Com poderes de interdição, apreensão e fiscalização reforçada, a proteção de dados deixa de ser assunto restrito ao jurídico e passa a integrar o núcleo do compliance e da gestão de riscos das empresas.

 

A transformação da Autoridade Nacional de Proteção de Dados em agência reguladora, promovida pela Lei nº 15.352/2026, resultante da conversão da Medida Provisória nº 1.317/2025, alterou de forma relevante o ambiente de fiscalização da Lei Geral de Proteção de Dados (Lei nº 13.709/2018). A ANPD passou a ter natureza de autarquia sob regime especial, com autonomia funcional, técnica, decisória, administrativa e financeira, além de poder de polícia.

A mudança importa para muito além dos departamentos de tecnologia e de privacidade. Empresas que contratam com o poder público, organizações com programa de integridade e fornecedores sujeitos a auditoria precisam tratar a governança de dados como parte integrante do compliance, sob pena de exposição a sanções e a medidas restritivas mais incisivas.

 

O que muda com a nova ANPD

O ponto de maior impacto é o poder de polícia. Os fiscais da ANPD passam a poder interditar estabelecimentos, equipamentos e instalações, apreender bens e, em caso de resistência, requisitar o auxílio de força policial. Para sustentar essa atuação, a Lei nº 15.352/2026 criou a Carreira de Regulação e Fiscalização de Proteção de Dados, com vagas a serem preenchidas por concurso público. O resultado é uma autoridade com mais autonomia e maior capacidade operacional de fiscalizar e de sancionar.

Esse fortalecimento se conecta a outro marco recente: a entrada em vigor das regras de proteção de crianças e adolescentes no ambiente digital, que impôs deveres adicionais a quem oferece produtos e serviços digitais ou trata dados de menores. A convergência entre proteção de dados e proteção de vulneráveis amplia o escopo do que a ANPD fiscaliza e eleva o patamar de diligência esperado das organizações.

 

As bases normativas

A base permanece a Lei nº 13.709/2018 (LGPD), agora fiscalizada por uma autoridade com novo desenho institucional definido pela Lei nº 15.352/2026. No campo das transferências internacionais de dados, a Resolução CD/ANPD nº 19/2024 regulamenta os arts. 33 a 36 da LGPD e disciplina as cláusulas-padrão contratuais e as normas corporativas globais; a Resolução CD/ANPD nº 32/2026 reconheceu a União Europeia como jurisdição com nível adequado de proteção. Há interface direta com a Lei nº 12.846/2013 e o Decreto nº 11.129/2022, pois a governança de dados integra o programa de integridade, e com a Lei nº 14.133/2021 nas contratações públicas.

 

A convergência entre proteção de dados e compliance

Com poder de polícia, a atuação da ANPD altera o perfil de risco das organizações. Incidentes de segurança e tratamentos irregulares podem gerar não apenas sanções administrativas, mas também exposição contratual e reputacional, especialmente para fornecedores do setor público, que respondem a exigências de conformidade em editais e contratos. Por isso, programas de integridade precisam incorporar a governança de dados como componente estrutural, e não como anexo formal.

Vale lembrar que o regime sancionatório da LGPD, previsto no art. 52 da Lei nº 13.709/2018, já contempla advertência, multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, além da suspensão parcial ou total do funcionamento do banco de dados ou da atividade de tratamento. O que muda com a nova ANPD não é o catálogo de sanções, e sim a capacidade concreta de fiscalizar e de executar essas medidas, o que torna o risco menos teórico e mais presente no dia a dia das empresas.

Na prática, isso significa manter inventário de dados e mapeamento de tratamentos, bases legais bem definidas, encarregado atuante, gestão de incidentes com plano de resposta, contratos adequados com operadores e mecanismos válidos para transferências internacionais. Para quem trata dados de crianças e adolescentes, somam-se as salvaguardas próprias do ambiente digital, cuja inobservância tende a atrair fiscalização prioritária.

 

Riscos típicos

– Tratar a proteção de dados como tema isolado do compliance aumenta a exposição a sanções e a medidas restritivas, como interdições.

– Realizar transferências internacionais sem mecanismo adequado, como cláusulas-padrão ou normas corporativas globais, pode ser questionado pela ANPD.

– A ausência de plano estruturado de resposta a incidentes amplia danos, custos e risco sancionatório.

– Tratar dados de crianças e adolescentes sem as salvaguardas do ambiente digital eleva a probabilidade de fiscalização.

 

Oportunidades

– Integrar a governança de dados ao programa de integridade, nos termos do Decreto nº 11.129/2022, com políticas, encarregado e gestão de incidentes.

– Revisar bases legais, inventário de dados e contratos com operadores e fornecedores.

– Adequar as transferências internacionais aos mecanismos da Resolução CD/ANPD nº 19/2024 e aproveitar o reconhecimento de adequação da União Europeia.

– Mapear o tratamento de dados de menores à luz das regras do ambiente digital, antecipando-se à fiscalização.

 

Mensagem central

A ANPD reguladora, dotada de poder de polícia, marca o amadurecimento do ambiente de aplicação da lei em proteção de dados no Brasil. A privacidade deixa de ser preocupação setorial e passa a ser prioridade de compliance e de gestão de riscos. Organizações que integrarem a governança de dados aos seus programas de integridade estarão mais preparadas para um cenário em que fiscalização e sanção deixaram de ser hipóteses remotas e passaram a ser parte previsível do custo de operar.

 

 

Fontes

Agência Brasil. Senado aprova MP que transforma ANPD em agência reguladora 

ANPD. Transferência Internacional de Dados

ANPD. Resolução normatiza transferência internacional de dados.