ANPD revisa sanções e fiscalização da LGPD

A ANPD informou em agosto de 2026 que segue em curso a revisão dos Regulamentos de Fiscalização e de Aplicação de Sanções Administrativas sob a LGPD, ao divulgar seu 3º Relatório Semestral de Monitoramento e Execução da Agenda Regulatória 2025 2026, referente ao primeiro semestre de 2026. O documento também relaciona essa agenda ao sandbox regulatório de inteligência artificial e a outras iniciativas sobre segurança da informação e direitos dos titulares.

¿Qué está revisando la ANPD?

A autoridade brasileira mantém em atualização dois pilares do seu marco de controle, os regulamentos de fiscalização e de sanções administrativas. Segundo o relatório oficial, essa agenda não avança de forma isolada, mas junto ao acompanhamento do sandbox de IA e de outras iniciativas regulatórias ligadas à implementação da LGPD.

O resumo difundido por veículos especializados acrescenta que a revisão está priorizada ao lado de temas de inteligência artificial, segurança da informação e direitos dos titulares. Nesse mesmo contexto, é esperado um endurecimento dos critérios para avaliar reincidência, gravidade e cooperação do agente de tratamento antes da definição de multas e outras medidas.

¿Qué cambia para las empresas que operan en Brasil?

O efeito prático é um regime de conformidade mais exigente, com maior pressão sobre prazos de resposta, documentação interna e capacidade de demonstrar cooperação diante da ANPD. As análises recentes citadas no material lembram que a autoridade pode aplicar sanções administrativas que vão de advertências a multas de até 2% do faturamento bruto da empresa ou do grupo no Brasil, limitadas a R$ 50 milhões por infração.

Esse intervalo sancionatório aparece especialmente ligado a casos de retenção indevida de dados biométricos ou à exposição de registros em incidentes de segurança. Ao mesmo tempo, especialistas em compliance observam que a ANPD também pode agir quando uma organização dificulta o exercício de direitos dos titulares, como retificação, exclusão, confirmação de tratamento ou portabilidade, mesmo sem vazamento de dados.

¿Cómo impactan las reglas de notificación de incidentes?

A Resolução CD/ANPD nº 15/2024 elevou o padrão operacional para incidentes de segurança ao estabelecer notificação preliminar em até 3 dias úteis e obrigar a comunicação à ANPD e aos titulares quando houver risco ou dano relevante.

Segundo as análises reunidas, esse prazo se aplica a casos que envolvam dados sensíveis, dados de menores e idosos, dados financeiros, determinadas credenciais de autenticação, informações protegidas por sigilo legal ou profissional e tratamentos em larga escala. O texto também indica que a resolução organiza a comunicação em duas etapas, com complementação posterior, alinhada à análise de impacto, às medidas de mitigação e às ações para evitar reincidências.

A comparação com o GDPR destaca outra diferença operacional para multinacionais, no Brasil o prazo é de até 3 dias úteis, enquanto o Art. 33 da norma europeia trabalha com 72 horas corridas. Para empresas com atuação regional, isso exige playbooks de resposta ajustados a dois cronogramas distintos.

Em setores como saúde, consultorias de compliance alertam que a janela de 3 dias úteis se torna um gargalo para hospitais e clínicas que não têm planos formalizados de resposta a incidentes, porque sem processos de detecção, classificação e reporte testados o prazo fica muito difícil de cumprir.

¿Qué está probando la ANPD con inteligencia artificial?

A ANPD publicou a metodologia de testes do seu Sandbox Regulatório em Inteligência Artificial e Proteção de Dados e detalhou que os participantes devem cumprir procedimentos específicos de supervisão, monitoramento e avaliação de soluções, além de obrigações de reporte técnico periódico.

Esse modelo funciona como um laboratório de conformidade para testar critérios que depois podem alimentar a fiscalização e as sanções sobre sistemas de IA que tratam dados pessoais. No relatório semestral, a própria ANPD também conecta essa experiência à revisão de seus regulamentos de controle e sanção, o que indica que as duas frentes avançam em paralelo.