A fiscalização da ANPD ganha uma estrutura mais robusta com a mudança de patamar institucional da proteção de dados no Brasil. A Lei nº 15.352/2026 transformou a Autoridade Nacional de Proteção de Dados em agência reguladora, uma autarquia de natureza especial com autonomia funcional, técnica, decisória, administrativa e financeira, e criou 200 cargos de especialista em regulação e fiscalização de proteção de dados, a serem preenchidos por concurso público, conforme divulgou o Senado Federal na sanção da norma. Para as empresas, o recado é direto: a conformidade à LGPD foi calibrada, durante anos, para uma autoridade de estrutura enxuta e atuação predominantemente orientativa, e essa premissa deixou de valer.
O redesenho institucional não veio isolado. A própria agência aprovou uma nova estrutura organizacional, com superintendências especializadas e uma unidade de auditoria interna, movimento que ela mesma descreve como a consolidação de seu novo status em comunicado oficial. Ao mesmo tempo, suas competências foram ampliadas para incluir a fiscalização do Estatuto Digital da Criança e do Adolescente, o que adiciona um segundo diploma legal ao perímetro de supervisão. O conjunto forma algo que o mercado brasileiro de privacidade ainda não havia enfrentado, uma autoridade com mandato claro, quadro próprio em formação e agenda publicada com antecedência.
Fiscalização da ANPD ganha estrutura, carreira e mandato ampliado
A diferença entre um órgão da administração direta e uma agência reguladora não é semântica. Com personalidade jurídica própria e orçamento independente, a agência passa a decidir com base em critérios técnicos e a sustentar ciclos longos de fiscalização sem depender de arranjos administrativos transitórios. A criação de uma carreira específica de regulação e fiscalização talvez seja o efeito mais duradouro da mudança, porque converte capacidade institucional em rotina: servidores concursados, dedicados ao tema, acumulam método, jurisprudência administrativa e memória de casos, exatamente os ingredientes que faltavam para uma atuação sancionatória consistente.
Esse fortalecimento encontra um modelo de atuação que a agência chama de regulação responsiva, descrito em sua própria página de fiscalização. Na prática, a autoridade privilegia medidas preventivas e corretivas, como avisos, solicitações de regularização e planos de conformidade, e reserva a via repressiva para quem resiste. O desenho parece benevolente, mas tem uma consequência incômoda para o gestor: cada interação com a agência gera registro, e o histórico de respostas, ou de silêncios, pesa na escalada do caso. A empresa que ignora uma requisição não está adiando um problema, está agravando a dosimetria de uma sanção futura.
A trajetória de outras agências brasileiras sugere o que vem pela frente. Reguladores setoriais consolidados levaram anos para transformar mandato legal em prática sancionatória previsível, e o fizeram na medida em que quadros técnicos estáveis padronizaram entendimentos, publicaram precedentes e reduziram a margem de improviso de cada caso. A agência de proteção de dados inicia esse ciclo com uma vantagem, a de herdar mais de cinco anos de atuação orientativa, guias publicados e um regulamento de dosimetria já aplicado em casos reais, o que encurta a curva entre a autonomia recém-adquirida e a fiscalização em escala.
Para o planejamento das empresas, isso significa que a janela de adequação sem pressão sancionatória, que muitos ainda tratam como permanente, tem prazo de validade cada vez mais curto.
A ampliação do mandato também redistribui o risco setorial. Plataformas e serviços digitais acessíveis a crianças e adolescentes passam a responder a obrigações específicas sob supervisão da mesma autoridade que fiscaliza a LGPD, e a experiência regulatória acumulada em um diploma tende a contaminar, positivamente, o rigor aplicado ao outro. Empresas que tratam dados de menores em qualquer escala, mesmo incidentalmente, precisam revisar a premissa de que esse tema pertencia apenas ao direito do consumidor ou ao ambiente escolar, porque ele agora integra o núcleo da agenda de proteção de dados.
Mapa de Temas Prioritários e Painel da Fiscalização: previsibilidade que cobra preparo
A agência publicou o Mapa de Temas Prioritários 2026-2027 em conjunto com a atualização de sua Agenda Regulatória, em comunicado no portal oficial, organizando previamente as frentes de fiscalização e as entregas normativas do período. Entre os aprimoramentos anunciados está a revisão dos regulamentos de fiscalização, de sanção e do processo normativo, para adequá-los ao regime jurídico das agências reguladoras. A mensagem embutida nesse gesto de transparência costuma passar despercebida: quando o regulador anuncia com antecedência os temas nos quais vai concentrar esforço, a alegação de surpresa deixa de existir como atenuante prático.
O Painel da Fiscalização opera na mesma lógica. Ao reunir publicamente informações sobre procedimentos de fiscalização, procedimentos preparatórios e processos administrativos sancionadores, a agência adiciona uma camada de pressão reputacional que independe do desfecho jurídico de cada caso. Um processo em curso, visível a clientes, investidores e imprensa, já produz efeito econômico antes de qualquer decisão de mérito. Para empresas de setores intensivos em dados, como saúde, finanças e serviços, a exposição pública de uma investigação pode custar mais do que a multa que eventualmente a encerra.
O canal de atendimento ao titular merece leitura estratégica nesse contexto, porque a fiscalização não nasce apenas da iniciativa do regulador. Denúncias e petições de titulares estão entre os caminhos que levam um agente de tratamento à mira da autoridade, o que converte cada pedido de acesso ignorado e cada solicitação de exclusão respondida fora do prazo em potencial gatilho de um procedimento.
A empresa costuma enxergar o atendimento ao titular como rotina operacional de baixo status, enquanto o regulador o enxerga como termômetro público de conformidade. Organizações que medem o tempo de resposta desse canal com o mesmo rigor com o qual medem indicadores comerciais raramente são surpreendidas, porque o problema que viraria denúncia foi resolvido no balcão.
Existe ainda um efeito de segunda ordem que merece a atenção dos conselhos de administração. A previsibilidade da agenda regulatória transforma a conformidade em variável de planejamento, comparável a uma mudança tributária anunciada. O gestor que lê o mapa de prioridades consegue antecipar quais operações de tratamento da sua empresa serão tensionadas e em qual horizonte, o que permite alocar orçamento e priorizar correções antes que a requisição chegue. Quem não faz essa leitura terceiriza o cronograma do próprio programa de privacidade para o regulador, na pior condição possível de negociação.
Como preparar o programa de privacidade para a nova fase da fiscalização da ANPD
O primeiro ajuste é de natureza conceitual. Programas construídos como projeto, com começo, meio e certificado simbólico de conclusão, envelheceram no momento em que a supervisão se tornou contínua. A estrutura mínima que a nova fase exige combina um encarregado de proteção de dados ativo e localizável, um canal de atendimento ao titular que funcione dentro de prazos razoáveis, registros de operações de tratamento atualizados e relatórios de impacto para as operações de maior risco. Nada disso é novidade normativa, e é justamente essa a armadilha: as obrigações existem desde a entrada em vigor da lei, o que mudou foi a probabilidade de alguém verificar.
O segundo ajuste envolve a capacidade de resposta a incidentes. A comunicação de incidentes de segurança com risco relevante aos titulares segue prazos curtos definidos pela regulamentação da própria agência, na Resolução CD/ANPD nº 15/2024, e a comunicação intempestiva figura como agravante em processo sancionador. Cumprir esse rito sob pressão exige um plano ensaiado, com papéis definidos para detecção, avaliação de gravidade, decisão de comunicar e notificação formal. Empresas que nunca simularam esse fluxo descobrem, no pior momento, que a discussão sobre quem assina o comunicado consome os dias que a norma concede.
O terceiro ajuste diz respeito à prova. Em um ambiente de fiscalização profissionalizada, a diferença entre a empresa adequada e a empresa que apenas se declara adequada está na trilha documental: atas de comitê de privacidade, registros de treinamento, evidências de revisão de contratos com operadores, histórico de avaliações de fornecedores e planos de ação com responsáveis e datas. A dosimetria das sanções valoriza a demonstração de boa-fé e de governança, e essa demonstração não se improvisa na resposta a uma requisição. Estruturas como o encarregado terceirizado com equipe dedicada ganham relevância exatamente aqui, porque sustentam a rotina de evidências que o modelo interno, quase sempre sobrecarregado, deixa escapar.
Nada disso se sustenta sem duas camadas menos visíveis. A primeira é a cultura: políticas existem para serem violadas por equipes que não as conhecem, e o treinamento recorrente, adaptado à realidade de cada área, continua sendo o controle com melhor relação entre custo e efeito preventivo. A segunda é o desenho: incorporar a avaliação de privacidade ao nascimento de cada produto, serviço ou campanha, o privacy by design que a própria lei sempre pediu, custa uma fração do retrabalho de corrigir tratamentos irregulares já em produção e ainda gera evidência espontânea de diligência. Programas que operam essas duas camadas transformam a conformidade de obrigação vigiada em comportamento padrão, exatamente o estágio de maturidade que a fiscalização profissionalizada saberá diferenciar.
O cenário mais provável para os próximos ciclos combina normas mais detalhadas, fiscalização temática executada por servidores de carreira e um mercado no qual o histórico regulatório de cada empresa se torna informação acessível a quem decide contratar, investir ou firmar parceria. Nesse ambiente, o programa de privacidade migra de centro de custo defensivo para ativo de confiança, e a distância entre as organizações que trataram a agência como interlocutora e as que a trataram como ameaça distante tende a aparecer menos nas multas e mais nos contratos que cada uma delas conseguirá assinar.