LGPD em 2026: como a fiscalização da ANPD deixou de ser apenas orientação

Cinco anos depois de entrar em vigor, a Lei Geral de Proteção de Dados (LGPD) vive, em 2026, sua fase mais concreta de fiscalização. Durante boa parte de sua existência, a Autoridade Nacional de Proteção de Dados (ANPD) foi criticada por priorizar orientação em vez de punição, aplicando poucas sanções e demorando anos para consolidar sua estrutura. Esse cenário começou a mudar de forma perceptível nos últimos meses, com a ANPD ganhando mais autonomia institucional, lançando ferramentas públicas de acompanhamento de processos e ampliando o número de investigações abertas contra empresas de diferentes portes. Entender essa virada é essencial tanto para empresas que tratam dados pessoais no dia a dia quanto para usuários que querem saber quais direitos podem exigir.

De órgão orientador a agência reguladora mais atuante

Um dos marcos mais importantes do período recente foi o fortalecimento institucional da ANPD, que avançou no caminho de se consolidar como agência reguladora com maior autonomia e orçamento próprio, além de ter seu primeiro concurso público autorizado para ampliar um quadro de servidores historicamente enxuto perto do tamanho do desafio de fiscalizar um país inteiro. A autoridade também lançou um painel público de fiscalização, permitindo acompanhar processos sancionadores em andamento, o que aumenta a transparência sobre como a lei está sendo efetivamente aplicada. Segundo levantamentos de escritórios especializados em proteção de dados, em um único mês recente a ANPD chegou a abrir mais processos sancionadores do que em anos inteiros de sua história anterior, um indício de que a fase de "aviso prévio" generalizado está perto do fim.

Os casos que marcaram a fiscalização

O primeiro caso a resultar em multa financeira foi o de uma pequena empresa de telecomunicações, multada depois de ser flagrada oferecendo uma listagem de contatos de WhatsApp de eleitores para fins de disseminação de material de campanha eleitoral, sem base legal para o tratamento desses dados e sem contar com encarregado de proteção de dados (DPO) formalmente indicado. A ANPD concluiu que a empresa infringiu dispositivos centrais da LGPD e do regulamento de fiscalização da própria autoridade, e calculou a multa no teto legal permitido para o faturamento da companhia. O valor absoluto foi modesto, mas o precedente é relevante: mostrou que empresas de qualquer porte, inclusive microempresas, estão sujeitas a sanções efetivas, não apenas recomendações. Mais recentemente, a autoridade também notificou formalmente diversas grandes empresas que atuam no Brasil por não terem canal de comunicação efetivo com titulares de dados ou por não indicarem adequadamente um encarregado de dados, encaminhando parte delas para abertura de processos administrativos sancionadores depois de não responderem aos pedidos de informação da agência dentro do prazo estabelecido.

O que muda na prática para empresas e usuários

Para empresas, a mensagem da fiscalização recente é direta: obrigações consideradas "básicas" da LGPD, como indicar um encarregado de dados com canal de contato funcional, deixaram de ser um item que pode ficar para depois. Alguns pontos que merecem atenção redobrada:

• manter um canal de atendimento a titulares de dados que realmente funcione, com resposta dentro de prazos razoáveis;
• indicar formalmente um encarregado de proteção de dados (DPO) e divulgar essa informação de forma acessível;
• documentar a base legal usada para cada tipo de tratamento de dados pessoais realizado;
• revisar contratos com fornecedores e parceiros que também tratam dados em nome da empresa;
• acompanhar os temas prioritários definidos pela ANPD para os próximos ciclos regulatórios, que já sinalizam atenção redobrada a direitos dos titulares, dados de crianças e adolescentes, uso de inteligência artificial, dados de saúde e tratamento de dados pelo poder público.

Para o cidadão comum, o momento também é de maior poder de ação: como a ANPD tem demonstrado disposição de investigar denúncias e abrir processos, reclamações formais sobre uso indevido de dados pessoais, ausência de canal de atendimento ou recusa em atender pedidos de exclusão e portabilidade tendem a ter mais peso prático do que tinham nos primeiros anos de vigência da lei.

Um equilíbrio ainda em construção

Apesar do avanço, é importante manter a proporção: o total de multas pecuniárias efetivamente aplicadas pela ANPD segue relativamente baixo se comparado ao volume de denúncias recebidas, e boa parte da atuação recente ainda se concentra em notificações, prazos para regularização e processos que apenas começaram a tramitar, sem desfecho definitivo. Ainda assim, a simples existência de processos em andamento contra empresas de grande porte já tem efeito preventivo relevante: departamentos jurídicos e de compliance passaram a tratar auditorias internas de proteção de dados como rotina, e não mais como projeto esporádico feito apenas quando a lei entrou em vigor, em 2020. Advogados especializados no tema descrevem o momento como uma transição, em que a "era da orientação" perdeu força, mas ainda não foi totalmente substituída por um regime de punições pesadas e recorrentes, como ocorre em regulações mais maduras, à semelhança do modelo europeu que inspirou a LGPD. Para empresas brasileiras, o mais sensato é não esperar pela primeira notificação para agir: revisar processos internos de proteção de dados agora custa muito menos, em dinheiro e em reputação, do que corrigir depois de figurar em um processo sancionador público.