O mercado brasileiro ainda se apoia em uma crença confortável: a de que a adequação à Lei Geral de Proteção de Dados Pessoais (LGPD) é um processo em curso, com avanços graduais e riscos controlados. No entanto, recortes inéditos divulgados pelo Cetic.br em agosto de 2026 desmontam essa percepção ao revelar que a maioria das empresas e boa parte dos órgãos públicos operam com lacunas críticas tanto na nomeação de encarregados de dados quanto na implementação efetiva de políticas e planos de resposta a incidentes. A disparidade entre setores e portes de organização, somada à ausência de diretrizes nacionais claras em áreas sensíveis como saúde e educação, coloca em xeque a real capacidade de proteção dos dados pessoais sob custódia de instituições brasileiras.

Discrepâncias na nomeação de encarregados de dados expõem fragilidades

Segundo levantamento do Cetic.br, enquanto 93% das organizações federais já nomearam um encarregado de dados (DPO, Data Protection Officer), apenas 58% das estaduais fizeram o mesmo. O cenário é ainda mais crítico nas empresas: somente 16% nomearam um DPO, índice que sobe para 40% quando consideradas apenas as grandes companhias. Na área da saúde pública, o percentual é de apenas 13% dos estabelecimentos. Esses números, apresentados por Cetic.br, mostram que a adequação à LGPD está longe de ser homogênea e que a maioria das empresas e órgãos estaduais ainda não cumpre sequer o requisito básico da lei.

Fernanda Campagnucci, diretora-executiva do InternetLab, avalia que a nomeação do encarregado, quando ocorre, muitas vezes não é acompanhada do suporte institucional necessário. Segundo ela, há uma “solidão dos encarregados”, pois o profissional assume a gestão dos dados sem recursos ou respaldo suficientes para implementar mudanças estruturais.

Políticas de proteção e resposta a incidentes: o que falta para a maturidade

O levantamento do Cetic.br também mostra que apenas 15% das empresas possuem inventários de dados pessoais, embora 69% armazenem informações de clientes ou usuários. Entre os dados sensíveis de funcionários, biometria (31%) e saúde (26%) são os mais comuns. No setor público, 42% das prefeituras contam com áreas específicas para tratamento de dados pessoais, percentual que cai para 37% em cidades com mais de 10 mil habitantes.

Quando o tema é a preparação para incidentes, a diferença entre esferas é clara: 54% dos órgãos federais afirmam ter planos de resposta, contra 42% dos estaduais. No setor de saúde, apenas 28% dos estabelecimentos contam com política de segurança da informação, número que sobe para 54% em hospitais com mais de 50 leitos. Esses dados, exclusivos do Cetic.br, indicam que a maioria das organizações ainda opera sem planos robustos para lidar com vazamentos ou ataques, o que pode gerar prejuízos financeiros e reputacionais consideráveis.

Saúde e educação: riscos ampliados pela ausência de diretrizes nacionais

O levantamento também destaca a vulnerabilidade de setores críticos. Na saúde pública, a baixa adesão à nomeação de DPOs e à implementação de políticas de segurança amplia o risco de exposição de dados sensíveis, como prontuários e informações biométricas. No setor educacional, 53% dos gestores já utilizam inteligência artificial generativa na gestão escolar e 6% das escolas empregam reconhecimento facial. Apesar do avanço tecnológico, apenas 54% das escolas possuem documentos formais de diretrizes de segurança, segundo o Cetic.br.

Para Fernanda Campagnucci, a ausência de diretrizes nacionais claras sobre o uso de tecnologias como reconhecimento facial em escolas e hospitais é um fator de risco adicional. Ela defende que os ministérios da Educação e da Saúde devem liderar a criação de normas obrigatórias para orientar gestores e evitar decisões isoladas que podem comprometer a privacidade dos cidadãos.

O paradoxo da prevenção e o custo invisível do descaso

O fenômeno identificado por Campagnucci, chamado de “paradoxo da prevenção”, ajuda a explicar por que muitas empresas, especialmente as de médio e pequeno porte, relutam em investir em proteção de dados. Como não percebem incidentes de segurança em seu cotidiano, acabam reduzindo custos e equipes na área, ignorando que o impacto de um vazamento pode ser devastador e envolver sanções da Autoridade Nacional de Proteção de Dados (ANPD), além de ações judiciais e danos à reputação.

O levantamento do Cetic.br sugere que essa postura representa um risco sistêmico. A ausência de inventários de dados, políticas de segurança e planos de resposta a incidentes deixa organizações vulneráveis a ataques cibernéticos e incidentes internos, além de dificultar a conformidade em caso de fiscalização. Para quem decide em TI, o custo da não conformidade tende a ser muito maior do que o investimento preventivo, mesmo que a percepção imediata seja de economia.

O contraponto: há quem minimize o problema?

Embora o levantamento do Cetic.br não traga diretamente vozes que minimizem a urgência da adequação, o próprio comportamento das empresas e órgãos públicos sugere uma subestimação do risco. A lógica do “paradoxo da prevenção” indica que a ausência de incidentes visíveis alimenta a falsa sensação de segurança. No entanto, não há dados públicos que sustentem a tese de que a maioria das organizações esteja segura apenas com medidas básicas ou improvisadas.

O consenso entre especialistas, como exposto por Campagnucci, é que a falta de suporte institucional e de políticas claras não só compromete a proteção dos dados como também coloca em risco a continuidade dos negócios. O levantamento do Cetic.br, único disponível sobre o tema neste recorte, reforça a necessidade de ação coordenada e de investimento em infraestrutura e governança de dados.

O que ainda não se sabe e o desafio para quem decide

Apesar do retrato detalhado apresentado pelo Cetic.br, permanecem incertezas relevantes: não há dados consolidados sobre o impacto financeiro dos incidentes de segurança em empresas brasileiras nem sobre a eficácia das políticas implementadas nos poucos casos em que elas existem. Também falta transparência sobre a atuação dos encarregados de dados já nomeados, especialmente em organizações onde o suporte institucional é precário. Para quem decide em empresas ou no setor público, a ausência de métricas claras sobre retorno do investimento em proteção de dados dificulta a priorização de recursos e pode perpetuar o ciclo de subinvestimento.

Em Manaus e no Polo Industrial, onde a cadeia produtiva depende de parceiros e fornecedores conectados, a vulnerabilidade de um elo pode comprometer toda a operação. A adequação à LGPD, longe de ser apenas uma obrigação legal, se torna um diferencial competitivo e um requisito para a continuidade dos negócios em setores críticos e altamente regulados.

O levantamento do Cetic.br deixa claro: a negligência na proteção de dados não é apenas um risco abstrato, mas um fator de custo e vulnerabilidade real para empresas e órgãos públicos. Em um ambiente onde a conectividade é estratégica, garantir a governança dos dados e a resposta rápida a incidentes deve estar no centro das decisões de infraestrutura, especialmente para organizações que não podem se dar ao luxo de parar.