Durante anos, a estrutura limitada da ANPD foi usada como argumento para adiar investimentos em proteção de dados. A Medida Provisória 1.317/2025, convertida na Lei 15.352/2026, transformou a Autoridade Nacional de Proteção de Dados na Agência Nacional de Proteção de Dados e criou uma carreira própria de regulação e fiscalização.
A lei criou 200 cargos efetivos, mas isso não significa que 200 fiscais já estejam em exercício. Em junho de 2026, foi autorizado o primeiro concurso da carreira, com 50 vagas, descrito pela própria ANPD como a primeira etapa do provimento dos 200 cargos. Nomeações dependem da conclusão do concurso, homologação e disponibilidade orçamentária.
Não é apenas uma mudança de nome. É uma mudança institucional acompanhada de uma capacidade operacional ainda em construção.
O que mudou de fato
A transformação institucional trouxe quatro mudanças concretas:
| Antes (Autoridade) | Agora (Agência) |
|---|---|
| Estrutura anterior sem carreira própria de regulação e fiscalização | 200 cargos efetivos criados; primeiro concurso autorizado para 50 vagas |
| Orçamento dependente do Executivo | Autonomia financeira e patrimônio próprio |
| Autonomia técnica declarada, mas frágil | Autonomia funcional, técnica, decisória, administrativa e financeira previstas em lei |
| Fiscalização episódica, priorizando casos de grande repercussão | Fiscalização programática, com mapa de temas prioritários publicado por biênio |
A agência permanece vinculada ao Ministério da Justiça e Segurança Pública, mas com o regime jurídico das agências reguladoras (Lei 13.848/2019) — o que inclui mandato dos dirigentes e independência decisória.
Por que isso importa: a criação de uma carreira própria e o início do provimento ampliam, em potencial, a capacidade técnica e fiscalizatória da ANPD. O efeito não é imediato nem equivale a 200 fiscais já em atividade; deve ser acompanhado conforme concursos, nomeações, orçamento e prioridades regulatórias avancem.
Onde a fiscalização vai mirar: o Mapa de Temas Prioritários 2026-2027
Em dezembro de 2025, a ANPD publicou o mapa que orienta a fiscalização do biênio. São quatro eixos:
- Direitos dos titulares — com foco especial em dados biométricos, de saúde e financeiros
- Proteção de crianças e adolescentes no ambiente digital
- Poder público como agente de tratamento
- Inteligência artificial aplicada a dados pessoais
Se a sua organização trata dados de saúde, opera biometria (reconhecimento facial, digital em academias e portarias), atende menores de idade ou usa IA sobre dados pessoais — você não está apenas sujeito à LGPD. Você está no plano de trabalho publicado do regulador.
O quarto eixo merece atenção especial: é a primeira vez que o uso de IA sobre dados pessoais aparece formalmente como prioridade de fiscalização no Brasil. Copilots corporativos, chatbots de atendimento e modelos treinados com dados de clientes entram nesse escopo.
O que continua igual (e continua sendo o problema)
As sanções não mudaram: advertência, multa de até 2% do faturamento limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação de dados. O prazo para comunicar incidentes com risco relevante aos titulares também segue o mesmo: 3 dias úteis a partir do conhecimento do incidente, conforme o Regulamento de Comunicação de Incidentes.
O que muda é a probabilidade de esses instrumentos serem usados. E aqui está o ponto que a maioria das análises jurídicas sobre a nova lei não toca: o gargalo das organizações brasileiras nunca foi entender a LGPD. É produzir evidência técnica quando o regulador pede.
Uma fiscalização programática — por setor e por tema, com capacidade técnica própria à medida que o quadro for provido — tende a exigir mais do que uma política em PDF. Ela pode perguntar:
- Onde estão os dados pessoais sensíveis do eixo em que você foi enquadrado?
- Quem tem acesso a eles, e com qual justificativa?
- Que sistemas de IA consomem esses dados, e com qual base legal?
- Se houve incidente, qual foi o escopo exato — e em quanto tempo você o determinou?
O teste prático: se a ANPD notificasse sua organização hoje pedindo o inventário de dados biométricos e de saúde, com a lista de quem pode acessá-los, o que você entregaria em 10 dias úteis — uma evidência extraída de ferramenta, ou uma planilha montada às pressas por e-mail?
Como se preparar: o mínimo viável para 2026
A resposta técnica a um regulador com capacidade real de fiscalização se constrói sobre quatro capacidades — que são, não por coincidência, o núcleo de um programa de DSPM:
1. Inventário contínuo (Data Discovery). Saber onde os dados dos eixos prioritários estão — incluindo os ambientes não estruturados (SharePoint, drives, e-mail) onde a fiscalização setorial mais encontra problema.
2. Classificação por sensibilidade (Data Classification). Biométrico, saúde e financeiro são as categorias que o mapa da ANPD destaca. Se a sua classificação não distingue essas categorias, ela não responde à fiscalização que vem aí.
3. Governança de acesso (Access Governance). A pergunta “quem pode acessar esses dados e por quê” é a que mais derruba organizações em auditoria — porque a resposta honesta, sem ferramenta, é “não sabemos com precisão”.
4. Visibilidade do uso por IA (AI Data Risk). Com IA como eixo formal de fiscalização, mapear quais sistemas de IA — internos e de terceiros — consomem dados pessoais deixou de ser boa prática e virou pré-requisito de defesa regulatória.
Organizações que já respondem a essas quatro perguntas não precisam mudar nada com a nova lei. Todas as outras acabam de ver o custo da inação subir.
O timing regulatório favorece quem começa agora
Agências reguladoras recém-criadas seguem um padrão conhecido no Brasil: os primeiros ciclos de fiscalização definem a jurisprudência administrativa e os casos exemplares. Estar entre os primeiros autuados de um eixo prioritário significa virar o precedente — com a exposição pública que acompanha a sanção de publicização.
O caminho inverso também vale: um histórico demonstrável de maturidade progressiva é a melhor atenuante que a dosimetria da ANPD reconhece. E histórico, por definição, não se constrói depois da notificação.
“A diferença entre uma autoridade em estruturação e uma agência reguladora é simples: a primeira pede desculpas pela lentidão. A segunda publica calendário de fiscalização. O calendário já está publicado — e ele tem o seu setor nele.”
