O novo normal da Agência Nacional de Proteção de Dados

No auge da pandemia, eclodiu o uso da expressão “novo normal” para indicar mudanças de comportamento provocadas pela crise sanitária. Curiosamente, a Agência Nacional de Proteção de Dados (ANPD) foi criada no ano em que a pandemia se iniciou. Desde então, o órgão vinha atuando de forma primordialmente educativa, focado na regulamentação da LGPD e em sua conscientização. No entanto, a atuação da ANPD em 2026 revela o seu novo normal, que pode ser sintetizado em uma única palavra: exigente.

Até o final de julho, a ANPD já iniciou 24 processos sancionadores, 6 processos de fiscalização, 20 processos de monitoramento e 22 processos de apuração de incidente de segurança. Mais do que os números em si, o que chama verdadeira atenção é o nível de escrutínio adotado em face dos regulados.

Em um processo de fiscalização que foi encerrado recentemente, mas que deu origem a dois novos processos (um de fiscalização e um sancionador), a ANPD analisou em detalhes um contrato firmado entre duas empresas para o compartilhamento de dados entre elas, avaliando se os princípios previstos na LGPD tinham sido observados e se as bases legais adotadas para o compartilhamento eram adequadas.

A postura adotada nos dois processos gerados a partir desse também impressiona. No processo sancionador, um dos dispositivos tidos pela ANPD como violado foi o que prevê a obrigação de disponibilizar o nome e canal de contato do encarregado (DPO), sem que antes tenha sido oportunizado à empresa a correção de eventual ausência dessa indicação.

Em casos anteriores, a conduta da ANPD em relação à falta de indicação do nome do DPO tinha sido diametralmente oposta. A agência tinha como modo de operação inicialmente enviar um ofício ao agente regulado solicitando a correção do fato e, se após instada a empresa passasse a indicar o nome e canal de contato do DPO em sua política de privacidade, o caso era encerrado, sem a imposição de quaisquer sanções.

A atuação pela suposta ausência do nome do DPO é ainda mais controversa pelo fato de que o nome efetivamente estava disponível no caso acima, mas, na visão da ANPD, seriam necessários diversos cliques até que o usuário conseguisse chegar a tal informação. Vale notar que não há, nem na LGPD nem no regulamento editado pela ANPD sobre o encarregado, qualquer disposição que defina número máximo de cliques para que seja possível identificar o nome do DPO.

O nível de exigência da ANPD se demonstra ainda maior no novo processo de fiscalização, instaurado contra um birô de crédito. No ofício inaugural, a ANPD faz 27 perguntas ao agente regulado sobre suas práticas de tratamento de dados, especialmente em relação ao alinhamento dessas práticas ao princípio da transparência previsto na LGPD.

As perguntas revelam algo que já era notório, mas que agora passa a ser o posicionamento expresso da ANPD: não basta ter uma política de privacidade. É fundamental que a empresa avalie se a política realmente consegue transmitir ao usuário médio, que não possui conhecimentos aprofundados sobre o tema, informações claras, precisas e facilmente acessíveis sobre como seus dados pessoais são tratados.

Dentre as novas expectativas da ANPD, que podem ser extraídas das perguntas feitas ao birô de crédito, está a necessidade de agentes regulados realizarem estudos prévios de usabilidade, acessibilidade, legibilidade, experiência do usuário e compreensão informacional em relação aos documentos disponibilizados para garantir transparência ao tratamento de dados pessoais, assim como de manter indicadores relacionados ao tempo de resposta, índice de satisfação, reabertura de solicitações, e reclamações relacionadas ao exercício dos direitos previstos na LGPD.

Caso essas expectativas se tornem aplicáveis para todos os casos, serão obrigações novas, não estipuladas na legislação, e que dificilmente são implementadas atualmente por grande parte das empresas. Realizar estudos dessa natureza, por exemplo, envolve custos relevantes, ampliando ainda mais o ônus burocrático de conformidade com a LGPD. Mais do que isso, não estava nas regras do jogo, que têm sido modificadas com frequência pela ANPD ao longo dos últimos tempos.

Nos processos relacionados a incidentes de segurança, a ANPD tem solicitado relatórios técnicos de apuração do evento, comprovações das medidas implementadas previamente para impedir situações dessa natureza e evidências do envio de comunicações para as pessoas afetadas. Em determinados casos de ataques de ransomware, chegou até a questionar se o pagamento de resgate havia sido realizado pela empresa.

Na fiscalização do ECA Digital, que passou a ser de sua incumbência no final do ano passado, a ANPD também tende a impor rigor similar em suas análises. Em novembro de 2025, antes mesmo da entrada em vigor do ECA Digital, a ANPD iniciou um processo de monitoramento em face de 37 empresas para averiguar quais medidas estavam sendo tomadas para garantir conformidade à norma. Mais recentemente, também instaurou processos de monitoramento em relação a lojas de aplicativos e sistemas operacionais, e a sites com conteúdo pornográfico.

A mensagem é clara: o “novo normal” da ANPD exigirá muito mais das empresas que não se adequaram à LGPD ou ao ECA Digital porque acharam que as leis não iriam pegar e não precisariam se preocupar. Para quem não fez nada, é bom correr. Para quem fez pouco, é melhor fazer mais. Com os dentes afiados que a ANPD tem, a mordida vai doer.

*Este artigo foi escrito pelo nosso sócio Felipe Palhares, da área Proteção de Dados e Cybersecurity. A publicação foi veiculada no Valor Econômico em 06/08/2026, clique aqui e confira.