ANPD não aprova Guia Orientativo sobre tratamento de dados pessoais de alto risco

O Conselho Diretor da Agência Nacional de Proteção de Dados (ANPD), por meio do Voto nº 11/2025/DIR-MW/CD, decidiu, por unanimidade, pela não aprovação do Guia Orientativo sobre Tratamento de Dados Pessoais de Alto Risco. A minuta tinha por objetivo auxiliar os agentes de tratamento na identificação de hipóteses de tratamento de dados pessoais de alto risco, conforme previsto no art. 4º, § 3º, do Regulamento aprovado pela Resolução CD/ANPD nº 2/2022.

O que a minuta do Guia propunha

O Guia buscava elucidar o conceito de “alto risco” no tratamento de dados pessoais e fornecer orientações para sua identificação e aplicação uniforme pelos agentes de tratamento.  Nos termos da Resolução nº 2/2022, a minuta estruturava-se em torno da combinação cumulativa de ao menos um critério geral e um critério específico. Como critérios gerais, o Guia tratava da larga escala — propondo que tratamentos envolvendo dois milhões ou mais de titulares (cerca de 1% da população brasileira) fossem automaticamente classificados como tal e criando uma metodologia multicritério de seis etapas, baseada em volume de dados, duração, frequência e extensão geográfica do tratamento, para os casos abaixo desse patamar. Além disso, ainda como critério geral, o Guia tratava do potencial de afetar significativamente interesses e direitos fundamentais dos titulares, o que abrangia situações como o impedimento do exercício de direitos, a impossibilidade de utilização de serviço essencial e a ocorrência de danos materiais ou morais, tais como discriminação, fraude financeira e roubo de identidade.

Já como critérios específicos, a minuta listava:

• O uso de tecnologias emergentes ou inovadoras, como inteligência artificial e reconhecimento facial;
• A vigilância ou controle de zonas acessíveis ao público;
• Decisões tomadas unicamente com base em tratamento automatizado de dados pessoais; e
• A utilização de dados pessoais sensíveis ou de dados de crianças, adolescentes e idosos. Assim, para que um tratamento fosse considerado de alto risco, seria necessário o atendimento cumulativo de ao menos um critério geral e um critério específico dentre os indicados.

Por que a ANPD não aprovou

Embora tenha reconhecido a regularidade formal do processo — que incluiu tomada de subsídios, consulta à sociedade e parecer da Procuradoria —, a Diretora Relatora concluiu que a minuta não atendia plenamente aos objetivos pretendidos, por três razões principais:

• Complexidade excessiva da metodologia: a metodologia multicritério de seis etapas para aferição de larga escala dificultaria sua aplicação cotidiana, especialmente por agentes de pequeno porte;
• Foco limitado na gestão de riscos: a análise do alto risco pressupõe avaliação mais ampla, que pode ser instrumentalizada por meio do Relatório de Impacto à Proteção de Dados (RIPD), e não apenas por um guia setorial;
• Risco de fragmentação: publicar orientações isoladas sobre alto risco, sem abordagem consolidada sobre gestão de riscos, poderia comprometer a coerência regulatória.

Perspectivas

Segundo a Relatora, o tema poderá ser endereçado no âmbito do tema 2 da Agenda Regulatória 2025-2026 da ANPD, relativo ao Relatório de Impacto à Proteção de Dados, por meio de uma abordagem integrada sobre gestão de riscos.   Apesar do arquivamento, o processo foi devolvido à Superintendência de Regulação para eventual aproveitamento dos conteúdos como subsídios para publicação futura.

A decisão sinaliza que a ANPD pretende tratar a orientação sobre alto risco de forma conjunta com a regulamentação do RIPD, priorizando uma visão integrada da gestão de riscos em proteção de dados.

Para mais informações sobre o tema, conheça as práticas de Proteção de Dados e Cybersecurity e Tecnologia do Mattos Filho.