O que as últimas ações da ANPD sinalizam para 2025-2026
Desde sua entrada em vigor em 2020, a Lei Geral de Proteção de Dados (LGPD) tem passado por uma evolução significativa. Se os primeiros anos foram marcados por um caráter educativo, com foco em orientações e advertências, as ações mais recentes da Autoridade Nacional de Proteção de Dados (ANPD) mostram que o ciclo está mudando. Entre 2024 e 2025, a fiscalização se intensificou, novas regulamentações foram publicadas e setores antes pouco explorados passaram a ser alvo de maior atenção.
Este artigo analisa as tendências regulatórias, as lições aprendidas com a experiência europeia (GDPR) e os principais pontos de atenção para organizações que desejam estar preparadas para a nova fase da LGPD no Brasil.
A Evolução da LGPD no Brasil
Quando a LGPD entrou em vigor em 2020, o desafio para empresas e órgãos públicos era imenso: adequar processos internos, revisar contratos, implementar políticas e treinar equipes. A atuação inicial da ANPD refletiu essa realidade, priorizando a educação e a orientação.
No entanto, as resoluções e fiscalizações mais recentes, especialmente entre 2024 e 2025, indicam que estamos entrando em uma nova fase: fiscalização recorrente, sanções estruturadas e exigência de evidências concretas. O momento exige não apenas conformidade formal, mas capacidade real de demonstrar governança e boas práticas.
Mudanças Significativas em 2024-2025
Vários acontecimentos recentes marcam a transição da LGPD para sua “fase 2.0”. Entre eles:
- Regulamento de Comunicação de Incidente de Segurança (RCIS):
A Resolução CD/ANPD nº 15/2024 estabeleceu regras claras para notificação de incidentes, com formulário padronizado e critérios objetivos. - Nova Agenda Regulatória 2025-2026:
Inclui temas sensíveis como dados biométricos, proteção de crianças, inteligência artificial, reconhecimento facial e web scraping. - Fiscalização no DPO e Canal do Titular:
Em 2024, a ANPD analisou 20 organizações para verificar a nomeação formal do DPO, a independência do papel e a efetividade dos canais de atendimento. - Setor Público sob fiscalização:
Casos envolvendo o INSS, a Secretaria de Educação do DF e a SES-SC mostraram que a atuação da ANPD não se limita ao setor privado.
Regulamento de Comunicação de Incidente de Segurança (RCIS)
Com a Resolução CD/ANPD nº 15/2024, as empresas agora precisam:
- Seguir um formulário padronizado para notificação.
- Definir critérios objetivos sobre quando notificar.
- Revisar playbooks de resposta a incidentes.
- Coordenar protocolos com fornecedores e parceiros.
- Manter registros detalhados de logs e evidências.
O descumprimento pode gerar sanções específicas, além das relacionadas ao incidente em si, tornando essencial a revisão dos processos internos.
A Nova Agenda Regulatória 2025-2026
Os temas prioritários para os próximos anos incluem:
- Dados biométricos: Regulamentação para coleta, armazenamento e uso seguro.
- Proteção de crianças e adolescentes: Regras mais rígidas para consentimento e limitação de finalidades.
- IA e reconhecimento facial: Diretrizes para uso ético e transparente.
- Web scraping: Critérios para tratamento de dados obtidos de fontes públicas.
Organizações precisarão elaborar DPIAs temáticos (Data Protection Impact Assessments) para atender a essas novas exigências.
Fiscalizações Focadas em 2024
As fiscalizações mais recentes trouxeram dois pontos centrais:
DPO e Canal do Titular: Nomeação formal, autonomia do papel e eficiência do canal de atendimento foram criteriosamente analisados.
Setor Público na Mira: Órgãos como INSS e Secretarias de Educação e Saúde foram fiscalizados por falhas no tratamento e compartilhamento de dados.
As consequências vão além de sanções financeiras: a reputação e a credibilidade institucional estão em jogo.
Comparativo com a GDPR: Um Espelho do Futuro?
A experiência europeia é um indicativo claro do que podemos esperar:
- GDPR 2018-2019: Predominância educativa, multas modestas, ênfase em orientações.
- GDPR 2020 em diante: Multas bilionárias e casos emblemáticos envolvendo Big Techs.
- LGPD 2020-2024: Fase educativa no Brasil, com impactos da pandemia no avanço da maturidade regulatória.
- LGPD 2025-2026: Tendência de maior fiscalização, previsibilidade e sanções expressivas.
O Brasil segue caminho semelhante ao europeu, e as empresas devem se antecipar ao movimento.
O Que Reavaliar em 2025
Com as novas regras e fiscalizações, algumas áreas exigem atenção imediata:
- Resposta a Incidentes: Critérios claros, simulações periódicas e revisão de contratos com fornecedores.
- DPO e Canal do Titular: Nomeação formal, autonomia, treinamento e eficiência no atendimento.
- Governança e Evidências: Inventário de dados (ROPA), trilhas de auditoria, contratos revisados e métricas de conformidade.
- Riscos Emergentes: Biometria, IA, dados de crianças e web scraping.
LGPD 2.0: Preparando-se para o Novo Ciclo
A LGPD está entrando em sua fase 2.0. As organizações devem esperar:
- Fiscalizações periódicas e temáticas.
- Sanções punitivas, além das pedagógicas.
- Foco em setores sensíveis como saúde, educação e finanças.
- Regulação de tecnologias emergentes, incluindo IA e biometria.
Sugestão Prática: LGPD Health Check
Uma avaliação completa em até 45 dias pode incluir:
- Resposta a incidentes (RCIS).
- Estrutura e atuação do DPO.
- Canal de atendimento ao titular.
- Riscos emergentes e governança.
Essa preparação pode evitar custos muito maiores com fiscalizações e sanções nos próximos anos.
