O ano de 2026 é bastante especial. Além da Copa do Mundo de Futebol masculino, no dia 17 de julho será celebrado pela primeira vez o Dia Nacional da Proteção de Dados, instituído pela lei 15.254/25. A data não foi escolhida ao acaso: Homenageia o nascimento do jurista Danilo Doneda (1970-2022), um dos pioneiros do direito à proteção de dados no Brasil e cuja obra inspirou a construção da própria LGPD. Tanto a Copa do Mundo como o Dia Nacional da Proteção de Dados são datas que ajudam a colocar seus respectivos temas na pauta pública de debates, sendo que esta última convida à reflexão sobre os esforços nacionais para a conformidade à LGPD. Olhar para o cenário atual permite avaliar quais aspectos avançaram e quais ainda encontram desafios práticos para construir uma cultura da privacidade no cotidiano das organizações privadas e das instituições públicas. Tal qual um álbum de figurinhas de jogadores da Copa, aos poucos os espaços vazios vão sendo preenchidos; porém, naqueles temas em que os passos ainda são tímidos, as figurinhas faltantes se fazem notar com ainda mais intensidade.
No campo regulatório, a ANPD vem desenhando a rota da conformidade nacional. O norte desse esforço está materializado na sua Agenda Regulatória, atualizada pela resolução CD/ANPD 31, de 22 de dezembro de 20251, que tornou pública a Agenda Regulatória para o biênio 2025-2026. O normativo reflete a complexidade do ecossistema digital brasileiro, mas os resultados práticos revelam ritmos distintos. De um lado, há um avanço notável: O tema "Fornecedores de produtos ou serviços de tecnologia da informação: escopo e obrigações gerais do ECA Digital" ganhou tração com a abertura de uma consulta pública para um guia orientativo2, demonstrando especial preocupação com a vulnerabilidade de crianças e adolescentes na rede. Por outro lado, o avanço nos demais temas da agenda regulatória ainda se mostra tímido, demandando maior celeridade para dar segurança jurídica a setores que operam sob constantes avanços tecnológicos.
Se a regulação caminha a passos lentos, o braço fiscalizatório e sancionatório da ANPD ganhou musculatura em 2026. A Agência passou a adotar uma postura mais proativa, especialmente após a contratação de novos funcionários para robustecer o quadro da entidade. Um exemplo claro foi a conclusão do ciclo de monitoramento para avaliar sanções a empresas e órgãos públicos3, demonstrando que o período de mera orientação estatal cedeu espaço à cobrança efetiva. O caso mais emblemático dessa nova postura mais agressiva foi a instauração de processo de sanção contra uma OS - Organização Social4, após uma grave falha que expôs os dados de 500 mil pacientes de unidades públicas de saúde. O episódio acende um alerta crítico: embora as penalidades estejam sendo aplicadas, ainda paira a dúvida se tais sanções estão, de fato, surtindo o efeito pedagógico desejado ou se o mercado e o setor público ainda tratam o risco de incidentes como um mero custo operacional tolerável.
Olhando para outro campo de atuação, o da aplicação das normas de proteção de dados pelos magistrados, é possível observar alguns avanços interessantes. Os dados compilados no Relatório Painel LGPD nos Tribunais - edição 20265, produzido pelas professoras Laura Schertel e Mônica Fujimoto, revelam que a LGPD já é um elemento estruturante do contencioso brasileiro. A lei deixou de ser uma tese exótica de vanguarda para se tornar argumento cotidiano nas petições e acórdãos. Essa evolução jurisprudencial traz consigo novos e complexos tensionamentos. Hoje, o desafio do Judiciário não é mais saber se a LGPD se aplica, mas sim como ela se integra e dialoga com regimes jurídicos tradicionais, como o sistema de proteção de direitos do consumidor, as normas do Direito Trabalhista e, de maneira cada vez mais premente, o Direito Digital. Compreender essas diferentes formas de interpretação judicial é fundamental para evitar a fragmentação do direito à privacidade em decisões contraditórias.
Em relação aos esforços de conformidade à LGPD por organizações do Setor Público, é possível observar ainda algumas barreiras para a construção de uma cultura de proteção de dados pessoais, que perpassam os três Poderes (Executivo, Legislativo e Judiciário) e se estendem por todos os níveis da federação - União, Estados e municípios -, alcançando também o vasto universo paraestatal, que engloba Conselhos de Fiscalização, Agências Reguladoras, Entidades de Classe, Cartórios Extrajudiciais e o Sistema S. Entre os desafios, ainda se observam organizações públicas sem designação do Encarregado de Dados, a ausência de estruturas internas para garantir que a governança em privacidade seja de fato um movimento vivo dentro das estruturas administrativas, e não se torne uma "garrafa esquecida" em um canto da sala.6
A boa notícia no setor público reside no surgimento de mecanismos de autoavaliação e controle externo. Auditorias promovidas pelo TCU7, por exemplo, têm sido fundamentais ao apontar de forma cirúrgica as falhas estruturais de organizações federais. Também há lições que podem ser aprendidas com as avaliações de conformidades realizadas por Tribunais de Contas Estaduais, entre elas a que foi recentemente divulgada pelo Tribunal de Contas do Estado do Rio de Janeiro.8 Na esfera municipal, uma iniciativa inovadora de transparência e governança que pode ser destacada é o IAALGPD - Índice de Avaliação da Adequação à LGPD9, desenvolvido pela prefeitura da Cidade do Rio de Janeiro. Em sua versão mais recente, o índice passará a aferir não apenas a existência formal de documentos de conformidade, mas a efetividade operacional das práticas de proteção de dados nos órgãos e entidades municipais. Esses índices funcionam como faróis, balizando o que funciona e expondo as lacunas que precisam de correção imediata.
Contudo, ao avaliarmos esse panorama geral no primeiro Dia Nacional da Proteção de Dados, a sensação que fica é a de quem coleciona um álbum de figurinhas dos jogadores da Copa do Mundo. Temos o álbum, a maior parte das figurinhas coladas - a lei, a autoridade constituída, a jurisprudência, os Encarregados de Dados, as diretrizes gerais para a governança em proteção de dados10 -, mas falta justamente aquela última figurinha, a mais difícil de encontrar, para completar o time e ficar com a satisfação de missão cumprida. Essa "figurinha faltante" é a transformação cultural e operacional: a real capacidade de transformar os densos relatórios de impacto, políticas de privacidade, registros de operações de dados em documentos "vivos" dentro das organizações. Essa lacuna, contudo, não é um problema sem resposta em curso. Uma solução possível é implementada pela prefeitura do Rio de Janeiro, por meio da Trilha de Formação em Privacidade e Proteção de Dados Pessoais11, em que a sensibilização é desenvolvida como um processo educativo voltado a aumentar a conscientização sobre temas ou problemas específicos de uma estrutura organizacional. Neste sentido, a própria iniciativa reconhece que o verdadeiro desafio não está em publicar normativos, mas em incorporá-los no tecido cultural das organizações públicas, tratando-se de um desafio de gestão de pessoas em sua forma mais pura. Assim, a figurinha que falta no álbum talvez não seja uma peça isolada, mas o próprio processo contínuo de sensibilização e capacitação dos servidores, sem o qual relatórios de impacto e políticas de privacidade permanecem arquivos estáticos, e não práticas vivas de proteção de dados.
Celebrar o 17 de julho no Brasil é comemorar uma das legislações mais modernas do mundo e uma construção institucional sólida. Mas é, acima de tudo, lembrar que a proteção de dados não é um projeto com data de entrega: é um processo contínuo e vivo, uma jornada que não se encerra com a produção de documentos em PDF. Encontrar a última figurinha e integrá-la à cultura prática das organizações é a missão que definirá os próximos anos da nossa democracia digital.
_________
1. https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-31-de-22-de-dezembro-de-2025-67795008
2. https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-abre-tomada-de-subsidios-sobre-o-guia-orientativo-fornecedores-de-produtos-ou-servicos-de-tecnologia-da-informacao-no-ambito-do-eca-digital
3. https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-conclui-monitoramento-avaliar-sancao-empresas-orgaos-publicos
4. https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-instaura-processo-de-sancao-contra-organizacao-social-por-falha-na-protecao-de-dados-de-500-mil-pacientes-de-unidades-publicas-de-saude
5. https://www.migalhas.com.br/depeso/459816/a-garrafa-esquecida-quem-responde-pelo-programa-de-privacidade
6. https://www.migalhas.com.br/depeso/459816/a-garrafa-esquecida-quem-responde-pelo-programa-de-privacidade
7. https://portal.tcu.gov.br/imprensa/noticias/auditoria-aponta-falhas-na-aplicacao-da-lgpd-por-organizacoes-federais
8. https://www.migalhas.com.br/depeso/435026/licoes-aprendidas-com-a-auditoria-do-tce-rj-relativa-a-lgpd
9. https://lgpd.prefeitura.rio/indice-de-avaliacao-de-adequacao-a-lgpd-na-prefeitura-da-cidade-do-rio-de-janeiro/
10. https://www.migalhas.com.br/depeso/447221/protecao-de-dados-pessoais-em-2025-avancos-desafios-e-perspectiva
11. https://www.migalhas.com.br/depeso/441511/trilha-de-formacao-em-privacidade-no-rio-capacitacao-e-engajamento