O Caso Claro: Mais do que Compartilhamento Excessivo de Dados
Mas dentro do relatório de fiscalização havia um segundo achado que passou menos despercebido entre os especialistas: a dificuldade de acesso ao encarregado de dados da empresa. Não havia infração técnica de segurança. Não havia invasão de sistema. Havia, simplesmente, um canal de atendimento tão mal estruturado e tão difícil de encontrar que a própria autoridade regulatória precisou registrá-lo como problema. E essa é, segundo a ANPD, uma infração por conta própria.
O processo administrativo sancionador instaurado pela ANPD contra a Claro investiga irregularidades no compartilhamento de dados pessoais de seus clientes com a Serasa para fins de modelagem de crédito. As apurações indicam que mais de cem informações distintas por usuário foram repassadas — um volume que levanta questionamentos sérios sobre os princípios de minimização de dados, transparência e consentimento exigidos pela LGPD.
Mas o segundo ponto levantado no relatório de fiscalização merece atenção especial, porque revela um padrão que não é exclusivo da empresa investigada. A dificuldade de acesso ao encarregado de dados — o DPO nomeado pela organização para ser o ponto de contato entre a empresa, os titulares e a ANPD — foi registrada como falha de conformidade. Isso significa que o problema não está apenas no que foi feito com os dados, mas em como a empresa estruturou o relacionamento com quem tem direito a questionar esse uso.
Todavia, o caso Claro não é uma exceção — é um espelho. A prática de dificultar o acesso ao encarregado de dados está amplamente disseminada no mercado corporativo brasileiro, e o que esse processo sinaliza é que a ANPD passou a monitorá-la de forma ativa.
O Que a LGPD Exige sobre o Canal do Encarregado
| Exigência da LGPD | O que significa na prática |
|---|---|
| Identidade pública do encarregado | O nome do DPO deve estar disponível de forma clara e acessível — não apenas mencionado no contrato interno da empresa |
| Canal de contato direto e funcional | O titular deve conseguir chegar ao encarregado sem percorrer páginas de política de privacidade ou descobrir endereços de e-mail genéricos enterrados em textos jurídicos |
| Resposta dentro do prazo legal | Solicitações de titulares devem ser respondidas em até 15 dias, o que só é possível se o canal for estruturado para rastrear, priorizar e dar andamento a cada solicitação |
| Ausência de barreiras artificiais | Canais inacessíveis, formulários que não funcionam ou ausência de protocolo de acompanhamento podem ser caracterizados como infração, independentemente de haver vazamento de dados |
O Labirinto da Política de Privacidade
Existe uma prática que, infelizmente, ainda é comum: para cumprir a LGPD apenas no papel, muitas empresas escondem as informações de contato do canal de atendimento em meio a textos extensos, maçantes e repletos de linguagem jurídica. O titular que tenta exercer seus direitos encontra uma corrida de obstáculos que começa na tentativa de localizar o canal e frequentemente termina sem uma resposta clara.
Ao final de uma leitura exaustiva de quinze páginas de política de privacidade, o usuário encontra, na melhor das hipóteses, um endereço de e-mail genérico como privacidade@empresa.com.br. Não há menção ao nome do encarregado. Não há indicação de quem o substitui quando está ausente. Não há protocolo de acompanhamento para saber se a solicitação foi recebida, muito menos quando será respondida.
Quando o atendimento depende exclusivamente de uma caixa de entrada de e-mail gerenciada de forma manual, o processo costuma ser lento, burocrático e sem fluxo definido. Isso desestimula o titular — e eleva o risco de judicialização ou de denúncias diretas à ANPD, que é exatamente o cenário que qualquer programa de privacidade deveria estar construído para evitar.
Por Que Dificultar o Acesso É uma Infração Independente
Um equívoco frequente nos programas de conformidade é tratar o canal de atendimento ao titular como uma questão secundária — algo a ser resolvido depois que os aspectos técnicos de segurança da informação estiverem endereçados. O caso Claro desfaz essa hierarquia.
Dificultar o acesso do titular ao seu direito de retificação, exclusão, confirmação de tratamento ou portabilidade é uma infração que a ANPD pode penalizar independentemente de haver vazamento de informações ou falha de segurança. O princípio da transparência exigido pela LGPD não é cumprido apenas com a existência de uma política de privacidade publicada no site — é cumprido quando o titular consegue, de forma efetiva e sem obstáculos, exercer os direitos que a lei lhe garante.
Entretanto, o que torna esse ponto particularmente relevante para empresas de médio e grande porte é a assimetria de risco. O custo de estruturar um canal de atendimento funcional é mensurável e previsível. O custo de um processo sancionador instaurado pela ANPD — em termos de multas, exposição reputacional e recursos jurídicos mobilizados — não é. Mas muitas organizações ainda tratam o canal como um item de conformidade de segunda ordem, senão o processo administrativo contra a Claro não teria registrado esse ponto como achado de fiscalização.
O Canal de Atendimento como Elemento Central do Programa de Privacidade
Um canal de atendimento ao titular eficaz não é apenas uma exigência regulatória — é o ponto onde o programa de privacidade se torna visível para o cliente. É ali que a distância entre o que está escrito na política de privacidade e o que a empresa efetivamente pratica fica evidente para quem tenta exercer um direito.
A estrutura mínima que um canal precisa oferecer vai além de um formulário de envio. O titular precisa saber com quem está falando — o nome do encarregado de dados deve estar identificado de forma clara na página. Cada solicitação precisa gerar um protocolo de acompanhamento, para que o titular saiba que foi recebida e possa rastrear o andamento. Os diferentes tipos de direito — acesso, retificação, exclusão, portabilidade, revogação de consentimento — precisam estar organizados de forma que o titular consiga identificar qual está exercendo, sem precisar interpretar conceitos jurídicos.
A DPOnet desenvolveu um portal de atendimento estruturado exatamente para resolver essa fricção: em vez de e-mails frios e caixas de entrada desorganizadas, o titular acessa um ambiente seguro e intuitivo, com identificação clara do DPO nomeado pela organização e fluxo definido para cada tipo de solicitação. O resultado é um canal que cumpre a exigência regulatória e, ao mesmo tempo, reduz o risco de judicialização que atendimentos manuais e desorganizados tendem a gerar.
O Ponto de Entrada: Banner de Cookies como Portal de Privacidade
O banner de cookies é, na maioria dos sites, o primeiro ponto de contato do usuário com a política de privacidade da empresa. Mas na prática, a maioria dos banners se resume a um botão de “aceitar todos” — sem contexto, sem opções granulares e sem caminho para quem queira entender mais ou exercer seus direitos.
A melhor prática regulatória atual — e o que a ANPD começa a considerar no contexto das diretrizes de consentimento — é que o banner contenha um link direto e visível para o canal de atendimento. Dessa forma, o titular que quer saber quais dados são coletados, revogar um consentimento ou registrar uma solicitação não precisa garimpar o rodapé do site nem percorrer páginas de texto jurídico para chegar ao encarregado.
Apesar disso, a maioria das empresas ainda trata o banner de cookies como um requisito técnico isolado, desconectado do canal de atendimento. Mas do ponto de vista da experiência do titular — e da avaliação que a ANPD faz sobre transparência —, esses dois elementos formam um único fluxo: o titular que encontra o banner e quer saber mais precisa chegar ao canal de atendimento em dois cliques, não em vinte minutos de leitura.
Transparência além do Digital: O Selo de Conformidade e o Mundo Físico
A jornada de privacidade de um cliente não começa e termina no ambiente digital. Clínicas médicas, escritórios de advocacia, lojas de varejo, recepções de empresas — todos esses ambientes recebem clientes que fornecem dados pessoais presencialmente e têm os mesmos direitos que o usuário de um aplicativo mobile, mas raramente encontram um caminho claro para exercê-los.
O Selo de Conformidade da DPOnet endereça essa lacuna em dois formatos. No ambiente digital, o selo exibido de forma orgânica no site atesta o compromisso da organização com a privacidade e funciona como atalho direto para o canal de atendimento — com apenas dois cliques, o usuário registra sua solicitação sem precisar localizar nenhuma informação adicional. No ambiente físico, a versão impressa do selo com QR Code pode ser disponibilizada em balcões de atendimento, recepções e pontos de venda, garantindo que o cliente presencial tenha o mesmo acesso ágil ao canal que o cliente digital — simplesmente apontando a câmera do celular.
Mas além da conveniência para o titular, o selo cumpre uma função regulatória: é evidência documentada de que a organização disponibilizou o canal de acesso de forma proativa e em múltiplos pontos de contato — exatamente o tipo de evidência que um programa de privacidade precisa apresentar em uma fiscalização.
Conclusão: Canal Acessível Deixou de Ser Diferencial e Passou a Ser Obrigação
O processo da ANPD contra a Claro confirma o que os DPOs mais atentos já observavam: a autoridade não está fiscalizando apenas vazamentos e violações de segurança — está avaliando se o programa de privacidade funciona na prática, para o titular real, no momento em que ele tenta exercer um direito.
Oferecer um canal de atendimento acessível, com identificação clara do encarregado e fluxo estruturado por tipo de solicitação, deixou de ser uma boa prática e passou a ser uma obrigação regulatória com consequências reais para quem não a cumpre. E as organizações que tratarem esse elemento como prioridade — e não como detalhe — estarão em posição significativamente mais segura quando a próxima notificação da ANPD chegar.
Para visualizar de forma resumida o que diferencia um canal problemático de um canal verdadeiramente eficiente — e o impacto real de cada escolha para o titular de dados —, veja o comparativo abaixo:
| Critério de Comparação | Canal Ruim / Problemático | Canal Adequado / Eficiente | Impacto no Titular de Dados |
|---|---|---|---|
| Transparência e Identificação do Encarregado | Nome do DPO escondido em até 15 páginas de política de privacidade; ausência de indicação de quem o substitui; uso de e-mail genérico como único canal | Identificação pública e clara do DPO nomeado pela organização; portal de atendimento dedicado e estruturado; selo de conformidade visível | Dificuldade de exercer direitos básicos; sensação de descaso; descumprimento do princípio da transparência exigido pela LGPD |
| Acessibilidade e Navegação | “Labirinto” na política de privacidade; necessidade de garimpar o rodapé do site; ausência de caminho claro para o cliente presencial | Link direto no banner de cookies; selo digital com acesso ao canal em dois cliques; selo físico com QR Code para ambientes presenciais | Desestimula o titular; gera fricção na experiência; impede a agilidade no atendimento de solicitações |
| Gestão de Solicitações | Processo lento e burocrático via e-mail; sem fluxo definido para os diferentes tipos de direito (acesso, retificação, exclusão, portabilidade) | Ambiente seguro e intuitivo, com fluxo definido para cada tipo de solicitação do titular | Eleva o risco de judicialização e de denúncias diretas à ANPD |
| Rastreabilidade | Ausência de protocolo de acompanhamento; titular não sabe se a solicitação foi recebida nem quando será respondida | Protocolo de acompanhamento gerado a cada solicitação, permitindo rastrear o andamento | Insegurança jurídica e impossibilidade de monitorar o status do pedido |
| Governança e Conformidade | Cumprimento da LGPD apenas “no papel”; canal tratado como item de conformidade de segunda ordem | Canal de atendimento estruturado como evidência proativa de conformidade, apresentável em fiscalização | Risco de multas, exposição reputacional e mobilização de recursos jurídicos para a empresa |
Para entender como estruturar o fluxo completo de atendimento a titulares em operações de grande volume, veja também: Escalabilidade na Gestão de Direitos dos Titulares (DSAR): Processando Milhares de Solicitações por Mês. Para compreender o que a ANPD avalia em uma fiscalização e como documentar evidências de conformidade, veja também: Checklist de Adequação à LGPD: O Que a ANPD Exige nas Fiscalizações.
Perguntas frequentes (FAQ)
Tire suas principais dúvidas sobre por que grandes empresas são alvos da ANPD e o risco de esconder o canal de atendimento ao titular.
1. O que o caso Claro revelou além do compartilhamento excessivo de dados com a Serasa?
O processo administrativo sancionador da ANPD contra a Claro investiga irregularidades no compartilhamento de mais de cem informações distintas por usuário com a Serasa para modelagem de crédito, levantando questões sobre minimização de dados, transparência e consentimento. Mas um segundo achado do relatório de fiscalização chamou atenção: a dificuldade de acesso ao encarregado de dados da empresa foi registrada como falha de conformidade por conta própria — não havia infração técnica de segurança nem invasão de sistema, apenas um canal de atendimento tão mal estruturado que a própria autoridade precisou apontá-lo como problema. Isso mostra que a ANPD está monitorando ativamente uma prática disseminada no mercado corporativo brasileiro, não um caso isolado.
2. Quais exigências a LGPD estabelece para o canal de contato com o encarregado de dados?
Quatro exigências centrais são avaliadas pela ANPD numa fiscalização: identidade pública do encarregado, com o nome do DPO disponível de forma clara e acessível, e não apenas mencionado em contrato interno; canal de contato direto e funcional, que permita ao titular chegar ao encarregado sem precisar percorrer páginas de política de privacidade ou garimpar e-mails genéricos enterrados em textos jurídicos; resposta dentro do prazo legal de 15 dias, o que exige um canal estruturado o suficiente para rastrear e priorizar cada solicitação; e ausência de barreiras artificiais, já que qualquer mecanismo que dificulte o exercício dos direitos do titular — canais inacessíveis, formulários que não funcionam, ausência de protocolo de acompanhamento — pode ser caracterizado como infração independentemente de haver vazamento de dados.
3. Por que dificultar o acesso ao canal de atendimento é considerado uma infração independente, mesmo sem vazamento de dados?
Porque o princípio da transparência da LGPD não é cumprido apenas com a existência de uma política de privacidade publicada no site — é cumprido quando o titular consegue, de forma efetiva e sem obstáculos, exercer direitos como retificação, exclusão, confirmação de tratamento ou portabilidade. Um equívoco comum nos programas de conformidade é tratar o canal de atendimento como questão secundária a ser resolvida depois da segurança da informação, mas o caso Claro desfaz essa hierarquia. Além disso, há uma assimetria de risco relevante: o custo de estruturar um canal funcional é mensurável e previsível, enquanto o custo de um processo sancionador da ANPD — em multas, exposição reputacional e recursos jurídicos — não é.
4. O que caracteriza um canal de atendimento ao titular que efetivamente cumpre a exigência regulatória?
Vai além de um formulário de envio: o titular precisa saber com quem está falando, com o nome do encarregado identificado de forma clara; cada solicitação precisa gerar um protocolo de acompanhamento para que o titular saiba que foi recebida e possa rastrear o andamento; e os diferentes tipos de direito (acesso, retificação, exclusão, portabilidade, revogação de consentimento) precisam estar organizados de forma que o titular identifique qual está exercendo sem interpretar conceitos jurídicos. A melhor prática também conecta o banner de cookies ao canal de atendimento, com link direto e visível, permitindo que o titular chegue ao encarregado em dois cliques em vez de vinte minutos de leitura. Essa transparência não se limita ao digital: ambientes físicos como clínicas, escritórios e lojas também precisam oferecer um caminho claro de acesso, e soluções como um selo de conformidade com QR code em pontos de atendimento presencial funcionam como evidência documentada de que o canal foi disponibilizado de forma proativa e em múltiplos pontos de contato.
