Goiás aparece em segundo lugar no ranking nacional de processos sobre proteção de dados pessoais: 686 ações entre 2023 e julho de 2026, atrás apenas de São Paulo, com 22.369, segundo levantamento do Escavador. No País, foram 24,7 mil processos, com queda de cerca de 90% no período. Para o empresário, a manchete abre duas leituras confortáveis: ou Goiás litiga demais ou o risco de ser processado por uso de dados está saindo de cena. A segunda é a mais perigosa.
O ranking mede menos do que parece. Considera apenas dois códigos de assunto do CNJ ligados à LGPD, e a própria fonte admite que casos de privacidade podem estar em outros. Se a classificação nos tribunais mudou no período, parte da queda é de registro, não de conflito. São Paulo, aliás, concentra 90% dos processos, contra menos de 3% de Goiás.
A pergunta relevante não é por que Goiás é o segundo, mas para onde foi o risco que deixou de virar processo. Em fevereiro, a Lei nº 15.352 transformou a Autoridade Nacional de Proteção de Dados (ANPD) em agência reguladora, com autonomia técnica, decisória e financeira. Em março, o Decreto nº 12.881 aprovou a sua nova estrutura. E, em 12 de agosto, na mesma semana do levantamento, a ANPD mandou o Discord suspender as transmissões ao vivo no Brasil em três dias úteis.
É aí que a leitura tranquilizadora se desfaz. Uma ação individual é risco conhecido: valor estimável, prazo longo, chance de acordo, provisão contábil. Medida preventiva de agência é outra categoria de problema. Atinge o produto, não o caixa; produz efeito em dias, não em anos; e vem com exposição que nenhum acordo sigiloso resolve. Não houve redução de risco, houve redistribuição para uma prateleira mais alta.
A LGPD é clara no que espera. O artigo 6º elege como princípios a segurança, a prevenção e a prestação de contas, e o artigo 46 exige medidas aptas a proteger os dados. O terceiro é o subestimado nas reuniões de diretoria, porque prestação de contas não significa ter a medida: significa conseguir demonstrar depois que ela existia e funcionava. Como resume a advogada Natália Clarissa Salles Martins no Migalhas, adotar uma providência e comprová-la são coisas distintas.
A consequência é prática. A Resolução CD/ANPD nº 15/2024 dá três dias úteis, a partir do conhecimento do incidente, para comunicar a Autoridade quando houver risco relevante, e isso não esgota o dever do artigo 48: os titulares afetados também precisam ser informados. Prazo de crise, não de projeto. A resolução obriga ainda a registrar os incidentes por cinco anos, inclusive os que a empresa decidiu não comunicar. É a obrigação pior resolvida que encontro: decide-se que o caso não era comunicável e não se documenta a decisão.
Um episódio local ilustra o ponto. Em março, o Ministério Público de Goiás comunicou incidente no sistema de consulta de chaves Pix, com tentativa de acesso indevido a dados de 51 CPFs, após reutilização de senha institucional em serviço externo. A dimensão é modesta; o vetor é o que interessa. Contra uma senha reaproveitada, nenhuma política bem redigida protege: o que reduz esse risco é gestão de acessos, treinamento e resposta ensaiada.
O segundo lugar de Goiás não é troféu nem escândalo. É o sinal de que o tema chegou ao Judiciário local em volume relevante, quando o regulador ficou mais forte e a ação individual menos frequente. Restam três perguntas para a diretoria. Existe plano de resposta a incidentes aderente aos sistemas efetivamente usados, e não aos do organograma? Os incidentes tidos como não comunicáveis nos últimos cinco anos estão registrados? E, se a ANPD pedir amanhã a demonstração das medidas vigentes em uma data passada, é possível produzi-la em três dias úteis?
Se alguma resposta for negativa, o problema da empresa não está na estatística de processos. Está na prateleira, esperando.
Anna Bastos é advogada e sócia do BNT Advogados com atuação em Direito Empresarial, Governança, proteção de dados e compliance.
