← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

LGPD na prática: o que a ANPD fiscaliza e como se adequar

Incidentes em 3 dias úteis, encarregado, cláusulas-padrão e multas de até R$ 50 milhões: os regulamentos da ANPD em vigor e as prioridades de 2026–2027.

2026-10-27

Em vigor desde 2020, a Lei Geral de Proteção de Dados (LGPD) entrou numa fase menos teórica. A Autoridade Nacional de Proteção de Dados (ANPD) publicou ao longo dos últimos anos um conjunto de regulamentos que dizem, na prática, o que as empresas precisam fazer, e anunciou que vai fiscalizar mais. Este guia resume o que está em vigor, o que a ANPD vai olhar em 2026 e 2027 e um roteiro mínimo de adequação.

A ANPD sai do modo orientativo

O Mapa de Temas Prioritários aprovado no fim de 2025, para o biênio 2026–2027, prevê aumento de 25% no volume de ações fiscalizatórias. Segundo a Convergência Digital, a autoridade entende que já tem maturidade institucional para passar de uma postura mais orientativa para uma de maior fiscalização. A Medida Provisória 1.317/2025, que transformou a ANPD em agência reguladora, prevê a conversão de 218 vagas na nova carreira de Especialista em Regulação de Proteção de Dados.

Os quatro eixos prioritários de 2026–2027

Direitos dos titulares: dados sensíveis em saúde, finanças e biometria; uso secundário para publicidade direcionada; perfilamento.
Crianças e adolescentes: primeiro ciclo estruturado de fiscalização de plataformas à luz da Lei 15.211/2025 (ECA Digital), incluindo aferição de idade e retenção excessiva de dados.
Poder público: compartilhamento de bases, interoperabilidade e governança de dados em União, estados e municípios.
Inteligência artificial: pela primeira vez com capítulo próprio, abrangendo reconhecimento facial, opacidade algorítmica e impacto sobre grupos vulneráveis.

Telecomunicações, agregadores e plataformas digitais deixaram de ser temas prioritários autônomos, segundo a mesma reportagem.

Os regulamentos que já valem

Norma	Tema	O que exige
Resolução CD/ANPD nº 4/2023	Dosimetria e sanções	Define nove sanções e critérios de cálculo; multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração
Resolução CD/ANPD nº 15/2024	Incidentes de segurança	Comunicação à ANPD e aos titulares em 3 dias úteis; registro de incidentes por 5 anos
Resolução CD/ANPD nº 18/2024	Encarregado (DPO)	Indicação por ato formal e divulgação da identidade e do contato
Resolução CD/ANPD nº 19/2024	Transferência internacional	Cláusulas-padrão da ANPD obrigatórias desde 23/08/2025 para quem usa a via contratual

Sanções: o que pode acontecer

O regulamento de dosimetria lista advertência, multa simples, multa diária, publicização da infração, bloqueio e eliminação de dados, suspensão parcial do banco de dados, suspensão da atividade de tratamento e proibição parcial ou total do tratamento. A multa diária também é limitada a R$ 50 milhões por infração. Entre os critérios de cálculo estão boa-fé, reincidência, cooperação, adoção de boas práticas e rapidez nas medidas corretivas, segundo o Mobile Time. Na prática, ter um programa de governança documentado reduz a pena.

Incidentes: o relógio de 3 dias úteis

O regulamento de incidentes determina que o controlador comunique a ANPD e os titulares em até 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, conforme análise do Cescon Barrieu. A comunicação é obrigatória quando o incidente pode afetar significativamente os titulares e envolve ao menos um destes elementos: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação; dados protegidos por sigilo; ou dados em larga escala. Informações complementares podem ser enviadas em até 20 dias úteis. Todos os incidentes, inclusive os não comunicados, devem ser registrados e guardados por pelo menos cinco anos. Agentes de pequeno porte têm prazos em dobro.

Encarregado

A Resolução nº 18/2024 exige que o encarregado seja indicado por ato formal, com identidade e contato divulgados e atualizados, e prevê medidas em caso de conflito de interesses. O encarregado não responde pessoalmente pela conformidade do controlador, segundo o Lefosse.

Dados no exterior

Desde 23 de agosto de 2025, empresas que transferem dados para fora do país com base em contratos precisam usar as cláusulas-padrão da ANPD ou cláusulas específicas aprovadas pela autoridade. Modelos estrangeiros, como as cláusulas da União Europeia, não bastam por si só (Lefosse).

Roteiro de adequação em oito passos

Mapeie os dados: que dados pessoais a empresa trata, por quê, onde ficam e com quem são compartilhados.
Defina a base legal de cada tratamento (consentimento, contrato, obrigação legal, legítimo interesse etc.).
Indique o encarregado por ato formal e publique o canal de contato.
Revise contratos com fornecedores e, se houver transferência internacional, incorpore as cláusulas-padrão.
Monte o plano de resposta a incidentes, com responsáveis e modelo de comunicação capaz de cumprir os 3 dias úteis.
Crie um registro de incidentes e mantenha-o por cinco anos.
Atenda titulares: processo para pedidos de acesso, correção e eliminação.
Priorize os temas da ANPD: dados de saúde, finanças, biometria, crianças e uso de IA merecem revisão imediata.

O que observar

A combinação de mais pessoal, status de agência reguladora e um mapa de prioridades mais agressivo indica que a fiscalização deve ficar mais frequente. Empresas que tratam dados de crianças, dados biométricos ou usam IA para perfilar clientes estão no centro do radar.