Apenas 20% das empresas brasileiras se consideram plenamente adequadas à LGPD, segundo pesquisa do Grupo DARYUS com 200 profissionais de 16 setores. As demais — 80% — carregam algum grau de exposição regulatória. E o cenário mudou: a ANPD já não é o órgão que publica guias e espera adesão voluntária. Transformada em agência reguladora independente, com mais de 200 novos cargos de especialista em regulação e um mapa de mais de 75 ações de fiscalização programadas para o biênio, a autoridade opera com metas quantitativas, cronogramas e poder sancionatório real. A questão, para quem lidera compliance ou governança em uma organização brasileira, deixou de ser “se” a ANPD vai fiscalizar e passou a ser o que ela vai encontrar quando chegar.
O que muda na prática: fiscalização ANPD LGPD com foco em evidências
O modelo de fiscalização da ANPD é responsivo e progressivo. O Ciclo de Monitoramento anual classifica agentes de tratamento em faixas de risco, e quem permanece na faixa mais alta por dois ciclos consecutivos é automaticamente direcionado para medidas repressivas. A fiscalização pode ser reativa, a partir de denúncias e petições de titulares, ou proativa, planejada com base no Mapa de Temas Prioritários. O volume de denúncias recebidas já ultrapassa 2.000 requerimentos por ciclo, e o número de decisões judiciais citando a LGPD dobrou em um único ano, passando de aproximadamente 7.000 para 16.000. Esse crescimento não reflete apenas a atuação da autoridade, mas a formação de um ecossistema de enforcement em que titulares, Ministério Público e Judiciário passaram a cobrar conformidade de forma coordenada.
O primeiro grande teste dessa nova postura aconteceu quando a ANPD abriu processos de fiscalização simultâneos contra 20 empresas de grande porte — de setores como tecnologia, telecomunicações, educação, saúde, varejo e transporte aéreo — por uma infração que parece elementar: ausência de encarregado de dados nomeado ou canal de comunicação funcional com os titulares. Não se tratava de vazamento nem de incidente de segurança. Era a falta do básico. A Coordenação-Geral de Fiscalização declarou que a ausência de encarregado ou de canal eficaz impede o exercício de direitos dos titulares e compromete a transparência no tratamento de informações pessoais. Todas as empresas cumpriram as medidas exigidas, mas ficaram sob monitoramento por seis meses adicionais.
Os quatro eixos do Mapa de Temas Prioritários
O Mapa de Temas Prioritários, publicado pela Resolução CD/ANPD nº 30/2025, é o documento que define onde a autoridade concentrará esforços. Está organizado em quatro eixos com ações específicas e mensuráveis. O primeiro, com o maior volume de ações previstas, trata dos direitos dos titulares — com foco em uso secundário de dados pessoais para publicidade direcionada e perfilamento. Casos recentes envolvendo uso de dados de redes sociais para treinamento de IA e formação de perfis comportamentais a partir de dados de consumidores em farmácias ilustram o tipo de operação que a autoridade está monitorando. A ANPD já determinou auditorias externas independentes e suspensões cautelares em situações desse tipo.
O segundo eixo trata da proteção de crianças e adolescentes, alinhado ao ECA Digital (Lei nº 15.211/2025), com fiscalizações sobre privacy by design, ferramentas de supervisão parental e mecanismos de aferição de idade. As multas nessa esfera podem chegar a 10% do faturamento do grupo econômico. O terceiro eixo foca no tratamento de dados pelo Poder Público — o que não surpreende, considerando que a maioria dos primeiros processos sancionadores da ANPD foi contra entidades públicas. O quarto eixo abrange inteligência artificial e tecnologias, com escopo ampliado para reconhecimento facial e sistemas de recomendação.
O padrão de infrações que a fiscalização ANPD LGPD já revelou
A análise dos processos concluídos mostra um padrão consistente. A primeira multa da LGPD envolveu uma empresa de pequeno porte que comercializava 130 milhões de contatos de WhatsApp, com tratamento sem base legal, ausência de encarregado e não atendimento a requisições da autoridade. O valor — R$ 14.400 — foi fixado no teto legal para o porte da empresa (2% do faturamento). Os casos contra o setor público revelam as infrações mais recorrentes: ausência de registro de operações, não elaboração de relatório de impacto quando solicitado, falha na comunicação de incidentes de segurança e descumprimento de requisições. O INSS foi obrigado a exibir a infração em seu aplicativo por 60 dias. Em medidas preventivas contra empresas de tecnologia, a ANPD suspendeu políticas de privacidade relacionadas a treinamento de IA com multa diária de R$ 50.000, e proibiu compensações financeiras por coleta de dados biométricos ao entender que a oferta compromete a liberdade do consentimento.
O potencial punitivo pleno da LGPD é expressivo: multas de até R$ 50 milhões por infração ou 2% do faturamento, multa diária, publicização da infração, bloqueio ou eliminação de dados e, no limite, proibição total de atividades de tratamento. A dosimetria, regulamentada pela Resolução CD/ANPD nº 4/2023, classifica infrações em leve, média ou grave, com alíquotas-base que variam de 0,08% a 0,45% do faturamento. A existência de programa de governança efetivo reduz a multa em até 20%, e a renúncia ao recurso garante desconto de 25%.
O que a autoridade espera encontrar: os pilares de documentação
A ANPD opera sob o princípio da accountability: não basta declarar conformidade, é preciso demonstrá-la com evidências. O primeiro pilar é o Registro de Operações de Tratamento (ROPA), obrigatório para controladores e operadores, com campos mínimos definidos pela própria autoridade: identificação da organização, finalidade do tratamento, base legal aplicável, categorias de dados e de titulares, compartilhamento com terceiros, período de retenção e medidas de segurança. A ausência de ROPA já foi citada como infração em processos concluídos.
O segundo pilar é a Política de Privacidade. A ANPD já estabeleceu, em nota técnica, que cada finalidade de tratamento deve ter sua base legal indicada, que os dados compartilhados devem ser detalhados por destinatário, e que o encarregado deve ser identificado pelo nome. O terceiro pilar são os contratos com operadores e terceiros, que devem conter cláusulas de limitação de finalidade, medidas de segurança, notificação de incidentes, direito de auditoria e penalidades contratuais. Cláusulas genéricas de proteção de dados não resistem a uma verificação técnica.
O quarto pilar são as evidências de treinamento de colaboradores — a ANPD reconheceu expressamente que a ausência de treinamento constitui infração. O quinto é o Programa de Governança em Privacidade, previsto no Art. 50 da LGPD, que deve incluir políticas internas, mecanismos de participação dos titulares, plano de resposta a incidentes e atualização contínua. O sexto pilar é o canal do titular, que deve permitir o exercício dos nove direitos previstos na lei, com prazo de 15 dias corridos para resposta. O sétimo é o Relatório de Impacto à Proteção de Dados (RIPD), exigível a qualquer momento pela autoridade e obrigatório para tratamentos baseados em legítimo interesse. O prazo de comunicação de incidentes de segurança à ANPD é de três dias úteis, conforme a Resolução CD/ANPD nº 15/2024.
ECA Digital: uma camada regulatória que muda o jogo
O ECA Digital cria obrigações sem precedentes para qualquer produto ou serviço de tecnologia acessível por crianças e adolescentes, independentemente de onde foi desenvolvido. Perfis de menores devem ser automaticamente privados, com restrições de mensagens de desconhecidos e bloqueio de geolocalização por padrão. A simples autodeclaração de idade está proibida — são aceitos métodos como integração com identidade digital, estimativa por IA e credenciais verificáveis. A Avaliação de Impacto de Proteção de Dados e Direitos é obrigatória antes de lançar qualquer funcionalidade acessível por menores, e redes sociais devem ter perfis infantis privados por padrão. Empresas com mais de um milhão de menores cadastrados devem publicar relatórios de transparência. A combinação entre LGPD e ECA Digital cria uma camada regulatória que exige, na prática, estrutura dedicada de governança — e qualquer empresa que interaja com o público jovem precisa reavaliar seus processos e controles.
Dois pontos de atenção imediata
A regulamentação sobre transferência internacional de dados, com 24 cláusulas-padrão contratuais obrigatórias, já teve seu prazo de adequação de 12 meses encerrado. Empresas que ainda não incorporaram essas cláusulas em contratos com parceiros internacionais estão em situação de risco regulatório imediato. Para o legítimo interesse, o Guia Orientativo da ANPD exige um teste de balanceamento documentado em três fases — finalidade, necessidade e balanceamento com direitos dos titulares — para cada operação de tratamento. A base legal não se aplica a dados sensíveis, exige transparência sobre finalidades e demanda canal efetivo para oposição do titular.
Conformidade como posição estratégica
O que diferencia uma empresa que será advertida de uma que será multada é a construção de um dossiê de boa-fé: decisões documentadas, riscos avaliados, medidas adotadas, treinamentos registrados. A ANPD busca registros de tratamento atualizados, testes de balanceamento documentados, evidências de treinamento recorrente, contratos que reflitam obrigações específicas, canais operacionais com prazos verificáveis e programas de governança que funcionem na prática. A conformidade com a LGPD deixou de ser uma formalidade documental para se tornar uma questão de gestão de risco operacional — com consequências financeiras, jurídicas e reputacionais proporcionais ao grau de exposição.