O que mudou na ANPD
Em fevereiro de 2026, a Lei nº 15.352 transformou a Autoridade Nacional de Proteção de Dados de órgão vinculado à Presidência da República em agência reguladora. A mudança não é cosmética: trouxe autonomia administrativa e financeira, ampliação do quadro de servidores e poder de requisição reforçado.
Na prática, isso significa capacidade operacional. Uma autoridade com orçamento próprio e equipe de fiscalização consegue conduzir muitos processos simultâneos, algo que estruturalmente não era possível antes. A meta declarada é de pelo menos 75 ações fiscalizatórias no biênio 2026-2027.
O efeito já aparece nos números. Só em junho de 2026, a ANPD abriu 19 novos processos sancionadores. Para comparação, nos primeiros anos de vigência da lei a Autoridade concluiu menos de dez processos no total.
A leitura errada dos números. É comum ouvir que "a LGPD não pega" porque o valor total de multas aplicadas a empresas privadas é pequeno. Isso descreve o passado, não o presente. O baixo volume histórico refletia limitação de estrutura da Autoridade, não tolerância com a infração, e essa limitação foi removida.
O que a ANPD puniu até agora
Desde a primeira sanção, em julho de 2023, a Autoridade sancionou pelo menos nove organizações em processos administrativos concluídos. O perfil dessas sanções é instrutivo.
Uma única empresa privada recebeu multa pecuniária: uma microempresa de telemarketing, penalizada em duas multas de R$ 7.200 (R$ 14.400 no total) mais advertência. As infrações foram tratamento de dados sem base legal (art. 7º), ausência de encarregado nomeado (art. 41) e não atendimento às solicitações da ANPD.
As demais sanções recaíram sobre o setor público (órgãos das áreas de saúde, educação, previdência e assistência social) na forma de advertências e publicização da infração. O artigo 52, § 3º da LGPD veda multa pecuniária a órgãos e entidades públicas.
O padrão que emerge é o ponto central deste artigo: a infração mais recorrente não foi o vazamento de dados em si, mas a falha em comunicar o incidente aos titulares e à Autoridade, prevista no artigo 48. Em outras palavras, a ANPD não está caçando falhas técnicas sofisticadas. Está punindo quem não fez o básico e quem não respondeu quando foi chamado.
| Sanção | Alcance |
|---|---|
| Advertência | Com prazo para adoção de medidas corretivas |
| Multa simples | Até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração |
| Multa diária | Observado o mesmo teto |
| Publicização da infração | Após apurada e confirmada |
| Bloqueio ou eliminação dos dados | Referentes à infração |
| Suspensão do banco de dados | Até seis meses, prorrogável |
| Suspensão ou proibição da atividade | Parcial ou total do tratamento |
O monitoramento que virou processo
Em junho de 2026, a ANPD concluiu a primeira fase de dois processos de monitoramento que avaliaram o cumprimento de obrigações consideradas elementares: a indicação do encarregado pelo tratamento de dados e a disponibilização de canal de comunicação com os titulares.
Foram 56 agentes monitorados, 39 órgãos públicos e 17 empresas privadas. O resultado:
- 27 cumpriram integralmente as solicitações e tiveram o processo encerrado.
- 8 apresentaram pendências e receberam prazo de dez dias úteis para regularização.
- 21 simplesmente não responderam aos ofícios, e tiveram os nomes encaminhados à Coordenação Geral de Sanção.
Esse último grupo é o mais revelador. Não responder a um ofício da ANPD transforma uma pendência administrativa banal em processo sancionador. É o caminho mais curto e mais evitável para uma sanção.
Vale lembrar um precedente: em dezembro de 2024, a Autoridade abriu processo contra 20 empresas de grande porte pela ausência de encarregado nomeado. Até abril de 2025, todas as 20 já haviam implementado as medidas. A mera abertura do processo produziu conformidade, o que sugere que muita empresa sabe o que precisa fazer e apenas não priorizou.
As frentes prioritárias de 2026-2027
Em dezembro de 2025 a ANPD publicou o Mapa de Temas Prioritários para o biênio, fixando quatro frentes de fiscalização:
- Direitos dos titulares: acesso, correção, portabilidade e eliminação de dados.
- Proteção de crianças e adolescentes: reforçada pelo ECA Digital.
- Tratamento de dados pelo poder público.
- Inteligência artificial: incluindo dados biométricos e de saúde.
A frente de proteção de menores já mostrou dentes. Em agosto de 2026, a ANPD instaurou processo de fiscalização contra o Discord para apurar indícios de falha na proteção de crianças e adolescentes, dando à plataforma cinco dias úteis para apresentar informações. A Autoridade alertou que a legislação prevê multa de até R$ 50 milhões pelas violações investigadas.
A frente de IA merece atenção de qualquer empresa que tenha adotado ferramentas de inteligência artificial nos últimos dois anos, o que, segundo o Cetic.br, já é o caso de 17% das organizações brasileiras. Enviar dados pessoais de clientes para um serviço de terceiro sem base legal definida e sem avaliação de risco é exatamente o tipo de prática que essa frente pretende alcançar.
O mínimo que precisa estar em pé
Considerando o que a ANPD efetivamente cobrou até agora, esta é a lista do que não pode faltar:
- Encarregado nomeado, com contato publicado. O nome e o canal precisam estar acessíveis no site, não enterrados em um PDF.
- Canal funcional de atendimento ao titular. Testado, envie uma solicitação você mesmo e veja se alguém responde.
- Registro das operações de tratamento (ROPA) atualizado. Quais dados, para qual finalidade, com qual base legal, por quanto tempo, compartilhados com quem.
- Base legal documentada para cada tratamento. Consentimento não é a base padrão nem a mais adequada na maioria dos casos empresariais.
- Plano de resposta a incidentes testado, com o prazo de 3 dias úteis de comunicação incorporado ao procedimento.
- Contratos com operadores revisados, incluindo obrigação de comunicar incidentes e due diligence de fornecedores.
- Tratativa prioritária para qualquer ofício da ANPD. Ignorar é o que converte pendência em sanção.
Conexão com segurança. Um ataque de ransomware que expõe dados pessoais é um incidente de segurança sob a LGPD e dispara todas as obrigações acima. Com o Brasil no top 3 mundial de vítimas de ransomware, tratar conformidade e segurança técnica como assuntos separados é um erro caro. O checklist de segurança para PMEs cobre a parte técnica.
Perguntas frequentes
Qual o valor máximo da multa da LGPD?
A multa simples é de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. A dosimetria considera agravantes, como tratamento de dados de crianças e reincidência, e atenuantes, como cooperação com a Autoridade e existência de programa de governança em privacidade.
Toda empresa precisa nomear um encarregado?
A indicação do encarregado está prevista no artigo 41 e tem sido o principal gatilho de processos. Agentes de pequeno porte têm tratamento flexibilizado por regulamento específico, mas a ausência de um canal de atendimento ao titular continua sendo problema para qualquer organização, independentemente do porte.
Qual o prazo para comunicar um incidente?
Incidentes de segurança com risco relevante aos titulares devem ser comunicados em até 3 dias úteis a partir do conhecimento do fato. Esse prazo é curto o suficiente para exigir procedimento pronto, decidir o que fazer durante a crise não funciona.
A conclusão prática é direta: organizações que implementaram ao menos o básico estão em posição substancialmente melhor, e o básico aqui custa pouco. O que ficou caro foi continuar adiando.