Lei 15.352/2026: o que muda na ANPD reguladora

Até fevereiro de 2026, a Autoridade Nacional de Proteção de Dados dependia do mesmo mecanismo orçamentário de qualquer órgão comum da administração federal: dotação aprovada pelo Congresso, liberada ano a ano pelo Ministério da Fazenda, sujeita a contingenciamento quando a meta fiscal aperta. Uma autoridade de proteção de dados que precisa negociar quanto vai gastar com fiscalização junto ao mesmo Executivo que ela eventualmente fiscaliza — porque o poder público também trata dado pessoal, e em volume — carrega um problema estrutural que nenhuma quantidade de boa vontade técnica resolve sozinha. A Lei 15.352, sancionada em 25 de fevereiro de 2026, muda essa equação: transforma a ANPD em agência reguladora, com personalidade jurídica de autarquia especial, patrimônio próprio e o regime de autonomia da Lei Geral das Agências Reguladoras.¹³

O efeito não é retórico. Uma empresa que hoje trata a LGPD como risco de compliance de segundo escalão — algo para revisar quando sobra tempo entre o fechamento contábil e a auditoria de SOX — está lendo mal o que esse pacote de mudanças significa. Não é só uma reforma administrativa que trocou uma sigla por outra. É a criação da capacidade estrutural, orçamentária e técnica para uma fiscalização que até aqui era mais anunciada do que executada.

O que a Lei 15.352 muda, de fato, na natureza jurídica da ANPD

A ANPD nasceu junto com a própria LGPD, em 2018, como órgão vinculado à Presidência da República, sem personalidade jurídica própria — um arranjo provisório que a lei original já previa como transitório, mas que durou mais que o esperado.² Em 2022, a Lei 14.460 deu à ANPD status de autarquia especial, primeiro degrau de autonomia: a autoridade passou a ter existência jurídica distinta da União, mas ainda sem o pacote completo de proteções que caracteriza uma agência reguladora propriamente dita.⁸ A Lei 15.352/2026 é o segundo degrau, e o mais alto que existe hoje na arquitetura administrativa brasileira: enquadra a ANPD no regime da Lei 13.848/2019 — a Lei Geral das Agências Reguladoras, a mesma que rege ANATEL, ANVISA, ANA e ANP — com autonomia funcional, técnica, decisória, administrativa e financeira.¹³

Na prática legal, isso significa três coisas concretas. Primeiro, a ANPD passa a ter patrimônio próprio e orçamento gerido com menos exposição ao contingenciamento discricionário que atinge órgãos comuns da administração direta. Segundo, os dirigentes da diretoria colegiada passam a ter mandato fixo e não coincidente, com investidura a termo e estabilidade durante o mandato — ninguém pode demiti-los ad nutum, isto é, por decisão política discricionária, fora das hipóteses previstas em lei. Terceiro, a agência ganha o dever — não a faculdade — de submeter seus regulamentos a análise de impacto regulatório e a consulta e audiência públicas antes de entrarem em vigor.³ Nenhum desses três pontos aparecia no desenho anterior de autarquia especial com a mesma força jurídica.

A lei manteve a ANPD vinculada ao Ministério da Justiça e Segurança Pública — vinculação, não subordinação, na terminologia da Lei 13.848/2019, que distingue as duas coisas de propósito.¹³ Essa distinção importa porque delimita o que muda e o que não muda: o ministério continua indicando parte da diretoria, sujeita a aprovação do Senado, e a ANPD continua reportando à estrutura do Executivo em termos de política pública geral. O que a vinculação não permite mais é que o ministério revise, por hierarquia administrativa comum, uma decisão técnica da diretoria colegiada — é exatamente esse tipo de revisão hierárquica que a “ausência de subordinação” da Lei 13.848/2019 bloqueia.

O mecanismo por trás do nome: por que “agência reguladora” pesa mais que “autarquia especial”

O ponto que a cobertura de imprensa sobre a Lei 15.352 costuma tratar como detalhe técnico é, na verdade, o centro do mecanismo: o que separa uma autarquia especial de uma agência reguladora não é o nome, é o conjunto específico de desenhos institucionais que a literatura de regulação chama de proteção contra captura. Captura regulatória é o processo pelo qual um órgão criado para fiscalizar um setor em nome do interesse público passa, ao longo do tempo, a decidir na direção dos interesses do próprio setor regulado — ou de quem tem poder de nomear e demitir seus dirigentes.⁹ Não é acusação de má-fé individual. É um resultado estrutural, que aparece quando os incentivos de curto prazo de um regulador — manter relação de trabalho com quem ele fiscaliza, evitar confronto com quem pode influenciar sua próxima nomeação ou seu próximo orçamento — pesam mais que o objetivo de longo prazo que justificou a criação do órgão.

Agência reguladora

Autarquia de regime especial caracterizada, segundo a Lei 13.848/2019, pela ausência de subordinação hierárquica ao órgão a que está vinculada, por mandato fixo e não coincidente de seus dirigentes, por autonomia administrativa e financeira, e pelo dever de submeter seus regulamentos a análise de impacto regulatório e consulta pública antes de entrarem em vigor.³

Captura regulatória

Processo pelo qual um órgão criado para fiscalizar um setor passa a decidir, de forma sistemática, na direção dos interesses do próprio setor regulado ou de quem controla sua nomeação e seu orçamento, em vez do interesse público que justificou sua criação.⁹

A pesquisa da OCDE sobre governança de reguladores — um levantamento de 48 órgãos reguladores em 26 países, publicado em 2016 e ainda referência no campo — mapeia os pontos exatos do ciclo de vida de uma agência onde essa pressão indevida costuma se infiltrar: no momento da nomeação de dirigentes, no financiamento anual, e nas interações rotineiras com o setor regulado e com o ministério ao qual o órgão está vinculado.¹⁰ O relatório não trata independência como binária — não existe regulador “totalmente livre” de influência —, mas como um espectro que desenhos institucionais específicos deslocam para um lado ou para o outro.

Mandato fixo desloca o ponto de nomeação: um dirigente que sabe que só pode ser removido por causa legalmente prevista decide de forma diferente de um que serve a critério de quem o nomeou. Orçamento próprio desloca o ponto de financiamento: uma agência que não precisa disputar dotação ano a ano com outras prioridades do Executivo não troca rigor de fiscalização por sobrevivência orçamentária.

O regime da Lei 13.848/2019 também traz um princípio que muda o ônus da prova em favor de quem é fiscalizado: a devida adequação entre meios e fins, que veda a uma agência reguladora impor obrigação, restrição ou sanção em medida superior à necessária para atingir o objetivo regulatório.⁸ Isso não é retórica de boa governança — é critério que pode ser usado para contestar, administrativa ou judicialmente, uma exigência da ANPD considerada desproporcional ao risco concreto do caso. Uma empresa notificada por falha pontual num único fornecedor de baixo risco, por exemplo, tem base jurídica para questionar uma exigência de auditoria completa de toda a cadeia de suprimento, se a ANPD não demonstrar por que o caso concreto justifica medida tão ampla.

A mesma Lei 13.848/2019 autoriza a ANPD, agora enquadrada nesse regime, a celebrar termo de ajustamento de conduta com força de título executivo extrajudicial — instrumento que permite resolver uma investigação sem passar pelo processo sancionador completo, desde que o agente de tratamento se comprometa formalmente a corrigir a prática questionada dentro de prazo acordado.⁸ Para uma empresa fiscalizada, o TAC funciona como via de saída mais rápida e mais barata do que disputar o processo administrativo até o fim — mas tem custo: descumprir o termo depois de firmado conta como fator agravante específico na dosimetria de eventual sanção posterior, o que eleva a multa entre 5% e 90% do valor inicial, exatamente como descumprir qualquer outra determinação da agência.⁶

Termo de Ajustamento de Conduta (TAC)

Instrumento pelo qual a ANPD ajusta a conduta de um agente de tratamento de dado sem esgotar o processo sancionador, mediante compromisso formal de correção dentro de prazo definido. Tem força de título executivo extrajudicial — pode ser executado diretamente em juízo, sem nova ação de conhecimento, se descumprido.⁸

De onde saíram as 200 vagas — e o que 25% de aproveitamento diz sobre capacidade real

A parte da Lei 15.352 que mais aparece em manchete é a criação de 200 cargos efetivos de Especialista em Regulação e Proteção de Dados, a serem preenchidos por concurso público, vinculados à estrutura de carreira da Lei 10.871/2004 — a mesma base jurídica usada para as carreiras de especialista de outras agências reguladoras federais.¹⁵ O detalhe que passa batido é de onde esses 200 cargos vieram: não são vagas novas criadas do zero, no sentido orçamentário do termo, mas o resultado da transformação de 797 cargos vagos de agente, oriundos de outras carreiras do Executivo federal, hoje sem ocupante.⁵

Recalculando: 200 dividido por 797 é 25,1%. Pouco mais de um quarto dos cargos ociosos aproveitados virou vaga de especialista técnico da nova agência; o resto — quase 600 posições — permanece como estava, disponível para outras finalidades do Executivo. Esse detalhe tem duas leituras possíveis, e as duas são defensáveis ao mesmo tempo.

A leitura favorável é que a lei resolveu parte relevante do problema de capacidade técnica da ANPD sem pedir orçamento adicional ao Tesouro — reaproveitar posições ociosas é, do ponto de vista fiscal, mais barato e politicamente mais fácil de aprovar do que criar cargo novo. A leitura cautelosa é que 200 especialistas, ainda a serem selecionados por concurso público que leva tipicamente entre doze e dezoito meses entre edital e posse, é uma fração pequena diante do volume de empresas, órgãos públicos e operações de tratamento de dados que o país tem hoje — e o efeito prático da lei sobre a capacidade real de fiscalização só aparece quando esses cargos estiverem, de fato, ocupados e treinados.

A lei também criou quatro cargos em comissão e quatorze funções comissionadas, e determinou a instalação de um órgão de auditoria interna na estrutura administrativa da agência — item que, à primeira vista, parece formalidade burocrática, mas que cumpre função específica no desenho de agência reguladora: um órgão de controle interno próprio, reportando à própria diretoria colegiada, é parte do mesmo pacote de accountability que justifica a autonomia externa. Uma agência que ganha mais liberdade de ação também precisa de mais mecanismo de verificação sobre si mesma, e é esse o papel formal da auditoria interna dentro do novo desenho.⁵⁸

25,1%

Até a carreira própria se materializar via concurso, a ANPD continua operando com servidores requisitados de outros órgãos — mecanismo que já sustentava boa parte do quadro técnico da autoridade desde sua criação em 2018. A Medida Provisória 1.317/2025, que deu origem à Lei 15.352 depois de tramitar e ser convertida com alterações pelo Congresso, prorrogou a possibilidade de requisição irrecusável desses servidores até 31 de dezembro de 2028.⁵⁷ Essa data não é aleatória: é o prazo que o governo está assumindo, implicitamente, como janela de transição entre o quadro emprestado de hoje e o quadro próprio, concursado, que a lei autoriza. Um comitê de auditoria ou uma diretoria financeira que está calibrando o risco de fiscalização da própria empresa para os próximos anos faz bem em tratar 2026-2028 como o período em que a capacidade de fiscalização da ANPD ainda está em transição — crescente, mas não plena.

O gatilho: ECA Digital e o novo perímetro de fiscalização

A elevação da ANPD a agência reguladora não nasceu isolada; ela foi respondendo a uma pressão jurídica concreta. O Estatuto Digital da Criança e do Adolescente, instituído pela Lei 15.211/2025 e em vigor desde 17 de março de 2026, atribuiu à ANPD a competência de fiscalizar as obrigações de proteção de menores no ambiente digital — verificação de idade, restrição de acesso a conteúdo impróprio, limites ao tratamento de dados de crianças e adolescentes para fins de publicidade e recomendação de conteúdo.⁷¹¹ Regulamentar e fiscalizar essa nova frente exigia mais do que a ANPD tinha como autarquia especial: mais orçamento previsível, mais quadro técnico, mais capacidade jurídica de expedir norma com força vinculante. A transformação em agência reguladora é, nesse sentido, tanto reforma institucional de mérito próprio quanto pré-requisito prático para que o ECA Digital saia do papel.¹¹

ECA Digital

Nome pelo qual ficou conhecida a Lei 15.211/2025, marco regulatório de proteção de crianças e adolescentes no ambiente digital brasileiro, em vigor desde 17 de março de 2026. Estabelece obrigações de verificação de idade, restrição de conteúdo impróprio e limite ao uso de dado de menor para publicidade direcionada, com fiscalização atribuída à ANPD.⁷¹¹

A origem legislativa da Lei 15.352 confirma essa leitura: o texto começou como Medida Provisória — a MP 1.317/2025 —, foi aprovado pelo Senado em 24 de fevereiro de 2026 sob relatoria do senador Alessandro Vieira (MDB-SE) e sancionado no dia seguinte, sem registro de veto presidencial.⁷ Tramitação por MP, convertida rapidamente e sem veto, costuma sinalizar acordo político amplo em torno do texto — o que, neste caso, é consistente com o fato de que a proteção de dados de crianças e adolescentes reúne apoio transpartidário difícil de encontrar em outras pautas regulatórias.

O ponto de atenção prático para quem lê essa mudança de fora do universo jurídico é que “novo órgão fiscaliza novo estatuto” soa como notícia de escopo limitado — algo que só interessa a empresa de tecnologia voltada a criança. Não é bem assim. Verificação de idade e restrição de conteúdo se tornam obrigação técnica para qualquer plataforma que colete dado de usuário sem segmentação robusta de faixa etária, o que inclui varejo, educação, saúde digital, serviços financeiros com abertura de conta on-line e qualquer aplicativo de consumo massivo — um universo de empresas reguladas muito mais amplo do que “produto infantil” sugere à primeira leitura.

O Mapa de Temas Prioritários 2026-2027: onde a fiscalização vai bater

Em dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026-2027 e atualizou a Agenda Regulatória 2025-2026 — o documento que converte a nova capacidade institucional da agência em plano concreto de ação.⁴ O mapa organiza a fiscalização em quatro eixos, com número de ações planejadas declarado para cada um: 40 ações voltadas a direitos dos titulares, 30 sobre proteção de crianças e adolescentes no ambiente digital, 20 sobre tratamento de dados pelo poder público — previstas para o primeiro semestre de 2027 — e 20 sobre inteligência artificial e tecnologias emergentes, também para 2027.⁴

Somando os quatro eixos, são 110 ações de fiscalização planejadas para o biênio — não um número simbólico solto no documento, mas o total que resulta da soma declarada por eixo. Em proporção, direitos dos titulares concentra 36,4% do esforço total, crianças e adolescentes 27,3%, e poder público e inteligência artificial dividem igualmente os 36,4% restantes, com 18,2% cada.⁴ A distribuição não é aleatória: ela reflete tanto o volume histórico de reclamação que chega à ANPD — a maior parte relacionada a direito de titular, como acesso, correção e exclusão de dado — quanto a urgência política do ECA Digital, que puxa o segundo maior bloco de ações mesmo sendo o tema mais recente da lista.

Mapa de Temas Prioritários da ANPD para o biênio 2026-2027

Eixo	Ações previstas	Foco declarado
Direitos dos titulares	40	dados biométricos, de saúde e financeiros; uso secundário para publicidade direcionada
Crianças e adolescentes	30	ECA Digital, verificação de idade, restrição de conteúdo impróprio
Poder Público	20	tratamento de dados pessoais por órgãos governamentais, previstas para o 1º semestre de 2027
Inteligência Artificial	20	tecnologias emergentes no tratamento de dados pessoais, previstas para 2027

Dentro do maior eixo — direitos dos titulares —, o próprio mapa detalha a composição: dez das 40 ações são fiscalizações específicas sobre tratamento de dado biométrico, de saúde ou financeiro, e cinco tratam do uso secundário de dado pessoal para publicidade comercial direcionada.⁴ Saúde, finanças e tecnologia aparecem como setores nomeados de forma recorrente ao longo do documento — não por coincidência: são os três setores em que dado sensível se acumula em maior volume e onde o custo de um incidente, medido em exposição regulatória e reputacional, tende a ser mais alto. Para uma empresa desses três setores, isso significa que a chance de entrar numa das dez fiscalizações de dado biométrico/saúde/financeiro não é hipotética — é, literalmente, o alvo declarado do maior bloco de ação do biênio.

110

Uma mudança de método que o próprio mapa registra, e que muda o cálculo de risco de quem está do lado fiscalizado, é a passagem de fiscalização por empresa isolada para fiscalização por segmento inteiro: em vez de abrir processo contra uma companhia específica a partir de denúncia pontual, a ANPD passou a olhar práticas comuns a um setor inteiro de uma vez — todas as operadoras de determinado tipo de serviço financeiro, por exemplo, verificadas simultaneamente quanto a um mesmo padrão de tratamento de dado. Esse método muda o incentivo de quem decide investir em adequação: não adianta mais estar apenas “melhor que o concorrente direto”, porque a fiscalização por segmento tende a capturar o padrão do setor inteiro, incluindo quem está na média — e a média de um setor pouco maduro em proteção de dados pode não ser suficiente para passar no teste.

Dosimetria: como a multa é calculada agora que há regulamento formal

A LGPD, desde sua redação original, já previa multa de até 2% do faturamento bruto do grupo econômico no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração.² O que faltava, até 2023, era um regulamento que dissesse como a ANPD calcula o valor exato dentro desse teto — sem ele, a autoridade tinha competência para multar, mas não um método público e previsível para fazê-lo. A Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, fechou essa lacuna: criou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, com fatores explícitos de agravamento e de atenuação aplicados sobre o valor inicial da multa.⁶

Dosimetria da sanção

Método de cálculo do valor final de uma multa a partir de um valor-base, ajustado por percentuais de agravantes e atenuantes previstos em norma — o mesmo princípio usado no direito penal para calcular pena, adaptado ao processo administrativo sancionador.⁶

O regulamento prevê dois grupos de agravantes — reincidência específica ou genérica, e descumprimento de determinação preventiva ou corretiva já emitida pela ANPD —, cada um capaz de elevar a multa entre 5% e 90% do valor inicial. Do lado oposto, três hipóteses de atenuante — cessação da infração antes da abertura de processo administrativo, adoção de mecanismo de governança e minimização de risco, e adoção de medida corretiva para reverter o dano causado — reduzem a multa entre 5% e 75% do valor inicial cada. Há ainda um desconto adicional de 25% para quem renuncia expressamente ao direito de recurso.⁶ Reincidência específica é a repetição da mesma infração pelo mesmo agente dentro de cinco anos; reincidência genérica é a prática de qualquer infração à LGPD ou a seus regulamentos pelo mesmo agente, no mesmo período.⁶

Fatores de dosimetria — Resolução CD/ANPD nº 4/2023

Fator	Efeito	Faixa sobre o valor inicial
Reincidência específica ou genérica (até 5 anos)	Agravante	5% a 90%
Descumprimento de determinação da ANPD	Agravante	5% a 90%
Cessação da infração antes da abertura de processo	Atenuante	5% a 75%
Adoção de governança e mitigação de risco	Atenuante	5% a 75%
Renúncia expressa ao direito de recurso	Desconto adicional	25%

Vale a pena rodar o cálculo com números, porque é aí que a mecânica fica concreta. Suponha, como premissa de trabalho, uma empresa de médio-grande porte com faturamento bruto anual de R$ 120 milhões, que sofre vazamento de dado por falha de segurança em sistema mantido por um fornecedor terceirizado, sem TAC prévio com a ANPD sobre o tema. A multa-base, pelo teto de 2% previsto na LGPD, seria R$ 2.400.000,00.² Se a ANPD aplicar um agravante de 30% por reincidência genérica — a empresa já respondeu a uma notificação anterior por outro tipo de infração —, soma-se R$ 720.000,00 ao valor inicial. Se, ao mesmo tempo, a empresa demonstrar que já adotou mecanismo formal de governança e resposta a incidente antes da abertura do processo — um atenuante de 50% —, subtrai-se R$ 1.200.000,00. O resultado: R$ 1.920.000,00 de multa final, 20% abaixo do valor-base de 2%, mesmo com o agravante de reincidência pesando contra a empresa.⁶

Esse segundo cálculo expõe um ponto que raramente aparece na cobertura de imprensa sobre multa de LGPD: o teto de R$ 50 milhões, pensado originalmente para dar previsibilidade e evitar multa desproporcional para empresa pequena, tem o efeito colateral de proteger desproporcionalmente empresas muito grandes — quanto maior o faturamento, maior a distância entre o que o percentual indicaria e o que o teto absoluto efetivamente permite cobrar. Não é falha de redação: é o mesmo trade-off que qualquer teto fixo sobre base percentual produz, em qualquer norma sancionadora que combine as duas lógicas. A diferença é que, no caso da LGPD, isso significa que a multa deixa de crescer proporcionalmente ao risco de um vazamento em massa justamente na faixa de empresa — a muito grande, com base de titulares na casa dos milhões — onde o dano potencial a titulares também é maior.

Fornecedores e terceiros: o novo elo da cadeia de responsabilidade

O Mapa de Temas Prioritários registra, ao lado dos quatro eixos principais, uma frente que não aparece como eixo numerado mas que muda o cálculo de risco de qualquer empresa que terceiriza processamento de dado: a ANPD passou a incluir, na sua agenda de monitoramento para 2026, a verificação da adequação legal de fornecedores de produtos e serviços que tratam dado pessoal em nome de terceiros.⁴ Isso formaliza, do lado do regulador, uma exigência que já vinha crescendo do lado do mercado: bancos, grandes empresas e o setor público já vêm exigindo evidência de adequação à LGPD como condição contratual para fornecedores, antes mesmo de qualquer fiscalização direta da ANPD sobre esse elo específico da cadeia.

Operador, sob a LGPD

Agente de tratamento — pessoa física ou jurídica — que realiza o tratamento de dado pessoal em nome do controlador, tipicamente um fornecedor, prestador de serviço ou processador de dado contratado. O controlador responde pelas decisões sobre a finalidade do tratamento; o operador responde pela execução dentro do que o controlador determinou — mas ambos podem ser responsabilizados quando a cadeia falha.²

O mecanismo que sustenta essa mudança de foco é simples de enunciar e difícil de operacionalizar: a LGPD não deixa de responsabilizar o controlador — a empresa que decide o que fazer com o dado — só porque ela delegou a execução técnica a um operador terceirizado. Quando um vazamento ocorre num sistema mantido por fornecedor, a empresa contratante continua exposta, porque a decisão de tratar aquele dado daquela forma, com aquele fornecedor, foi dela. O que muda com a nova ênfase da ANPD é que agora existe uma linha declarada de fiscalização olhando diretamente para essa cadeia — não apenas para o elo final, a empresa que tem relação direta com o titular do dado.

A objeção mais comum de quem ouve essa exigência pela primeira vez é prática: como uma empresa média, sem departamento jurídico dedicado a compliance de dado, consegue auditar cada fornecedor da própria cadeia com o mesmo rigor que um banco grande aplica? A resposta honesta é que não consegue, e não devia tentar aplicar o mesmo nível de profundidade a todos os fornecedores igualmente — o critério de priorização não é o tamanho do contrato, é o tipo de dado que aquele fornecedor especificamente processa. Um fornecedor de material de escritório não trata dado pessoal de titular nenhum; um fornecedor de folha de pagamento terceirizada trata dado de cada funcionário da empresa. A auditoria de fornecedor, para ser viável com recurso limitado, precisa seguir o mesmo dado sensível que o Mapa de Temas Prioritários já nomeou como alvo — biométrico, de saúde, financeiro — em vez de tentar cobrir toda a cadeia de suprimento com o mesmo esforço.

O que muda por porte de empresa

A capacidade de responder a esse novo desenho de fiscalização não se distribui igual entre empresas de porte diferente, e o motivo não é apenas orçamento disponível para compliance — é estrutura de decisão. Empresas grandes, com comitê de auditoria estatutário e função de compliance dedicada, já têm o hábito organizacional de tratar exigência regulatória nova como item de pauta recorrente: alguém lê o Mapa de Temas Prioritários quando sai, traduz em ação e reporta progresso em reunião trimestral. O risco delas não é ignorar a mudança, é subestimar a velocidade — tratar 2026-2028, a mesma janela de transição da capacidade da ANPD mencionada acima, como prazo confortável, quando na prática a fiscalização por segmento pode alcançar qualquer empresa do setor antes que o cronograma interno de adequação termine.

Empresas médias, sem função de compliance dedicada, costumam concentrar a responsabilidade de LGPD na mesma pessoa que já cuida de TI, jurídico societário ou controladoria — o que significa que levantar o inventário de fornecedores e formalizar política de governança compete, por tempo e atenção, com as atividades que já ocupam a agenda dessa pessoa em tempo integral. O risco típico aqui não é resistência deliberada, é sequenciamento: a adequação avança em ritmo de “quando sobrar tempo”, e sobra pouco tempo, então o inventário de fornecedor fica desatualizado até que uma fiscalização — ou um cliente grande exigindo evidência contratual — force a revisão às pressas.

Empresas pequenas, sem exposição direta a nenhum dos quatro eixos do mapa e sem tratamento de dado sensível em volume relevante, enfrentam um risco diferente: o de ser pega pela cadeia, não pela fiscalização direta. Se essa empresa pequena é fornecedora de uma empresa grande que está sob fiscalização por segmento, a exigência contratual de adequação vem de cima para baixo — o cliente grande repassa, via contrato, a mesma exigência que recebeu da ANPD ou que antecipou como resposta ao novo mapa de fiscalização. Para essa empresa pequena, a Lei 15.352 chega não como norma direta, mas como cláusula contratual nova que aparece na próxima renovação de contrato com o cliente âncora — o mesmo padrão que o §.10A da AS 1105 produz para subsidiária brasileira de grupo listado nos EUA, só que pela via da cadeia de fornecimento em vez da consolidação contábil.

Há ainda um quarto cenário, transversal a qualquer porte: empresa em processo de fusão ou aquisição. Devida diligência de aquisição já costuma vasculhar passivo trabalhista, tributário e ambiental como rotina; passivo de proteção de dados — multa potencial ainda não aplicada, fornecedor sem cláusula de adequação, inventário de tratamento desatualizado — é item mais recente nessa lista, mas cresce de relevância exatamente na proporção em que a ANPD ganha capacidade real de fiscalizar.

Um comprador que avalia uma empresa-alvo hoje sem checar se ela está no radar de algum dos quatro eixos do Mapa de Temas Prioritários corre o risco de descobrir, depois do fechamento, uma contingência que deveria ter sido precificada antes — inclusive o valor de uma eventual multa que, pelo cálculo de dosimetria mostrado acima, pode variar em milhões de reais conforme a empresa-alvo já tenha ou não política de governança formalizada no momento da fiscalização. É o mesmo tipo de lacuna que auditoria pré-M&A de sistema crítico é desenhada para capturar antes da assinatura do contrato de compra, não depois dele.

Manutenção nos 12 meses seguintes: quem sustenta isso depois que a novidade passar

Levantar o inventário de fornecedores e formalizar a política de governança uma vez, para responder à onda de notícia sobre a Lei 15.352, resolve o problema deste ciclo. Não resolve de forma permanente, porque as variáveis de que a fiscalização depende mudam ao longo do ano sem aviso prévio, do mesmo jeito que integração bancária muda de canal sem aviso prévio para quem responde ao §.10A da AS 1105.

O ponto de ruptura mais comum é contratação de fornecedor novo sem que o time jurídico ou de compliance seja acionado no momento da assinatura — o contrato entra em vigor, o fornecedor começa a processar dado, e o inventário de tratamento só é atualizado meses depois, se for. O controle mais barato para esse ponto não é auditoria periódica, é processo de compras: toda contratação de fornecedor que vai tratar dado pessoal deveria disparar, automaticamente, entrada no inventário e checagem de cláusula de adequação — antes da assinatura, não depois.

O segundo ponto é mudança regulatória subsequente. A própria ANPD, agora com dever formal de consulta pública antes de expedir norma, deve publicar ao longo de 2026 e 2027 regulamentação específica sobre pelo menos dois dos quatro eixos do mapa — inteligência artificial e tratamento de dado pelo poder público são, dos quatro, os que carecem de norma mais detalhada hoje.⁴ Uma empresa que hoje está adequada ao texto atual da LGPD pode não estar adequada à regulamentação específica que sair depois, e o único jeito de não ser pego de surpresa é acompanhar a Agenda Regulatória da ANPD como documento vivo, não como leitura única feita uma vez.

O terceiro ponto, mais difícil de blindar por processo, é rotatividade de pessoal. A pessoa que sabe, de cabeça, quais três fornecedores da empresa processam dado de saúde de funcionário — porque foi ela quem negociou os contratos — costuma ser a mesma pessoa cuja saída da empresa leva esse conhecimento junto, sem que ninguém tenha formalizado por escrito. É o mesmo padrão observado em qualquer controle que depende de conhecimento tácito não documentado: funciona enquanto a pessoa certa está no cargo certo, e quebra silenciosamente quando ela sai, só aparecendo de novo quando alguém de fora — auditor, fiscal, cliente — pergunta algo que ninguém mais na empresa sabe responder.

O que fica sem resposta

A Lei 15.352 resolve o desenho institucional da ANPD; não resolve, por si só, o problema de capacidade prática que só se materializa quando os 200 cargos de especialista estiverem, de fato, ocupados — processo que, historicamente, leva entre doze e dezoito meses de concurso público, mais o tempo de treinamento até o servidor novo estar produzindo fiscalização de qualidade equivalente à de quem já está na função. Até lá, a diferença entre “ANPD tem agora capacidade jurídica e orçamentária de agência reguladora” e “ANPD está de fato fiscalizando no volume que o Mapa de Temas Prioritários promete” é uma lacuna de execução que a lei não fecha sozinha.

Também fica sem resposta clara como a ANPD vai lidar com o próprio Estado como sujeito fiscalizado — o eixo de poder público, com 20 ações previstas para o primeiro semestre de 2027, é o que menos tem precedente de execução prática até aqui. Fiscalizar órgão público levanta questão de independência que não tem paralelo direto com fiscalizar empresa privada: o ministério ao qual a ANPD está vinculada é parte do mesmo Executivo que abriga os órgãos que ela vai fiscalizar nesse eixo, o que reabre, num ponto específico, exatamente a tensão de autonomia que a Lei 15.352 tentou resolver de forma geral.

Fica em aberto, também, como a ANPD vai exercer a competência de coordenar-se com outras agências em matéria de regulação compartilhada, prevista no regime da Lei 13.848/2019 mas ainda sem protocolo público detalhado de como funciona na prática.⁸ Dado de saúde tratado por operadora de plano médico já responde à ANS; dado financeiro movimentado via open finance já responde ao Banco Central; dado de comunicação eletrônica já responde à ANATEL. Uma empresa desses setores pode, no limite, receber exigência simultânea e não totalmente coordenada de dois reguladores diferentes sobre o mesmo dado — a ANPD tratando da perspectiva de proteção do titular, o regulador setorial tratando da perspectiva de estabilidade ou segurança do serviço. Até que exista protocolo formal de como essas competências se dividem caso a caso, a empresa fiscalizada é quem carrega o custo de reconciliar exigências que, na origem, deveriam estar alinhadas.

E fica sem resposta, porque nenhuma norma brasileira resolveu ainda, o problema mais estrutural do trade-off entre teto absoluto e percentual de faturamento na fórmula de multa: a distorção que favorece desproporcionalmente empresas muito grandes, mostrada no cálculo acima, não é bug de aplicação — é característica permanente do desenho legal enquanto o teto de R$ 50 milhões continuar fixo e o percentual continuar em 2%. Corrigir essa distorção exigiria mudança na própria LGPD, não na estrutura da ANPD, e não há, até este momento, nenhuma proposta legislativa tramitando especificamente sobre esse ponto. Para uma empresa muito grande, isso significa que o risco financeiro direto de uma multa de LGPD segue, na prática, mais limitado do que o risco reputacional e contratual — perda de cliente, exigência de auditoria externa, exposição pública do processo sancionador — que normalmente pesa mais do que o valor nominal da multa em si.

Glossário

Agência reguladora

Autarquia de regime especial caracterizada, segundo a Lei 13.848/2019, pela ausência de subordinação hierárquica ao órgão a que está vinculada, por mandato fixo e não coincidente de seus dirigentes, por autonomia administrativa e financeira, e pelo dever de submeter seus regulamentos a análise de impacto regulatório e consulta pública antes de entrarem em vigor.[^3]

Captura regulatória

Processo pelo qual um órgão criado para fiscalizar um setor passa a decidir, de forma sistemática, na direção dos interesses do próprio setor regulado ou de quem controla sua nomeação e seu orçamento, em vez do interesse público que justificou sua criação.[^9]

Dosimetria da sanção

Método de cálculo do valor final de uma multa a partir de um valor-base, ajustado por percentuais de agravantes e atenuantes previstos em norma — o mesmo princípio usado no direito penal para calcular pena, adaptado ao processo administrativo sancionador.[^6]

ECA Digital

Nome pelo qual ficou conhecida a Lei 15.211/2025, marco regulatório de proteção de crianças e adolescentes no ambiente digital brasileiro, em vigor desde 17 de março de 2026. Estabelece obrigações de verificação de idade, restrição de conteúdo impróprio e limite ao uso de dado de menor para publicidade direcionada, com fiscalização atribuída à ANPD.[^7][^11]

Operador, sob a LGPD

Agente de tratamento — pessoa física ou jurídica — que realiza o tratamento de dado pessoal em nome do controlador, tipicamente um fornecedor, prestador de serviço ou processador de dado contratado. O controlador responde pelas decisões sobre a finalidade do tratamento; o operador responde pela execução dentro do que o controlador determinou — mas ambos podem ser responsabilizados quando a cadeia falha.[^2]

Termo de Ajustamento de Conduta (TAC)

Instrumento pelo qual a ANPD ajusta a conduta de um agente de tratamento de dado sem esgotar o processo sancionador, mediante compromisso formal de correção dentro de prazo definido. Tem força de título executivo extrajudicial — pode ser executado diretamente em juízo, sem nova ação de conhecimento, se descumprido.[^8]

Referências

1. ↑ Congresso Nacional. L15352. 2026. consultar Acesso em 2026-09-12.
2. ↑ Congresso Nacional. L13709compilado. 2018. consultar Acesso em 2026-09-12.
3. ↑ Congresso Nacional. L13848. 2019. consultar Acesso em 2026-09-12.
4. ↑ ANPD. ANPD publica Mapa de Temas Prioritários para o biênio 2026-2027 e atualiza Agenda Regulatória 2025-2026. 2025. consultar Acesso em 2026-09-12.
5. ↑ Telesíntese. Sancionada Lei que transforma a ANPD em agência. 2026. consultar Acesso em 2026-09-12.
6. ↑ Cescon Barrieu. ANPD publica Regulamento de Dosimetria e Aplicação de Sanções Administrativas, Resolução CD/ANPD Nº 4. 2023. consultar Acesso em 2026-09-12.
7. ↑ Senado Notícias. Sancionada lei que cria a Agência Nacional de Proteção de Dados. 2026. consultar Acesso em 2026-09-12.
8. ↑ Migalhas. ANPD: Primeiras impressões sobre a nova agência reguladora. 2026. consultar Acesso em 2026-09-12.
9. ↑ Sérgio Guerra. Teoria da Captura de Agência Reguladora em Sede Pretoriana. 2007. consultar Acesso em 2026-09-12.
10. ↑ OECD. Being an Independent Regulator. 2016. consultar Acesso em 2026-09-12.
11. ↑ Migalhas. ANPD como Agência Nacional, o ECA Digital e a LGPD: Impacto na empresa. 2026. consultar Acesso em 2026-09-12.