O que muda em 2026: a ANPD saiu do papel
Historicamente, muitas empresas tratavam a adequação como um projeto de política de privacidade e mapeamento de dados, sem grande pressão externa. Isso mudou. A ANPD ampliou sua capacidade operacional e passou a atuar por temas prioritários, com processos administrativos mais frequentes.
Três movimentos concretos que toda empresa deveria conhecer antes de iniciar — ou revisar — sua adequação:
Mapa de Fiscalização 2026–2027 (Resolução CD/ANPD nº 30/2025): prevê ao menos 75 ações de fiscalização no biênio, organizadas em quatro eixos. Dados biométricos, de saúde e financeiros concentram o maior volume de ações previstas — se sua empresa trata esse tipo de dado sensível, a exposição é maior do que a média.
Agenda Regulatória 2025–2026 (Resolução CD/ANPD nº 31/2025): organiza os temas que ainda serão regulamentados, incluindo direitos dos titulares, RIPD e uso de IA no tratamento de dados pessoais — relevante para empresas que já usam LLMs em atendimento ou marketing.
Prazo de notificação de incidentes: pela Resolução CD/ANPD nº 15/2024, incidentes com risco relevante devem ser comunicados à ANPD em até 3 dias úteis (6 dias úteis para pequenas empresas). Ter um plano de resposta pronto deixou de ser opcional.
Onde as empresas estão errando
Antes de seguir para o checklist, vale nomear os três erros mais recorrentes em projetos de adequação — porque corrigir o processo sem corrigir esses vícios de origem só adia o problema.
1. Subestimar o risco de ataque cibernético e vazamento de dados
Vazamento de dados deixou de ser um risco hipotético. Segundo relatório da IBM, o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025 — alta de 6,5% em relação ao ano anterior. Na prática, a maioria dos incidentes não nasce de ataques sofisticados: configurações incorretas em nuvem, credenciais expostas, ausência de monitoramento contínuo e erro humano respondem pela maior parte dos casos. Empresas que tratam segurança da informação como item de checklist — e não como parte da governança contínua — estão mais expostas do que imaginam, especialmente as que lidam com dados sensíveis, hoje no topo das prioridades de fiscalização da ANPD.
2. Nomear um DPO sem experiência em proteção de dados
É comum empresas indicarem um colaborador já sobrecarregado — de TI, jurídico ou RH — apenas para “ter um nome no papel” como encarregado, sem experiência prática em proteção de dados. O problema aparece no pior momento possível: durante um incidente. Um DPO sem domínio dos procedimentos tende a atrasar a identificação da gravidade do vazamento, errar na definição do que precisa ser comunicado à ANPD e deixar de documentar decisões essenciais para demonstrar boa-fé numa fiscalização. Esse atraso e essa falta de rastreabilidade são exatamente os fatores que pesam na dosimetria de sanções da ANPD — ou seja, o “custo zero” de nomear alguém sem experiência pode se transformar no maior custo financeiro do incidente.
3. Políticas de privacidade genéricas e falta de controle sobre fornecedores
Copiar um modelo pronto de política de privacidade — sem refletir os dados que a empresa de fato coleta, as bases legais reais utilizadas e os fluxos com terceiros — não resiste a uma fiscalização nem a uma ação judicial. O mesmo vale para a cadeia de fornecedores: operadores de dados (softwares em nuvem, terceirizados de atendimento, parceiros comerciais) são, na prática, uma extensão do risco da empresa contratante. Sem aditivos contratuais claros, avaliação prévia de segurança e auditoria periódica desses fornecedores, a empresa responde por vazamentos que nem sequer aconteceram dentro de sua própria infraestrutura.
O que é a LGPD e quem precisa se adequar?
A LGPD regulamenta o tratamento de dados pessoais no meio físico e digital, por pessoa natural ou jurídica. Se o seu negócio coleta nomes, e-mails, dados bancários, CPFs ou registros de funcionários em território nacional, a adequação é obrigatória — independentemente do porte: MEI, PME ou multinacional.
Empresas de pequeno porte (até R$ 16 milhões de receita anual, conforme a LC 182/2021) têm regras simplificadas, como prazos em dobro para atendimento a titulares e notificação de incidentes — mas não estão isentas da lei.
Checklist: 10 Passos para Adequar sua Empresa à LGPD
1. Conscientização e Engajamento da Alta Gestão
A governança em proteção de dados começa no topo. A diretoria precisa entender os riscos regulatórios — hoje mais concretos do que em 2020 — e aprovar os recursos financeiros e operacionais necessários para a transição.
2. Nomeação do Encarregado pelo Tratamento de Dados (DPO)
O Data Protection Officer atua como ponte entre a empresa, os titulares dos dados e a ANPD. Suas funções principais são orientar colaboradores, atender requisições de titulares e responder a fiscalizações oficiais. A Agenda Regulatória em curso prevê revisão das exigências sobre autonomia técnica e critérios de governança do DPO — um motivo prático para considerar um modelo de DPO as a Service, que já acompanha essas mudanças normativas por padrão.
3. Mapeamento de Dados (Data Mapping)
Faça um inventário rigoroso de todo o ciclo de vida dos dados: quais são coletados (CPF, e-mail, cookies, dados de saúde), onde são armazenados (servidores locais, nuvem, planilhas) e quem tem acesso e com quem são compartilhados. Dados biométricos, de saúde e financeiros merecem atenção redobrada: são o eixo com maior número de ações de fiscalização previstas para 2026–2027.
4. Identificação das Bases Legais
Cada operação de tratamento precisa de uma das 10 bases legais do Art. 7º. As mais comuns no ambiente corporativo são: cumprimento de obrigação legal ou regulatória (ex.: emissão de nota fiscal, obrigações trabalhistas), execução de contrato (ex.: dados para entrega de mercadoria), consentimento do titular e legítimo interesse do controlador.
5. Análise de Riscos e Relatório de Impacto (RIPD)
Identifique pontos fracos na infraestrutura técnica e nos processos manuais. Elabore o RIPD para operações que envolvam dados sensíveis ou alto risco à privacidade — incluindo, cada vez mais, o uso de IA generativa em ambiente corporativo, um dos temas que a ANPD sinalizou como prioridade regulatória para 2026.
6. Atualização de Termos de Uso e Políticas de Privacidade
Revise os documentos voltados ao público externo e aos colaboradores. Para site e e-commerce: política de privacidade clara e banner de consentimento de cookies conforme os padrões da ANPD. Para contratos: aditivos com fornecedores e terceirizados garantindo o cumprimento recíproco da lei.
7. Fortalecimento da Segurança da Informação
Implemente barreiras técnicas e administrativas proporcionais ao risco: criptografia de banco de dados e backups periódicos, autenticação em dois fatores (2FA), controle de privilégios de acesso e monitoramento contínuo de redes.
8. Plano de Resposta a Incidentes de Segurança
Em caso de vazamento ou acesso não autorizado, a empresa precisa reagir rápido: fluxo claro de contenção da falha, notificação à ANPD em até 3 dias úteis (6 para pequenas empresas) quando houver risco relevante, e registro de todos os incidentes — inclusive os que não precisam ser comunicados — mantido por ao menos 5 anos, pois pode ser exigido em fiscalização.
9. Treinamento da Equipe e Aculturamento
A maior parte dos incidentes decorre de falha humana: phishing, senhas fracas, envio indevido de planilhas. Treinamentos periódicos e políticas claras sobre uso de dispositivos corporativos reduzem esse risco de forma consistente.
10. Auditoria e Monitoramento Contínuo
Adequação à LGPD não é um projeto com data para terminar — é um programa de governança. Isso inclui auditorias internas periódicas em novos softwares e contratações, atualização do mapa de dados sempre que novos processos forem implementados e acompanhamento das novas resoluções da ANPD, que publica atos normativos com frequência crescente.
DPO Interno x DPO as a Service: qual escolher?
Próximos Passos
Comece pela etapa de mapeamento de dados — é a base de todas as demais. Para aprofundar o conhecimento técnico, consulte as publicações oficiais da ANPD e a redação da Lei nº 13.709/2018. E se sua empresa quer evitar montar essa estrutura do zero internamente, um modelo de DPO as a Service permite iniciar a adequação com uma equipe já estruturada e atualizada com as prioridades regulatórias de 2026.
A adequação à LGPD não é um projeto com data para terminar — é um programa de governança contínua que acompanha a evolução regulatória, tecnológica e organizacional da empresa.
