Evolução da ANPD: Análise da proposta de regulamento sancionador

1. Introdução

Com a crescente complexidade do ecossistema digital e a necessidade de respostas estatais mais robustas para a proteção de grupos vulneráveis, a ANPD - Agência Nacional de Proteção de Dados iniciou um processo de consulta pública para a atualização do seu Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, originalmente aprovado pela resolução CD/ANPD 1/21.

Conforme divulgado pela agência governamental¹, a consulta pública, aberta para contribuições entre 9 de setembro e 26 de outubro de 2026, busca adequar os procedimentos da autarquia às novas competências legais atribuídas recentemente pelo chamado ECA Digital, pelas normas protetivas voltadas às mulheres na internet e pelas atualizações no escopo do Marco Civil da Internet.

O documento submetido à consulta pública revela uma mudança de paradigma: a agência deixa de atuar exclusivamente na fiscalização do tratamento de dados pessoais para se consolidar como uma autoridade central na modulação de riscos sistêmicos, exigindo adaptações procedimentais e prevendo sanções proporcionais às novas ameaças.

Tal mudança se encontra em sintonia com a necessidade de ter uma autoridade que seja “municiada das premissas jurídicas necessárias ao exercício de uma atividade fiscalizatória capaz de ser consistente, transparente e condizente com a realidade”, nas palavras do professor Maurício Tamer². Abaixo são tecidas algumas considerações acerca da minuta colocada sob consulta pública, à guisa de contribuição para o debate acerca das competências institucionais da ANPD enquanto autoridade central do sistema de proteção dos dados pessoais e da privacidade no Brasil.

2. Novas Competências da ANPD: ECA digital e legislações de proteção às mulheres na internet

O art. 3º da minuta em debate materializa uma expansão sem precedentes no escopo de atuação da ANPD. Além da proteção de dados pessoais (cuja principal legislação sistematizadora é atualmente a lei federal 13.709/18 - LGPD), a agência passa a atuar diretamente na promoção da implementação legislativa para a proteção de crianças e adolescentes no ambiente digital (com diretrizes principalmente concentradas na lei federal 15.211/25 - ECA Digital), na proteção de mulheres e enfrentamento da violência online (recentemente fortalecidas pela publicação do decreto federal 12.976/26), e na garantia dos direitos dos usuários perante provedores de aplicação (as regras de utilização da internet encontram-se principalmente disciplinadas na lei federal 12.965/14 - Marco Civil da Internet, embora não fiquem restritas a esta).

Essa ampliação cria um ecossistema normativo que, conforme já tive a oportunidade de analisar no artigo "Análise da lei 15.487/26: Avanços, desafios e integração no Direito Digital"³, atua em dupla camada: uma administrativa (em que a ANPD possui a liderança no sistema, e, em termos de interpretação da LGPD, é a agência a dar a palavra final sobre eventuais controvérsias na aplicação desta lei), a outra em esfera judicial, em que outros atores estão legitimados para discutir, pela via do Poder Judiciário, a aplicação de sanções penais. Para compreender os impactos dessa nova arquitetura, é importante distinguir os diferentes regimes sancionatórios e deveres que agora orbitam o Direito Digital brasileiro sob o olhar da ANPD:

• Sanções da LGPD (art. 52 da lei 13.709/18): Focadas primariamente no tratamento irregular de dados pessoais. Envolvem advertências, publicização da infração, multas simples de até 2% do faturamento da empresa (limitadas a R$ 50 milhões por infração), bloqueio ou eliminação de dados.
• Sanções do ECA Digital (lei federal 15.211/25): Conforme tive a oportunidade de discutir no artigo "ECA digital: Consequências da nova lei para o Poder Público"⁴, a ANPD ampliou sua atuação administrativa, uma vez que, pelo art. 35 da nova lei, poderá aplicar multas de até 10% do faturamento (também limitadas a R$ 50 milhões), além de suspensão, bloqueio temporário ou até mesmo a proibição do exercício de atividades das plataformas que descumprirem deveres de moderação, proteção e verificação de idade.
• Sanções da lei federal 15.487/26: Distanciam-se da esfera administrativa e adentram a seara penal. Visam punir criminalmente os indivíduos (agentes físicos, administradores ou moderadores) que exploram falhas sistêmicas para promover violência cibernética e abuso infantil (ex.: tipificação do uso de inteligência artificial para simulação sexual, facilitação via fóruns, etc.).
• Sanções e deveres do Marco Civil da Internet (lei federal 12.965/14): A expansão das competências da ANPD ganha contornos complexos quando adentramos a seara das sanções e dos deveres previstos no MCI - Marco Civil da Internet, especialmente no que tange à responsabilização dos provedores de aplicações por conteúdos gerados por terceiros (art. 19), tema que foi objeto de recente debate judicial realizado pela mais alta Corte brasileira, conforme se detalhar melhor a seguir.

2.1. O entendimento do STF e a mudança de paradigma no MCI

Historicamente, o art. 19 do MCI estabelecia que as plataformas digitais só poderiam ser responsabilizadas civilmente por conteúdos de terceiros caso descumprissem uma ordem judicial específica de remoção (com exceção para vazamento de imagens íntimas, regida pelo art. 21). No entanto, ao julgar os Temas 987 e 533 de repercussão geral, o STF reconheceu a inconstitucionalidade parcial do art. 19, estabelecendo que aguardar uma ordem judicial para a remoção de conteúdos criminosos não confere proteção suficiente aos direitos fundamentais. A Corte instituiu então um regime transitório, determinando que as plataformas possuem um dever de proatividade, podendo ser responsabilizadas por "falha sistêmica" caso se omitam em adotar medidas preventivas adequadas.

2.2. O decreto federal 12.975/26 e a perspectiva de atuação da ANPD

Neste cenário, o decreto federal 12.975/26 confirma a nova interpretação trazida à luz pelo STF, conferindo-lhe aplicação mais direta e imediata. Conforme pontuado no artigo "Decreto 12.975 e a competência da ANPD à luz da nova interpretação do art. 19"⁵, o decreto não inventa uma nova atribuição jurídica para a Agência, mas reconhece que a fiscalização da governança das plataformas é uma questão de conformidade sistêmica. A partir dessa nova interpretação, as perspectivas de atuação da ANPD podem ser enumeradas da seguinte forma:

1. Fiscalização de "falhas sistêmicas" e arquitetura de conformidade: A ANPD não atuará como moderadora individual de conteúdo (o que configuraria censura), mas fiscalizará se a plataforma possui mecanismos de governança eficientes e se há falha sistêmica na prevenção de conteúdos ilícitos.
2. Exigência de postura proativa (dever de cuidado): As plataformas deverão provar à ANPD que não estão em inércia aguardando ordens judiciais, possuindo ferramentas para detecção e mitigação de danos em larga escala.
3. Aplicação imediata de medidas administrativas: O decreto viabiliza a eficácia imediata do comando do STF, dando à ANPD embasamento para exigir planos de conformidade, realizar auditorias e aplicar cautelares em caso de risco sistêmico.

Assim, a ampliação das competências fiscalizatórias e sancionatórias da ANPD já vinha ocorrendo ao longos dos últimos meses, atraindo a necessidade de atualização da normativa da Agência acerca dos procedimentos e prazos aplicáveis, considerando a expansão do universo da sua atuação para outros temas para além daqueles contidos na LGPD. 

3. Alterações no rito da fiscalização e do processo administrativo sancionador

Para operacionalizar essas novas esferas de fiscalização integradas, a minuta colocada sob consulta pública altera alguns dos ritos procedimentais da ANPD. No que tange às ações preventivas, foram formalizadas as "medidas de condução à conformidade", que podem ser aplicadas a qualquer momento do procedimento investigativo e incluem a divulgação de informações, avisos, determinações de regularização e planos de conformidade (art. 36-A da minuta). Tais medidas não constituem sanções, mas o seu descumprimento age como um agravante em um futuro processo sancionador.

Outro ponto que merece destaque é que as atividades de fiscalização passaram a compreender as ações de monitoramento, orientação, prevenção e repressão, sendo que estas duas últimas se realizam mediante processo administrativo de fiscalização, que compreende os procedimentos investigativo e sancionador e os procedimentos de comunicação e de apuração de incidente de segurança, regidos pelo disposto no Regulamento de Comunicação de Incidente de Segurança, aprovado pela resolução CD/ANPD 15, de 24 de abril de 2024 (art. 2º da minuta).

A minuta colocada sob consulta criou um rito para a ANPD adotar, em caráter antecedente ou incidental, medidas cautelares, sem a prévia manifestação do agente regulado, quando verificar perigo de dano ou risco ao resultado útil do processo (art. 14-A da minuta). A aplicação das medidas cautelares devem observar, entre outras prerrogativas, a necessidade de resguardar a eficácia da investigação, assegurar o cumprimento de determinações administrativas, preservar a integridade das evidências ou evitar prejuízo à continuidade ou à finalidade do processo administrativo de fiscalização (art. 14-B da minuta), cabendo aplicação de multa diária na hipótese de descumprimento de tais medidas (art. 14-E da minuta).

O prazo para a apresentação de defesa após a lavratura de um auto de infração foi estipulado em dez dias úteis (art. 47 da minuta), sendo que os prazos são contados a partir da ciência oficial e são contados em dias úteis, excluído o dia do começo e incluído o dia de vencimento (art. 8º da minuta). Ademais, em infrações exclusivas do ECA Digital cuja gravidade demande medidas extremas (como suspensão ou proibição de atividade previstas nos incisos III e IV do art. 35 da lei federal 15.211/25), a minuta cria um rito próprio de remessa dos autos à PFE/ANPD - Procuradoria Federal Especializada para proposição de ação judicial voltada à aplicação dessas sanções específicas (art. 69-A a 69-D).

Portanto, a atividade fiscalizatória se complexificou, amplificando as possibilidades de atuação da ANPD e oferecendo aos agentes regulados mais possibilidades de exercício do direito do contraditório e da ampla defesa, notadamente em relação aos processos específicos de atuaçlão da Agência para fiscalização do cumprimento do ECA digital.

4. Desafios para o exercício do contraditório e ampla defesa e os critérios adotados para a aplicação das novas medidas cautelares e suas multas diárias

Uma das inovações mais polêmicas da minuta reside nos arts. 14-A a 14-F, que versam sobre as medidas cautelares. A Superintendência de Fiscalização (e o Conselho Diretor, em certos momentos) passa a ter o poder de determinar essas medidas antecedente ou incidentalmente, sem a oitiva prévia do agente regulado, quando identificar perigo de dano ou risco ao resultado útil do processo.

A minuta colocada sob consulta detalha que as cautelares devem se basear na probabilidade de danos irreversíveis, especialmente riscos iminentes à vida, integridade física, saúde mental e direitos fundamentais de crianças e adolescentes no ambiente digital, bem como ameaças aos direitos assegurados aos usuários (MCI) e a proteção das mulheres contra a violência digital.

O descumprimento de obrigações cautelares autoriza a incidência de multa diária, que observará a classificação da infração e o grau do dano (extensão e prejuízo causado). A multa inicia-se no primeiro dia útil de atraso e possui um teto financeiro global expressivo de R$ 50.000.000,00 (cinquenta milhões de reais). Cabe esclarecer que essas multas não são aquelas já previstas no art. 52 da LGPD, pois elas possuem natureza incidental ao processo fiscalizatório. Portanto, um agente regulado pode acabar sendo multado duas vezes: uma primeira vez durante o processo fiscalizatório, em razão do não cumprimento de medidas cautelares, e uma segunda vez, ao final do processo administrativo sancionador, seguindo o rito da resolução CD/ANPD 4, de 24 de fevereiro de 2023.

Esse arcabouço cautelar gera desafios intrínsecos ao contraditório e ampla defesa. Ao permitir intervenções nas operações das plataformas sem manifestação prévia, a ANPD precisará atuar com extrema prudência para não caracterizar censura prévia - embasando-se no próprio texto da minuta, que expressa no art. 14-C que cautelares não podem ter como objetivo determinar, de forma isolada, a moderação de conteúdos ilícitos, observando sempre a proporcionalidade e a necessidade.

Por outro lado, o contraditório ganha novos contornos processuais com o aprofundamento das regras de atuação do amicus curiae. Organizações interessadas devem se habilitar em até 30 dias após a instauração do processo (art. 13-B da minuta) e terão prazos definidos (20 dias na fase investigativa e 10 dias na sancionadora) para se manifestarem (art. 13-F da minuta). Dessa forma, a nova redação garante que os agentes regulados sejam intimados e recebam prazos idênticos aos concedidos ao amicus curiae para se manifestarem, de forma facultativa, sobre as teses e documentos apresentados por tais terceiros (art. 13-G da minuta). A possibilidade de terceiros interessados participarem no processo amplifica o espaço de participação de outros atores, especialmente naqueles casos que forem de relevante interesse social.

5. Considerações finais

A proposta de atualização da resolução CD/ANPD 1/21 e as legislações correlatas delineiam uma transformação na governança digital brasileira. Como já tive a oportunidade de apontar no artigo “Fiscalização e Sanção em Proteção de Dados: Aproximações entre a ANPD e as Autoridades Europeias” (no livro Proteção de Dados e Segurança da Informação: Diálogos entre Brasil e Portugal, organizado pela Ana Paula Canto de Lima, Oscar Valente Cardoso e Silvio Maciel e Silva Junior), a agência brasileira teve suas competências sancionatórias recentemente fortalecidas por meio do “ECA digital” e das legislações de proteção às mulheres, devendo o rito fiscalizatório e sancionatório ser atualizado para comportar as atribuições novas. A ANPD transcende sua matriz informacional e assimila o papel de curadora da moderação e proteção virtual contra falhas sistêmicas, além de ampliar sua forma de atuação, podendo agora agir cautelarmente, independente da manifestação do agente regulado. As alterações procedimentais incluídas na minuta poderão ampliar o rol de ferramentas ágeis de atuação da agência; por outro lado, impõem à ANPD o enorme desafio institucional de equilibrar a aplicação de sanções pesadas com as indispensáveis garantias de contraditório, resguardando a higidez do ambiente digital sem recair em abusos ou censuras estruturais.

_________

Referências bibliográficas

TAMER, Maurício. Manual de Direito da Proteção de Dados Pessoais. 2ª. ed. São Paulo: Saraiva Jur, 2025.

SILVA, Ana Paula Vasconcellos da. Fiscalização e Sanção em Proteção de Dados: Aproximações entre a ANPD e as Autoridades Europeias. In: LIMA, Ana Paula Canto de. SILVA JUNIOR, Silvio Maciel e. CARDOSO, Oscar Valente. Proteção de Dados e Segurança da Informação: Diálogos entre Brasil e Portugal. Recife: Editora Império, 2026.

1 https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-abre-audiencia-consulta-atualizacao-regulamento-fiscalizacao

2 TAMER, Maurício. Manual de Direito da Proteção de Dados Pessoais. 2ª. ed. São Paulo: Saraiva Jur, 2025, p. 640

3 https://www.migalhas.com.br/depeso/461958/analise-da-lei-15-487-26-avancos-desafios-e-integracao-no-direito

4 https://www.migalhas.com.br/depeso/453242/eca-digital-consequencias-da-nova-lei-para-o-poder-publico

5 https://www.jota.info/opiniao-e-analise/artigos/decreto-12-975-e-a-competencia-da-anpd-a-luz-da-nova-interpretacao-do-art-19