LGPD em números: só 14% das empresas têm encarregado

Só 14% das empresas brasileiras com dez ou mais pessoas ocupadas que guardam dados de pessoas físicas tinham nomeado um encarregado de proteção de dados em 2025, segundo a TIC Empresas 2025 do Cetic.br/NIC.br. A proporção era de 17% em 2021 e de 19% em 2023, e entre as pequenas empresas caiu para 12%. Do outro lado, a ANPD mudou de ritmo: dos 37 processos administrativos sancionadores registrados no Painel da Fiscalização até outubro de 2026, 25 foram abertos neste ano, e 23 desses 25 tratam da indicação do encarregado ou do canal de atendimento ao titular. Minha leitura é que a fiscalização começou pela obrigação mais básica, que a maioria das empresas ainda não cumpre e que passa pelo cadastro de clientes e leads guardado no CRM. Este texto é informativo e não substitui parecer jurídico; cada empresa deve validar as escolhas com o seu jurídico e com o encarregado.

Na Iasbeck&Co a gente implanta CRM e agentes de IA em operações B2B, e a LGPD costuma aparecer na hora de importar uma base antiga ou de ligar um agente ao histórico de clientes. Reuni os números oficiais, com ano, base e método de cada um, e a minha leitura para diretoria, lideranças e RH. Os cuidados de quem leva dados do CRM para ferramentas de IA estão em IA e LGPD, e a rotina de higiene da base, em qualidade de dados no CRM.

Quantas empresas cumprem a LGPD? O retrato do Cetic.br

O Cetic.br mede a adequação à LGPD num módulo da TIC Empresas. A edição 2025 entrevistou 4.174 empresas com dez ou mais pessoas ocupadas, por telefone, entre fevereiro de 2025 e janeiro de 2026, e 1.775 delas responderam ao módulo de privacidade e proteção de dados pessoais (Cetic.br, apresentação dos resultados, 2026). Os resultados saíram em 31 de agosto de 2026 e permitem comparar três edições, de 2021, 2023 e 2025.

O encarregado e a área responsável

A tabela separa duas perguntas: ter área ou funcionários responsáveis pelo tema e nomear um encarregado, a pessoa que responde aos titulares e à ANPD (art. 41 da LGPD).

Indicador (Cetic.br)	2021	2023	2025
Nomeou encarregado, total	17%	19%	14%
Nomeou encarregado, pequenas (10 a 49 pessoas)	15%	16%	12%
Nomeou encarregado, médias (50 a 249)	29%	35%	21%
Nomeou encarregado, grandes (250 ou mais)	41%	43%	40%
Tem área ou funcionários responsáveis pela proteção de dados, total	23%	25%	20%
Tem área ou funcionários responsáveis, grandes	47%	56%	55%

Fontes: Cetic.br, tabelas XP12 (2021, 2023, 2025), sobre empresas que mantêm dados de pessoas físicas, e XP07 (2021, 2023, 2025), sobre o total.

Entre as empresas que têm encarregado, 65% indicaram alguém da casa e 31% contrataram um terceiro (Cetic.br, XP13). Quando o encarregado vem da própria empresa, ele sai da TI em 28% dos casos, do administrativo em 19% e do jurídico em 18% (Cetic.br, XP14). A lista de áreas do questionário nem traz marketing ou vendas, e é ali que mora boa parte dos dados de clientes e leads.

O que as empresas fizeram para se adequar

As ações formais de adequação também recuaram ou ficaram paradas na comparação com 2023. A base é a mesma do encarregado: empresas que mantêm dados de pessoas físicas.

Ação de adequação à LGPD	2021	2023	2025
Alterou contratos vigentes	28%	35%	30%
Elaborou plano de conformidade	24%	32%	25%
Desenvolveu política de privacidade para clientes	32%	32%	28%
Realizou testes de segurança contra vazamento	30%	29%	27%
Elaborou política de retenção e descarte	sem dado	25%	22%
Ofereceu canal de atendimento aos titulares	24%	20%	18%
Fez inventário de dados pessoais	18%	18%	15%

Fonte: Cetic.br, tabelas XP12 de 2021, 2023 e 2025, links acima.

Duas linhas pesam para quem administra um CRM. O inventário de dados pessoais, o mapa de quais dados a empresa guarda, onde e para quê, existe em 15% das empresas, e a política de retenção e descarte, que diz quando um contato antigo sai da base, em 22%. Sem eles, a empresa não responde com segurança ao titular que pergunta quais dados dele estão no CRM.

O que as empresas fazem com o dado do cliente

Entre as empresas que mantêm dados pessoais de clientes e usuários, 63% usam esses dados para entrar em contato direto com os clientes, 39% para checar crédito, 22% para analisar comportamento e criar perfis e 20% em campanhas de publicidade e marketing (Cetic.br, XP010). O uso comercial é a regra, e a transparência sobre ele é a exceção: entre as empresas com site, 34% publicam política de privacidade e só 7% informam nome e contato do encarregado (Cetic.br, XP16). Desde julho de 2024, a Resolução CD/ANPD nº 18 exige que a identidade e o contato do encarregado apareçam no site, “em local de destaque e de fácil acesso”, como a ANPD lembra no seu relatório de monitoramento.

O próprio entrevistado reconhece a distância. Só 37% concordam totalmente que a equipe interna está preparada para responder às dúvidas dos titulares, enquanto 59% concordam totalmente que os sistemas têm mecanismos adequados de proteção (Cetic.br, XP01C e XP01D). A pergunta do titular, porém, chega pelo vendedor, pelo SAC ou pelo CS antes de chegar a qualquer sistema.

Fiscalização da ANPD em números

A ANPD, hoje Agência Nacional de Proteção de Dados, publica dados sobre requerimentos de titulares, incidentes comunicados e processos de fiscalização e sanção. A fonte mais completa é o 3º Relatório de Ciclo de Monitoramento, que cobre de 1º de julho de 2023 a 30 de junho de 2025, complementado pelo balanço do Mapa de Temas Prioritários 2024-2025, assinado em agosto de 2026, e pela planilha do Painel da Fiscalização, atualizada em outubro de 2026.

Requerimentos: o titular passou a reclamar

No ciclo de julho de 2023 a junho de 2025, a ANPD recebeu 9.629 requerimentos, entre 7.080 denúncias e 2.549 petições de titular. O volume saltou depois de julho de 2024, quando a agência lançou uma plataforma própria no Gov.br: foram 616 requerimentos no primeiro semestre de 2024, 3.413 no segundo e 4.956 no primeiro semestre de 2025, recorde da série. O relatório atribui o aumento à facilidade do novo canal, e o salto coincide com a troca do sistema.

Os setores mais reclamados foram bancos, financeiras e administradoras de cartão (746 requerimentos admissíveis), serviços (684), agregadores de dados (545), varejo (518) e telecomunicações (394). Entre os tipos de reclamação, lideram a exposição de dados pessoais ou sensíveis (1.013), a dificuldade de exercer o direito de eliminação (795) e o vazamento de dados (789). Somadas, as dificuldades para exercer qualquer direito previsto na LGPD chegam a 1.610 registros. Dos 1.508 requerimentos que a ANPD encaminhou às empresas para manifestação, 427 ficaram sem resposta, ou 28,3%, e o relatório avisa que a falta de resposta pode servir de critério para escolher quem será fiscalizado.

Incidentes de segurança comunicados

Ano	Comunicados de incidente de segurança recebidos
2021	186
2022	275
2023	352
2024	336
1º semestre de 2025	198

Fonte: ANPD, 3º Relatório de Ciclo de Monitoramento.

Desde abril de 2024, o regulamento de comunicação de incidentes (Resolução CD/ANPD nº 15) dá ao controlador três dias úteis para comunicar à ANPD o incidente que possa causar risco ou dano relevante aos titulares. No acumulado de 2021 a 2025, o sequestro de dados sem transferência (ransomware) é o tipo mais comunicado, com 263 casos, mas no último ciclo o roubo de credenciais e a engenharia social passaram ao primeiro lugar. Para o comercial, isso tem endereço: login de vendedor no CRM e caixa de e-mail são credenciais. O Cetic.br mostra que 7% das empresas procuraram a ANPD para comunicar um incidente, contra 4% em 2021 (Cetic.br, XP17).

Sanções da ANPD: quantas e contra quem

Até outubro de 2026, a planilha do Painel da Fiscalização registra 37 processos administrativos sancionadores, dos quais 8 concluídos. Dez tiveram decisão de primeira instância, e nove dessas decisões aplicaram sanção. Sete atingiram órgãos públicos, que pela LGPD não recebem multa (art. 52, § 3º) e foram punidos com advertência, publicização da infração e medidas corretivas, quase sempre por falta de comunicação de incidente aos titulares.

A primeira multa aplicada pela ANPD saiu em julho de 2023, contra a Telekall Infoservice, no valor de R$ 14.400. A segunda, de agosto de 2026, aplicou à ByteDance Brasil, dona do TikTok, multas que somam R$ 153.769.671,33, por infrações a três dispositivos da LGPD no tratamento de dados de crianças e adolescentes, além da eliminação de dados de adolescentes cadastrados sem regularização (ANPD, Despacho Decisório nº 27/2026). É uma decisão de primeira instância, e a empresa apresentou recurso em setembro, segundo o painel. A LGPD limita a multa simples a 2% do faturamento no Brasil, com teto de R$ 50 milhões por infração, e o valor total passou desse teto porque somou infrações diferentes.

Dos 25 processos sancionadores abertos em 2026, 20 são contra órgãos públicos e 5 contra organizações privadas, e 23 incluem entre as condutas investigadas o art. 41 da LGPD, que trata da indicação do encarregado e de suas atividades. Antes deles, a ANPD notificou 20 grandes empresas em 2024 por falta de encarregado identificado ou de canal para o titular, das quais 6 receberam avisos para corrigir lacunas, e abriu em outubro de 2025 um novo monitoramento sobre o mesmo tema com outros 20 controladores.

Fiscalização em 2026 e 2027: perfilamento e IA

O Mapa de Temas Prioritários 2026-2027, aprovado em dezembro de 2025, interessa a marketing e vendas em dois pontos. O Tema 1 prevê 5 atividades de fiscalização sobre o “uso secundário de dados pessoais para entrega de publicidade comercial direcionada”, em especial por perfilamento. O Tema 4 prevê 20 atividades sobre tratamento de dados pessoais em sistemas de inteligência artificial e tecnologias emergentes. No ciclo anterior, a ANPD já havia fiscalizado o uso de dados pessoais para treinar IA generativa. O contexto regulatório da IA, com o AI Act e o PL 2338/2023, está em regulação de IA.

Tabela-resumo das fontes citadas

Fonte	Ano	Amostra e método	Principal achado
Cetic.br/NIC.br, TIC Empresas 2025, módulo de privacidade	2025, divulgada em 2026	4.174 empresas com 10 ou mais pessoas, 1.775 no módulo; telefone, fev/2025 a jan/2026; autodeclaração	14% nomearam encarregado (17% em 2021); 15% fizeram inventário
Cetic.br, Painel TIC 2025, privacidade	2025	2.500 usuários de internet com 16 anos ou mais, questionário online em dez/2025	37% dos usuários de IA informaram dados pessoais; 66% se preocupam com o uso deles
ANPD, 3º Relatório de Ciclo de Monitoramento	jul/2023 a jun/2025	Registros administrativos da fiscalização	9.629 requerimentos; 723 incidentes; 28,3% sem resposta das empresas
ANPD, Nota Técnica nº 1/2026, balanço do MTP 2024-2025	2024 e 2025	Avaliação interna das atividades de fiscalização	84 atividades de fiscalização; equipe de 8 pessoas no fim de 2025
ANPD, Painel da Fiscalização (planilha de out/2026)	2020 a 2026	Base de processos de fiscalização e sanção, em projeto piloto	37 processos sancionadores, 25 em 2026, 23 com o art. 41
ANPD, Resolução CD/ANPD nº 30/2025	2026 e 2027	Ato normativo	Metas de fiscalização sobre perfilamento para publicidade (5) e IA (20)

O que esses números significam para quem guarda leads no CRM e usa IA

O CRM concentra os dados que aparecem nas reclamações à ANPD. Na operação comercial, a dificuldade de eliminação, segunda maior queixa do ciclo, tem uma forma conhecida: o contato que pede para sair e continua recebendo e-mail de nutrição ou ligação de prospecção. Se a empresa não registra no CRM a origem do lead, a base legal do contato e o pedido do titular, o time comercial não tem como provar o que fez nem como atender o pedido em todas as listas e integrações onde aquele contato aparece. Por isso eu trato o pedido do titular como um processo do CRM, com responsável, prazo e registro, e não como um e-mail encaminhado ao jurídico.

O segundo ponto é a origem da base. Agregadores de dados aparecem entre os setores mais reclamados e formaram um tema inteiro de fiscalização no biênio passado, com processos ainda em curso. Quem compra lista para prospecção herda os problemas de origem dela, e a importação sem regra vira pergunta de conformidade: de onde veio cada contato e com que finalidade entrou no CRM.

O terceiro é a IA. A pesquisa do Cetic.br com usuários de internet mostra que 37% de quem usou ferramentas de IA em 2025 já informou dados pessoais como nome, endereço ou CPF, e que 66% estão preocupados ou muito preocupados com o uso desses dados pelas empresas de IA. Com a ANPD prometendo 20 atividades de fiscalização sobre IA e 5 sobre perfilamento para publicidade até 2027, o agente que pontua leads, personaliza campanhas ou resume conversas com clientes precisa de critério escrito, lista de campos que pode ler e registro no inventário do encarregado. As regras de uso para o time ficam na política de uso de IA, e o desenho da pontuação, em lead scoring.

O que esses dados não dizem

Os números do Cetic.br são autodeclarados por um respondente da empresa, que pode não conhecer o que outras áreas fazem. A queda do encarregado de 19% para 14% entre 2023 e 2025 deve ser lida com cuidado: o Cetic.br não informa nas tabelas se a diferença é estatisticamente significativa, cada edição tem amostra própria e a pergunta mede a nomeação formal, sem dizer se o encarregado nomeado atua. A pesquisa também não separa empresas B2B de B2C nem informa se o dado de cliente fica num CRM, numa planilha ou num sistema de gestão.

Os números da ANPD são registros administrativos e dependem da capacidade da própria agência. A equipe que conduz a maior parte das fiscalizações tinha 7 pessoas no início de 2024 e 8 no fim de 2025, segundo o balanço, e o painel é um projeto piloto, com dados sujeitos a correção. Poucas sanções não significam baixo descumprimento, e o salto dos requerimentos acompanha a troca do canal de atendimento, o que impede ler a série como aumento de infrações. O número de incidentes comunicados mede a disposição das empresas de comunicar, que cresceu depois do regulamento de 2024; o total de incidentes no país continua desconhecido.

Também não há relação de causa estabelecida entre ter encarregado e sofrer menos incidentes ou reclamações, e a multa de agosto de 2026 ainda pode mudar no recurso.

O que a liderança faz com esses números

O roteiro começa pelo que a fiscalização já cobra.

1. Confirme o encarregado e a página dele no site. Verifique se há ato formal de nomeação, se nome e contato aparecem em local de destaque, como pede a Resolução nº 18, e se alguém lê e responde a caixa de entrada desse canal.
2. Defina quem responde ao titular e em quanto tempo. Vendas, marketing, SAC e CS recebem o pedido primeiro; escreva o caminho até o encarregado, o prazo e o registro de cada pedido no CRM.
3. Faça o inventário do CRM. Liste os campos com dado pessoal, as integrações que escrevem na base, as listas importadas e a finalidade de cada uso, incluindo os agentes de IA que leem o histórico.
4. Escreva a regra de retenção e descarte. Decida com o encarregado e o jurídico quando um contato sem interação sai da base, quando é anonimizado e o que fica por obrigação legal.
5. Revise a origem das bases de prospecção. Antes da próxima compra de lista ou importação, peça ao fornecedor a origem dos dados e registre no CRM a fonte de cada contato.
6. Teste a resposta a incidente com o time comercial. Simule um login de CRM comprometido e confira se a pessoa sabe a quem avisar, porque o prazo de comunicação à ANPD é de três dias úteis.

LGPD e T&D: o que o RH precisa avaliar

Para o RH, o dado útil é este: o encarregado interno vem em geral da TI, do administrativo ou do jurídico, e o treinamento sobre proteção de dados oferecido pela própria empresa alcança 35% das empresas (Cetic.br, XP04). Quem atende o titular no dia a dia, porém, é o vendedor, o analista de marketing e o time de CS, que cadastram, importam, exportam e mandam mensagem a partir do CRM. O sinal de necessidade aparece quando o pedido de exclusão fica parado na caixa de um vendedor ou quando ninguém sabe quem aprovou a última importação.

A formação precisa juntar as lideranças comerciais, o administrador do CRM e o encarregado, com o jurídico ajudando a montar as regras. Para medir, registre antes e depois o tempo de resposta aos pedidos de titulares, a proporção de contatos com origem preenchida no CRM e o número de importações feitas fora do fluxo aprovado.

A LGPD em números mostra empresas que guardam dados de clientes para vender e se comunicar, com pouca estrutura para responder por eles, e uma agência que começou a cobrar essa estrutura. Esse trabalho passa pelo CRM e pelas pessoas que o operam, e é o foco do treinamento in company de adoção de CRM, feito sobre a base e os processos da sua empresa. A turma sai com o guia de boas práticas de CRM, que inclui origem do lead, registro de pedidos do titular e regra de importação, e com o manual de gestão de carteira e base, com a rotina de retenção e descarte combinada com o encarregado.

Perguntas frequentes

Quantas empresas brasileiras têm encarregado de dados?

Segundo a TIC Empresas 2025 do Cetic.br, 14% das empresas com dez ou mais pessoas ocupadas que mantêm dados de pessoas físicas nomearam um encarregado. A proporção é de 40% nas grandes, 21% nas médias e 12% nas pequenas.

Quantas multas a ANPD já aplicou?

Até outubro de 2026, a ANPD multou duas empresas privadas: a Telekall Infoservice, com R$ 14.400 em 2023, e a ByteDance Brasil, com R$ 153,7 milhões em agosto de 2026, decisão de primeira instância com recurso apresentado. As outras sete decisões com sanção atingiram órgãos públicos, que pela LGPD recebem advertência e outras medidas, sem multa.

Quantos incidentes de segurança são comunicados à ANPD por ano?

A ANPD recebeu 186 comunicados em 2021, 275 em 2022, 352 em 2023, 336 em 2024 e 198 no primeiro semestre de 2025. O número mede os incidentes que as empresas decidiram comunicar, e não o total de incidentes no país.

Empresa pequena precisa de encarregado?

A ANPD prevê regras simplificadas para agentes de tratamento de pequeno porte, incluindo dispensa de indicar encarregado em alguns casos, desde que a empresa mantenha um canal de comunicação com o titular. A aplicação ao seu caso depende do enquadramento e deve ser validada com o jurídico.

O que a LGPD exige do CRM?

A lei não fala em CRM, mas se aplica aos dados pessoais guardados nele: finalidade definida, base legal, dados necessários, atendimento aos direitos do titular e segurança. Na prática, isso pede registro da origem de cada contato, fluxo para pedidos de exclusão e correção, regra de retenção e controle de acesso.

Como preparar o time para lidar com a LGPD no dia a dia?

Comece pelas situações que o time vive: o lead que pede para sair da lista, a planilha comprada, o cliente que pergunta quais dados a empresa guarda. Treine vendas, marketing e CS sobre o fluxo da empresa para cada caso, com o encarregado na construção do conteúdo, e meça o tempo de resposta aos pedidos depois da formação.