A proteção de dados no Brasil entra em uma nova etapa após seis anos de vigência da Lei Geral de Proteção de Dados Pessoais (LGPD), completados em 18/9. A estrutura regulatória avançou, a Autoridade Nacional de Proteção de Dados (ANPD) ganhou status de agência reguladora e as organizações passam a ser cobradas por evidências de governança, não apenas por documentos formais.
Em 2026, a Lei nº 15.352/2026 transformou a ANPD em Agência Nacional de Proteção de Dados e manteve a sigla conhecida. A mudança também criou uma carreira específica de Regulação e Fiscalização de Proteção de Dados. Com isso, aumenta a expectativa de que a nova estrutura tenha capacidade para monitorar agentes públicos e privados, investigar violações e aplicar respostas proporcionais às infrações.
Regulamentação avançou, mas a agenda continua
Desde a entrada em vigor da LGPD, em 2020, a ANPD regulamentou temas como agentes de tratamento de pequeno porte, processos de fiscalização e sanção, dosimetria das penalidades, comunicação de incidentes de segurança, atuação do encarregado e transferências internacionais de dados.
Ainda estão na agenda regulatória assuntos como direitos dos titulares, relatórios de impacto à proteção de dados pessoais, dados biométricos, inteligência artificial, tratamentos de alto risco e padrões de segurança. Apesar das lacunas, já existe um conjunto de regras considerado suficientemente consistente para que a lei seja tratada como obrigação permanente de governança.
A fiscalização, segundo a análise apresentada, precisa combinar orientação, monitoramento baseado em risco, escolha estratégica de setores, transparência nos critérios e sanções capazes de influenciar o comportamento do mercado. A previsibilidade das decisões também é apontada como necessária para que as organizações direcionem recursos aos riscos mais relevantes.
Crianças e adolescentes ampliam o desafio
A Lei nº 15.211/2025, que institui o Estatuto Digital da Criança e do Adolescente, ampliou as obrigações relacionadas à proteção de crianças e adolescentes no ambiente digital e atribuiu novas competências à ANPD.
A análise deixa de se limitar à existência de uma base legal para o tratamento. Também passa a considerar o desenvolvimento dos produtos, os riscos criados, o perfil dos usuários e os mecanismos de proteção incorporados desde a concepção.
A ANPD já iniciou ações de monitoramento sobre o cumprimento do ECA Digital, incluindo a implementação de mecanismos de aferição de idade por grandes plataformas. A medida indica uma atuação mais concentrada na supervisão concreta do ambiente regulado.
Empresas precisam demonstrar controles
A adequação à LGPD não se resume à publicação de política de privacidade, à indicação formal de um encarregado ou à inclusão de cláusulas genéricas em contratos. As organizações precisam saber quais dados tratam, por que os coletam, quanto tempo os mantêm e com quem os compartilham.
Também devem avaliar fornecedores, manter procedimentos para incidentes, responder a solicitações dos titulares e analisar riscos antes da adoção de novas tecnologias. O mesmo vale para controles relacionados a dados sensíveis, biometria, inteligência artificial e informações de crianças e adolescentes.
O princípio da responsabilização e da prestação de contas previsto na LGPD torna central a capacidade de comprovar que esses processos funcionam. A proteção de dados também passou a integrar contratações, auditorias, operações societárias, avaliações de fornecedores, programas de integridade e negociações entre empresas brasileiras e estrangeiras.
A incorporação acelerada de ferramentas de inteligência artificial aumenta a pressão sobre os programas internos. O risco é que novas formas de tratamento de dados avancem mais rapidamente do que os controles de governança.
Seis anos após a vigência da lei, a adequação deixa de ser vista como um projeto com início e fim. Para as organizações, o desafio é manter estruturas permanentes de governança e gestão de riscos. Para a ANPD, é transformar o fortalecimento institucional em capacidade regulatória e fiscalizatória concreta.
