Passou da hora de abandonar uma das narrativas mais confortáveis em privacidade: a premissa de que a Resolução nº 4 da ANPD trouxe previsibilidade de nível europeu à LGPD.
Passou da hora de abandonar uma das narrativas mais confortáveis em privacidade: a premissa de que a Resolução nº 4 da ANPD trouxe previsibilidade de nível europeu à LGPD.
A narrativa é conveniente. Conveniente para diretorias. Conveniente para fornecedores de compliance. Conveniente para modelos de risco que preferem a incerteza jurídica traduzida em planilhas organizadas e dashboards estáticos.
Mas a premissa é falsa.
Quando a ANPD publicou a dosimetria, o mercado focou em matemática: classificações, percentuais, tetos e atenuantes. Como a própria LGPD restringe a multa ao faturamento local, distante da lógica global do GDPR, o regulamento consolidou uma ilusão imediata de exposição contida.
Mas a previsibilidade não deriva de cálculos. Ela deriva da densidade institucional: histórico consolidado de enforcement, coordenação transfronteiriça e o peso interpretativo de um órgão regulador maduro com precedentes consolidados. O Brasil não possui essa arquitetura. E isso importa muito mais do que as matrizes de risco admitem.
Enquanto o mercado debate se uma infração é leve, média ou grave, o artigo 27 atua exatamente como o consenso de mercado já o define: uma cláusula de discricionariedade ampla. A ANPD pode afastar sua própria metodologia sancionadora se considerar o resultado padrão desproporcional.
O que acontece com a matriz de riscos da sua empresa quando o regulador pode, legalmente, desconsiderar a calculadora?
Discricionariedade administrativa é da natureza do direito sancionador. O erro é acreditar que uma fórmula matemática anula o risco estrutural.
Para programas globais, o desafio real não é estimar uma multa com teto local. É gerenciar a interação entre exposição reputacional, fragmentação regulatória e a ausência de precedentes consolidados.
A governança de privacidade não foi concebida para fabricar certezas artificiais. Ela existe para preparar organizações para operar dentro da incerteza. O programa de privacidade que calibra seus controles apenas para o pior cenário calculável pela fórmula da Resolução 4 está calibrado para a pergunta errada.
It is time to abandon one of the most comfortable narratives in privacy: the idea that ANPD's Resolution No. 4 finally brought European-style predictability to the LGPD.
The narrative is convenient. Convenient for boards. Convenient for compliance vendors. Convenient for governance frameworks that prefer legal uncertainty translated into neat spreadsheets and static dashboards.
But the comparison is flawed.
When the ANPD published its sanctioning regulation, the market focused on the formula. The discussion became mathematical: classifications, percentages, caps, and mitigation criteria. Anchored to local revenue rather than global turnover, the Brazilian model offered an immediate illusion of contained exposure.
But predictability does not stem from calculation. It stems from institutional density: consolidated enforcement history, cross-border coordination, and the interpretative weight of a mature regulatory body with consolidated precedents. Brazil lacks this structure. And this matters far more than risk matrices admit.
While the market debates whether a violation is mild, medium, or severe, Article 27 quietly preserves a broad discretionary escape valve. The authority can bypass its own methodology if it deems the standard calculation disproportionate.
What happens to your corporate risk matrix when the regulator can legally set aside the calculator?
Administrative discretion is expected in any mature framework. The failure is pretending that a formula alone resolves structural uncertainty.
For global privacy programmes, the challenge is not estimating a capped local fine. It is managing the interaction of reputational exposure, regulatory fragmentation, and the absence of consolidated enforcement precedent.
Privacy governance is not designed to manufacture artificial certainty. It exists to prepare organisations to operate within uncertainty. A privacy programme calibrated only for the worst calculable scenario under the Resolution 4 formula is calibrated for the wrong question.
Ha llegado el momento de abandonar una de las narrativas más cómodas en privacidad: la premisa de que la Resolución nº 4 de la ANPD trajo previsibilidad de nivel europeo a la LGPD.
La narrativa es conveniente. Conveniente para los directorios. Conveniente para los proveedores de cumplimiento. Conveniente para los modelos de riesgo que prefieren la incertidumbre jurídica traducida en hojas de cálculo organizadas y paneles estáticos.
Pero la premisa es falsa.
Cuando la ANPD publicó la dosimetría, el mercado se centró en las matemáticas: clasificaciones, porcentajes, límites y atenuantes. Como la propia LGPD restringe la multa a los ingresos locales, distante de la lógica global del RGPD, el reglamento consolidó una ilusión inmediata de exposición contenida.
Pero la previsibilidad no deriva de los cálculos. Deriva de la densidad institucional: historial consolidado de enforcement, coordinación transfronteriza y el peso interpretativo de un órgano regulador maduro con precedentes consolidados. Brasil carece de esta arquitectura.
Mientras el mercado debate si una infracción es leve, media o grave, el artículo 27 preserva silenciosamente una amplia válvula de escape discrecional. La autoridad puede eludir su propia metodología si considera que el cálculo estándar es desproporcionado.
La gobernanza de privacidad no está diseñada para fabricar certezas artificiales. Existe para preparar a las organizaciones para operar dentro de la incertidumbre.
È giunto il momento di abbandonare una delle narrative più confortanti nella privacy: la premessa che la Risoluzione n. 4 dell'ANPD abbia portato una prevedibilità di livello europeo alla LGPD.
La narrativa è conveniente. Conveniente per i consigli di amministrazione. Conveniente per i fornitori di compliance. Conveniente per i modelli di rischio che preferiscono l'incertezza giuridica tradotta in fogli di calcolo ordinati e dashboard statici.
Ma la premessa è falsa.
Quando l'ANPD ha pubblicato la dosimetria, il mercato si è concentrato sulla matematica: classificazioni, percentuali, massimali e criteri di attenuazione. Ancorato al fatturato locale piuttosto che al fatturato globale, il modello brasiliano ha offerto un'immediata illusione di esposizione contenuta.
Ma la prevedibilità non deriva dal calcolo. Deriva dalla densità istituzionale: una consolidata storia di enforcement, coordinamento transfrontaliero e il peso interpretativo di un organo regolatore maturo con precedenti consolidati. Il Brasile manca di questa struttura.
Mentre il mercato dibatte se una violazione è lieve, media o grave, l'articolo 27 preserva silenziosamente un'ampia valvola di fuga discrezionale. L'autorità può aggirare la propria metodologia se ritiene che il calcolo standard sia sproporzionato.
La governance della privacy non è progettata per fabbricare certezze artificiali. Esiste per preparare le organizzazioni a operare nell'incertezza.