O Conselho Diretor da Autoridade Nacional de Proteção de Dados (ANPD) deliberou, por unanimidade, pela não aprovação da minuta do Guia Orientativo sobre Tratamento de Dados Pessoais de Alto Risco. A deliberação foi formalizada por meio do Voto nº 11/2025/DIR-MW/CD, relatado pela diretora Miriam Wimmer no encerramento do Circuito Deliberativo nº 25/2026, determinando o arquivamento do projeto em seu formato atual e o envio das contribuições à Superintendência de Regulação.
O documento rejeitado pretendia estabelecer balizas práticas e metodológicas para dar concretude ao artigo 4º, § 3º, do Regulamento de Aplicação da LGPD para Agentes de Tratamento de Pequeno Porte (Resolução CD/ANPD nº 2/2022). Esse dispositivo disciplina quais organizações deixam de usufruir de procedimentos simplificados de conformidade caso suas atividades tratem informações pessoais sob condições de alto risco a direitos fundamentais.
Por que o Conselho Diretor rejeitou a proposta
Apesar de o processo administrativo ter cumprido ritos formais prévios, incluindo tomada de subsídios públicos e parecer da Procuradoria Federal Especializada junto à ANPD, o colegiado avaliou que a solução desenhada traria mais insegurança e burocracia do que clareza regulatória. O entendimento unânime considerou que a minuta apresentava entraves estruturais de difícil aplicação para os agentes regulados.
A complexidade do cálculo de larga escala
O principal ponto de atrito concentrou-se na metodologia elaborada para avaliar o critério geral de ‘larga escala’. O texto sob análise propunha um corte objetivo inicial: operações que envolvessem dois milhões ou mais de titulares de dados — o equivalente a cerca de 1% da população brasileira — seriam categorizadas automaticamente como de larga escala. No entanto, para volumes inferiores a esse limite, o guia desenhava uma fórmula multicritério em seis etapas, combinando volume absoluto, duração temporal, frequência de processamento e abrangência territorial.
Durante a deliberação, os conselheiros ponderaram que impor um cálculo métrico escalonado imporia custos desproporcionais de consultoria e mensuração técnica justamente sobre microempresas, empresas de pequeno porte e startups. Em vez de simplificar a governança, a regra criaria barreiras operacionais que contrariam a própria finalidade da Resolução CD/ANPD nº 2/2022.
Integração necessária com as normas do RIPD
Outro fator determinante para o arquivamento foi a constatação de que a avaliação de alto risco não pode ser tratada de forma fragmentada ou isolada. O Conselho Diretor destacou que o exame de riscos a titulares de dados está intrinsicamente atrelado à governança preventiva e à elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
Como a regulamentação geral do RIPD consta como item autônomo na Agenda Regulatória da autarquia, a publicação prévia de um guia estanque geraria sobreposição de conceitos e potenciais contradições técnicas. Por essa razão, a autoridade optou por consolidar as definições de alto risco e suas repercussões dentro da futura norma abrangente sobre gestão de riscos e relatórios de impacto.
O arcabouço normativo que permanece vigente
Com a rejeição e o arquivamento da minuta, especialistas em direito digital e privacidade ressaltam que não houve alteração no texto normativo em vigor. Permanece plenamente aplicável o regime instituído pela Resolução CD/ANPD nº 2/2022, que estabelece uma estrutura cumulativa para a identificação do alto risco.
Para que uma operação seja classificada sob esse padrão, ela deve preencher cumulativamente:
- Ao menos um critério geral: tratamento de dados pessoais em larga escala ou tratamento que possa afetar significativamente os interesses e direitos fundamentais dos titulares (como impedir o exercício de direitos ou causar prejuízos morais e financeiros);
- Ao menos um critério específico: utilização de tecnologias emergentes ou inovadoras (como inteligência artificial e biometria), vigilância ou controle de zonas acessíveis ao público, tomada de decisões exclusivamente automatizadas com impacto relevante, ou o tratamento de dados sensíveis e de públicos hipervulneráveis (crianças, adolescentes e idosos).
Sem a existência da cartilha com a fórmula matemática de seis etapas, o ônus da comprovação de proporcionalidade recai sobre a análise de contexto e os registros internos de governança conduzidos por cada organização.
Impactos para empresas e encarregados de dados
Para encarregados de dados (DPOs), consultores e departamentos jurídicos de pequenas e médias empresas, o arquivamento afasta o risco iminente de autuações baseadas em tabelas rígidas de volumetria. Por outro lado, reforça a necessidade de solidez na fundamentação documental de conformidade.
Agentes de pequeno porte que lidam com inteligência artificial generativa, triagens biométricas ou perfis creditícios automatizados devem manter avaliação criteriosa antes de presumir o benefício das dispensas regulatórias da Resolução nº 2/2022. Caso suas atividades atendam simultaneamente aos vetores de relevância social e tecnologias complexas, as obrigações plenas de segurança e governança continuam sendo exigíveis pela ANPD.
Encaminhamentos na agenda da ANPD
O processo foi devolvido para a Superintendência de Regulação com a recomendação expressa de que o material técnico, os pareceres colhidos e as manifestações públicas da fase de consulta sejam integrados aos estudos da resolução sobre o Relatório de Impacto à Proteção de Dados Pessoais. A expectativa é que o novo marco una em um único instrumento os deveres de mapeamento, os limiares de risco e os roteiros de mitigação para todo o ecossistema brasileiro de proteção de dados.
ANPD
