ANPD como agência reguladora e o novo poder de polícia: o que a lei nº 15.352/2026 sinaliza para programas de integridade e governança de dados
Com poderes de interdição, apreensão e fiscalização reforçada, a proteção de dados deixa de ser assunto restrito ao jurídico e passa a integrar o núcleo do compliance e da gestão de riscos das empresas.
A transformação da Autoridade Nacional de Proteção de Dados em agência reguladora, promovida pela Lei nº 15.352/2026, resultante da conversão da Medida Provisória nº 1.317/2025, alterou de forma relevante o ambiente de fiscalização da Lei Geral de Proteção de Dados (Lei nº 13.709/2018). A ANPD passou a ter natureza de autarquia sob regime especial, com autonomia funcional, técnica, decisória, administrativa e financeira, além de poder de polícia.
A mudança importa para muito além dos departamentos de tecnologia e de privacidade. Empresas que contratam com o poder público, organizações com programa de integridade e fornecedores sujeitos a auditoria precisam tratar a governança de dados como parte integrante do compliance, sob pena de exposição a sanções e a medidas restritivas mais incisivas.
O que muda com a nova ANPD
O ponto de maior impacto é o poder de polícia. Os fiscais da ANPD passam a poder interditar estabelecimentos, equipamentos e instalações, apreender bens e, em caso de resistência, requisitar o auxílio de força policial. Para sustentar essa atuação, a Lei nº 15.352/2026 criou a Carreira de Regulação e Fiscalização de Proteção de Dados, com vagas a serem preenchidas por concurso público. O resultado é uma autoridade com mais autonomia e maior capacidade operacional de fiscalizar e de sancionar.
Esse fortalecimento se conecta a outro marco recente: a entrada em vigor das regras de proteção de crianças e adolescentes no ambiente digital, que impôs deveres adicionais a quem oferece produtos e serviços digitais ou trata dados de menores. A convergência entre proteção de dados e proteção de vulneráveis amplia o escopo do que a ANPD fiscaliza e eleva o patamar de diligência esperado das organizações.
As bases normativas
A base permanece a Lei nº 13.709/2018 (LGPD), agora fiscalizada por uma autoridade com novo desenho institucional definido pela Lei nº 15.352/2026. No campo das transferências internacionais de dados, a Resolução CD/ANPD nº 19/2024 regulamenta os arts. 33 a 36 da LGPD e disciplina as cláusulas-padrão contratuais e as normas corporativas globais; a Resolução CD/ANPD nº 32/2026 reconheceu a União Europeia como jurisdição com nível adequado de proteção. Há interface direta com a Lei nº 12.846/2013 e o Decreto nº 11.129/2022, pois a governança de dados integra o programa de integridade, e com a Lei nº 14.133/2021 nas contratações públicas.
A convergência entre proteção de dados e compliance
Com poder de polícia, a atuação da ANPD altera o perfil de risco das organizações. Incidentes de segurança e tratamentos irregulares podem gerar não apenas sanções administrativas, mas também exposição contratual e reputacional, especialmente para fornecedores do setor público, que respondem a exigências de conformidade em editais e contratos. Por isso, programas de integridade precisam incorporar a governança de dados como componente estrutural, e não como anexo formal.
Vale lembrar que o regime sancionatório da LGPD, previsto no art. 52 da Lei nº 13.709/2018, já contempla advertência, multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, além da suspensão parcial ou total do funcionamento do banco de dados ou da atividade de tratamento. O que muda com a nova ANPD não é o catálogo de sanções, e sim a capacidade concreta de fiscalizar e de executar essas medidas, o que torna o risco menos teórico e mais presente no dia a dia das empresas.
Na prática, isso significa manter inventário de dados e mapeamento de tratamentos, bases legais bem definidas, encarregado atuante, gestão de incidentes com plano de resposta, contratos adequados com operadores e mecanismos válidos para transferências internacionais. Para quem trata dados de crianças e adolescentes, somam-se as salvaguardas próprias do ambiente digital, cuja inobservância tende a atrair fiscalização prioritária.
Riscos típicos
– Tratar a proteção de dados como tema isolado do compliance aumenta a exposição a sanções e a medidas restritivas, como interdições.
– Realizar transferências internacionais sem mecanismo adequado, como cláusulas-padrão ou normas corporativas globais, pode ser questionado pela ANPD.
– A ausência de plano estruturado de resposta a incidentes amplia danos, custos e risco sancionatório.
– Tratar dados de crianças e adolescentes sem as salvaguardas do ambiente digital eleva a probabilidade de fiscalização.
Oportunidades
– Integrar a governança de dados ao programa de integridade, nos termos do Decreto nº 11.129/2022, com políticas, encarregado e gestão de incidentes.
– Revisar bases legais, inventário de dados e contratos com operadores e fornecedores.
– Adequar as transferências internacionais aos mecanismos da Resolução CD/ANPD nº 19/2024 e aproveitar o reconhecimento de adequação da União Europeia.
– Mapear o tratamento de dados de menores à luz das regras do ambiente digital, antecipando-se à fiscalização.
Mensagem central
A ANPD reguladora, dotada de poder de polícia, marca o amadurecimento do ambiente de aplicação da lei em proteção de dados no Brasil. A privacidade deixa de ser preocupação setorial e passa a ser prioridade de compliance e de gestão de riscos. Organizações que integrarem a governança de dados aos seus programas de integridade estarão mais preparadas para um cenário em que fiscalização e sanção deixaram de ser hipóteses remotas e passaram a ser parte previsível do custo de operar.
Fontes
Agência Brasil. Senado aprova MP que transforma ANPD em agência reguladora
ANPD. Transferência Internacional de Dados
ANPD. Resolução normatiza transferência internacional de dados.
Read More
Mercado regulado de carbono (SBCE): proposta de cobertura setorial e o que muda no compliance de emissões a partir de 2027
A Secretaria Extraordinária do Mercado de Carbono (SEMC) do Ministério da Fazenda apresentou, em 19/05/2026, uma proposta preliminar de cobertura setorial do Sistema Brasileiro de Comércio de Emissões (SBCE). Na prática, o governo está colocando em discussão quem entra primeiro no mercado regulado de carbono brasileiro e em que ordem os setores passam a ser obrigados a medir, relatar e verificar emissões (MRV).
Esse “mapa de entrada” importa por um motivo simples: antes de haver custo de conformidade, haverá um período de preparação que exige investimento em processos, controles e evidências. E, no mercado de carbono, o que não está bem medido e documentado costuma virar passivo — regulatório, contratual e reputacional.
O que exatamente foi proposto (e quando)
A proposta trabalha com uma implementação em etapas para introduzir obrigações de MRV relacionadas ao SBCE:
– 1ª etapa (início em 2027): papel e celulose; ferro e aço; cimento; alumínio primário; exploração e produção de petróleo e gás; refino; transporte aéreo.
– 2ª etapa (prevista para 2029): mineração; alumínio reciclado; setor elétrico; vidro; alimentos e bebidas; química; cerâmica; resíduos.
– 3ª etapa (a partir de 2031): transporte rodoviário; aquaviário; ferroviário.
Além do “quem entra”, a apresentação indica um desenho de preparação por setor: cada etapa teria 4 anos, com (i) elaboração de plano de monitoramento; (ii) monitoramento efetivo; e (iii) construção do Plano Nacional de Alocação. Nessa fase inicial, a obrigação seria de relato, sem cobrança/custo imediato e sem obrigação de redução.
O cronograma também sinaliza consulta pública em julho e publicação de versão final ainda em 2026, o que reduz a margem para “depois a gente vê”.
A base legal já existe: Lei nº 15.042/2024
A notícia lembra que a Lei nº 15.042/2024 instituiu o SBCE e que o primeiro Plano Nacional de Alocações deve distribuir cotas gratuitamente aos operadores participantes.
Um ponto que costuma passar despercebido no debate público, mas é decisivo para gestores e conselhos: a própria legislação do SBCE aponta um futuro em que empresas com emissões acima de10 mil tCO₂e/ano deverão reportar emissões e acima de 25 mil tCO₂e/ano podem ficar sujeitas a limites e obrigações de conformidade.
Em outras palavras: não é um programa para “todas as empresas”, e sim para um universo restrito de grandes emissores. Ainda assim, o impacto é ampliado por cadeias de suprimento, contratos e crédito.
O que muda no dia a dia da empresa: dados viram obrigação (e prova)
Mesmo antes de existir compra/venda de ativos regulados em escala, a agenda de MRV pressiona a empresa a responder, com evidências:
– Como calcula emissões (metodologia, fatores de emissão, fronteiras organizacionais e operacionais).
– Quem é responsável por aprovar dados (governança e segregação de funções).
– De onde vêm os dados (energia, combustíveis, produção, processos industriais, transporte, aviação, perdas, resíduos).
– O que é auditável (trilhas, registros, versões, controles de qualidade, retenção).
– Quanto custa errar (retrabalho, atraso, risco sancionador futuro, disputa com verificador, impacto em contratos).
Do ponto de vista jurídico, isso normalmente se traduz em três frentes:
- Governança interna e responsabilidade de administradores. Relatórios ambientais, quando passam a ser obrigação regulatória, deixam de ser “comunicação” e se tornam informação sujeita a responsabilização. Conselhos e diretorias tendem a exigir matriz de riscos e controles (inclusive para evitar alegações de omissão em deveres de diligência).
- Contratos e cadeia de suprimentos. Fornecedores passam a ser cobrados por dados (energia, logística, matérias-primas, resíduos). Isso pede cláusulas de auditoria, dever de cooperação, padrões mínimos de evidência e consequências por informação falsa/inconsistente.
- Estrutura de custos e disputas comerciais. MRV pode revelar emissões relevantes em etapas pouco visíveis (ex.: refino, transporte, processos). O resultado pode impactar precificação, repasse de custos e até gatilhos contratuais em financiamentos sustentáveis.
Riscos típicos: onde o passivo costuma aparecer
Mesmo com um período inicial “sem custo”, há riscos concretos:
– Classificação equivocada do perímetro regulado: quem opera em grupo econômico, joint venture ou cadeia integrada pode errar fronteiras de reporte.
– Dados fragmentados em sistemas que não conversam: inventário vira “colcha de retalhos” e falha em auditoria.
– Greenwashing por excesso de marketing e pouca evidência: a empresa comunica metas e resultados sem lastro; quando começa o MRV, inconsistências ficam expostas.
– Desalinhamento com licenças e obrigações ambientais existentes: o SBCE não substitui licenciamento, condicionantes e obrigações estaduais/municipais; ele adiciona uma camada econômica-regulatória.
Oportunidades: preparar-se antes do regulamento final reduz custo e aumenta previsibilidade
A mesma estrutura que reduz risco costuma gerar benefícios:
– Melhor gestão energética e de processos (dados confiáveis evidenciam desperdícios).
– Acesso a capital e melhores condições contratuais em operações sensíveis a risco climático, porque a empresa passa a demonstrar controle e rastreabilidade.
– Antecipação de estratégia de offsets/compensações (lembrando que a proposta menciona que a definição de cobertura alimentará parâmetros como limites de offset no futuro).
– M&A e reorganizações com “due diligence climática” menos traumática. Empresas com inventários robustos e governança documental tendem a sofrer menos em auditorias de compra, venda ou captação.
Como o escritório pode apoiar (de modo prático)
Sem necessidade de “reinventar” a empresa, é possível estruturar um caminho jurídico-operacional em camadas:
– Diagnóstico de enquadramento e materialidade: leitura da proposta setorial, mapeamento de atividades, estimativa de emissões e identificação de onde o dado nasce.
– Revisão de governança e políticas internas: responsabilidades, aprovação, retenção e integridade do dado; matriz de riscos; integração com compliance e auditoria.
– Contratos e terceiros: cláusulas de fornecimento de dados, auditoria, confidencialidade, LGPD (quando aplicável), e regras de cooperação com verificadores.
– Preparação para consulta pública e participação institucional: contribuições técnicas que preservem competitividade sem comprometer integridade ambiental.
A mensagem central do anúncio é que o SBCE está saindo do campo conceitual e entrando em cronograma. Para setores apontados como primeira onda (2027), a janela para “organizar a casa” é agora — porque, em MRV, a parte difícil raramente é o número final; é a capacidade de explicar, de forma consistente, como ele foi obtido.
Read More
LGPD em novo patamar: Lei 15.352/2026 transforma a ANPD em autarquia especial — o que empresas devem fazer agora
Mais maturidade regulatória tende a significar fiscalização mais estruturada, exigindo governança de privacidade e resposta a incidentes
O que a Lei nº 15.352/2026 sinaliza
Publicada em 25/02/2026, a Lei nº 15.352/2026 promoveu alteração da Lei nº 13.709/2018 e consolidou a Autoridade Nacional de Proteção de Dados (ANPD) como autarquia de natureza especial, além de instituir carreira própria de regulação e fiscalização.
A mudança, aprovada pelo Senado Federal, representa um salto institucional relevante: mais autonomia administrativa, técnica e orçamentária — e, sobretudo, maior capacidade operacional para fiscalizar e sancionar.
O recado ao mercado é de que a proteção de dados deixa definitivamente o campo da recomendação e ingressa em um patamar de regulação estruturada, permanente e tecnicamente robusta.
Por que isso importa para empresas e para titulares?
Para empresas (de todos os portes)
A nova configuração institucional da ANPD impacta diretamente a forma como as empresas devem encarar a conformidade com a LGPD.
Não será mais suficiente possuir políticas genéricas ou modelos padronizados. O foco da autoridade tende a recair sobre evidências concretas de governança.
A elevação do status institucional da ANPD tende a aumentar:
– Previsibilidade regulatória (mais normas, guias, interpretações e ritos);
– Capacidade de fiscalização (processos administrativos mais frequentes e mais técnicos);
– Comprovação de governança e de programas de segurança da informação.
Setores como RH, marketing digital, e-commerce, fintechs, saúde, educação e empresas intensivas em dados tendem a ser especialmente impactados.
Para pessoas físicas (titulares de dados)
O fortalecimento do órgão regulador tende a ampliar canais e efetividade para:
– Exercício de direitos (confirmação, acesso, correção, eliminação etc.);
– Reclamações e apurações sobre uso indevido de dados;
– Resposta institucional a incidentes e vazamentos.
Riscos e oportunidades no curto prazo
Riscos comuns
Com uma ANPD mais estruturada, alguns riscos se tornam particularmente sensíveis:
- Programa “de papel”: políticas genéricas, sem inventário de dados, sem avaliação de fornecedores e sem trilha de decisões.
- Contratos desatualizados: ausência de cláusulas de proteção de dados, suboperadores, padrões mínimos de segurança, resposta à incidentes e auditoria.
- Incidentes sem plano: vazamentos e acessos indevidos podem ocorrer; o problema jurídico costuma ser a resposta desorganizada (prazos, comunicação, evidências).
- Bases legais frágeis: tratamento amparado em consentimento quando o mais adequado seria outra base (ou vice-versa), gerando risco de invalidação.
Oportunidades
Apesar do aumento da pressão regulatória, o novo cenário também cria oportunidades relevantes:
– Maturidade competitiva: empresas com governança sólida de privacidade ganham confiança, reduzem perdas em incidentes e melhoram sua posição em auditorias e due diligences.
– Otimização de dados: ao mapear finalidades e retenção, é comum reduzir a coleta excessiva e custos de armazenamento.
– Melhoria de processos: padronização de atendimento a titulares e fluxos internos reduz retrabalho e risco.
O que revisar agora: checklist objetivo
– Inventário de dados e mapeamento de fluxos (internos e com terceiros);
– Registro de operações, políticas e evidências de treinamento;
– Gestão de terceiros: contratos, due diligence e controles de subcontratação;
– Plano de resposta a incidentes (jurídico + técnico + comunicação);
– Avaliação de necessidade de encarregado de dados (DPO), com atribuições e autonomia;
– Governança de consentimento, cookies e publicidade comportamental.
Como o escritório pode auxiliar
Podemos apoiar empresas e entidades com:
– Diagnóstico de aderência à LGPD e construção de um passo a passo para a adequação;
– Revisão de bases legais, avisos de privacidade e políticas internas;
– Elaboração/negociação de cláusulas contratuais com fornecedores e parceiros;
– Desenho e simulação de plano de resposta a incidentes, incluindo medidas legais e de mitigação;
– Representação e acompanhamento em procedimentos administrativos perante a ANPD.
A Lei 15.352/2026 reforça que privacidade não é projeto pontual: é programa contínuo, com governança, provas e melhoria permanente.
Read More
Portaria do Ministério do Turismo e LGPD: por que políticas de privacidade do setor público afetam empresas e cidadãos
A portaria e o sinal do setor público
O Ministério do Turismo publicou portaria tornando pública a aprovação de sua Política de Privacidade (Aviso de Privacidade), com referência expressa à Lei nº 13.709/2018 (LGPD) e diretrizes sobre o tratamento de dados pessoais no âmbito do órgão, além da disponibilização do documento em seu sítio eletrônico.
Embora pareça um ato “interno”, esse tipo de iniciativa é um marco importante: ele reforça a tendência de padronização da governança de dados na Administração Pública e cria expectativa de que órgãos federais passem a exigir, com mais frequência, regras claras para coleta, uso, compartilhamento e retenção de dados — inclusive nas relações com fornecedores, conveniados e prestadores de serviços.
O que muda para cidadãos (pessoas físicas)
Para titulares de dados, a formalização de políticas no setor público é positiva porque fortalece:
- Transparência sobre quais dados são tratados, para quais finalidades e com quais bases legais;
- Canais de atendimento para exercício de direitos do titular (acesso, correção, informação, oposição quando aplicável);
- Maior previsibilidade sobre compartilhamento de dados com outros órgãos e com terceiros.
Na prática, isso pode impactar usuários de serviços, participantes de programas e beneficiários de ações públicas: a política tende a explicitar rotinas de atendimento, prazos e responsabilidades — elementos úteis quando há dúvidas sobre uso indevido, vazamentos ou negativa de acesso.
Impactos jurídicos para empresas que se relacionam com o poder público
Para empresas, o ponto central é que políticas de privacidade institucionais costumam se refletir em obrigações contratuais. É comum que editais e contratos passem a prever:
· Requisitos de segurança da informação (controles técnicos e administrativos);
· Regras de subcontratação e responsabilização por incidentes;
· Exigência de registros de tratamento, relatórios e evidências de conformidade;
· Deveres de notificação e cooperação em incidentes de segurança.
Além disso, quando uma empresa atua como operadora (ou eventualmente controladora em conjunto, dependendo do arranjo), ela precisa alinhar seus processos aos fluxos de dados do órgão: quem coleta, quem acessa, onde os dados ficam hospedados, por quanto tempo são mantidos, como são descartados e como se dá a gestão de credenciais.
Riscos e oportunidades: governança, contratos e reputação
Riscos típicos para empresas fornecedoras:
1. Inadimplemento contratual por falha em cumprir cláusulas de proteção de dados e segurança.
2. Responsabilização administrativa e civil em caso de incidente, especialmente quando há negligência comprovada.
3. Bloqueio de contratação: exigências de conformidade podem ser critério de habilitação técnica ou de pontuação, conforme o modelo do edital.
Oportunidades:
· Diferenciação competitiva ao demonstrar maturidade em LGPD e segurança.
· Redução de retrabalho em licitações e contratos por já possuir documentação e processos padronizados.
· Melhoria do relacionamento institucional ao estabelecer fluxos claros de atendimento a titulares e de resposta a incidentes.
Boas práticas recomendadas (para começar agora)
Para empresas que contratam com órgãos públicos — ou tratam dados em nome deles — vale revisar:
· Mapeamento de dados (quais dados pessoais são tratados e em quais sistemas);
· Bases legais e finalidade (coleta mínima e justificativa documentada);
· Contratos e anexos de proteção de dados (DPA), com definição de papéis e responsabilidades;
· Plano de resposta a incidentes e testes periódicos;
· Governança: atuação do encarregado/DPO, políticas internas e treinamento.
Como o escritório pode ajudar
O escritório pode apoiar na adequação LGPD com foco em relações público-privadas: revisão de cláusulas contratuais e editais, estruturação de aditivos e DPAs, desenho de governança (papéis de controlador/operador), elaboração/revisão de políticas e avisos, e suporte em gestão de incidentes e atendimento a titulares.
A mensagem central é simples: quando o setor público eleva o padrão de privacidade, toda a cadeia que se conecta a ele precisa estar pronta — sob pena de riscos jurídicos e perda de oportunidades.
Read More