Publicidade
O regulador raramente aplica em si mesmo a régua mais dura do que aplica ao mercado. O padrão histórico é o oposto: exigência rigorosa para fora, prazo elástico e exceção generosa para dentro.
Quando esse padrão se inverte, vale prestar atenção: foi o que aconteceu em maio, quando a Susep publicou a Instrução Normativa nº 007/2026, definindo como a própria autarquia deve reagir a um vazamento de dados pessoais dentro de casa.
A norma não para em princípios genéricos. Define um fluxo de sete etapas obrigatórias: notificação do incidente, identificação e análise, classificação do incidente, contenção, erradicação, recuperação e comunicação à ANPD e aos titulares afetados, quando aplicável.
Continua depois da publicidade
Determina ainda que esse fluxo seja revisado a cada seis meses e mantido publicado na intranet institucional, além de dividir responsabilidades entre três frentes: o encarregado, que atua como canal com a ANPD e os titulares e coordena essa comunicação; a área de segurança da informação, que monitora eventos, analisa os incidentes e executa a contenção, erradicação e recuperação por meio de uma equipe própria de resposta; e as unidades responsáveis pelos sistemas afetados, que apoiam a avaliação de impacto e colaboram na recuperação.
Pode parecer burocracia interna sem repercussão prática, já que a norma regula a própria Susep, não as seguradoras que ela supervisiona.
Mas o valor do gesto está exatamente aí. Uma autarquia que se obriga a testar, documentar e atualizar semestralmente seu próprio plano de resposta a incidentes está validando, na prática, qual é o padrão mínimo que considera aceitável, e fica difícil cobrar de terceiros um rigor que a própria instituição não pratica.
Continua depois da publicidade
A ANPD também trocou de estrutura
A coincidência de calendário ajuda a entender o tamanho do movimento. Em fevereiro, a Lei nº 15.352/2026 transformou a ANPD de autoridade em agência, com autonomia funcional, técnica, decisória, administrativa e financeira, patrimônio próprio, corregedoria interna e 200 novos cargos de especialista, preenchidos por concurso.
Quem antes dependia de estrutura emprestada para fiscalizar ganhou, de uma vez, orçamento e quadro próprios para exercer o papel.
O efeito já apareceu nos números, e é onde a história fica interessante.
Continua depois da publicidade
Entre julho de 2023 e o início de 2026, a ANPD havia concluído nove processos sancionadores, quase todos contra órgãos públicos e resolvidos em advertência.
O total em multas pecuniárias somava R$ 14,4 mil, aplicados a uma única microempresa. Só em junho deste ano, já como agência, a autarquia abriu dezenove processos novos.
Não é um pico isolado: é a cadência de trabalho de uma estrutura que passou a ter orçamento para fiscalizar de forma contínua, não reativa. Quem ainda trata resposta a incidente como formalidade documental está lendo um cenário que já virou página.
Continua depois da publicidade
Uma autarquia que também mede o que entrega
O rigor da Susep não nasce isolado dentro da própria casa. A instrução normativa integra o Plano de Integridade 2025-2026, braço executivo do PROGRIDE, organizado em quatro eixos: governança, gestão de riscos, comunicação e capacitação, e monitoramento de desempenho.
No ciclo anterior, entre 2023 e 2024, a Susep concluiu 95% das ações planejadas, sendo 80% delas dentro do prazo. É um nível de execução que poucas estruturas de compliance, públicas ou privadas, sustentam com regularidade.
O Legislativo também está em movimento
O Congresso avança em duas frentes que ainda não viraram lei, mas já indicam a direção do debate.
O anteprojeto da Lei Geral de Cibersegurança, em discussão no Comitê Nacional de Cibersegurança, prevê multas de até 2% do faturamento anual (limitadas a R$ 50 milhões por infração) para dezesseis setores considerados essenciais, entre eles o financeiro.
Em paralelo, o Marco Legal da Inteligência Artificial, o PL 2338/2023, chega a uma fase decisiva de votação, com efeitos diretos sobre como sistemas automatizados poderão tratar dados pessoais.
Nenhuma das duas propostas é obrigação vigente hoje, mas o mercado já não espera a sanção para se mexer: pesquisa da Febraban apresentada em agosto mostrou que 58% dos bancos já têm ao menos um especialista em cibersegurança no conselho de administração, e 88% integraram formalmente as áreas de cibersegurança, prevenção a fraudes e combate à lavagem de dinheiro.
É razoável esperar que outros reguladores setoriais sigam o mesmo caminho da Susep nos próprios ciclos de revisão normativa. O precedente já foi dado.
A régua que a Susep aplicou a si mesma, reforçada agora por uma ANPD com estrutura para cobrar, chega como um teste direto para qualquer organização que lida com dados pessoais no Brasil, seguradora ou não: se um vazamento acontecesse agora, neste exato minuto, você conseguiria dizer em uma frase qual é o primeiro passo a seguir? Quem hesitar diante dessa pergunta acabou de descobrir, sozinho, o que nenhuma auditoria mostra: um plano que existe no papel, mas nunca foi ensaiado.
