Canal de denúncias ANPD Marco Civil da Internet: 5 controles

Desde 20/07/2026, empresas e plataformas alcançadas pelos Decretos 12.975/2026 e 12.976/2026 precisam estruturar o recebimento de denúncias, manter representação legal no Brasil e comprovar como analisam e respondem às notificações relacionadas ao Marco Civil da Internet.

• Mapear quais serviços, anúncios, sistemas de inteligência artificial e tratamentos de dados entram no alcance dos decretos.
• Disponibilizar um canal de notificação acessível, rastreável e conectado às áreas jurídica, de privacidade e de segurança.
• Designar representante legal no Brasil quando a organização estrangeira oferecer serviços ao mercado nacional.
• Revisar anúncios, políticas de moderação e salvaguardas aplicadas a sistemas automatizados.
• Implantar um protocolo de resposta à ANPD com responsáveis, evidências, prazos internos e critérios de escalonamento.

Uma denúncia mal tratada pode revelar falhas de governança antes invisíveis, enquanto um fluxo documentado reduz risco regulatório e evita respostas contraditórias. Os pontos abaixo mostram como transformar as novas exigências em controles verificáveis, sem confundir o canal regulatório com um SAC comum.

O que mudou em 20/07/2026

Os Decretos 12.975/2026 e 12.976/2026 entraram em vigor em 20/07/2026, conforme o marco temporal indicado para as novas medidas relacionadas à aplicação do Marco Civil da Internet e ao canal de denúncias perante a ANPD.

A regulamentação exige atenção imediata porque uma empresa precisa demonstrar como recebe uma comunicação, identifica o serviço envolvido, preserva registros e encaminha o caso à equipe competente. Embora a denúncia não prove automaticamente uma infração, ela pode iniciar uma verificação regulatória.

O canal de denúncias ANPD Marco Civil da Internet não substitui o canal do titular previsto na LGPD, o SAC, a ouvidoria ou o canal interno de integridade. Cada porta de entrada atende uma finalidade, mas a empresa deve conectar os fluxos quando a mesma ocorrência envolver dados pessoais, publicidade, conteúdo digital e decisões automatizadas.

Na prática, uma reclamação sobre anúncio direcionado pode começar no atendimento ao consumidor e depois exigir análise de privacidade, pois a segmentação pode usar dados pessoais. Se o anúncio também apresentar conteúdo ilícito ou fraudulento, a equipe jurídica deverá avaliar as regras do Marco Civil e as determinações aplicáveis ao serviço.

Como interpretar os dois decretos

As organizações devem ler os Decretos 12.975/2026 e 12.976/2026 em conjunto com o Marco Civil da Internet, a LGPD e os atos procedimentais da ANPD. Isso evita que a equipe atribua a uma norma uma obrigação que nasce de outra base legal.

O primeiro trabalho consiste em criar uma matriz com pelo menos 4 colunas: dispositivo, obrigação, área responsável e evidência. Quando a norma exigir uma providência, a empresa associa o requisito a um documento ou registro operacional, como política, relatório técnico, protocolo de atendimento ou ata de decisão.

A interpretação também precisa separar prazo legal de prazo interno. Se a autoridade definir uma data em uma notificação específica, essa data prevalece, enquanto metas de 24 ou 48 horas funcionam apenas como controles internos para impedir atrasos.

Quais organizações precisam agir

Empresas de tecnologia, e-commerce, publicidade digital, redes sociais, marketplaces, provedores de aplicações e fornecedores de inteligência artificial devem avaliar o alcance das novas regras, sobretudo quando oferecem serviços no Brasil ou tratam dados de pessoas localizadas no país.

Uma empresa estrangeira não deve ignorar a regulamentação porque mantém servidores no exterior. Quando ela direciona serviços ao mercado brasileiro, aceita pagamentos em reais, veicula campanhas para brasileiros ou oferece interface em português, esses elementos podem demonstrar atuação relevante no Brasil.

A análise de enquadramento deve considerar pelo menos 5 grupos:

• Plataformas que hospedam, recomendam, impulsionam ou removem conteúdo de terceiros.
• Marketplaces que intermedeiam vendedores, pagamentos, anúncios ou avaliações de consumidores.
• Empresas de marketing que segmentam públicos com dados pessoais ou perfis comportamentais.
• Fornecedores de inteligência artificial que classificam usuários, recomendam conteúdo ou automatizam decisões.
• Organizações estrangeiras que oferecem aplicações ou serviços digitais ao público brasileiro.

Mesmo uma empresa sem plataforma pública pode entrar no fluxo se operar campanhas digitais, contratar ferramentas de IA ou compartilhar dados com fornecedores. Por isso, a avaliação deve alcançar contratos, integrações por API e cadeias de suboperadores, e não somente o site principal.

Representante legal no Brasil

O representante legal no Brasil precisa ter poderes e meios reais para receber comunicações e coordenar respostas, pois um nome sem estrutura operacional não assegura atendimento regulatório.

A empresa deve documentar a nomeação, os dados de contato, as atribuições e o procedimento de substituição. Além disso, deve manter um canal alternativo para períodos de férias, afastamentos ou indisponibilidade técnica.

Um teste simples consiste em enviar uma comunicação simulada e medir quanto tempo a mensagem leva para chegar ao jurídico. Se ninguém confirmar o recebimento em 24 horas, o fluxo precisa de ajuste, embora esse período represente uma meta interna e não um prazo legal geral.

Quais condutas podem gerar denúncias

A ANPD pode receber relatos ligados ao uso irregular de dados pessoais, à falta de transparência e a práticas digitais alcançadas por sua competência regulatória, enquanto outros órgãos podem atuar quando o fato envolve consumo, concorrência, crime ou direitos de crianças e adolescentes.

Entre as situações que exigem triagem jurídica, aparecem:

• Coleta de dados sem informação clara sobre finalidade, compartilhamento ou tempo de retenção.
• Uso de dados sensíveis em segmentação publicitária sem base legal adequada.
• Dificuldade artificial para exercer direitos de acesso, correção, oposição ou eliminação.
• Ausência de contato válido para uma plataforma estrangeira que atua no Brasil.
• Anúncios fraudulentos, discriminatórios ou direcionados com critérios proibidos.
• Decisões automatizadas que produzem efeitos relevantes sem transparência ou revisão adequada.
• Falhas na preservação de registros necessários para investigar uma ocorrência.
• Respostas incompletas, contraditórias ou enviadas depois do prazo fixado pela autoridade.

Uma denúncia precisa conter fatos verificáveis sempre que possível, como URL, data, identificação do anúncio, capturas de tela e número de protocolo. Entretanto, a empresa deve evitar solicitar dados excessivos, porque a própria apuração pode criar um novo risco de privacidade.

A triagem também deve identificar a autoridade competente. Se o caso envolver relação de consumo, a organização pode precisar coordenar a resposta com o Procon ou a Senacon, enquanto indícios de crime podem exigir preservação de evidências e contato com autoridades policiais.

Os 5 controles para adequação imediata

Um programa mínimo reúne 5 controles: canal de notificação, representante legal, revisão de anúncios, salvaguardas em IA e protocolo de resposta à ANPD. Esses controles precisam funcionar de forma integrada porque uma ocorrência pode atravessar várias áreas.

1. Canal de notificação rastreável

O canal deve gerar número de protocolo, registrar data e hora, limitar acessos e permitir classificação do assunto. Além disso, o formulário precisa aceitar evidências sem exigir informações desnecessárias do denunciante.

A empresa pode usar um portal, endereço eletrônico ou ferramenta de gestão de casos, desde que preserve integridade, disponibilidade e confidencialidade. Um endereço sem monitoramento cria um erro no SLA, pois a mensagem chega, mas ninguém controla a triagem ou o vencimento da resposta.

Uma configuração prática adota 24 horas como meta interna para triagem e 48 horas para preservar os registros relacionados ao caso. Contudo, essas metas não substituem os prazos legais ou o prazo específico informado pela ANPD.

2. Representação com poderes definidos

O representante precisa acessar contratos, políticas e responsáveis técnicos, embora a empresa possa restringir dados conforme a necessidade. Sem esse acesso, ele apenas retransmite mensagens e aumenta o tempo de resposta.

A procuração ou o ato societário deve indicar poderes compatíveis, enquanto o procedimento interno deve explicar quem aprova a manifestação final. A organização também precisa atualizar os contatos após qualquer troca de representante.

3. Revisão de anúncios e segmentação

A revisão deve alcançar o conteúdo do anúncio e os dados usados para selecionar o público. Isso inclui audiências personalizadas, pixels, cookies, listas de clientes e perfis produzidos por plataformas terceiras.

Em um exemplo concreto, uma campanha de crédito que exclui determinados bairros pode produzir discriminação indireta, embora o anúncio não mencione raça ou renda. A empresa deve registrar critérios, base legal, fornecedores envolvidos e testes de impacto antes da veiculação.

4. Salvaguardas em inteligência artificial

Sistemas de IA precisam de inventário, responsável e classificação de risco, pois a equipe não consegue responder sobre um modelo que não conhece. Cada sistema deve registrar finalidade, dados de entrada, fornecedor, usuários afetados e mecanismo de supervisão humana.

Uma plataforma que recomenda anúncios deve testar resultados discriminatórios e documentar mudanças relevantes no modelo. Além disso, deve criar meios para interromper uma automação quando ela produzir dano recorrente.

Controles adicionais estão detalhados no conteúdo sobre inteligência artificial e compliance com 7 controles, que também ajuda a conectar governança, monitoramento e responsabilização.

5. Protocolo de resposta à ANPD

O protocolo deve indicar quem recebe, investiga, aprova e envia a resposta, enquanto uma matriz de escalonamento define quando a diretoria e o encarregado participam. A equipe também deve preservar a versão exata de cada documento enviado.

Um fluxo interno pode adotar 4 etapas:

1. Confirmar autenticidade, escopo e prazo da comunicação recebida.
2. Preservar registros, contratos, logs e decisões relacionados aos fatos.
3. Consolidar a análise jurídica e técnica sem alterar evidências originais.
4. Aprovar, protocolar e arquivar a resposta com comprovante de envio.

O prazo informado pela autoridade deve entrar no sistema com alertas antecipados, porque planilhas isoladas falham quando o responsável se afasta. Uma boa prática cria alertas em 50%, 75% e 90% do período disponível.

Como organizar a resposta sem produzir novos riscos

A resposta regulatória deve ser objetiva, comprovável e limitada ao pedido da autoridade, pois o envio excessivo de dados amplia a exposição jurídica e operacional.

A empresa deve separar fatos confirmados de hipóteses, enquanto documentos técnicos precisam indicar versão, data e responsável. Se uma informação ainda depender de validação, a resposta deve declarar essa condição com precisão.

Antes do envio, a revisão jurídica precisa verificar:

• Se todos os itens da notificação receberam resposta direta.
• Se os anexos correspondem às versões mencionadas no texto.
• Se dados de terceiros foram minimizados ou protegidos.
• Se a empresa preservou logs e evidências sem alteração.
• Se o representante possui poderes para assinar ou protocolar.
• Se o comprovante de envio ficará retido pelo período definido na política interna.

Uma resposta rápida, mas inconsistente, pode agravar a avaliação da autoridade. Por outro lado, pedir prorrogação sem justificativa concreta também cria risco, portanto a empresa deve explicar o impedimento e apresentar um cronograma realista quando a norma permitir o pedido.

Sanções e efeitos relacionados

A LGPD admite multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de outras sanções previstas em lei. Já o Marco Civil prevê medidas próprias, inclusive multa de até 10% do faturamento do grupo econômico no Brasil em hipóteses abrangidas pelo artigo 12.

Esses limites não significam aplicação automática, pois a autoridade considera a base legal, a gravidade e o processo administrativo correspondente. Ainda assim, falhas de registro reduzem a capacidade da empresa de provar boa-fé, cooperação e adoção de controles.

Checklist de conformidade para os primeiros 30 dias

Um ciclo inicial de 30 dias permite identificar lacunas urgentes, embora organizações complexas precisem de mais tempo para concluir integrações e revisar contratos.

1. Nos primeiros 5 dias, confirme o enquadramento, nomeie responsáveis e catalogue os canais existentes.
2. Até o dia 10, teste o recebimento de notificações e valide os contatos do representante legal.
3. Até o dia 15, mapeie anúncios, ferramentas de segmentação e sistemas de IA ligados ao público brasileiro.
4. Até o dia 20, aprove o protocolo de resposta, as metas internas e a matriz de escalonamento.
5. Até o dia 25, execute uma simulação com denúncia, preservação de evidências e minuta de resposta.
6. Até o dia 30, corrija as falhas, registre as decisões e apresente os riscos residuais à direção.

Esse plano não cria um prazo regulatório de 30 dias, mas oferece uma referência de implementação. A prioridade deve mudar se a empresa receber uma notificação real, sofrer incidente de segurança ou identificar tratamento irregular em andamento.

Como o Ibertol apoia a adequação

O Ibertol conduz o diagnóstico de conformidade com avaliação jurídica, operacional e tecnológica, enquanto a empresa mantém a decisão sobre prioridades e nível de risco aceitável.

O trabalho pode incluir análise de aplicabilidade dos decretos, teste do canal de notificação, revisão da representação legal, inventário de IA, avaliação de anúncios e construção do protocolo de resposta à ANPD.

O diagnóstico também compara documentos com a prática. Se a política promete resposta em 24 horas, por exemplo, a equipe testa o fluxo para verificar se o compromisso funciona fora do papel.

Ao final, a organização recebe lacunas classificadas por risco, responsáveis sugeridos e evidências esperadas. Assim, o plano reduz risco porque direciona recursos aos controles que afetam o atendimento regulatório e a proteção de dados.

Solicite um diagnóstico de conformidade com o Ibertol para verificar como os Decretos 12.975/2026 e 12.976/2026 afetam sua operação, seus fornecedores e seus sistemas de inteligência artificial.

Perguntas frequentes sobre o canal de denúncias e o Marco Civil