A ANPD virou agência reguladora — e mudou o jeito de fiscalizar a LGPD

Durante anos, a LGPD conviveu com um comentário de bastidor que virou quase política de gestão: “a lei existe, mas ninguém fiscaliza”. Esse argumento tinha uma base real — a autoridade responsável era pequena, sem orçamento próprio e sem gente suficiente para dar conta do país.

Essa base acabou. E vale entender exatamente o que mudou, porque a mudança é estrutural.

O que a Lei 15.352/2026 fez

Sancionada em 25 de fevereiro de 2026, a lei transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados. Não é troca de nome:

• Autonomia financeira e orçamento próprio. Antes, a estrutura dependia de recursos que disputava internamente. Agência reguladora tem patrimônio próprio — e portanto capacidade de planejar fiscalização de médio prazo.
• Autonomia decisória, técnica e administrativa. As decisões deixam de ter a fragilidade institucional de quem está subordinado a outra pasta.
• 200 cargos de especialista em regulação de proteção de dados, a serem preenchidos por concurso público. É a multiplicação da capacidade de fiscalizar de fato.

A agência segue vinculada ao Ministério da Justiça e Segurança Pública, com sede em Brasília. Um dos motivos declarados para o reforço foi a nova atribuição de regulamentar o ECA Digital (Lei 15.211/2025), que trata da proteção de crianças e adolescentes no ambiente online.

A mudança que muda o seu risco: fiscalização por setor

Aqui está a parte que raramente aparece nas manchetes e que mais importa para quem decide.

Antes, a fiscalização era essencialmente reativa: chegava uma denúncia, virava um processo, investigava-se aquela empresa. Isso significava que o risco de uma empresa média ser fiscalizada era, na prática, próximo de zero — a não ser que alguém reclamasse dela especificamente.

O método agora é setorial: a agência escolhe um segmento e investiga o setor inteiro de uma vez. Já houve investigações abertas contra verticais completas, como clínicas de estética que usam dados biométricos e comércios eletrônicos que tratam dados de menores.

A consequência prática é direta: você não precisa mais ser denunciado para entrar na fila. Basta o seu setor ser escolhido. E, num mesmo mês, a autoridade abriu mais processos sancionadores do que em anos inteiros anteriores.

Há também um painel público de fiscalização — ou seja, o que antes era invisível passou a ser acompanhável.

O que está em jogo financeiramente

A LGPD prevê multa de até 2% do faturamento do último exercício, limitada a R$ 50 milhões por infração. Mas o valor da multa costuma não ser a pior parte:

• Suspensão do tratamento de dados é sanção prevista — e já aplicada. Para uma empresa cujo processo depende de dados de clientes ou funcionários, suspender o tratamento é parar de operar.
• Publicidade da sanção. A decisão é pública, com nome da empresa. O custo reputacional não tem teto.

Onde o RH entra nessa conta

Este blog fala muito de gestão de pessoas, então vale ser explícito: o RH é um dos maiores centros de dados sensíveis de qualquer empresa — e frequentemente o menos preparado.

Pense no que passa por lá: CPF, RG, endereço, dados bancários, dependentes, atestados médicos (dado de saúde, categoria especial na lei), exames admissionais, ficha de registro, avaliações de desempenho, registro de ponto, currículos de gente que nunca foi contratada.

As falhas mais comuns, e mais fáceis de corrigir:

• Currículos guardados para sempre. Candidato não contratado há quatro anos com currículo no drive compartilhado é dado pessoal sem finalidade. Precisa de prazo de descarte definido.
• Atestado médico circulando em grupo de WhatsApp. É dado de saúde em canal sem controle — um dos cenários mais indefensáveis numa fiscalização.
• Planilha de folha em drive aberto para “a equipe toda”. Acesso a dado sensível precisa ser nominal e justificado.
• Sistemas de ex-funcionários e ex-fornecedores nunca revogados. Acesso ativo de quem saiu é achado clássico.
• Registro de ponto sem controle de quem consulta. Jornada é dado pessoal e revela rotina, presença, ausência — inclusive por motivo de saúde.

Nada disso exige um projeto de dois anos. Exige saber que dado você tem, por quanto tempo, quem acessa e por quê — as quatro perguntas que qualquer fiscalização vai fazer.

O ponto prático

O cálculo silencioso de muita empresa — “o risco de ser fiscalizado é baixo, então adequação pode esperar” — era defensável quando a autoridade tinha estrutura mínima e agia por denúncia. Com orçamento próprio, 200 fiscais entrando por concurso e fiscalização por setor, esse cálculo mudou de resultado.

A adequação à LGPD sempre foi apresentada como obrigação legal. Talvez seja mais honesto tratá-la pelo que ela é hoje: gestão de um risco financeiro e operacional concreto, com prazo que você não controla.

Fontes

• Planalto — Lei nº 15.352, de 25 de fevereiro de 2026 (texto integral): planalto.gov.br
• Agência Senado — sanção da lei que cria a Agência Nacional de Proteção de Dados: senado.leg.br
• Planalto — comunicado oficial da sanção: gov.br/planalto
• ANPD — fiscalização, processos sancionadores e regulamentações: gov.br/anpd
• Planalto — LGPD, Lei nº 13.709/2018 (sanções no art. 52): planalto.gov.br