Um auditor pede o registro de uma mudança de permissão feita há três meses: quem solicitou, quem aprovou, quem executou, e se alguma etapa ficou pendente no meio do caminho.
A resposta mais comum, hoje, em times de TI de empresas médias e grandes no Brasil, ainda é procurar em e-mail, em planilha, em grupo de WhatsApp, ou simplesmente admitir que aquele registro não existe de forma estruturada. A maturidade operacional de TI, na maior parte das empresas, ainda não foi desenhada para responder a esse tipo de pergunta.
O que mudou: a ANPD saiu do modo pedagógico
Até pouco tempo, a Agência Nacional de Proteção de Dados (ANPD) operava principalmente em orientação: notificava, recomendava, dava prazo para adequação. Isso mudou. A ANPD publicou o mapa de temas prioritários para o biênio 2026-2027 e entrou em fase de fiscalização ativa, com quatro eixos definidos: direitos dos titulares de dados, proteção de crianças e adolescentes, atuação do poder público e uso de inteligência artificial.
Na prática, isso é o que muda numa auditoria de dados LGPD: a pergunta deixou de ser “estamos em conformidade?” e passou a ser “conseguimos provar isso, com registro, se formos chamados amanhã?”. A LGPD prevê multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, e o valor teórico da multa importa menos do que o fato de que a estrutura para aplicá-la (capacidade de fiscalização, autonomia e orçamento) está pronta como nunca esteve antes.
Setores sob regulação setorial adicional, como o setor financeiro, por exemplo, supervisionado pelo Banco Central, é o exemplo mais visível, e já sentem essa cobrança com mais intensidade porque somam a exigência setorial à exigência da LGPD. Mas o reforço é universal: nenhuma empresa que trata dado pessoal em volume está fora do radar só por não estar em um setor regulado.
Por que TI é pega de surpresa
A estrutura de TI, na maioria das empresas, foi desenhada para resolver problemas operacionais, como chamado aberto, chamado fechado, SLA cumprido, e não para produzir evidência auditável.
Isso aparece em sintomas conhecidos:
- Solicitações de acesso aprovadas em canais que não deixam rastro estruturado (mensagem de texto, ligação, papo de corredor), sem nenhum registro central que sobreviva a uma pergunta feita meses depois;
- Mudanças de permissão feitas sem trilha de quem autorizou;
- Relatórios de incidente montados manualmente, depois do fato, quando alguém lembra de reconstruir a linha do tempo;
- Base de ativos e acessos desatualizada, sem visibilidade de quem tem acesso a quê.
Nenhum desses pontos aparece como “urgente” no dia a dia — até o dia em que alguém de fora pede para ver o histórico.
A pergunta que todo auditor faz, mas que a maioria de TI não consegue responder
O auditor não pergunta “vocês têm uma política de segurança da informação?”. Pergunta “me mostre o registro de quem fez o quê, quando, e quem aprovou”. A diferença entre as duas é a diferença entre ter uma intenção documentada e ter uma operação auditável.
Para o gestor ou diretor de TI, isso é uma questão de credibilidade da própria área diante da diretoria. TI que não consegue produzir esse registro em minutos, quando pedido, projeta a imagem de área reativa diante da diretoria.
O que fazer com isso agora
Resolver isso é estrutural, e tem duas camadas. A primeira é o registro: cada solicitação, aprovação e execução precisa deixar rastro nativo no fluxo de trabalho, e não uma tarefa extra reconstruída depois do fato. A segunda, mais decisiva, é o controle preventivo: impedir que uma mudança avance enquanto uma aprovação, uma tarefa ou um campo obrigatório ainda estiverem pendentes.
Nos próximos conteúdos, vamos aprofundar exatamente isso: o que muda quando essa trilha de auditoria é nativa da operação e o que avaliar antes de apostar em qualquer plataforma para sustentar isso. Se esse é um tema que sua área de TI ainda não tem resposta pronta, vale acompanhar.
Perguntas frequentes sobre auditoria de dados LGPD e TI
1. A ANPD já está multando empresas de fato, ou ainda é teórico?
A ANPD encerrou a fase predominantemente pedagógica e definiu eixos prioritários de fiscalização para 2026-2027. A multa prevista na LGPD (até 2% do faturamento, limitada a R$ 50 milhões por infração) era, até pouco tempo, um risco praticamente teórico. Com o mapa de fiscalização ativo, passa a ter chance real de ser aplicada.
2. Quais são os eixos prioritários de fiscalização da ANPD para 2026-2027?
O mapa de temas prioritários da ANPD para o biênio define quatro eixos: direitos dos titulares de dados, proteção de crianças e adolescentes, atuação do poder público e uso de inteligência artificial. Nenhum deles é exclusivo de um setor. Qualquer empresa que trata dado pessoal em volume pode ser avaliada dentro desses eixos.
3. Minha empresa não é do setor financeiro. Isso me afeta?
Sim. Setores com regulador próprio, como o financeiro, sentem uma camada adicional de exigência, mas os eixos prioritários da ANPD são transversais a qualquer empresa que trata dado pessoal, independentemente do setor.
4. O que conta como “prova” para um auditor de dados?
Registro estruturado e rastreável: quem solicitou, quem aprovou, quem executou e quando — idealmente com uma trava que impeça a próxima etapa de acontecer antes que essas aprovações estejam de fato concluídas. Política escrita sem essa trilha operacional por trás tende a não ser suficiente.
5. O que acontece se a TI não conseguir apresentar esse histórico durante uma auditoria?
Na melhor hipótese, o processo se arrasta enquanto o time reconstrói manualmente o que aconteceu — o que já sinaliza fragilidade de controle para quem está auditando. Na pior, a ausência de registro é interpretada como ausência de controle real, o que pesa diretamente na avaliação de conformidade e na exposição a multa.
6. Por onde a área de TI deveria começar?
Pelo diagnóstico do que hoje é aprovado e registrado de maneira informal (e-mail, mensagem, planilha) versus o que deveria estar em um fluxo auditável por padrão. É esse o ponto de partida que vamos detalhar nos próximos conteúdos.
