ANPD virou reguladora de verdade: o que muda pra quem ainda trata LGPD como projeto de compliance

Por anos, a conversa sobre LGPD dentro das empresas girou em torno de documento: política de privacidade publicada, termo de consentimento ajustado, relatório de impacto arquivado. Fazia sentido enquanto a ANPD estava em fase educativa — mais orientação do que punição. Essa fase acabou.

Desde que a Lei nº 15.352/2026 transformou a ANPD em agência reguladora autônoma, com personalidade jurídica e autonomia financeira própria, a autarquia lançou um painel público de fiscalização e passou a auditar setores inteiros, não só responder a denúncias pontuais. A pergunta que interessa agora não é mais "temos uma política de privacidade" — é "nosso controle técnico resiste a uma auditoria real".

O que realmente mudou na postura da ANPD

Uma agência reguladora autônoma tem orçamento, quadro técnico e mandato para fiscalizar de forma proativa — bem diferente de um órgão em fase de orientação que reage a reclamação isolada. O painel público de fiscalização torna esse trabalho visível: setores inteiros entram em auditoria, não só a empresa que recebeu uma denúncia específica.

Isso muda o cálculo de risco de qualquer empresa que lida com dado pessoal em volume — o que, na prática, é praticamente qualquer negócio digitalizado no Brasil hoje.

Onde a fiscalização está mirando primeiro

As áreas prioritárias sinalizadas incluem saúde, biometria, inteligência artificial, serviços financeiros e fintechs, e qualquer tratamento de dado de criança e adolescente — setores onde o dado é mais sensível e o risco de dano ao titular é maior. Empresas de saúde e de serviços financeiros já convivem com regulação setorial específica — agora somam-se a isso auditorias de proteção de dado com dentes de verdade.

Empresas que usam IA para tomar decisão sobre pessoas — crédito, contratação, atendimento — também entram no radar direto, o que conecta esse tema à governança de uso corporativo de IA de forma ainda mais concreta do que antes.

Política escrita não passa mais no teste de auditoria

O erro mais comum — e mais caro — é confundir documento com controle. Uma política de retenção de dados bem escrita não protege ninguém se o sistema continua guardando dado de cliente por anos além do necessário. Um termo de consentimento bem redigido não importa se não há como provar, tecnicamente, quem acessou qual dado e quando.

Auditoria real pede evidência técnica: inventário de onde o dado sensível vive, controle de acesso que reflete a política no papel, e capacidade de responder "quem viu isso" em minutos, não em semanas de investigação manual.

O custo de ser pego despreparado

A LGPD prevê multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração — número que sozinho já justifica tratar isso como prioridade orçamentária, não como item que compete por atenção depois de tudo o mais. Some a isso o custo menos visível: uma auditoria pública que expõe falha de controle vira notícia, e o dano à confiança do cliente dura muito mais do que o processo administrativo em si.

Diferente de um incidente de segurança, que às vezes fica invisível externamente até vazar, uma sanção da ANPD é pública por natureza — o painel de fiscalização foi desenhado justamente para dar transparência a esse processo.

Da política pro controle técnico: por onde começar

O primeiro passo é sempre o mesmo, independente do ponto de partida: inventariar onde o dado sensível realmente está, em qual sistema, com qual nível de exposição — a mesma lógica de descoberta que já vale pra shadow AI ou identidade de máquina. Sem esse mapa, qualquer política é promessa sem verificação.

A partir daí, DSPM, controle de acesso com privilégio mínimo e um plano de resposta a incidente testado — não só escrito — formam a base técnica que efetivamente resiste a uma fiscalização. Como esse investimento compete com outras prioridades do próximo ciclo de orçamento, vale colocar risco regulatório na mesma mesa de decisão que risco de ataque — hoje eles pesam praticamente igual.

Documento não é controle

A ANPD saiu da fase de aviso pra fase de auditoria, e isso muda o padrão mínimo aceitável de qualquer programa de proteção de dado. A UNIQ ajuda clientes a fechar essa distância entre política escrita e controle técnico verificável, com a arquitetura de Data & AI certa pro volume e sensibilidade real do dado que a empresa trata — antes que uma auditoria pública seja quem aponta a lacuna.