos incidentes, deixando de reforçar controles nos meses de maior exposição.

– Tratar o incidente como assunto exclusivo da área técnica, sem integrar privacidade, jurídico e apuração interna.

 

Oportunidades

– Implementar um plano de controles para o segundo semestre, com revisões de acesso, testes e monitoramento reforçado em junho, setembro, outubro e dezembro.

– Estruturar e testar um plano de resposta a incidentes que assegure a comunicação no prazo regulatório e a guarda dos registros por cinco anos.

– Fortalecer a segregação de funções e a gestão de acessos, atacando a principal origem dos incidentes registrados.

– Investir em capacitação continuada das equipes, tratando o comportamento humano como controle preventivo, e não apenas como fonte de risco.

– Integrar segurança da informação, privacidade e apuração interna em um fluxo único de resposta, reduzindo o tempo de reação.

A conclusão que o relatório sugere é que a tecnologia, isoladamente, não resolve o problema dos incidentes. A tipologia dos casos aponta para controles de acesso, processos e cultura, e a sazonalidade oferece um mapa de quando agir. Para as organizações, isso significa que a resposta a incidentes deixou de ser tema restrito à área técnica e passou a exigir a mesma lógica de prevenção, integração e accountability que estrutura um bom programa de integridade. Quem trata a governança de dados como parte da cultura corporativa, e não como projeto pontual, chega mais preparado à próxima janela de risco.

 

 

 

Fontes

BE.ALIANT. Relatório de Governança em Privacidade 2026: uma análise empírica da maturidade da gestão dos dados pessoais das empresas brasileiras. São Paulo: Be.Aliant, 2026. Disponível em: www.bealiant.com.br. Acesso em: 14 jul. 2026.

BRASIL. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Disponível em: gov.br/anpd. Acesso em: 14 jul. 2026.

 

Read More

Brasil adere à Recomendação da OCDE sobre Integridade Pública: impactos para empresas, fornecedores e programas de integridade

A adesão não cria obrigação legal imediata, mas eleva o parâmetro de integridade que o setor público passará a esperar de quem contrata, fornece e se relaciona com o Estado.

 

A Controladoria-Geral da União (CGU) anunciou, em 25 de junho de 2026, que o Brasil aderiu à Recomendação do Conselho da Organização para a Cooperação e Desenvolvimento Econômico (OCDE) sobre Integridade Pública, após a conclusão do processo de aprovação no âmbito da organização em junho de 2026. A Recomendação foi adotada pelo Conselho da OCDE em 2017 e estabelece um padrão internacional para orientar governos na construção de sistemas de integridade coerentes, abrangentes e baseados em riscos. A aproximação do país com o instrumento foi impulsionada pela Revisão de Integridade da OCDE sobre o Brasil 2025, que avaliou o sistema nacional e apontou caminhos para ampliar a coordenação institucional, o monitoramento e a efetividade das ações.

Embora o anúncio seja dirigido ao setor público, o tema interessa diretamente a quem atua no setor privado. A Recomendação trata a integridade como responsabilidade compartilhada entre governo, empresas, organizações da sociedade civil e cidadãos, e a sua lógica tende a se refletir nas exigências de contratação, nas auditorias e nos critérios de avaliação dos programas de integridade. Empresas que contratam com o poder público, organizações que mantêm programa de integridade e fornecedores sujeitos a controle têm motivos concretos para acompanhar a medida.

 

O que está em jogo: um padrão que extrapola o setor público

A adesão consolida a aproximação do Brasil com as práticas da OCDE em governança pública e prevenção à corrupção. A Revisão de Integridade da OCDE sobre o Brasil 2025 reconheceu a existência de um arcabouço institucional relevante e, ao mesmo tempo, identificou oportunidades para aprimorar a coerência, o monitoramento e a avaliação das ações de integridade. A medida dialoga com iniciativas já em curso na CGU, como o Plano de Integridade e Combate à Corrupção 2025-2027 e o Sistema de Integridade, Transparência e Acesso à Informação (SITAI), instituído pelo Decreto nº 11.529/2023.

O ponto que costuma passar despercebido é que a integridade pública molda o ambiente de negócios. Ela define as regras das contratações, condiciona a forma como o Estado avalia fornecedores e estabelece o patamar de conduta esperado nas interações entre empresas e administração. Quando o país assume um parâmetro internacional de integridade, sinaliza a direção que a regulação e a fiscalização tendem a seguir, e essa direção alcança o setor privado.

 

O que diz a Recomendação: 13 princípios em três pilares

A Recomendação organiza seus 13 princípios em três pilares, que em conjunto traduzem uma visão estratégica de integridade baseada em riscos, e não meramente formal.

O primeiro pilar reúne quatro princípios voltados à construção de um sistema de integridade coerente e abrangente: compromisso, responsabilidades, estratégia e padrões de conduta. Na prática, a Recomendação pede compromisso político e gerencial de alto nível, definição clara de responsabilidades institucionais que deixe explícito quem faz o quê, estratégias apoiadas em dados e em riscos legítimos à integridade, e regras refletidas em leis e em políticas organizacionais. A proposta é incorporar a integridade ao funcionamento regular da administração, e não tratá-la apenas como reação a casos isolados de corrupção ou má conduta.

O segundo pilar agrupa cinco princípios ligados à cultura de integridade: responsabilidade de toda a sociedade, liderança, meritocracia, capacitação e abertura. Ele valoriza lideranças comprometidas com a ética, administração profissional e baseada no mérito, capacitação contínua dos servidores e ambientes abertos ao diálogo e ao relato de preocupações. É nesse pilar que a Recomendação afirma a integridade como responsabilidade compartilhada entre governo, empresas, sociedade civil e cidadãos, o que aproxima o instrumento das obrigações que recaem sobre empresas e sobre suas estruturas de compliance.

O terceiro pilar congrega quatro princípios de responsabilização efetiva: gestão de riscos, aplicação e sanção, supervisão e participação. Abrange controle interno, gestão de riscos, auditoria, fiscalização, aplicação de sanções, controle externo, transparência e participação social, além da proteção contra o risco de captura por interesses privados. Para o setor privado, esse pilar conecta a agenda de integridade aos temas de conflito de interesses, influência indevida e relacionamento com agentes públicos.

 

As bases normativas brasileiras que conversam com o padrão OCDE

A adesão não cria obrigações jurídicas novas, mas encontra um sistema normativo brasileiro que já dialoga com cada eixo da Recomendação. No setor privado, a Lei nº 12.846/2013 (Lei Anticorrupção) e o Decreto nº 11.129/2022 estruturam a responsabilização de pessoas jurídicas e definem os parâmetros do programa de integridade, inclusive os critérios de avaliação de sua efetividade.

Na interface com as contratações, a Lei nº 14.133/2021 tornou o programa de integridade obrigatório para o vencedor de licitações de obras, serviços e fornecimentos de grande vulto, assim consideradas as contratações acima de R$ 200 milhões, com prazo de seis meses para implantação (art. 25, § 4º). O mesmo diploma trata o programa como critério de desempate (art. 60, IV), como circunstância atenuante na dosimetria de sanções (art. 156, § 1º, V) e como condição para reabilitação de empresas sancionadas (art. 163, parágrafo único). O Decreto nº 12.304/2024 regulamentou os parâmetros de avaliação desses programas.

Outras normas completam o quadro. A Lei nº 13.460/2017 e a Lei de Acesso à Informação (Lei nº 12.527/2011) sustentam os mecanismos de ouvidoria, relato e transparência associados ao segundo e ao terceiro eixos. A Lei nº 13.709/2018 (LGPD) condiciona o tratamento de dados em canais de denúncia e em investigações internas. A Lei nº 12.813/2013 disciplina o conflito de interesses, tema diretamente ligado à proteção contra captura por interesses privados. O padrão da OCDE funciona como moldura que confere coerência a esse conjunto e indica para onde a evolução regulatória aponta.

 

O ponto sensível: adesão sem obrigação direta, mas com efeitos concretos

A adesão a uma Recomendação da OCDE não gera obrigação legal exigível de forma imediata. Isso, porém, não a torna inócua. O instrumento passa a operar como referência interpretativa para órgãos de controle, como a CGU e o Tribunal de Contas da União, na avaliação de políticas e de programas de integridade, e reforça a tendência de elevação dos parâmetros aplicáveis às contratações públicas.

Para as organizações, o efeito mais relevante é o aumento da régua de efetividade. Um programa concebido apenas como conjunto de documentos, sem gestão de riscos e sem monitoramento, tende a se mostrar insuficiente diante de um parâmetro que valoriza a abordagem baseada em evidências. Soma-se a isso o reconhecimento da integridade como responsabilidade compartilhada, que coloca a conduta do setor privado dentro do sistema de integridade pública e deixa em evidência temas como conflito de interesses, influência indevida e relacionamento com a administração.

 

Riscos e oportunidades para as organizações

Riscos típicos:

• Tratar o programa de integridade como formalidade documental, em descompasso com a lógica baseada em riscos que a OCDE e o Decreto nº 11.129/2022 cobram.
• Subestimar a elevação do parâmetro de avaliação dos programas em licitações de grande vulto e em pedidos de reabilitação, agora disciplinada pelo Decreto nº 12.304/2024.
• Negligenciar a gestão de conflitos de interesse e o risco de captura nas interações com agentes públicos.
• Operar canais de denúncia e investigações internas sem aderência à LGPD e sem garantias adequadas ao denunciante.
• Ignorar a integração entre integridade, transparência e dados, que está no centro do SITAI e da agenda da CGU.

Oportunidades:

• Antecipar a estruturação ou a revisão do programa de integridade segundo critérios baseados em riscos e evidências, com ganho de previsibilidade.
• Utilizar o programa como diferencial competitivo nas contratações públicas, na forma de critério de desempate, atenuante de sanção e requisito para reabilitação.
• Alinhar políticas internas a um parâmetro internacional reconhecido, com efeito reputacional perante parceiros, investidores e órgãos de controle.
• Integrar compliance, ouvidoria, jurídico e proteção de dados em uma governança coerente, superando a compartimentalização que a própria OCDE critica.
• Fortalecer a due diligence de terceiros e as cláusulas de integridade ao longo da cadeia de fornecedores.

 

Mensagem central

No plano jurídico imediato, a adesão tem caráter simbólico, mas o seu recado é claro: a política de integridade no Brasil caminha para menos formalismo e mais efetividade, com ênfase em gestão de riscos, evidências e responsabilidade compartilhada entre Estado, empresas e sociedade. Para as organizações, o movimento reforça que integridade é função estratégica e contínua, e não resposta pontual a uma exigência de edital. Antecipar essa leitura tende a separar quem trata o tema como custo de conformidade de quem o converte em vantagem competitiva e em proteção institucional.

 

Fonte

CONTROLADORIA-GERAL DA UNIÃO. Brasil adere à Recomendação da OCDE sobre Integridade Pública. Brasília: CGU, 25 jun. 2026. Disponível em: https://www.gov.br/cgu/pt-br/assuntos/noticias/2026/06/brasil-adere-a-recomendacao-da-ocde-sobre-integridade-publica. Acesso em: 26 jun. 2026.

Read More

STF suspende por 90 dias a eficácia sancionatória da NR-1 sobre riscos psicossociais e determina tentativa de conciliação

Em decisão cautelar na ADPF nº 1.316, o ministro André Mendonça suspendeu, por noventa dias, o uso de cinco dispositivos da NR-1 como fundamento de autuações e multas relativas a fatores de risco psicossociais, e encaminhou o caso à conciliação no STF para que a norma alcance a densidade exigida pela segurança jurídica.

 

Em 25 de junho de 2026, o ministro André Mendonça, relator da Arguição de Descumprimento de Preceito Fundamental (ADPF) nº 1.316, deferiu parcialmente medida cautelar para suspender, por 90 dias, a eficácia sancionadora de cinco itens da Norma Regulamentadora nº 1 (NR-1) que tratam dos fatores de risco psicossociais relacionados ao trabalho. A decisão foi tomada ad referendum do Plenário e será submetida a referendo em sessão virtual.

A suspensão é específica. Ela alcança os itens 1.5.3.1.4, 1.5.3.2.1, 1.5.4.4.2.1, 1.5.4.4.2.2 e 1.5.4.4.5.3 da NR-1, na redação dada pela Portaria MTE nº 1.419, de 2024, apenas na parte em que sirvam de fundamento para autuações, multas, notificações punitivas ou outras medidas coercitivas. No mesmo ato, o relator encaminhou o processo ao Núcleo de Solução Consensual de Conflitos (NUSOL) do STF, para que requerente e órgãos de governo tentem, no prazo fixado, adequar a redação desses dispositivos a um padrão suficiente de objetividade e densidade normativa.

 

A norma em discussão e o que levou a entidade ao STF

A NR-1 fixa as diretrizes gerais de segurança e saúde no trabalho e se aplica a empregadores públicos e privados, urbanos e rurais, com empregados regidos pela CLT. A Portaria MTE nº 1.419, de 2024, alterou o seu item 1.5 para incluir os fatores de risco psicossociais relacionados ao trabalho no gerenciamento de riscos ocupacionais (GRO), ao lado dos riscos físicos, químicos, biológicos e ergonômicos. A Portaria MTE nº 765, de 2025, marcou o início da vigência desse item para 26 de maio de 2026.

A Confederação Nacional dos Estabelecimentos de Ensino (CONFENEN) ajuizou a ADPF sustentando que a nova redação não possui densidade normativa suficiente. Em síntese, a entidade afirma que a norma criou uma obrigação nacional de gerir, documentar e decidir sobre riscos psicossociais sem definir, de forma clara e objetiva, quais critérios o empregador deve observar, de modo que os dispositivos não poderiam sustentar autuações, multas ou outras medidas coercitivas. A petição aponta ofensa a princípios como legalidade, devido processo legal, segurança jurídica, proteção de dados pessoais, livre iniciativa e proporcionalidade.

Entre as falhas estruturais alegadas, a entidade indica o conceito de risco psicossocial pouco fechado no texto vinculante, a remissão aberta à NR-17 sem delimitar a fronteira entre a Avaliação Ergonômica Preliminar (AEP) e a Análise Ergonômica do Trabalho (AET), a delegação ao empregador da escolha da metodologia sem critério prévio de suficiência e a tentativa de completar a norma por meio de materiais oficialmente não vinculantes. A arguição também impugnou a Portaria nº 765/2025, uma notícia institucional do Ministério do Trabalho e Emprego e os documentos de orientação editados para a aplicação da norma.

 

Os argumentos do governo e da AGU

A Presidência da República defendeu o indeferimento da cautelar e a improcedência do pedido. Argumentou que impor uma metodologia única não atenderia à razoabilidade, à proporcionalidade e à efetividade da norma, e que a não definição de ferramentas de avaliação seria uma opção regulatória deliberada, alinhada a modelos internacionais e à diversidade dos ambientes de trabalho. Sustentou, ainda, que a NR-1 não exige acervo clínico individualizado e que a avaliação recai sobre as condições e a organização do trabalho, não sobre sintomas ou diagnósticos individuais. Quanto ao risco da demora, apontou periculum in mora inverso: paralisar a norma poderia retardar medidas preventivas voltadas a ambientes de trabalho mais seguros.

A Advocacia-Geral da União manifestou-se pelo não conhecimento da ação e, no mérito, pela improcedência. Em preliminar, sustentou a ilegitimidade ativa da entidade autora, por ausência de pertinência temática, e o não atendimento ao requisito da subsidiariedade. No mérito, defendeu que as normas se inserem na política pública de segurança e saúde no trabalho, com ampla fundamentação técnica, sistema preventivo composto sobretudo por deveres de diligência, com flexibilidade metodológica e documentação como mecanismo de transparência e controle.

 

Por que o relator concedeu a liminar

O relator afastou as preliminares. Reconheceu a legitimidade ativa da CONFENEN, registrando que entidades de classe podem provocar o controle abstrato de normas cujo âmbito de incidência extrapole a categoria representada, sobretudo quando o vício apontado é idêntico para todos os destinatários. Também considerou preenchidos, em exame preliminar, os requisitos da subsidiariedade e da ofensa direta à Constituição.

No exame da cautelar, reconheceu o fumus boni iuris. O núcleo do raciocínio está na distinção entre norma de orientação e norma de sanção: conceitos abertos e subjetivos podem servir como standard de conduta, mas, quando funcionam como critério para punir, sem clareza sobre as condutas esperadas e as sanções aplicáveis, chocam-se com os princípios da legalidade, da taxatividade, do devido processo legal e, sobretudo, da segurança jurídica. A decisão observou que, embora a Consolidação das Leis do Trabalho atribua ao Ministério do Trabalho e Emprego competência para editar normas de segurança e medicina do trabalho (artigos 155 e 200), essa competência deve respeitar os limites da lei e da Constituição, e citou precedente do próprio tribunal (ADI nº 7.031/DF), no sentido de que a Administração não pode criar ou aplicar sanções sem previsão legal.

Na prática, o relator entendeu que a inclusão dos riscos psicossociais não veio acompanhada de definição suficiente: faltam critérios objetivos sobre o que são esses riscos, sobre a metodologia de prevenção e sobre quando as medidas e os dados recolhidos serão considerados insuficientes para autuação. A mesma dúvida atinge a remissão à NR-17, que não esclarece, em matéria psicossocial, a fronteira entre a AEP e a AET. O periculum in mora foi reconhecido na proximidade da entrada em vigor da norma, em 26 de maio de 2026, reforçado pelo fato de a própria prorrogação anterior já indicar a necessidade de amadurecimento regulatório.

 

A aposta na conciliação: o que o STF determinou

O traço mais marcante da decisão é a opção por uma solução dialógica. Em vez de decidir desde logo sobre a constitucionalidade dos dispositivos, o relator deslocou o foco para o plano da eficácia e condicionou a suspensão a uma tentativa de conciliação. O processo foi encaminhado ao NUSOL, com prazo inicial de 90 dias, para que requerente e demais interessados construam, de forma consensual, uma redação dotada de objetividade e densidade suficientes para uma eventual aplicação coercitiva, sem reduzir o nível de proteção que a norma busca assegurar.

A decisão é expressa quanto ao objetivo duplo: suprir a baixa densidade dos dispositivos, conferindo-lhes certeza e objetividade, e preservar a finalidade de reduzir o adoecimento decorrente de fatores psicossociais. Encerrado o prazo, o processo retornará à relatoria para nova apreciação, e a medida será submetida ao referendo do Plenário.

 

O que continua valendo durante a suspensão

A própria decisão delimita o alcance da suspensão. Durante o período de noventa dias:

• a nova redação do item 1.5 da NR-1 permanece válida como standard a ser observado pelos empregadores; o que fica afastado é apenas o seu uso como fundamento de punição;
• a União segue podendo fiscalizar, expedir recomendações e adotar medidas de caráter informativo e de orientação, atestando a suficiência ou não das condutas;
• a suspensão não impede autuações e sanções fundadas em outras normas que igualmente protejam a saúde mental do trabalhador;
• ficam suspensos os efeitos de eventuais sanções já aplicadas com base nesses dispositivos, no que se refere a fatores de risco psicossociais.

O relator ainda determinou que o Ministério do Trabalho e Emprego preste esclarecimentos sobre os procedimentos de fiscalização das NR-1 e NR-17, incluindo a metodologia e os critérios para identificar desconformidades, lavrar autos de infração e dosar as sanções.

A decisão busca um equilíbrio. De um lado, reconhece a importância da Portaria MTE nº 1.419, de 2024, como instrumento de prevenção, fruto de construção tripartite entre Estado, empregadores e trabalhadores. De outro, condiciona a sua força sancionatória ao atendimento da segurança jurídica, exigindo que o empregador saiba, de modo prévio e objetivo, quais condutas podem levar à punição. O desfecho dependerá da conciliação no NUSOL e do referendo do Plenário; até lá, a obrigação de gerir riscos psicossociais permanece, sem a possibilidade de multa ou autuação com base nos dispositivos suspensos.

 

 

Fontes

STF suspende sanções da NR-1 e abre conciliação sobre regras de riscos psicossociais no trabalho (Notícias STF, 25 jun. 2026).

Supremo Tribunal Federal. ADPF nº 1.316 MC/DF. Relator: Min. André Mendonça. Decisão de 25 de junho de 2026.

Read More

Monitoramento, algoritmos e privacidade: o que as orientações do CNPD sinalizam para conformidade e gestão de dados

O relatório final do Grupo de Trabalho 1 do Conselho Nacional de Proteção de Dados traz orientações concretas sobre os limites ao monitoramento de trabalhadores e aos riscos de discriminação algorítmica, exigindo que empresas e plataformas reequilibrem seus programas de compliance à luz dos direitos fundamentais.

Em junho de 2026, o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD) consolidou o relatório final do seu Grupo de Trabalho 1 (GT1), dedicado à proteção de dados pessoais no contexto laboral. O documento, resultado de 120 dias de trabalho que envolveu especialistas, sindicatos, confederações empresariais e organizações da sociedade civil, representa a análise mais abrangente já empreendida no Brasil sobre a interseção entre LGPD, integridade e relações de trabalho. As recomendações contidas no relatório sinalizam uma mudança significativa na forma como reguladores, gestores e tecnólogos devem compreender o monitoramento, a automatização de decisões e a proteção da privacidade no ambiente corporativo.

A relevância deste diagnóstico vai além do setor público e de grandes corporações. Fornecedores de soluções tecnológicas, consultores de RH, gestores de integridade e compliance, bem como todos aqueles que oferecem ou implementam programas de monitoramento de produtividade, encontram-se em uma encruzilhada: adaptar suas práticas aos parâmetros técnicos definidos pelo relatório ou enfrentar riscos significativos de não conformidade, danos reputacionais e exposição a litígios. O presente artigo examina os principais achados e proposições do relatório, traduzindo suas recomendações em implicações práticas para as organizações.

 

Monitoramento é legítimo, mas não é ilimitado

O relatório não veda o monitoramento de trabalhadores no contexto laboral. Reconhece que o poder diretivo do empregador, previsto no art. 2º da CLT, inclui a prerrogativa de fiscalizar, disciplinar e organizar a atividade. Contudo, estabelece que essa prerrogativa não é absoluta e deve ser exercida em conformidade com os direitos fundamentais, especialmente a privacidade, a dignidade e a autodeterminação informativa do trabalhador.

O fundamento legal dessa limitação reside nos princípios da Lei nº 13.709/2018 (LGPD), particularmente a finalidade, a necessidade e a proporcionalidade. O relatório consolida entendimento de que a simples identificação de uma hipótese legal não autoriza o tratamento de dados; os princípios funcionam como filtros prévios que delimitam e orientam a escolha da base jurídica. Na prática, significa que um empregador não pode justificar o monitoramento por meio de uma base legal genérica como “legítimo interesse” sem demonstrar, concretamente, por que a medida é necessária, por que é proporcional aos riscos, e se não há formas menos invasivas para alcançar a finalidade declarada.

O relatório aponta como práticas recorrentes e problemáticas: coleta de dados fora do horário de trabalho; monitoramento contínuo sem limites claros; geração de dados sobre locais privados (vestiários, banheiros); captura de tela, registro de teclas e análise de atividades sem justificativa robusta de finalidade; e uso secundário de dados sem consentimento prévio específico. Essas práticas representam não apenas violações técnicas da LGPD, mas também uma compreensão equivocada de que o poder diretivo autoriza vigilância total.

 

Tecnologias invasivas: biometria, geolocalização e “boss ware”

O relatório dedica análise minuciosa a tecnologias específicas de monitoramento, estabelecendo parâmetros distintos de conformidade para cada uma delas.

Dados biométricos (reconhecimento facial, impressão digital, íris, voz):

Por se tratar de dado pessoal sensível (art. 5º, II, LGPD) e de natureza imutável )não pode ser alterado em caso de incidente de segurança), o uso deve ser excepcional e restrito a situações de risco relevante e devidamente justificado. O cumprimento de obrigação legal relativa ao controle de jornada (art. 74, CLT) não impõe necessariamente o uso de biometria. Deve-se priorizar alternativas menos invasivas, como crachás, sistemas de autenticação por PIN ou verificação por celular. A experiência internacional, citada no relatório (diretrizes da CNIL francesa), indica que biometria deve ser exceção, não regra. Quando adotada, exige realização de Relatório de Impacto à Proteção de Dados (RIPD) conforme a Resolução ANPD nº 23/2025, e salvaguardas técnicas reforçadas.

Geolocalização:

Legítima para controle de jornada e verificação de presença em campo, mas deve ser ativada apenas durante o horário de trabalho, com desligamento automático ao final do expediente. A preferência é por registro por evento (check-in/check-out) ou amostragem, não por rastreamento contínuo 24/7. Geolocalização fora do expediente ou para inferir atividades pessoais (frequência a locais de lazer, consultas médicas, participação em manifestações) viola a privacidade e é vedada. O Tribunal Superior do Trabalho já validou a geolocalização como prova de jornada (decisão ROT-23218-21.2023.5.04.0000), desde que limitada ao local e horário de trabalho.

Softwares de monitoramento de produtividade (“boss ware”):

Ferramentas que capturam cliques, tempo de inatividade, janelas ativas, uso de aplicativos, webcam, áudio ambiente e até reconhecimento facial para análise de emoções são classificadas como altamente intrusivas. O relatório destaca que essas práticas geram impactos negativos comprovados: aumento de estresse, ansiedade, comprometimento da saúde mental. Apesar disso, o Tribunal Superior do Trabalho tem validado seu uso apenas quando há ciência prévia inequívoca do trabalhador e desde que não ultrapasse os limites de necessidade e proporcionalidade.

O relatório recomenda que o desenho dessas soluções siga o princípio de “privacy by default”, privilegiando o menor nível de coleta possível. Métricas devem focar em entregas e resultados, não em vigilância contínua do comportamento. Adicionalmente, identifica-se um risco estrutural: a maioria dos fornecedores dessas ferramentas são grandes empresas estrangeiras, gerando dependência tecnológica e risco de uso secundário dos dados dos trabalhadores pelos próprios fornecedores, sem transparência adequada.

Algoritmos opacos e o direito à revisão de decisões automatizadas

Uma das principais conclusões do relatório é a falha sistêmica na implementação do art. 20 da LGPD no contexto laboral. Este artigo assegura ao titular o direito de obter revisão de decisões automatizadas que afetem seus interesses legais. Na prática, contudo, a opacidade algorítmica prevalece: trabalhadores não sabem como algoritmos distribuem tarefas, calculam pontuações de desempenho, definem sua reputação ou até determinam sua suspensão ou bloqueio.

O relatório aponta que as empresas mantêm esses algoritmos sob sigilo empresarial, argumentando proteção de segredos comerciais. Contudo, o direito do trabalhador à compreensão mínima não é incompatível com a proteção de código-fonte. O que se exige é transparência significativa: quais dados são coletados e como alimentam o algoritmo; quais critérios e métricas são utilizados; como a pontuação é calculada e interpretada; quais decisões podem ser afetadas; se há revisão humana e quais são os canais de contestação.

A ausência de transparência compromete a capacidade do trabalhador de compreender e contestar decisões que afetam sua renda, permanência no vínculo e oportunidades de carreira. O relatório recomenda boas práticas incipientes já implementadas por algumas organizações: disponibilização de dashboards individuais com as métricas utilizadas; possibilidade de solicitar revisão humana; canais de reclamação acessíveis; manutenção de governança algorítmica com inventário de modelos, documentação de testes de viés e registro das decisões que impactam trabalhadores.

 

Riscos discriminatórios: quando algoritmos reproduzem e amplificam desigualdades

O relatório identifica um risco crítico negligenciado em muitos programas de compliance: sistemas automatizados podem gerar ou amplificar discriminações por raça, gênero, idade, condição de saúde, deficiência e outras características protegidas, mesmo quando critérios são aparentemente neutros. A discriminação algorítmica ocorre por múltiplos mecanismos.

• Vieses em dados históricos: Algoritmos treinados com dados de desempenho passado reproduzem padrões discriminatórios existentes (avaliações inferiores para mulheres em licença-maternidade, menor pontuação para trabalhadores negros em contextos de racismo estrutural).
• Métricas enviesadas: Indicadores como “tempo de inatividade”, “número de pausas” e “velocidade de digitação” penalizam desproporcionalmente pessoas com deficiências, condições crônicas, neurodivergências ou aquelas que realizam tarefas de maior complexidade.
• Penalizações indiretas: Sistemas que ranqueiam automaticamente podem direcionar menos tarefas ou tarefas de menor valor para perfis repetidamente mal avaliados, reduzindo renda e oportunidades.
• Falta de auditoria algorítmica: A maioria dos empregadores não realiza auditorias periódicas para identificar vieses, e a ausência de Relatório de Impacto agrava o risco.

O relatório cita exemplos concretos: softwares que medem tempo de atividade em tela penalizam trabalhadores com responsabilidades familiares; geolocalização usada para avaliar desempenho prejudica quem reside em áreas periféricas; algoritmos de recrutamento treinados com dados históricos excluem automaticamente mulheres, negros ou pessoas mais velhas; sistemas de reconhecimento facial têm precisão menor para determinados grupos demográficos, gerando bloqueios ou avaliações injustas. O caso do iFood, mencionado explicitamente, demonstra como tecnologias de validação de identidade baseadas em reconhecimento facial reproduzem racismo algorítmico.

A jurisprudência recente reconhece essas falhas: condenação de plataforma de recrutamento por dano moral coletivo no TRT da 15ª Região ilustra que uso de algoritmos com viés discriminatório viola a LGPD, a Constituição e a legislação trabalhista. Mitigação desses riscos exige mecanismos estruturados de governança algorítmica, incluindo testes de viés antes da implantação, auditorias periódicas dos resultados e revisão humana significativa antes de qualquer decisão relevante baseada em pontuação automatizada.

 

Implicações práticas para as organizações

Riscos típicos identificados pelo relatório:

• Coleta excessiva de dados — captura de informações além do necessário, alimentando sistemas de vigilância desproporcional e criando exposição a vazamentos e usos secundários.
• Falta de transparência sobre tecnologias e algoritmos — impossibilidade de o trabalhador compreender e contestar decisões, comprometendo autodeterminação informativa e favorecendo litígios trabalhistas.
• Ausência de testes de viés — algoritmos perpetuando discriminações, gerando danos morais coletivos e responsabilidade civil objetiva das organizações.
• Dependência de provedores estrangeiros — falta de controle sobre uso secundário de dados, vulnerabilidades de soberania digital e transferências internacionais sem salvaguardas adequadas.
• Conformidade formal sem substância — avisos de privacidade genéricos, canais de direitos fictícios, programas de compliance que não reduzem riscos reais.

Oportunidades de conformidade e diferenciação:

• Adoção de “privacy by design” em novas soluções de RH e monitoramento, priorizando arquiteturas que minimizam dados desde a concepção.
• Realização de Relatórios de Impacto à Proteção de Dados (RIPD) para sistemas de monitoramento, avaliação de desempenho e IA, documentando finalidade, necessidade, proporcionalidade e mitigação de riscos.
• Implementação de governança algorítmica robusta: inventário de modelos, documentação de critérios, testes de viés, auditoria periódica de resultados, registro de decisões automatizadas.
• Transparência significativa sobre tecnologias, mediante dashboards com métricas, explicações dos algoritmos em linguagem acessível, e canais de contestação efetivos.
• Renegociação de contratos com fornecedores de software, reduzindo dependência de provedores únicos e incluindo cláusulas sobre limitação de uso secundário e transferências internacionais.
• Diálogo social contínuo com representantes de trabalhadores, incorporando proteção de dados em negociações coletivas e comissões paritárias permanentes.

As recomendações do CNPD consolidam entendimento que já vinha se formando na jurisprudência trabalhista e nas orientações de autoridades internacionais de proteção de dados: monitoramento é legítimo, mas não é ilimitado; transparência algorítmica não é opcional; discriminação automatizada viola direitos fundamentais; e conformidade exige mais que documentos formais — requer mudança estrutural em como tecnologias são desenhadas, implementadas e auditadas. Empresas que antecipar essas mudanças reduzem riscos legais, ganham diferenciação competitiva e consolidam confiança com seus colaboradores e fornecedores.

 

 

Fontes:

CONSELHO NACIONAL DE PROTEÇÃO DE DADOS PESSOAIS E DA PRIVACIDADE. Proteção de Dados no Contexto Laboral: relatório final do GT1. Brasília: CNPD, 2026. 

Read More

A ILUSÃO DE MATURIDADE EM COMPLIANCE: O QUE A 3ª PESQUISA NACIONAL DE TENDÊNCIAS SINALIZA PARA PROGRAMAS DE INTEGRIDADE E FORNECEDORES DO SETOR PÚBLICO

Ter canal de denúncias e código de conduta não comprova que o programa funciona; é a aplicação efetiva, e não a existência formal, que pesa quando a empresa precisa responder por um ato lesivo.

A 3ª Pesquisa Nacional sobre as Necessidades e Tendências do Compliance, conduzida pela Be.Aliant em parceria com a Protiviti Brasil e divulgada no início de 2026, com dados coletados em outubro e novembro de 2025 junto a 129 profissionais, traz um diagnóstico que merece atenção jurídica. O estudo mostra um mercado que já não discute se possui compliance, mas se o compliance que possui cobre, de forma efetiva, os riscos reais da organização.

O dado central é o contraste entre infraestrutura visível e fundações de profundidade. Quase todas as empresas possuem canal de denúncias e código de conduta, mas poucas auditam o programa, medem sua efetividade ou estendem a diligência a toda a cadeia de contratações. Esse descompasso, que a pesquisa chama de “ilusão de maturidade”, importa para além do público de compliance officers: atinge diretamente empresas que contratam com o setor público, organizações que dependem do programa de integridade como atenuante e fornecedores sujeitos a auditoria de terceiros.

 

O retrato: muita parede, pouca fundação

Os números desenham um programa de infraestrutura básica. Canal de denúncias aparece em 96,9% das organizações, código de conduta em 94,6% e investigações internas em 84,5%. Já os pilares que verificam se o programa funciona ficam para trás: a avaliação de riscos está em 62,8% e a auditoria e monitoramento em 56,5%.

A lacuna fica mais nítida na rotina. Apenas metade das empresas mantém indicadores para medir a efetividade do programa, e somente 36% realizam auditoria regular. Na ponta da prevenção, 60% não fazem due diligence para todas as contratações e 33% não submetem colaboradores a qualquer análise de integridade na admissão. O programa existe no papel; a verificação sistemática de seu funcionamento, não.

 

Existir e aplicar: uma distinção jurídica, não retórica

Essa diferença tem consequência direta na responsabilização. A Lei nº 12.846/2013 (Lei Anticorrupção) prevê, no art. 7º, inciso VIII, que a existência de programa de integridade é circunstância considerada na dosimetria da sanção. O Decreto nº 11.129/2022, ao regulamentar a matéria, é mais preciso: o art. 57 determina que o programa seja avaliado quanto a sua existência e aplicação, e o respectivo § 2º estabelece que a efetividade do programa em relação ao ato lesivo objeto de apuração será considerada nessa avaliação.

Em outras palavras, ter os documentos não basta. O que se examina em um processo administrativo de responsabilização é se o programa estava em funcionamento e se foi capaz de prevenir ou detectar o ato. Vários parâmetros do art. 57 dependem justamente das práticas que a pesquisa apontou como deficitárias: a gestão de riscos com análise e reavaliação periódicas (inciso V) e o monitoramento contínuo do programa (inciso XV). Um programa sem auditoria regular e sem indicadores tende a ser lido como existente, mas pouco aplicado, o que reduz seu peso como atenuante.

 

Investigações internas: controle ou conflito de interesses?

A pesquisa registra que 72% das organizações conduzem investigações de forma totalmente interna. À primeira vista, sinal de controle; na prática, fonte de risco quando o investigador está subordinado à mesma hierarquia do investigado. Some-se a isso a escassez de marco normativo brasileiro sobre procedimentos de investigação interna, o que deixa as empresas sem direcionamento claro sobre limites e cadeia de custódia das evidências.

Há ainda uma camada de proteção de dados. A apuração trata dados pessoais e, com frequência, dados sensíveis, atraindo as bases legais e os deveres da Lei nº 13.709/2018 (LGPD). Conduzir a investigação sem definir finalidade, retenção e segregação de acesso expõe a organização a um segundo risco, agora regulatório. O modelo mais defensável combina triagem interna com investigadores externos para casos complexos ou com potencial conflito de interesses.

 

Due diligence e a interface com a contratação pública

O dado de que 60% das empresas não fazem due diligence universal ganha contorno próprio para quem se relaciona com a Administração. A responsabilidade na Lei Anticorrupção é objetiva (art. 2º), e atos de terceiros podem alcançar a contratante. O Decreto nº 11.129/2022 lista, entre os parâmetros do programa, procedimentos específicos para prevenir fraudes e ilícitos em licitações e contratos (art. 57, inciso VIII) e a extensão de padrões de conduta a terceiros (inciso III).

A Lei nº 14.133/2021 reforça o ponto: além de exigir programa de integridade em contratações de grande vulto (art. 25, § 4º), trata o programa como critério de desempate (art. 60) e como condição em hipóteses de reabilitação de empresas sancionadas. Para fornecedores do setor público, a diligência seletiva deixa de ser apenas uma questão de maturidade e passa a representar exposição contratual e concorrencial.

 

A onda regulatória que ampliou o escopo

A pesquisa mostra o compliance absorvendo temas trazidos por novas normas. A judicialização da LGPD cresceu de forma expressiva, ampliando a exigência de governança de privacidade. Os riscos psicossociais entraram na agenda com a atualização da NR-01, promovida pela Portaria MTE nº 1.419/2024, cuja fiscalização punitiva começa em 26 de maio de 2026, sem nova prorrogação. A Lei nº 14.457/2022 (Programa Emprega + Mulheres) antecipou parte desse movimento ao reforçar canais e medidas contra o assédio.

Não por acaso, assédio e discriminação assumem o topo dos riscos gerenciados (86,8%), à frente de conflito de interesses e fraude. O ponto de atenção é que parte das empresas transfere essas responsabilidades ao RH sem a expertise de investigação e gestão de risco que o tema exige, criando zonas cinzentas de governança e de segregação de funções.

 

IA: prioridade declarada, adoção incipiente

A inteligência artificial é vista como prioridade por 91,5% dos profissionais, mas apenas cerca de um terço a implementou. A barreira não é cultural, e sim técnica: a fragmentação de dados impede análises integradas. Surge também uma nova categoria de risco, o uso indevido de IA (28,7%), associada a vazamentos e ao tratamento de informações sensíveis. Adotar IA sobre dados fragmentados, sem governança e sem revisão humana das decisões, pode converter a ferramenta em passivo, inclusive sob a LGPD.

Riscos típicos

• Programa formalmente completo, mas sem auditoria e sem indicadores que comprovem aplicação efetiva em eventual responsabilização.
• Due diligence restrita a cargos de alto risco, deixando terceiros e contratações relevantes fora do radar.
• Investigações totalmente internas, sem segregação entre investigador e investigado e sem disciplina de proteção de dados.
• Absorção de temas trabalhistas e de privacidade pelo RH sem estrutura de compliance correspondente.
• Uso de IA sobre dados fragmentados, sem governança nem revisão, gerando risco desproporcional ao ganho.

Oportunidades

• Implantar auditoria do programa, ainda que temática ou por amostragem, e indicadores objetivos que sustentem a defesa do orçamento e a demonstração de efetividade.
• Estruturar mapeamento periódico e documentado de riscos, integrado à gestão de riscos corporativos.
• Adotar modelo misto de investigação, com triagem interna e suporte externo para casos sensíveis.
• Estender a due diligence a toda a cadeia com base em risco, em especial para quem contrata com o setor público.
• Investir em integração e governança de dados antes de escalar soluções de IA.

Mensagem central

A pergunta que orienta o setor mudou de “temos compliance?” para “nosso programa resiste a um exame de efetividade?”. A 3ª Pesquisa Nacional confirma que a infraestrutura visível já está, em grande medida, instalada, e que o diferencial dos próximos anos estará na profundidade: auditar, medir, estender a diligência e documentar o funcionamento. Para empresas que contratam com o setor público e dependem do programa como atenuante, essas lacunas não são apenas sinais de imaturidade; são exposições jurídicas concretas, medidas no momento em que o programa é chamado a comprovar que funcionava.

 

 

Fontes:

BE.ALIANT; PROTIVITI. 3ª Pesquisa Nacional sobre as Necessidades e Tendências do Compliance: Tendências em Compliance para 2026. São Paulo, 2025/2026. Disponível em: conteudos.aliant.com.br/lp-pesquisas-compliance-etica-gestao-de-riscos. Acesso em: 3 jun. 2026.

Read More

COMPLIANCE ORIENTADO A DADOS: O QUE UM ESTUDO COM 120 MIL CONFLITOS REVELA SOBRE PROGRAMAS DE INTEGRIDADE

Dados em larga escala mostram que riscos internos predominam, monitoramento ativo é essencial, e LGPD lidera as prioridades de conformidade nas organizações.

Quando conformidade deixa de ser um tópico teórico e passa a ser medido em tempo real, aparecem padrões que desafiam percepções tradicionais sobre risco corporativo. Um estudo recém-publicado analisou mais de 120 mil conflitos de interesse, quase 1 milhão de documentos assinados digitalmente e 800 mil treinamentos concluídos em plataformas de conformidade, consolidando dados operacionais de centenas de empresas brasileiras. Os resultados oferecem um retrato preciso de como programas de integridade realmente funcionam na prática, qual é a incidência real de não conformidades, onde se concentram os riscos e que obrigações regulatórias comandam a agenda de compliance nas organizações.

Para gestores, advogados e profissionais de compliance, esses números importam porque traduzem a distância entre política de integridade e execução real. Indicam também quais temas devem receber reforço em treinamentos, onde automatizar controles e como calibrar investimentos em governança de risco. Este artigo sintetiza os principais achados e suas implicações para organizações que operam sob o escopo da Lei nº 12.846/2013, do Decreto nº 11.129/2022 e da Lei Geral de Proteção de Dados.

 

Riscos internos como principal vetor de exposição

Um dos achados mais significativos do estudo é a predominância de riscos de origem interna. Dos registros analisados, 28,1% foram categorizados como riscos internos, enquanto apenas 8,2% tiveram origem externa ou de mercado. Este desequilíbrio de mais de 3 para 1 sinaliza que desenho de processos, controles organizacionais e decisões gerenciais são fatores criticamente diferenciadores na redução de exposições.

O achado inverteu a hierarquia de preocupações frequentemente reportada por profissionais de compliance. Embora pesquisas de percepção apontem riscos externos como uma das principais inquietações, a realidade dos dados sugere que intervenções na qualidade dos processos operacionais, na clareza de rotinas e no reforço de controles internos reduzem significativamente as exposições antes que variáveis macroeconômicas ou de mercado as ampliem. Para empresas que contratam com o setor público ou operam sob programa de integridade certificado, isso reforça a necessidade de revisão contínua de fluxos críticos.

 

Detecção contínua como capacidade operacional

A forma como não conformidades são identificadas revela a maturidade de um programa de compliance. No estudo, monitoramento ativo respondeu por 93,1% das detecções, enquanto auditorias internas representaram apenas 2,3%. Este padrão indica que a maioria das organizações já opera em modelo de vigilância contínua, com mecanismos embarcados nos fluxos operacionais que sinalizam desconformidades em tempo real, em vez de depender de ciclos pontuais de revisão.

A importância prática dessa descoberta é dupla. Primeiro, reduz o intervalo entre o surgimento de um desvio e sua correção, diminuindo janelas de risco. Segundo, permite que programas de integridade operem com automação em larga escala, processando grandes volumes de transações com parametrizações claras e escaláveis. Para fornecedores e parceiros sujeitos a auditoria contratual, isso significa que expectativas de conformidade serão medidas contra padrões de detecção contínua, não apenas em avaliações periódicas.

 

LGPD e governança corporativa como eixos centrais

Entre as obrigações de conformidade monitoradas pelas organizações, proteção de dados (LGPD) aparece em primeiro lugar, com 22,2% da carteira de conformidade. Obrigações regulatórias gerais representam 15,4%, e governança corporativa 12,6%. Juntas, essas três categorias somam 50,2% do esforço de monitoramento, consolidando a agenda regulatória moderna em torno de dados, transparência e estrutura de governança.

O protagonismo de LGPD nos registros de obrigações reflete tanto a complexidade da Lei nº 13.709/2018 quanto a exposição crescente de organizações a riscos regulatórios e reputacionais relacionados ao tratamento de dados pessoais. Simultaneamente, a presença forte de governança corporativa e conformidade anticorrupção nos dados aponta para maior escrutínio sobre estrutura de controle, canais de denúncia e políticas de integridade. Para empresas do setor privado que interagem com o setor público ou que fazem parte de grupos multinacionais, isso traduz-se em trilhas de treinamento prioritárias em LGPD, cibersegurança e compliance anticorrupção.

 

Bases normativas e marco regulatório

Os achados do estudo conectam-se diretamente ao marco normativo brasileiro de integridade corporativa. A Lei nº 12.846/2013 (Lei Anticorrupção) estabelece em seu artigo 7º que organizações que implementem programas de integridade robustos podem sofrer redução de pena em processos administrativos. O Decreto nº 11.129/2022 detalha os elementos que um programa de integridade deve contemplar, incluindo avaliação contínua de riscos, mapeamento de processos críticos e sistemas de monitoramento.

À luz dessa regulação, o estudo oferece indicadores operacionais de aderência. A presença massiva de monitoramento ativo (93,1% das detecções), a declaração estruturada de conflitos de interesse (18,7% da população analisada), a documentação digital auditável (com ciclos de assinatura de 7 a 30 dias) e o investimento em treinamentos de massa (800 mil completados) alinham-se aos elementos esperados em um programa certificado conforme a norma federal. Para fornecedores e empresas em cadeia de valor do setor público, isso significa que expectativas de conformidade correspondem a padrões operacionais que já estão em uso por pares.

Adicionalmente, a Lei nº 13.709/2018 (LGPD) ocupa espaço equivalente no marco regulatório. Seus artigos 37 e 38 obrigam operadores de dados pessoais a implementar controles de segurança, processos de consentimento e politicas de retenção, com sanções civis e administrativas por descumprimento. O destaque de LGPD nos dados de conformidade (22,2% das obrigações) reflete essa multiplicidade de demandas de conformidade, que agora cobrem anticorrupção, proteção de dados e governança de forma integrada.

 

Implicações práticas: riscos típicos e oportunidades

Para gestores de programas de integridade, o estudo sugere oportunidades concretas de aprimoramento:

Riscos típicos a considerar:

• Processos operacionais mal desenhados continuam sendo o maior vetor de risco; revisar fluxos críticos de contratação, aprovação e gestão de parceiros deve ser prioridade
• Lacunas na documentação de conformidade; 40% das não conformidades no estudo não possuem valor financeiro estimado, indicando que muitos eventos são registrados sem mensuração clara de impacto
• Subinvestimento em treinamentos de relacionamento com agentes públicos; apenas 1,4% dos treinamentos abordam este tema, apesar de ser requisito essencial sob Lei Anticorrupção
• Conflitos de interesse em áreas operacionais e comerciais (60% do total) mal estruturados em processos de aprovação

Oportunidades de fortalecimento:

• Automatizar parametrizações de monitoramento ativo em sistemas operacionais; dado que 93,1% das detecções já ocorrem assim, há oportunidade de integração mais profunda de controles em fluxos de TI
• Aprofundar métricas econômicas de risco; desenvolver critérios de valoração que capturem não apenas impacto financeiro direto, mas também retrabalho, perda de oportunidade e desgaste reputacional
• Reequilibrar carteira de treinamentos em direção a LGPD, cibersegurança e compliance anticorrupção; eliminar temas genéricos e reforçar conteúdo setorial-específico
• Estruturar governança executiva para risco residual; aproveitando que apenas 5,7% dos tratamentos optam por aceitar risco, há oportunidade de formalizar decisões estratégicas sobre exposições mantidas intencionalmente

 

Conclusão

Compliance orientado a dados não é mais aspiracional. O estudo demonstra que, para centenas de organizações, integridade já é rotina mensurável: riscos são mapeados diariamente, conflitos de interesse são declarados estruturadamente, documentos seguem ciclos de aprovação auditáveis, e colaboradores recebem treinamentos em massa sobre temas críticos. O desafio que permanece é traduzir esse diagnóstico em ação. Organizações que usam dados para identificar lacunas de processo, reforçar controles em áreas de alto risco e alinhar investimentos em governança com a realidade da exposição tendem a antecipar problemas, reduzir custos de correção e responder com segurança a auditorias e due diligence. Para isso, é essencial não apenas coletar dados, mas transformá-los em direção estratégica clara.

 

 

 

Fontes:

BE.ALIANT. Compliance Orientado a Dados: 1º Estudo sobre Compliance na Prática. São Paulo: Be.Aliant, 2026. Disponível em: https://www.be-aliant.com/publicacoes. Acesso em: 3 jun. 2026.

BRASIL. Lei nº 12.846, de 1º de agosto de 2013. Dispõe sobre a responsabilidade civil das pessoas jurídicas pela prática de atos contra a administração pública. Diário Oficial da União, Brasília, DF, 2 ago. 2013.

BRASIL. Decreto nº 11.129, de 14 de julho de 2022. Estabelece as diretrizes para a implementação de programas de integridade nas organizações. Diário Oficial da União, Brasília, DF, 15 jul. 2022.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF, 15 ago. 2018.

Read More

Proteção ao denunciante e apuração segura: o que as orientações da CGU sinalizam para canais de denúncia e investigações internas

Boas práticas de sigilo, antirretaliação e integração entre funções de apuração — e como isso repercute em programas de integridade no setor público e privado.

 

A Controladoria-Geral da União (CGU) voltou a colocar em evidência um ponto que, na prática, define o sucesso (ou o fracasso) de uma apuração: o denunciante só relata quando percebe que o sistema é confiável. Em notícia publicada em 5 de maio de 2026, a CGU destacou orientações operacionais discutidas no webinário “Proteção ao denunciante: do relato à apuração segura”, com foco no tratamento de denúncias no Fala.BR e na atuação integrada entre ouvidorias e corregedorias. 

Embora o evento tenha como público natural unidades do Poder Executivo federal, o conteúdo é útil também para empresas — sobretudo as que contratam com o setor público, reguladas por mecanismos de integridade e sujeitas a auditorias — porque consolida padrões de sigilo, rastreabilidade e prevenção de retaliação que vêm sendo exigidos como boa prática de governança.

 

O que está em jogo: não é “só um canal”, é um procedimento

Um canal de denúncia não é um e-mail ou uma caixa postal. É um procedimento que precisa responder a perguntas concretas: quem acessa os dados do denunciante, em qual momento, com qual justificativa e por quanto tempo? Como a denúncia é triada? Em que hipótese a área apuratória precisa conhecer a identidade? Como se reduz o risco de vazamento? Quem decide sobre encaminhamento à corregedoria, auditoria, comissões de apuração, ou até mesmo órgãos externos?

Essas perguntas importam porque o conflito típico é conhecido: de um lado, a apuração precisa de informação; de outro, a exposição do denunciante (ou de pessoas citadas) pode gerar retaliação, destruição de provas, contaminação do processo e, para a organização, passivos trabalhistas, reputacionais e sancionatórios.

 

 Bases normativas: o “dever de proteger” tem nome e artigo

No âmbito federal, o arcabouço que sustenta a proteção ao denunciante se distribui em camadas:

– Lei nº 13.460/2017 (direitos do usuário de serviços públicos), que é regulamentada no plano federal e dá fundamento à estrutura de ouvidorias e ao tratamento de manifestações, incluindo denúncias.

– Decreto nº 9.492/2018, que regulamenta a Lei nº 13.460/2017 e institui o Sistema de Ouvidoria do Poder Executivo federal (SisOuv), prevendo a integração/uso da plataforma Fala.BR.

– Decreto nº 10.153/2019, específico sobre salvaguardas de proteção à identidade de denunciantes de ilícitos e irregularidades contra a administração pública federal.

– Decreto nº 10.890/2021, que alterou o Decreto nº 9.492/2018 e o Decreto nº 10.153/2019 para dispor sobre proteção ao denunciante, incluindo o enfrentamento de retaliações.

– Normas procedimentais, com destaque para a Portaria CGU nº 581/2021, que detalha o “como fazer” dentro do SisOuv, inclusive com regras sobre necessidade de conhecer, consentimento, compartilhamento e pseudonimização.

Esse conjunto é relevante para empresas por dois motivos. Primeiro, porque fornecedores e parceiros do Estado convivem com apurações e processos em que o padrão de proteção ao denunciante é referência. Segundo, porque o mesmo raciocínio normativo dialoga com o setor privado em temas como Programa de Integridade (Lei nº 12.846/2013 e Decreto nº 11.129/2022), proteção de dados (Lei nº 13.709/2018 – LGPD) e prevenção de ilícitos.

 

Identidade, “necessidade de conhecer” e o ponto cego mais comum

A Portaria CGU nº 581/2021 trata a proteção à identidade como medida desde o recebimento da denúncia, e não como etapa posterior. A lógica é simples: se o sistema permite que muitas pessoas vejam dados identificadores no início, a organização perde o controle justamente no momento mais sensível.

Do ponto de vista operacional, o que costuma falhar é o excesso de acesso: triagem feita por equipes grandes; envio de e-mails com relato completo; anexos que “entregam” o denunciante (voz, imagem, metadados, narrativas em primeira pessoa, indicação de setor/turno/escala que permite dedução). A orientação da CGU ajuda a lembrar que, mesmo quando a identidade não é formalmente compartilhada, ela pode ser inferida — e isso, na prática, é o que acende o gatilho de retaliação.

 

Pseudonimização não é anonimato: é técnica de redução de risco

No vocabulário institucional, a pseudonimização é um mecanismo para permitir que a apuração avance sem expor desnecessariamente o denunciante. A Portaria CGU nº 581/2021 descreve o procedimento e aponta a necessidade de suprimir elementos de identificação também na descrição do fato e anexos.

Para empresas, o paralelo é imediato: relatórios de investigação e dossiês internos precisam ser estruturados para circular com segurança. Quando há necessidade de encaminhamento para auditoria, comitês, conselho, ou mesmo para suporte externo, a ausência de pseudonimização aumenta o risco de vazamento e pode gerar discussão sobre conformidade com a LGPD (princípios de necessidade, finalidade e segurança), além de tensionar o próprio dever de confidencialidade assumido pelo programa de integridade.

 

O fluxo “ouvidoria ↔ corregedoria”: o valor está na transição

A notícia da CGU enfatiza a atuação integrada de ouvidorias e corregedorias e “cuidados ao longo de todas as etapas”. Na prática, isso chama atenção para o momento mais vulnerável: a passagem de bastão entre quem recebe/triage e quem apura.

É nessa transição que se define:

– qual parte do relato é essencial para instaurar procedimento;

– que evidências devem ser preservadas e como documentar cadeia de custódia;

– como registrar decisões de triagem (por exemplo, arquivamento fundamentado, complementação de dados, ou encaminhamento);

– como limitar o número de pessoas que tiveram contato com dados sensíveis.

Organizações que não padronizam essa transição acabam com apurações longas, contestadas e vulneráveis: questiona-se parcialidade, quebra de sigilo e até mesmo a validade de atos internos (o que pode se refletir em processos administrativos e judiciais).

 

Retaliação: risco jurídico imediato e frequentemente subestimado

O Decreto nº 10.890/2021 reforça a agenda de proteção contra retaliações no âmbito federal. No setor privado, a retaliação costuma aparecer em formas “sutis” (isolamento, mudança de escala, metas inviáveis, exclusão de projetos) que depois alimentam ações trabalhistas e pedidos de indenização.

Além disso, a retaliação pode comprometer a colaboração futura e criar um ambiente em que o canal de denúncia existe apenas no papel — o que é especialmente perigoso para empresas que dependem de atenuantes e critérios de avaliação de programas de integridade em processos sancionatórios (Lei nº 12.846/2013 e Decreto nº 11.129/2022).

 

Onde estão as oportunidades e os riscos para clientes

Riscos típicos que vemos em diagnósticos de compliance:

– promessa de confidencialidade que não se sustenta (muitas pessoas com acesso, ausência de trilha de auditoria);

– falta de regras sobre quando a identidade é necessária e quem autoriza o acesso;

– investigações sem documentação adequada (decisões de triagem sem registro, ausência de matriz de risco e plano de apuração);

– tratamento de dados pessoais sem base jurídica clara, sem retenção definida e sem medidas proporcionais de segurança.

 

Oportunidades:

– redesenhar o fluxo do canal com mecanismos de pseudonimização e segregação de funções;

– rever templates de relatórios e protocolos de preservação de evidências;

– treinar lideranças para evitar retaliação e para saber conduzir comunicações internas durante apurações;

– alinhar o canal de denúncias ao programa de integridade e à governança de dados (LGPD), reduzindo risco de sanções e melhorando a qualidade das apurações.

A mensagem central do movimento da CGU é clara: apurar bem exige tanto técnica investigativa quanto arquitetura institucional. Proteger o denunciante não é um “extra”; é uma condição para que a denúncia exista, para que a prova sobreviva e para que a resposta da organização seja defensável.

 

Fontes:

CGU debate proteção ao denunciante e fluxos seguros de apuração de irregularidades em webinário

Read More

Governança de IA no setor público: o que muda com a política do MGI e como isso afeta contratações e projetos

Portaria nº 3.485/2026 cria diretrizes internas de uso ético e seguro de IA — e tende a elevar o padrão de compliance exigido de fornecedores.

 

A edição da Portaria nº 3.485/2026, no âmbito do Ministério da Gestão e da Inovação em Serviços Públicos (MGI), marca um passo relevante para organizar — com regras internas e responsabilidades — o ciclo de vida de soluções de inteligência artificial (IA) usadas pelo poder público. Na prática, trata-se de um movimento de institucionalização de controles: desde a fase de concepção e aquisição até a operação, auditoria e resposta a incidentes.

Embora a norma seja dirigida ao MGI, seu efeito tende a irradiar para outros órgãos e, sobretudo, para o mercado: fornecedores de tecnologia, consultorias e integradores passam a ser cobrados por um padrão de documentação, governança e prestação de contas mais robusto, especialmente quando a IA impacta direitos de cidadãos, decisões administrativas ou tratamento de dados pessoais.

 

O que exatamente foi instituído e por quê

A política busca estabelecer parâmetros para que o uso de IA seja ético, seguro e juridicamente conforme, evitando dois problemas frequentes em projetos públicos:

– Opacidade decisória (“a máquina decidiu”) sem trilha de justificativa técnica e administrativa.

– Risco jurídico por dados e vieses: tratamentos de dados pessoais sem base legal adequada, coleta excessiva, vazamentos, discriminações indiretas e decisões automatizadas sem controles.

O pano de fundo é o princípio constitucional da legalidade, impessoalidade, moralidade, publicidade e eficiência (art. 37 da Constituição Federal), que exige que decisões e processos administrativos sejam controláveis, motiváveis e auditáveis — mesmo quando suportados por algoritmos.

 

Quem é impactado (e onde o risco aparece)

1) Órgãos e agentes públicos (gestores e fiscais de contrato).

A política de governança de IA tende a elevar a exigência de diligência do gestor: seleção de solução adequada, verificação de requisitos, desenho de controles, acompanhamento de performance e tratamento de incidentes. Em contratações, isso se conecta diretamente ao regime de planejamento, gestão e fiscalização previsto na Lei nº 14.133/2021.

2) Empresas contratadas e potenciais fornecedoras ao setor público.

Além de entregar um “produto”, as empresas precisam demonstrar como o produto se comporta, quais dados utiliza, que riscos foram mapeados, quais salvaguardas existem e como a Administração poderá auditar resultados. A ausência de governança pode gerar:

– questionamentos durante a licitação/contratação (habilitação técnica, comprovação de aderência, diligências);

– glosas, multas e sanções administrativas se a execução for considerada inadequada;

– discussões de responsabilidade civil por danos a terceiros.

3) Particulares afetados por serviços públicos com IA.

Cidadãos podem ser atingidos por triagens, priorizações, análises de risco, detecção de fraudes e automações. Quando essas soluções influenciam decisões, há reflexos em direitos de informação, contestação e devido processo, especialmente se houver uso de dados pessoais.

 

Proteção de dados, transparência e decisões automatizadas: o núcleo jurídico

Em projetos de IA na Administração, três eixos costumam concentrar as disputas.

(i) LGPD (Lei nº 13.709/2018): base legal, minimização e governança.

Ainda que a Administração possua hipóteses próprias de tratamento de dados para execução de políticas públicas, a conformidade exige atenção a pontos como:

– finalidade e adequação (tratamento coerente com o objetivo declarado);

– necessidade (dados estritamente necessários);

– segurança e prevenção (medidas técnicas e administrativas);

– accountability (capacidade de demonstrar conformidade).

Em soluções de IA, isso se traduz em práticas como inventário de dados, avaliação de riscos, segregação de ambientes, controle de acesso, retenção, critérios de anonimização/pseudonimização quando cabível e governança de fornecedores.

(ii) Transparência e acesso à informação.

A Lei nº 12.527/2011 (LAI) impõe deveres de transparência ativa e passiva. Em IA, o desafio é equilibrar transparência com proteção de segredo industrial e segurança. Um bom desenho contratual deve prever: o que é documentável, quais relatórios podem ser compartilhados, como responder solicitações e como justificar exceções.

(iii) Motivação do ato administrativo e controlabilidade.

Se a IA influencia decisão administrativa, a Administração precisa manter capacidade de explicar e motivar o resultado, inclusive para órgãos de controle e para o próprio administrado. Mesmo quando não se trata de “decisão automatizada” em sentido estrito, a dependência excessiva de modelos sem explicabilidade cria fragilidade probatória e contenciosa.

Contratações públicas com IA: o que tende a ser cobrado em editais e contratos

A política do MGI sinaliza requisitos que, com o tempo, podem aparecer em termos de referência, ETP e minutas contratuais. Exemplos práticos:

– Matriz de riscos e responsabilidades (Lei nº 14.133/2021), incluindo risco de vieses, indisponibilidade, incidentes de segurança e mudança de dados.

– Cláusulas de auditoria e evidências: logs, relatórios de performance, versionamento de modelos, controles de mudança (change management).

– Regras de subcontratação e cadeia de fornecedores, especialmente quando há APIs, modelos de terceiros ou infraestrutura em nuvem.

– Requisitos de segurança da informação e resposta a incidentes (SLAs, RTO/RPO), com definição de comunicação e mitigação.

– Tratamento de dados pessoais: obrigações de operador/controlador, confidencialidade, instruções documentadas, critérios de eliminação ao final do contrato.

O “quanto” está menos ligado a um custo imediato e mais ao custo de não conformidade: um projeto de IA pode ser interrompido, refeito ou judicializado se não houver governança. E isso é especialmente sensível em soluções que classificam pessoas, concedem benefícios, priorizam atendimentos ou identificam suspeitas.

 

Oportunidades e riscos: como transformar governança em vantagem competitiva

Para empresas que fornecem IA ao poder público, há uma oportunidade clara: governança pode virar diferencial.

– Quem já possui políticas internas (ética, privacidade, segurança), documentação técnica e trilhas de auditoria tende a reduzir fricção em contratações.

– Quem depende de modelos “caixa-preta” sem documentação robusta tende a enfrentar mais diligências e risco de impugnações.

Para gestores públicos, a oportunidade é diminuir risco de responsabilização e aumentar a qualidade do serviço entregue. O risco, por outro lado, é adotar soluções rápidas sem critérios mínimos — o que pode gerar questionamentos por órgãos de controle, demandas judiciais e perda de confiança institucional.

 

Como o escritório pode auxiliar na prática

A atuação jurídica em IA, especialmente no setor público, é menos sobre “ter uma opinião” e mais sobre organizar evidências e responsabilidades. O escritório pode apoiar em:

– adequação LGPD: bases legais, instrumentos com operadores, DPIA/relatórios de impacto quando recomendável, governança de incidentes;

– revisão de editais e contratos (Lei nº 14.133/2021): cláusulas de auditoria, matriz de riscos, propriedade intelectual, subcontratação, SLAs;

– compliance documental para fornecedores: políticas de IA, gestão de vieses, trilhas de explicabilidade e prestação de contas;

– contencioso administrativo: impugnações, recursos, defesas em apuração de sanções e reequilíbrio econômico-financeiro quando houver alteração relevante de escopo.

Em síntese, a Portaria nº 3.485/2026 sinaliza que a IA no setor público entra em uma fase mais madura: menos improviso e mais governança. Para quem contrata e para quem fornece, o recado é o mesmo — documentar, avaliar riscos e garantir controlabilidade passa a ser parte do próprio produto.

 

 

Fontes:

MGI institui Política de Governança de Inteligência Artificial no âmbito do ministério

PORTARIA MGI Nº 3.485, DE 24 DE ABRIL DE 2026

Read More

LGPD em novo patamar: Lei 15.352/2026 transforma a ANPD em autarquia especial — o que empresas devem fazer agora

Mais maturidade regulatória tende a significar fiscalização mais estruturada, exigindo governança de privacidade e resposta a incidentes

O que a Lei nº 15.352/2026 sinaliza

 

Publicada em 25/02/2026, a Lei nº 15.352/2026 promoveu alteração da Lei nº 13.709/2018 e consolidou a Autoridade Nacional de Proteção de Dados (ANPD) como autarquia de natureza especial, além de instituir carreira própria de regulação e fiscalização.

A mudança, aprovada pelo Senado Federal, representa um salto institucional relevante: mais autonomia administrativa, técnica e orçamentária — e, sobretudo, maior capacidade operacional para fiscalizar e sancionar.

O recado ao mercado é de que a proteção de dados deixa definitivamente o campo da recomendação e ingressa em um patamar de regulação estruturada, permanente e tecnicamente robusta.

 

Por que isso importa para empresas e para titulares?

 

Para empresas (de todos os portes)

A nova configuração institucional da ANPD impacta diretamente a forma como as empresas devem encarar a conformidade com a LGPD.

Não será mais suficiente possuir políticas genéricas ou modelos padronizados. O foco da autoridade tende a recair sobre evidências concretas de governança.

A elevação do status institucional da ANPD tende a aumentar:

– Previsibilidade regulatória (mais normas, guias, interpretações e ritos);

– Capacidade de fiscalização (processos administrativos mais frequentes e mais técnicos);

– Comprovação de governança e de programas de segurança da informação.

Setores como RH, marketing digital, e-commerce, fintechs, saúde, educação e empresas intensivas em dados tendem a ser especialmente impactados.

Para pessoas físicas (titulares de dados)

O fortalecimento do órgão regulador tende a ampliar canais e efetividade para:

– Exercício de direitos (confirmação, acesso, correção, eliminação etc.);

– Reclamações e apurações sobre uso indevido de dados;

– Resposta institucional a incidentes e vazamentos.

 

Riscos e oportunidades no curto prazo

 

Riscos comuns
Com uma ANPD mais estruturada, alguns riscos se tornam particularmente sensíveis:

1. Programa “de papel”: políticas genéricas, sem inventário de dados, sem avaliação de fornecedores e sem trilha de decisões.
2. Contratos desatualizados: ausência de cláusulas de proteção de dados, suboperadores, padrões mínimos de segurança, resposta à incidentes e auditoria.
3. Incidentes sem plano: vazamentos e acessos indevidos podem ocorrer; o problema jurídico costuma ser a resposta desorganizada (prazos, comunicação, evidências).
4. Bases legais frágeis: tratamento amparado em consentimento quando o mais adequado seria outra base (ou vice-versa), gerando risco de invalidação.

 

Oportunidades

Apesar do aumento da pressão regulatória, o novo cenário também cria oportunidades relevantes:

– Maturidade competitiva: empresas com governança sólida de privacidade ganham confiança, reduzem perdas em incidentes e melhoram sua posição em auditorias e due diligences.

– Otimização de dados: ao mapear finalidades e retenção, é comum reduzir a coleta excessiva e custos de armazenamento.

– Melhoria de processos: padronização de atendimento a titulares e fluxos internos reduz retrabalho e risco.

 

O que revisar agora: checklist objetivo

 

– Inventário de dados e mapeamento de fluxos (internos e com terceiros);

– Registro de operações, políticas e evidências de treinamento;

– Gestão de terceiros: contratos, due diligence e controles de subcontratação;

– Plano de resposta a incidentes (jurídico + técnico + comunicação);

– Avaliação de necessidade de encarregado de dados (DPO), com atribuições e autonomia;

– Governança de consentimento, cookies e publicidade comportamental.

 

Como o escritório pode auxiliar

 

Podemos apoiar empresas e entidades com:

– Diagnóstico de aderência à LGPD e construção de um passo a passo para a adequação;

– Revisão de bases legais, avisos de privacidade e políticas internas; 

– Elaboração/negociação de cláusulas contratuais com fornecedores e parceiros;

– Desenho e simulação de plano de resposta a incidentes, incluindo medidas legais e de mitigação;

– Representação e acompanhamento em procedimentos administrativos perante a ANPD.

 

A Lei 15.352/2026 reforça que privacidade não é projeto pontual: é programa contínuo, com governança, provas e melhoria permanente.

 

Fonte

Read More