LGPD na prática: o que a fiscalização da ANPD já cobra

Até pouco tempo, a dúvida honesta de quem dirige uma empresa no Brasil era se a LGPD teria, algum dia, um fiscal do outro lado do balcão. A resposta já não depende de prognóstico. Em fevereiro de 2026, a Lei nº 15.352 converteu a Medida Provisória nº 1.317/2025, consolidando a transformação da autoridade em Agência Nacional de Proteção de Dados e inserindo-a no rol das agências reguladoras da Lei nº 13.848/2019, com carreira própria — 200 cargos de Especialista em Regulação de Proteção de Dados — e nova estrutura regimental (Decreto nº 12.881/2026 e Resolução CD/ANPD nº 33/2026). Antes disso, em 17 de setembro de 2025, o Decreto nº 12.622 designou a Agência Nacional de Proteção de Dados como autoridade administrativa autônoma de proteção de crianças e adolescentes em ambientes digitais, incumbida de zelar pela aplicação do Estatuto Digital da Criança e do Adolescente — a Lei nº 15.211/2025, em vigor desde 17 de março de 2026, que prevê multa de até 10% do faturamento do grupo econômico no Brasil no seu último exercício, limitada a R$ 50 milhões por infração.

O que interessa a quem decide não é a moldura institucional, e sim onde essa estrutura está mirando e o que ela pede quando bate à porta.

Onde a fiscalização está mirando

A ANPD publica o alvo. A Resolução CD/ANPD nº 30, de 23 de dezembro de 2025, aprovou o Mapa de Temas Prioritários do biênio 2026-2027 e determinou que esses temas têm prioridade sobre pedidos de fiscalização de matérias fora da lista. São quatro: direitos dos titulares, com ênfase em dados biométricos, de saúde e financeiros; proteção de crianças e adolescentes no ambiente digital; tratamento de dados pelo Poder Público; e inteligência artificial e tecnologias emergentes. O Mapa vai além do enunciado genérico e fixa metas numéricas por eixo: 40 atividades de fiscalização sobre direitos dos titulares — das quais 10 dedicadas a tratamentos que envolvam dados biométricos, de saúde ou financeiros e 5 ao uso secundário de dados para publicidade direcionada mediante perfilamento —, 30 sobre proteção de crianças e adolescentes no ambiente digital, 20 sobre o Poder Público e 20 sobre inteligência artificial, estas últimas previstas para 2027.

O volume que alimenta essa máquina está no 3º Relatório de Ciclo de Monitoramento, que cobre julho de 2023 a junho de 2025. No período, a Coordenação-Geral de Fiscalização recebeu 9.629 requerimentos entre denúncias e petições de titulares — alta de 1.840,9% sobre o ciclo anterior, percentual que o próprio relatório relativiza, já que o ciclo precedente cobriu apenas o primeiro semestre de 2023, contra os vinte e quatro meses deste, e que reflete também a abertura do sistema eletrônico de requerimentos no gov.br em julho de 2024 —, além de 723 comunicações de incidente de segurança, tendo instaurado 35 procedimentos de fiscalização e 3 processos administrativos sancionadores. Entre os requerimentos admissíveis, os setores mais reclamados foram bancos, financeiras e administradoras de cartão (746 requerimentos), serviços (684), agregadores de dados (545), varejo (518) e telecomunicações (394). As queixas mais frequentes foram exposição de dados pessoais ou sensíveis (1.013), dificuldade de exercer o direito de eliminação (795) e vazamento de dados (789). Chama atenção o salto dos condomínios, de 6 para 161 requerimentos admissíveis, concentrados em exigência de biometria, câmeras e ausência de encarregado.

Entre os incidentes comunicados, o roubo de credenciais e a engenharia social assumiram a primeira posição no ciclo, superando o ransomware que lidera o acumulado desde 2021. Não é um dado técnico irrelevante: descreve como as empresas efetivamente perdem dados.

O que os casos recentes mostram

Em nota de 8 de junho de 2026, a ANPD informou ter instaurado processo administrativo sancionador contra a Claro (processo nº 00261.003285/2026-15) por indícios de irregularidades no compartilhamento de dados de clientes com a Serasa, no âmbito de parceria voltada ao desenvolvimento de metodologias de análise de crédito. As imputações são instrutivas: compartilhamento excessivo de dados, falta de transparência com os titulares e dificuldade de acesso ao encarregado. A Serasa, por sua vez, passou a responder a processo de fiscalização (nº 00261.003351/2026-49) sobre a transparência de sua política de privacidade — se ela informa, de fato, quem compartilha dados com a empresa e com quem a empresa os compartilha.

Em 8 de julho de 2026, a ANPD divulgou a instauração de processo sancionador contra o Instituto Saúde e Cidadania, organização social que administra unidades públicas de saúde, por incidente de ransomware que atingiu cerca de 500 mil registros, dos quais aproximadamente 78.772 de crianças e adolescentes e 47.921 de idosos. Dois pontos da apuração merecem leitura atenta por qualquer controlador. Primeiro, a entidade sustentou que não havia risco relevante aos titulares, mas não comprovou a afirmação — e o ônus, no procedimento, é de quem alega. Segundo, a comunicação por aviso no site institucional foi considerada insuficiente porque não informava a data do incidente, a natureza dos dados, as pessoas afetadas nem as medidas adotadas antes e depois do ataque.

Há ainda uma frente menos ruidosa e mais reveladora. Em junho de 2026, a ANPD concluiu a primeira fase de monitoramento sobre indicação de encarregado e canais de atendimento ao titular: dos 56 agentes acompanhados, 27 se adequaram, 8 permaneceram com pendências e 21 sequer responderam aos ofícios, tendo sido encaminhados à Coordenação-Geral de Sanção. Parte da seleção veio de auditoria do Tribunal de Contas da União. Não responder à Agência é, por si, um problema.

As multas são pequenas — e isso engana

A primeira sanção pecuniária da ANPD saiu em 6 de julho de 2023, contra a microempresa Telekall Infoservice: duas multas de R$ 7.200, mais advertência. Balanços de escritórios especializados publicados em meados de 2025 indicam que, depois dela, o padrão foi de advertências e medidas corretivas, e não de multas expressivas. Quem lê esse histórico como conforto lê errado, por duas razões.

A primeira é que a Agência tem usado instrumentos que mordem antes do fim do processo. No caso da Tools for Humanity, que oferecia criptomoeda em troca de escaneamento de íris, a medida preventiva foi mantida em março de 2025 com multa diária de R$ 50 mil em caso de descumprimento.

A segunda é a dosimetria. O Regulamento aprovado pela Resolução CD/ANPD nº 4/2023 estrutura a multa em torno de circunstâncias que o infrator controla. Cessar a infração antes da instauração de procedimento preparatório reduz o valor em 75%; depois de instaurado o sancionador, apenas 30%. Ter política de boas práticas e governança implementada reduz 20%; cooperação e boa-fé, 5%. Do outro lado, descumprir medida preventiva agrava em 20% por medida, até o limite de 80%, e descumprir medida corretiva agrava em 30%, até 90%. A conta premia o que já existia antes da fiscalização e pune o improviso posterior.

O que precisa estar pronto hoje

Encarregado indicado formalmente, com identidade e contato divulgados de forma acessível, é o item mais barato e o mais cobrado — a Resolução CD/ANPD nº 18/2024 detalha a exigência do art. 41 da LGPD. Agentes de tratamento de pequeno porte, na forma da Resolução CD/ANPD nº 2/2022, estão dispensados de indicar encarregado, mas precisam manter canal de comunicação com o titular; a dispensa também não alcança quem realiza tratamento de alto risco, e a Agência pode, pelo art. 16 daquele regulamento, exigir o que foi flexibilizado.

Plano de resposta a incidente com prazo real. A Resolução CD/ANPD nº 15/2024 fixa três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, para comunicar à ANPD, com doze informações obrigatórias, admitida complementação em vinte dias úteis. A comunicação ao titular também é de três dias úteis e deve ser direta e individualizada sempre que possível; sendo inviável, a divulgação pública precisa permanecer visível por, no mínimo, três meses. Todo incidente deve ser registrado e guardado por cinco anos, inclusive os que não forem comunicados, com a justificativa da não comunicação. Os prazos correm em dobro para agentes de pequeno porte.

Transferência internacional regularizada. O prazo de doze meses para incorporar as cláusulas-padrão contratuais da Resolução CD/ANPD nº 19/2024 encerrou-se em 23 de agosto de 2025. A única decisão de adequação editada até agora é a Resolução nº 32, de 26 de janeiro de 2026, que reconheceu a União Europeia como destino adequado — alcançando os Estados-membros do bloco, suas instituições, órgãos e agências, e ainda Islândia, Liechtenstein e Noruega, que não integram a UE, mas compõem o Espaço Econômico Europeu —, ressalvadas as transferências realizadas exclusivamente para fins de segurança pública, defesa nacional, segurança do Estado e investigação e persecução penal. Fora da decisão de adequação, a transferência depende de um dos demais mecanismos do art. 33 da LGPD — cláusulas-padrão contratuais, cláusulas contratuais específicas ou normas corporativas globais, estas duas sujeitas a aprovação prévia da ANPD, ou ainda selos, certificados e códigos de conduta (art. 33, II, d), mecanismo que a ANPD ainda não regulamentou, além das hipóteses legais autônomas dos incisos III a IX. Contrato que não se ampare em nenhum deles é exposição aberta.

Contratos de compartilhamento revistos. O caso Claro indica o eixo da análise: finalidade definida, proporcionalidade do que se compartilha e transparência efetiva ao titular sobre quem recebe seus dados.

Nada disso depende de um projeto de dois anos. Depende de documentação que exista antes da intimação, porque é exatamente ela que a dosimetria valoriza e que o titular, o Tribunal de Contas ou a própria Agência cobram primeiro. Cada situação concreta, no entanto, exige análise própria — inclusive a decisão sobre comunicar ou não um incidente, que não comporta resposta padronizada.

LGPD na prática: o que a fiscalização da ANPD já cobra.

Onde a fiscalização está mirando

O que os casos recentes mostram

As multas são pequenas — e isso engana

O que precisa estar pronto hoje

Fontes

Continue lendo

Contratos SaaS: as cláusulas que decidem a disputa