ANPD virou agência reguladora: o que muda na fiscalização em 2026 e 2027

Desde fevereiro de 2026, a sigla ANPD quer dizer Agência Nacional de Proteção de Dados. Para quem acompanha a LGPD de longe, pareceu só uma troca de nome. Para quem responde pela privacidade em uma empresa, a mudança merece mais atenção. A ANPD entrou no regime das agências reguladoras, ganhou uma carreira própria de fiscalização, recebeu competências que vão além da LGPD e está revisando o regulamento que define como fiscaliza e conduz processos sancionadores.

Este artigo explica o que a conversão da ANPD em agência reguladora mudou de fato, onde ela vai concentrar a fiscalização em 2026 e 2027 e como a sua empresa pode participar da consulta pública sobre o novo regulamento, aberta até 26 de outubro de 2026. No fim, há uma lista do que vale organizar agora para responder bem a um pedido da agência.

A mudança começou com a Medida Provisória nº 1.317/2025. O Senado aprovou a conversão em 24 de fevereiro de 2026, e a Lei nº 15.352 foi publicada no dia seguinte, em edição extra do Diário Oficial da União, com vigência imediata.

O ponto central está na nova redação do art. 55-A da LGPD. A ANPD passa a ser uma autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira e patrimônio próprio, com a indicação expressa de que isso se dá nos termos da Lei nº 13.848/2019. Essa referência é a que mais pesa. A Lei nº 13.848 é a lei geral das agências reguladoras, a mesma que rege Anatel, Aneel, Anvisa e ANS, e a ANPD foi incluída expressamente na lista de agências dessa lei.

Uma ressalva evita exagero: a ANPD já era autarquia de natureza especial desde a Lei nº 14.460/2022. O que muda agora é o enquadramento completo no regime das agências reguladoras, com as regras de transparência, planejamento e participação social que vêm junto, e uma estrutura de pessoal própria para regular e fiscalizar.

A lei criou a carreira de Regulação e Fiscalização de Proteção de Dados, formada por cargos de Especialista em Regulação de Proteção de Dados, com atribuições de regulação, inspeção, fiscalização e controle. Para isso, transformou 797 cargos vagos de outra carreira em 200 cargos de especialista e 18 cargos em comissão e funções de confiança, sem aumento de despesa.

Os cargos dependem de concurso e de disponibilidade orçamentária para serem preenchidos. Por isso, na nossa leitura, e não por previsão oficial, o reforço na fiscalização tende a aparecer aos poucos.

O Decreto nº 12.622/2025 atribuiu à ANPD a fiscalização do ECA Digital (Lei nº 15.211/2025), cuja vigência a própria Lei nº 15.352 fixou em 17 de março de 2026. Em maio de 2026, dois decretos ampliaram esse escopo. O Decreto nº 12.975 deu à agência a regulação e a fiscalização dos deveres dos provedores de aplicações de internet previstos no Marco Civil da Internet. O Decreto nº 12.976 estabeleceu diretrizes para a proteção de mulheres em ambientes digitais e também atribuiu competências de fiscalização à ANPD.

A Lei nº 13.848 define regras sobre como uma agência decide e cria normas. Parte disso já valia para a ANPD, porque a própria LGPD exige consulta pública, audiência pública e análise de impacto regulatório antes de novos regulamentos (art. 55-J, § 2º). O regime de agência detalha esse compromisso e acrescenta outros:

Para as empresas, isso significa mais previsibilidade: a agenda regulatória antecipa quais normas estão em preparação, e as consultas têm prazo mínimo e retorno formal. Também significa mais chances de influenciar um texto antes que ele vire obrigação.

O Mapa de Temas Prioritários é o instrumento que a ANPD usa para planejar o ciclo de monitoramento previsto no regulamento de fiscalização. O mapa do biênio 2026 e 2027 foi aprovado pela Resolução CD/ANPD nº 30, de 23 de dezembro de 2025, e traz quatro temas, cada um com metas de atividades de fiscalização e cronograma. A resolução diz ainda que esses temas têm prioridade sobre pedidos de fiscalização de assuntos que não estão no mapa.

Na leitura mais segura, o mapa indica prioridade, não exclusividade: incidentes, denúncias e petições de titulares continuam podendo levar a uma atuação da agência em outros assuntos. O que ele mostra é onde haverá esforço planejado, e isso ajuda a decidir o que revisar primeiro.

É o tema com mais atividades previstas. São 25 fiscalizações sobre direitos dos titulares em assuntos diversos, 10 sobre tratamento de dados biométricos, de saúde ou financeiros e 5 sobre uso secundário de dados pessoais para publicidade direcionada, especialmente com técnicas de perfilamento. As duas primeiras metas estão divididas entre o segundo semestre de 2026 e o ano de 2027. As atividades sobre publicidade estão previstas para o primeiro semestre de 2027.

Na prática, entram aqui o canal de atendimento ao titular, os prazos e a qualidade das respostas. Os recortes mais específicos desse tema costumam aparecer em situações como estas: biometria para controle de acesso ou de ponto, dados de saúde tratados fora de hospitais e clínicas, como em programas de benefícios, e o reaproveitamento da base de clientes para campanhas segmentadas sem que o titular tenha sido informado dessa finalidade.

O segundo tema combina LGPD e ECA Digital. A agência previu, para o primeiro semestre de 2026, o monitoramento da adequação de fornecedores de produtos e serviços de tecnologia direcionados a crianças e adolescentes ou de acesso provável por eles. Para o primeiro semestre de 2027, estão previstas 15 fiscalizações sobre configurações mais protetivas por padrão, incluindo ferramentas de supervisão parental, e outras 15 sobre medidas para impedir o acesso a conteúdo impróprio, incluindo mecanismos de aferição de idade.

A atuação nesse tema já começou. Em agosto de 2026, a ANPD determinou, em medida preventiva baseada no ECA Digital, que o Discord suspendesse as transmissões ao vivo no Brasil. No mesmo mês, publicou multa de R$ 153,7 milhões ao TikTok por falhas no tratamento de dados de crianças e adolescentes. Essa decisão foi tomada com base na LGPD, e não no ECA Digital, e estava sujeita a recurso quando foi publicada.

O terceiro tema prevê 20 fiscalizações sobre tratamento de dados pessoais pelo poder público no primeiro semestre de 2027 e, no segundo semestre, o monitoramento da adequação ao regulamento de uso compartilhado de dados pelo poder público. O foco declarado inclui compartilhamento de dados, salvaguardas técnicas e uso de biometria. Empresas que atuam como operadoras de órgãos públicos têm motivo para acompanhar esse eixo: é razoável esperar que os contratantes peçam mais evidências aos fornecedores.

O último tema prevê 20 fiscalizações sobre tratamento de dados pessoais em sistemas de inteligência artificial e tecnologias emergentes, inclusive dados de crianças e adolescentes, com metade prevista até o primeiro semestre de 2027 e metade até o segundo. Sem lei específica de IA no Brasil, a referência continua sendo a LGPD, incluindo o direito de revisão de decisões tomadas unicamente por tratamento automatizado.

O regulamento que define como a ANPD fiscaliza e conduz o processo sancionador é a Resolução CD/ANPD nº 1/2021. Ele foi escrito para uma autoridade que aplicava apenas a LGPD e tinha outra estrutura. Segundo o voto do diretor relator que levou a proposta à consulta, a revisão tem três motivos: a conversão em agência; as novas competências ligadas ao ECA Digital, ao Marco Civil da Internet e à proteção de mulheres em ambientes digitais; e os ajustes identificados em quase cinco anos de aplicação da norma.

A consulta pública foi aberta em 9 de setembro e recebe contribuições até 26 de outubro de 2026 na plataforma Brasil Participativo. A audiência pública aconteceu em 24 de setembro. A proposta altera o regulamento atual em vez de criar um novo e mantém a abordagem responsiva e baseada em risco, que privilegia orientação e prevenção antes da punição.

A minuta mexe em muitos dispositivos. Do lado das empresas, estes pontos chamam mais atenção:

A dosimetria das sanções, prevista na Resolução CD/ANPD nº 4/2023, está sendo revista em um processo separado. Para entender como a ANPD monitora agentes e calcula sanções hoje, veja nosso artigo sobre fiscalização da ANPD em 2026 e dosimetria das sanções.

Participar não exige advogado nem associação. A Lei nº 13.848 prevê que qualquer interessado pode enviar críticas, sugestões e contribuições, e a plataforma aceita login pelo gov.br ou cadastro com e-mail e senha. Um roteiro simples:

Se a empresa faz parte de uma associação setorial, vale alinhar a contribuição com ela, porque uma manifestação com situações de várias empresas tende a mostrar melhor o impacto de uma regra. A contribuição individual continua útil quando traz um problema específico que a associação não conhece.

Há ainda outra janela aberta. Até 16 de outubro de 2026, a ANPD recebe no Brasil Participativo contribuições para a agenda regulatória 2027-2028, que vai definir quais normas e guias terão prioridade nos próximos dois anos. Entre os temas propostos estão um ambiente digital seguro para crianças, adolescentes e mulheres, direitos dos titulares, reconhecimento facial, dados de saúde e decisões automatizadas.

O regulamento atual já diz o que a ANPD pode pedir. Pelo art. 5º da Resolução CD/ANPD nº 1/2021, a empresa fiscalizada deve fornecer documentos e informações no prazo, local e formato definidos pela agência, permitir acesso a instalações, sistemas e registros, submeter-se a auditorias, manter os documentos pelos prazos legais e disponibilizar, quando requisitado, um representante com conhecimento e autonomia para responder. O descumprimento desses deveres pode ser tratado como obstrução da fiscalização (art. 6º).

A pergunta, portanto, não é só se a empresa cumpre a LGPD, mas se consegue demonstrar isso em poucos dias. Olhando para os temas prioritários, estes pontos merecem revisão antes de qualquer ofício:

Dois artigos ajudam a aprofundar esses pontos: como organizar evidências de conformidade sem depender da memória da equipe e como organizar o atendimento das solicitações dos titulares.

Imagine uma rede com 12 academias que usa leitura de digital na catraca. Ela está dentro de um dos recortes do mapa, porque trata dados biométricos. Se receber um ofício sobre esse tratamento, é razoável esperar perguntas sobre finalidade, base legal, tempo de guarda, quem tem acesso aos dados, se existe alternativa para quem não quer usar a biometria e como os alunos são informados.

Com o mapeamento atualizado, uma avaliação de impacto sobre a biometria e o histórico de pedidos dos alunos organizado, a resposta exige alguns dias de consolidação. Sem isso, a equipe precisa reconstruir decisões antigas, procurar o contrato com o fornecedor das catracas e descobrir quem aprovou o quê, tudo dentro do prazo do ofício. O exemplo é fictício, mas mostra por que a preparação pesa mais do que a redação da resposta.

Tudo o que foi descrito pode ser feito com documentos e planilhas, e em empresas menores isso costuma funcionar. A dificuldade aparece quando os pedidos de titulares crescem, os incidentes se acumulam ao longo dos anos e as políticas passam por várias versões. Na hora de responder a um ofício, o trabalho vira uma busca por arquivos espalhados.

Na LGPD Cloud, o módulo de Direito dos Titulares recebe as solicitações por um portal com confirmação de e-mail, gera protocolo, registra o direito solicitado e controla o prazo, com pausa e retomada quando a empresa aguarda informações do titular. O histórico de mensagens e anexos fica no próprio pedido, o que facilita mostrar como cada solicitação foi tratada.

A Gestão de Incidentes registra cada evento com data e hora, sistema afetado, forma de identificação, tipos de dados, quantidade de titulares afetados, avaliação de risco relevante, medidas de contenção e status até o encerramento. Os incidentes que não foram comunicados à ANPD também ficam registrados, junto com a avaliação que sustentou essa decisão.

Já o módulo de Políticas e Normas mantém cada política ou procedimento com responsável, status, versões numeradas com a descrição das mudanças, registro de aprovação e data da próxima revisão. Quando a agência pedir a política vigente e o histórico de revisões, a informação está em um só lugar. A plataforma organiza as evidências, mas a qualidade do processo continua dependendo das decisões da equipe.

A conversão da ANPD em agência reguladora não criou obrigações novas na LGPD, mas mudou a instituição que fiscaliza. A agência tem mais estrutura, mais competências e um plano público do que pretende fiscalizar até o fim de 2027.

Dois movimentos fazem sentido para os próximos meses. O primeiro é ler a minuta do regulamento de fiscalização e contribuir até 26 de outubro, se algum ponto afetar a operação da empresa. O segundo é revisar as evidências ligadas aos temas prioritários, para que um eventual ofício seja respondido com documentos, e não com improviso.

Consulte a Lei nº 15.352/2026, o texto compilado da LGPD, especialmente os arts. 55-A e 55-J, e a Lei nº 13.848/2019, que reúne as regras das agências reguladoras.

Sobre a atuação da agência, veja o texto da Resolução CD/ANPD nº 30/2025, a notícia da ANPD sobre o Mapa de Temas Prioritários 2026 e 2027, a notícia sobre a abertura da consulta pública e a página da consulta no Brasil Participativo.