Este artigo reúne os principais marcos regulatórios de 2025 e 2026, os casos de fiscalização que repercutiram e os direitos que todo titular de dados pode exercer agora.
O que mudou, quem foi autuado, quais setores estão na mira — e quais são seus direitos como titular de dados pessoais no Brasil.
Ver Perguntas FrequentesRafael Henrique Ferreira — Advogado (OAB/GO 78.090), especialista em Direito Público e Compliance
Nos primeiros anos de vigência, a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei 13.709/2018) conviveu com uma fase predominantemente orientativa: orientação, advertências e poucas multas. Entre 2025 e 2026, o quadro mudou: a Lei nº 15.352/2026 transformou a ANPD em Agência Nacional de Proteção de Dados, no regime das agências reguladoras, e o Mapa de Temas Prioritários 2026–2027 passou a orientar a fiscalização. Para quem trata dados — e para quem tem seus dados tratados — o cenário mudou de forma concreta.
Este artigo reúne os principais marcos regulatórios de 2025 e 2026, os casos de fiscalização que repercutiram e os direitos que todo titular de dados pode exercer agora.
Em 17 de setembro de 2025, o Governo Federal editou a Medida Provisória nº 1.317/2025. Em 25 de fevereiro de 2026, a medida foi convertida na Lei nº 15.352/2026, que deu nova redação ao art. 55-A da LGPD: a ANPD passou a ser a Agência Nacional de Proteção de Dados — mantida a sigla —, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, dotada de autonomia funcional, técnica, decisória, administrativa e financeira, com patrimônio próprio, nos termos da Lei nº 13.848/2019, que rege as agências reguladoras e passou a incluir a ANPD em sua lista (art. 2º, XII). A lei também criou a carreira de Regulação e Fiscalização de Proteção de Dados, com 200 cargos de Especialista em Regulação de Proteção de Dados, e transferiu à Agência o acervo, os direitos e as obrigações da antiga Autoridade Nacional de Proteção de Dados.
Na prática, a mudança tende a ampliar a capacidade de fiscalização e reforça a autonomia da Agência em relação à estrutura ministerial. A pergunta que muitas empresas repetiam — "a ANPD realmente vai fiscalizar?" — ganhou contornos mais concretos.
Julho de 2023 — ANPD aplica sua primeira multa pecuniária a uma empresa privada: R$ 14.400 a uma microempresa. O valor era baixo, mas o ato marcou o início da atuação sancionatória.
2024–2025 — ANPD fiscaliza 20 grandes empresas selecionadas a partir de requerimentos de titulares sobre ausência de encarregado indicado, ausência ou deficiência de canal de contato e demandas não respondidas. A lista incluiu Uber, Serasa, Vivo, TikTok, X, Telegram, QuintoAndar, LATAM Airlines, Cacau Show, BlueFit, Eventim e Tinder. Segundo o relatório da ANPD, 14 apresentaram toda a documentação exigida e 6 receberam avisos e atenderam às determinações; o processo foi concluído em 24/04/2025.
Março de 2025 — No caso World Foundation / Tools for Humanity (projeto World ID, com coleta de íris), o Conselho Diretor da ANPD indeferiu o pedido das empresas para retomar o tratamento e fixou multa diária de R$ 50 mil para o caso de eventual descumprimento da medida preventiva que suspendeu a compensação financeira (em criptomoeda WorldCoin ou outro formato) pela coleta da íris. A multa diária, prevista no art. 52, III, da LGPD, passou a ser usada para assegurar o cumprimento de medidas preventivas.
Dezembro de 2025 — ANPD publica o Mapa de Temas Prioritários 2026–2027 (Resolução CD/ANPD nº 30, de 23 de dezembro de 2025), com quatro temas e metas de atividades de fiscalização para cada um.
Painel da Fiscalização — ANPD lança, como projeto piloto, o Painel da Fiscalização, com dados agregados sobre procedimentos de fiscalização, procedimentos preparatórios e processos administrativos sancionadores. Em paralelo, a Agência publica em seu site a lista de processos sancionadores em andamento, com o nome do agente e o motivo da apuração — e a exposição reputacional pode começar antes da decisão final.
O Mapa de Temas Prioritários não é intenção vaga: aprovado por resolução do Conselho Diretor, fixa metas de atividades de fiscalização e cronograma, e seus temas têm prioridade sobre pedidos de fiscalização a respeito de matérias que não estejam nele elencadas. Ele organiza a fiscalização do biênio em quatro temas:
O primeiro tema busca proteger e promover os direitos dos titulares, especialmente quanto ao tratamento de dados biométricos, de saúde e financeiros. Dados biométricos e de saúde são dados sensíveis (art. 5º, II, da LGPD), cujo tratamento segue as hipóteses do art. 11. O Mapa prevê, entre outras, 10 atividades de fiscalização sobre tratamentos de dados biométricos, de saúde ou financeiros e 5 sobre o uso secundário de dados pessoais para publicidade direcionada, especialmente por perfilamento. Nessa linha, a ANPD já analisou o tratamento de dados biométricos de torcedores por clubes de futebol (Nota Técnica nº 5/2025/FIS/CGF/ANPD).
A Lei nº 15.211/2025 — o ECA Digital (Estatuto Digital da Criança e do Adolescente) — está em vigor desde 17 de março de 2026 (art. 41-A, incluído pela Lei nº 15.352/2026). Entre outras regras, exige consentimento dos pais ou responsáveis para o download de aplicativos por crianças e adolescentes, veda o uso de técnicas de perfilamento para direcionar publicidade comercial a esse público e trata de mecanismos de verificação de idade. O Decreto nº 12.622/2025 designou a ANPD como autoridade administrativa autônoma de proteção dos direitos de crianças e de adolescentes no ambiente digital, e o Decreto nº 12.880/2026 atribuiu à ANPD a regulamentação e a fiscalização da lei. O Mapa prevê atividades de fiscalização sobre a configuração, por padrão, do modelo mais protetivo de privacidade e sobre medidas para impedir o acesso de crianças e adolescentes a conteúdos impróprios, inclusive mecanismos de aferição de idade.
O setor público brasileiro trata enormes volumes de dados pessoais — saúde, previdência, tributação, segurança. O Mapa prevê 20 atividades de fiscalização sobre o tratamento de dados pelo Poder Público, com atenção ao compartilhamento de dados, às salvaguardas técnicas e ao uso de dados biométricos. A lista de processos sancionadores em andamento divulgada pela ANPD inclui processo contra o Ministério da Saúde por ausência de comunicação a titulares de incidente de segurança e ausência de medidas de segurança.
Em abril de 2025, a ANPD consolidou, na Nota Técnica nº 12/2025/CON1/CGN/ANPD, as contribuições recebidas na tomada de subsídios sobre inteligência artificial e revisão de decisões automatizadas — tema ligado ao direito do titular de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20 da LGPD). Em janeiro de 2026, a Nota Técnica nº 1/2026/FIS/CGF/ANPD analisou o sistema Grok, da X Corp. e da X Brasil Internet Ltda., diante da geração de imagens sexualizadas de pessoas reais sem consentimento, apontou indícios de falha estrutural na governança de dados pessoais do modelo e propôs a abertura de processo de fiscalização. O Mapa prevê 20 atividades de fiscalização sobre tratamento de dados no contexto de sistemas de inteligência artificial e tecnologias emergentes.
As sanções da LGPD vão de advertência até multa de até 2% do faturamento da empresa no Brasil — limitada a R$ 50 milhões por infração — passando por multa diária, bloqueio ou eliminação de dados e suspensão das atividades de tratamento. Essas sanções não substituem as previstas no CDC e em legislação específica, e a defesa dos direitos dos titulares também pode ser exercida em juízo.
Arts. 22 e 52 · Lei 13.709/2018 (LGPD)A LGPD garante ao titular de dados — qualquer pessoa física cujos dados são tratados por uma empresa ou órgão público — um conjunto robusto de direitos. Conhecê-los é o primeiro passo para exercê-los:
Você tem direito de saber se e quais dados seus são tratados, para qual finalidade, por quanto tempo e com quem são compartilhados. A empresa é obrigada a responder de forma clara: em formato simplificado, imediatamente; ou por meio de declaração clara e completa, no prazo de até 15 dias contado do requerimento (art. 19, I e II, da LGPD).
Dados incompletos, desatualizados ou incorretos devem ser corrigidos a seu pedido. Isso vale para cadastros bancários, de saúde, de crédito e de qualquer outro setor.
Quando o tratamento era baseado em consentimento, você pode solicitar a eliminação dos dados. E tem direito à portabilidade: levar seus dados de uma empresa para outra em formato estruturado e interoperável.
O consentimento que você deu pode ser revogado a qualquer momento, sem custo e sem burocracia excessiva. A empresa não pode condicionar serviços à manutenção de consentimento para finalidades não essenciais.
Você tem direito de saber com quais terceiros seus dados foram compartilhados. E, quando uma decisão que te afeta for tomada exclusivamente por algoritmo (crédito, seleção, seguros), pode pedir revisão humana e uma explicação sobre os critérios utilizados.
O caminho mais direto é acionar o canal de comunicação com titulares que toda empresa obrigada pela LGPD deve manter — e cujo funcionamento a ANPD passou a fiscalizar ativamente (como vimos com as 20 empresas fiscalizadas). Se não houver resposta no prazo, a reclamação pode ser encaminhada diretamente à ANPD pelo portal gov.br.
A LGPD e o Código de Defesa do Consumidor não se excluem — operam em camadas complementares. Uma violação de dados pessoais pode acionar, ao mesmo tempo, a via administrativa da ANPD e a via judicial de reparação civil.
A LGPD trata da responsabilidade nos arts. 42 a 44. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo (art. 42); os agentes só não serão responsabilizados quando provarem que não realizaram o tratamento, que não houve violação à legislação ou que o dano decorre de culpa exclusiva do titular ou de terceiro (art. 43); e o tratamento é irregular quando deixa de observar a legislação ou não fornece a segurança que o titular dele pode esperar (art. 44). O juiz pode inverter o ônus da prova a favor do titular (art. 42, § 2º). A reparação exige, portanto, a demonstração de dano; se esse regime é de responsabilidade objetiva ou subjetiva é questão discutida. Nas relações de consumo, aplicam-se também as regras de responsabilidade do CDC (art. 45 da LGPD).
Situações típicas que abrem espaço para reparação incluem: vazamento de dados sensíveis (saúde, financeiro, biométrico), uso indevido de dados para finalidade diferente da informada no consentimento, negativa de acesso ou correção de dados dentro do prazo legal, e decisão automatizada que cause dano sem possibilidade de revisão.
A Agência Nacional de Proteção de Dados (ANPD) é a entidade responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional (art. 5º, XIX). Com a Lei nº 15.352/2026, passou a ser autarquia de natureza especial, com autonomia funcional, técnica, decisória, administrativa e financeira, nos termos da Lei nº 13.848/2019, que rege as agências reguladoras (art. 55-A da LGPD).
A LGPD prevê, entre outras, advertência, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio e eliminação de dados e suspensão das atividades de tratamento (art. 52). Essas sanções não substituem a aplicação de sanções administrativas, civis ou penais definidas no CDC e em legislação específica (art. 52, § 2º), e a defesa dos direitos dos titulares também pode ser exercida em juízo (art. 22).
Solicite acesso e informação ao controlador, por meio do encarregado que ele deve indicar e cujo contato deve ser divulgado publicamente (art. 41 da LGPD, em vigor desde 2020). A empresa deve informar, entre outros pontos, se trata seus dados, quais dados, para qual finalidade e com quem os compartilha (arts. 9º e 18). Deixar de indicar o encarregado ou de divulgar seu contato, salvo dispensa prevista em norma da ANPD (art. 41, § 3º), pode ser objeto de fiscalização.
Sim, quando o tratamento for baseado em consentimento, você pode revogá-lo e pedir a eliminação dos dados. Para tratamentos baseados em outras hipóteses legais (como cumprimento de obrigação legal ou legítimo interesse), a eliminação pode ser limitada — mas você ainda tem direito a informação e contestação.
A empresa deve comunicar o incidente à ANPD e aos titulares afetados quando o vazamento puder causar risco ou dano relevante. Como titular, você pode exigir informação sobre o ocorrido, verificar se há processo sancionador em curso na lista publicada pela ANPD e avaliar, com um advogado, se cabe reparação civil pelos danos sofridos.
Sim. A LGPD se aplica a qualquer pessoa jurídica que trate dados pessoais no Brasil, independentemente do porte. A ANPD pode editar normas, orientações e procedimentos simplificados e diferenciados para microempresas e empresas de pequeno porte (art. 55-J, XVIII) — mas a obrigação de cumprir a lei existe para todas. A primeira multa da ANPD, em 2023, foi aplicada exatamente a uma microempresa.
O Painel da Fiscalização é uma ferramenta pública da ANPD, lançada como projeto piloto, que reúne dados agregados sobre procedimentos de fiscalização, procedimentos preparatórios e processos administrativos sancionadores. Além dele, a ANPD publica em seu site a lista de processos sancionadores em andamento, com o nome do agente e o motivo da apuração — o que dá transparência ao processo regulatório e pode afetar a reputação das organizações antes mesmo da decisão final.
O campo da proteção de dados une direito administrativo, direito do consumidor e compliance — exatamente as áreas em que atuamos. Se quiser conversar sobre um caso concreto, estamos à disposição.