A era da orientação acabou: Como a nova ANPD está ampliando a fiscalização das empresas

Nos últimos dois anos, a ANPD - Agência Nacional de Proteção de Dados deixou de atuar predominantemente como um órgão orientador para assumir, de forma definitiva, um perfil regulatório e fiscalizatório muito mais robusto.

A transformação culminou, em fevereiro de 2026, com sua conversão em agência reguladora, dotada de autonomia funcional, técnica, decisória, administrativa e financeira.

Mais do que uma mudança institucional, esse novo status representa um aumento concreto da exposição regulatória para as empresas públicas e privadas que tratam dados pessoais.

A nova estrutura, como agência reguladora, foi acompanhada da criação de carreira própria de Especialista em Regulação e Proteção de Dados, com previsão de 200 novos servidores, da reorganização em superintendências especializadas e da ampliação de suas competências, que agora incluem a fiscalização do ECA - Estatuto Digital da Criança e do Adolescente.

O resultado esperado é de uma capacidade maior de monitoramento, investigação e aplicação de sanções, como resultado das seguintes mudanças estruturais:

1. A fiscalização deixou de ser pontual

Os movimentos recentes demonstram que a ANPD passou a privilegiar ações estruturadas e preventivas, direcionadas a setores considerados de maior risco.

Entre as prioridades para 2026 e 2027 estão:

• Tratamento de dados em sistemas de IA;
• Dados de crianças e adolescentes;
• Dados biométricos e informações de saúde;
• Compartilhamento de dados pelo Poder Público.
• Na prática, isso significa que empresas que utilizam IA, realizam perfilamento de consumidores, tratam dados sensíveis ou desenvolvem produtos digitais voltados ao público infantojuvenil tendem a permanecer no radar da fiscalização.

2. O foco inicial tem recaído sobre obrigações básicas de conformidade

Os primeiros resultados da nova estratégia chamam atenção justamente porque demonstram que a agência não está concentrando sua atuação apenas em grandes vazamentos de dados.

Em junho de 2026, a ANPD concluiu o monitoramento de 56 agentes de tratamento - entre órgãos públicos e empresas privadas - para verificar o cumprimento de obrigações consideradas elementares, como a indicação do encarregado pelo tratamento de dados ("DPO") e a disponibilização de canal de atendimento aos titulares.

Parte relevante das organizações fiscalizadas apresentou pendências ou sequer respondeu às solicitações da agência, situação que já resultou no encaminhamento de procedimentos para eventual aplicação de sanções.

O recado é claro: falhas formais de governança passaram a ser efetivamente fiscalizadas.

• A sua empresa tem processo organizado para resposta a titulares de dados pessoais? Há DPO formalmente designado?

3. Grandes empresas também estão na mira

Outro aspecto relevante é que a fiscalização já alcança organizações de grande porte.

No monitoramento realizado pela agência, empresas dos setores de tecnologia e mobilidade receberam determinações para regularizar obrigações em prazo reduzido, enquanto outras, que tratam intensivamente dados pessoais, conseguiram demonstrar conformidade e encerraram o procedimento sem maiores consequências.

Da mesma forma, em julho de 2026, a ANPD instaurou processo administrativo sancionador envolvendo incidente de segurança que comprometeu aproximadamente 500.000 (quinhentos mil) registros de pacientes administrados por organização social da área da saúde.

• Esses episódios reforçam que relevância econômica, notoriedade de mercado ou porte empresarial não reduzem a probabilidade de fiscalização. Ao contrário, empresas que tratam grandes volumes de dados pessoais ou atuam em setores estratégicos tendem a receber atenção prioritária da agência.

4. O que muda para as empresas?

O novo cenário exige uma mudança de postura.

Diversas organizações ainda concentram seus esforços unicamente em projetos de adequação realizados há alguns anos, quando da entrada em vigor da LGPD, sem se atentarem ao fato de que se trata de um processo que exige atualizações e monitoramento contínuos, de modo que, documentos originalmente produzidos nem sempre refletem a realidade operacional em curso.

A fiscalização da ANPD tem demonstrado crescente interesse em verificar se as medidas de governança efetivamente existem e funcionam na prática, e não apenas se foram formalmente implementadas.

Nesse contexto, algumas medidas merecem especial atenção:

• Revisão da nomeação e da atuação efetiva do encarregado pelo tratamento de dados;
• Atualização dos canais de atendimento aos titulares;
• Revisão dos registros das operações de tratamento;
• Atualização dos planos de resposta a incidentes;
• Avaliação dos riscos envolvendo IA e tratamento de dados sensíveis; e
• Revisão de contratos com operadores e fornecedores.

Mais do que atender formalmente à LGPD, essas medidas reduzem a exposição a processos administrativos, mitigam riscos reputacionais e permitem respostas mais rápidas diante de fiscalizações.

• O atual cenário recomenda uma due diligence preventiva, à luz da LGPD e das normas da ANPD, para verificar (i) a última vez que seus registros de tratamento, contratos com operadores e bases legais foram revisados; e (ii) o plano de resposta a incidentes foi testado nos últimos 12 (doze) meses, com papéis, prazos e fluxos de comunicação claramente definidos.

5. O momento oportuno para revisar a conformidade

A transformação da ANPD em agência reguladora representa o início de uma nova etapa da proteção de dados no Brasil e de um ambiente regulatório mais maduro. Com estrutura ampliada, agenda regulatória definida e capacidade operacional crescente, a tendência é que o número de fiscalizações aumente significativamente ao longo de 2026 e 2027.

Para empresas que tratam dados pessoais em larga escala - especialmente nos setores de tecnologia, saúde, serviços financeiros, varejo, educação, recursos humanos e plataformas digitais - este é um momento oportuno para revisar programas de privacidade, identificar vulnerabilidades e antecipar eventuais questionamentos da Agência, antes que eles se convertam em processos sancionadores, conforme demonstra a evolução da agência:

EIXO	SITUAÇÃO ATÉ 2024	SITUAÇÃO EM 2026
Natureza jurídica	Autarquia especial vinculada à Presidência (desde 2022)	Agência reguladora autônoma (Lei nº 15.352/2026), com autonomia funcional, técnica, decisória, administrativa e financeira
Estrutura	Estrutura enxuta, déficit de pessoal	Nova estrutura (Decreto nº 12.881/2026 e Resolução CD/ANPD nº 33/2026) e carreira própria de Especialista em Regulação, com 200 cargos para ingresso via concurso
Agenda regulatória	Atuação concentrada em regulamentos gerais da LGPD (transferência internacional, DPO, incidentes)	Agenda 2025-2026 e novo Mapa de Temas Prioritários 2026-2027: IA, dados biométricos/saúde, ECA Digital, poder público
Postura fiscalizatória	Atuação predominantemente educativa/orientativa, poucas sanções aplicadas	Monitoramento ativo dos agentes de tratamento (56 agentes fiscalizados; 21 fiscalizações sem respostas; e meta de, ao menos, 75 ações fiscalizatórias no biênio)