ANPD revisa sanções e fiscalização da LGPD

Atualização 24 de agosto de 2026: A ANPD reconheceu que seus regulamentos de fiscalização e sanções precisarão ser atualizados a partir de novembro de 2026 para incorporar um novo marco legal com multas mais altas para grupos econômicos no Brasil e plataformas estrangeiras. Essa mudança se soma à revisão já em andamento sob a LGPD e amplia o alcance da discussão sobre controle e sanção.

A ANPD informou que segue em curso a revisão dos Regulamentos de Fiscalização e de Aplicação de Sanções Administrativas sob a LGPD, ao divulgar em agosto de 2026 seu 3º Relatório Semestral de Monitoramento e Execução da Agenda Regulatória 2025 2026, referente ao primeiro semestre de 2026. O documento também relaciona essa revisão ao sandbox regulatório de inteligência artificial e a outras iniciativas sobre segurança da informação e direitos dos titulares.

O que a ANPD está revisando?

A autoridade brasileira mantém em andamento a atualização de duas peças centrais de seu marco de controle, os regulamentos de fiscalização e de sanções administrativas. Segundo o relatório oficial, essa agenda não avança de forma isolada, mas junto com o acompanhamento do sandbox de IA e de outras iniciativas regulatórias ligadas à implementação da LGPD.

O resumo divulgado por veículos especializados acrescenta que a revisão está priorizada ao lado de temas de inteligência artificial, segurança da informação e direitos dos titulares. Nesse mesmo contexto, antecipa-se um endurecimento de critérios para avaliar reincidência, gravidade e cooperação do agente de tratamento antes de definir multas e outras medidas.

O que muda para as empresas que operam no Brasil?

O eixo prático é um regime de conformidade mais exigente, com maior pressão sobre os prazos de resposta, a documentação interna e a capacidade de demonstrar cooperação diante da ANPD. As análises recentes citadas no material lembram que a autoridade pode impor sanções administrativas que vão desde advertências até multas de até 2% do faturamento bruto da empresa ou grupo no Brasil, limitadas a R$ 50 milhões por infração.

Esse alcance sancionatório aparece especialmente associado a casos de retenção indevida de dados biométricos ou à exposição de registros em incidentes de segurança. Ao mesmo tempo, especialistas em conformidade apontam que a ANPD também pode atuar quando uma organização dificulta o exercício de direitos dos titulares, como retificação, exclusão, confirmação de tratamento ou portabilidade, mesmo sem vazamento de dados.

Como impactam as regras de notificação de incidentes?

A Resolução CD/ANPD nº 15/2024 elevou o padrão operacional para incidentes de segurança porque estabelece notificação preliminar em até 3 dias úteis e obriga a comunicação tanto à ANPD quanto aos titulares quando houver risco ou dano relevante.

Segundo as análises reunidas, esse limite se aplica em casos que envolvam dados sensíveis, dados de menores e idosos, dados financeiros, certas credenciais de autenticação, informações protegidas por sigilo legal ou profissional e tratamentos em grande escala. Também se indica que a resolução estrutura a comunicação em duas etapas, com complementação posterior, alinhada à análise de impacto, às medidas de mitigação e às ações para evitar reincidências.

A comparação com o GDPR destaca outra diferença operacional para multinacionais: no Brasil, o prazo é de até 3 dias úteis, enquanto o Art. 33 do regulamento europeu trabalha com 72 horas corridas. Para empresas com presença regional, isso exige playbooks de resposta ajustados a dois cronogramas distintos.

Em setores como saúde, consultorias de conformidade alertam que a janela de 3 dias úteis se torna um gargalo para hospitais e clínicas que não têm planos formalizados de resposta a incidentes, porque, sem processos de detecção, classificação e reporte treinados, o prazo fica muito difícil de cumprir.

O que a ANPD está testando com inteligência artificial?

A ANPD publicou a metodologia de testes de seu Sandbox Regulatório em Inteligência Artificial e Proteção de Dados e detalhou que os participantes precisam cumprir procedimentos específicos de supervisão, monitoramento e avaliação de soluções, junto com obrigações de reporte técnico periódico.

Esse modelo funciona como um laboratório de conformidade para ensaiar critérios que depois podem alimentar a fiscalização e as sanções sobre sistemas de IA que tratam dados pessoais. No relatório semestral, além disso, a própria ANPD conecta essa experiência à revisão de seus regulamentos de controle e sanção, o que sugere que as duas discussões avançam em paralelo.

Que limite novo a ANPD detectou no caso Discord?

A ANPD reconheceu que terá de atualizar seus regulamentos a partir de novembro de 2026 para incorporar um novo marco legal que altera o teto das sanções e amplia sua capacidade de punição diante de plataformas estrangeiras.

Segundo o artigo sobre sua atuação frente à Discord, o novo esquema prevê multas de até 10% do faturamento do grupo econômico no Brasil ou, se não houver faturamento local, valores entre R$ 10 e R$ 1.000 por usuário registrado, com limite de R$ 50 milhões por infração. Essa mudança corrige a referência anterior a um teto geral de 2% do faturamento bruto e leva a discussão sancionatória a uma escala mais alta para grupos globais.

A novidade aparece em um contexto em que a ANPD vem avaliando como aplicar seu poder de polícia a serviços que operam sem presença econômica relevante no país. Nesse ponto, o caso Discord funciona como exemplo dos limites atuais e da necessidade de adequar o regime sancionatório para responder melhor a plataformas estrangeiras de grande porte.