O Que Mudou nas Fiscalizações da ANPD Entre 2023 e 2026?

De orientação a fiscalização ativa: a virada de 2024

Nós acompanhamos, ao longo desses anos, um discurso recorrente entre empresas de pequeno e médio porte: como as multas eram raras e os valores aplicados eram baixos, o risco de fiscalização parecia distante. Esse raciocínio fazia sentido até 2024, mas deixou de refletir a realidade a partir do momento em que a Autoridade Nacional de Proteção de Dados reorganizou sua estrutura e sua forma de atuar.

Entre 2021, quando as sanções administrativas da LGPD entraram em vigor, e 2024, a ANPD atuou de forma predominantemente educativa. Orientações, advertências e prazos para adequação dominavam as decisões, enquanto multas efetivas eram exceção. Um regulamento de dosimetria, publicado em 2023, chegou a formalizar os critérios de cálculo de sanções, porém a primeira penalidade em dinheiro aplicada sob essas regras foi modesta e recaiu sobre uma empresa de pequeno porte do setor de telecomunicações.

O cenário começou a mudar de forma perceptível no segundo semestre de 2024, quando o volume de processos fiscalizatórios abertos pela autoridade superou a soma de todo o período anterior. Ainda em dezembro daquele ano, dezenas de empresas privadas de grande porte foram notificadas por não terem encarregado de dados nomeado nem canal de atendimento aos titulares — uma falha considerada básica, mas recorrente mesmo entre companhias com operações relevantes no país.

Fiscalização reativa versus fiscalização temática: onde está a diferença

Essa mudança de modelo explica por que empresas que nunca receberam uma reclamação de titular passaram a ser notificadas simplesmente por atuarem em um setor priorizado. Um hospital de médio porte, por exemplo, pode entrar no radar da fiscalização não porque cometeu um erro identificado, mas porque a saúde figura entre os temas de maior prioridade da autoridade para o biênio atual.

Linha do tempo: os marcos da fiscalização da ANPD entre 2023 e 2026

Para visualizar a progressão dessas mudanças, vale reunir os principais marcos regulatórios e operacionais do período:

Esse conjunto de marcos deixa claro que a mudança não foi pontual, senão o resultado de um processo contínuo de fortalecimento institucional que se acelerou a partir de 2024.

De agência vinculada ao governo a agência reguladora independente

Uma das transformações mais estruturais aconteceu em 2026, quando a ANPD deixou de operar como órgão vinculado à Presidência da República e passou a ter status de agência reguladora, com autonomia administrativa e financeira própria. Essa mudança permitiu a contratação de um número significativo de novos servidores, ampliando a capacidade técnica da autoridade para conduzir investigações simultâneas em diferentes setores.

Apesar disso, comparações com autoridades de proteção de dados mais maduras, como as da União Europeia, ainda mostram um Brasil em estágio inicial de enforcement: os valores de multas aplicados no país permanecem muito abaixo dos volumes observados em jurisdições que já acumulam anos de fiscalização intensa. Contudo, a trajetória de fortalecimento institucional sinaliza que essa distância tende a diminuir nos próximos ciclos regulatórios.

Painel da Fiscalização: quando a fiscalização se torna pública

Antes de novembro de 2025, o andamento de um processo fiscalizatório era praticamente invisível para o mercado, salvo quando a própria empresa investigada decidia comunicar o fato. A criação do Painel da Fiscalização mudou essa lógica ao consolidar, em um só lugar, dados agregados sobre procedimentos em curso.

Essa exposição pública tem um efeito prático que vai além do jurídico: parceiros comerciais, investidores e até clientes passaram a ter acesso a um indicador de risco reputacional que simplesmente não existia antes. Uma empresa pode até resolver uma pendência internamente, mas o histórico de ter figurado no painel dificilmente desaparece da percepção do mercado.

Setores no centro da nova fase de fiscalização

O Mapa de Temas Prioritários da autoridade para o biênio atual concentra atenção em áreas específicas: dados de crianças e adolescentes, informações de saúde, biometria e o uso de dados pessoais para treinar sistemas de inteligência artificial. Em situações consideradas urgentes, a ANPD já demonstrou disposição para adotar medidas cautelares antes mesmo de ouvir a empresa investigada — foi o que ocorreu quando uma grande plataforma de tecnologia teve determinado tratamento de dados suspenso por decisão cautelar, sob risco de multa diária em caso de descumprimento. Todavia, esse tipo de medida extrema ainda é pontual dentro do conjunto de ações fiscalizatórias, concentradas majoritariamente em notificações, prazos de adequação e processos administrativos regulares.

Ainda assim, a maior parte dos casos concluídos até o momento envolve o poder público, não empresas privadas, o que revela um cronograma de priorização e não uma ausência de risco para o setor privado. Entretanto, o próprio mapa de prioridades já indica que essa proporção deve se inverter à medida que os ciclos de fiscalização avançam sobre os temas definidos.

O que essa mudança significa na prática

Para empresas que atuam nos setores priorizados, o principal efeito prático é que esperar uma denúncia para se adequar deixou de ser uma estratégia razoável. A fiscalização temática significa que a exposição ao risco depende do setor de atuação, não da existência de uma reclamação específica.

Na nossa leitura, cinco medidas simples continuam sendo o ponto de partida mais eficiente: nomear encarregado de dados e publicar seu contato, estruturar um processo formal de resposta a incidentes, manter documentação de mapeamento e avaliação de risco atualizada, revisar as bases legais utilizadas para cada tratamento e acompanhar de perto a agenda de temas prioritários da autoridade. Nenhuma dessas ações elimina o risco por completo, porém reduz de forma significativa a chance de figurar entre os primeiros casos de um novo ciclo fiscalizatório.

Conclusão

A fiscalização da ANPD deixou de ser um risco distante e concentrado no setor público para se tornar um processo ativo, temático e público. Empresas que ainda calibram seu nível de risco pela percepção de “poucas multas” correm o risco de serem surpreendidas por um modelo que já mudou de lógica — de reativo para proativo, de silencioso para transparente.

Para aprofundar temas relacionados, vale consultar os artigos Como a ANPD fiscaliza empresas que tratam dados de crianças e adolescentes e Agência reguladora: o que muda na relação da ANPD com as empresas no blog da DPOnet.