ANPD além da LGPD: o monitoramento de plataformas digitais, proteção de crianças e o novo mandato regulatório da Agência

Introdução

Em 21 de agosto de 2026, a Autoridade Nacional de Proteção de Dados (ANPD) inaugurou formalmente uma nova fase de sua atuação regulatória ao iniciar o monitoramento de 22 agentes digitais, organizados em dois processos administrativos distintos [1]. A iniciativa não é episódica. Ela sinaliza uma inflexão estrutural no perfil institucional da Agência, que deixa de operar exclusivamente sob o guarda-chuva da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, a LGPD) e passa a exercer competências expressas de regulação, fiscalização e apuração de infrações sobre provedores de aplicação de internet, com fundamento em dois decretos editados em 2026 e no chamado ECA Digital.

O problema que motiva este artigo é duplo. Segundo, o monitoramento ora instaurado impõe obrigações de transparência e governança que vão muito além de avisos de privacidade e políticas de cookies: exigem que plataformas demonstrem, com evidência, que seus mecanismos internos previnem a geração e a circulação de conteúdos criminosos, especialmente aqueles que afetam crianças e mulheres.

A tese central deste artigo é que a expansão regulatória da ANPD, materializada nos processos administrativos nº 00261.005031/2026-23 e nº 00261.005032/2026-78 [1], representa uma mudança qualitativa, e não apenas quantitativa, nas obrigações das plataformas digitais e das ferramentas de inteligência artificial generativa no Brasil. Para controladores e operadores de dados, o corolário prático é imediato: governança de privacidade e governança de conteúdo convergem em um único ponto de fiscalização, com prazo de resposta de 10 dias úteis a contar da ciência da notificação [1].

O escopo deste artigo abrange a análise do marco normativo aplicável, a composição dos grupos de agentes monitorados, os deveres concretos impostos às plataformas e as implicações práticas para programas de conformidade.

Resultados e Análise

O novo mandato regulatório da ANPD: base legal e expansão de competência

Os novos decretos produziram efeito distinto: atribuíram à Agência competências de regulação, fiscalização e apuração de infrações relacionadas à atuação de provedores de aplicação de internet, em diálogo com o Marco Civil da Internet (Lei nº 12.965/2014) e seu decreto regulamentador (Decreto nº 8.771/2016) [3].

Esse movimento não é juridicamente trivial. O art. 46 da LGPD já determinava que controladores e operadores adotassem medidas técnicas e administrativas capazes de proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. O art. 48 impunha a comunicação de incidentes à ANPD e aos titulares. Esses dispositivos, contudo, pressupunham uma moldura centrada no dado pessoal identificado ou identificável. Os decretos de 2026 ampliam o objeto da fiscalização: o que se examina agora são os mecanismos, processos e estruturas das plataformas para prevenir o uso de seus serviços na prática de crimes, incluindo a geração de conteúdo íntimo não consensual com apoio de IA generativa.

O ECA Digital, vigente desde março de 2026 [1], acrescenta uma camada específica de proteção: crianças e adolescentes passam a ter proteção reforçada no ambiente digital, com obrigações direcionadas tanto às plataformas de comunicação quanto às lojas de aplicativos que distribuem ferramentas potencialmente acessíveis a menores. A ANPD já havia iniciado monitoramento de lojas de aplicativos e sites com conteúdo pornográfico em junho de 2026 [1], demonstrando que a atuação sobre o ECA Digital antecede, e contextualiza, o monitoramento ora analisado.

Um ponto de delimitação relevante, e frequentemente ignorado na prática, diz respeito ao escopo do monitoramento. Comunicações privadas, como e-mails e mensagens diretas entre usuários, estão expressamente excluídas do objeto de fiscalização, conforme o art. 16-O, incisos I e II, do Decreto nº 8.771/2016 [3]. Isso significa que a ANPD não avalia o conteúdo de conversas privadas, mas sim os mecanismos sistêmicos que as plataformas disponibilizam em canais públicos, grupos abertos e funcionalidades de broadcast.

Composição dos grupos monitorados: racional regulatório por segmento

A divisão em dois grupos não é aleatória. Ela reflete uma lógica regulatória segmentada por tipo de função e vetor de risco.

O Grupo 1 reúne 13 plataformas digitais e aplicativos de mensagem com funcionalidades públicas: Instagram, Facebook, WhatsApp (Canais públicos), Telegram (Canais e Grupos públicos), TikTok, X, Discord, YouTube, Kwai, LinkedIn, Snapchat, Pinterest e Reddit [1]. O denominador comum é a capacidade de amplificação de conteúdo em escala, com acesso por usuários indiscriminados, incluindo menores. O monitoramento incide sobre mecanismos de moderação, fluxos de denúncia, políticas de remoção e estruturas de governança que permitam identificar e interromper a circulação de conteúdos criminosos.

O Grupo 2 abrange 9 lojas de aplicativos e ferramentas de IA generativa: App Store, Google Play Store, Copilot, Claude, DeepSeek, Gemini, ChatGPT, Meta AI e Perplexity [1]. Aqui o vetor de risco é diferente e, sob certos aspectos, mais complexo. As ferramentas de IA generativa são capazes de gerar, editar, manipular ou modificar conteúdo íntimo de forma automatizada e em escala praticamente irrestrita, caso não existam salvaguardas técnicas e políticas adequadas. O foco do monitoramento sobre esse grupo recai, precisamente, sobre a existência e a efetividade de tais salvaguardas [1].

As lojas de aplicativos integram o Grupo 2 por uma razão estrutural: são a porta de entrada para o ecossistema de apps, inclusive aqueles que, uma vez instalados, facilitam a prática de crimes contra crianças e mulheres. A presença de App Store e Google Play Store no monitoramento sinaliza que a ANPD pretende alcançar não apenas o app que veicula o conteúdo criminoso, mas também o intermediário que o distribui. Isso tem implicações relevantes para o conceito de controlador conjunto e de responsabilidade solidária em cadeias de tratamento de dados, conforme o art. 42, parágrafo 1º, da LGPD.

Deveres concretos das plataformas: o que a ANPD efetivamente examina

A ANPD é explícita ao afirmar que sua atuação é sistêmica: não avalia conteúdos ou publicações de forma isolada, mas sim mecanismos, processos e estruturas [1]. Essa distinção tem consequência jurídica direta. O objeto do monitoramento não é o post ou o vídeo individual, mas a arquitetura de governança que a plataforma mantém para prevenir, detectar e mitigar usos ilícitos de seus serviços.

Traduzindo para obrigações concretas, as plataformas devem ser capazes de demonstrar, no prazo de 10 dias úteis [1]:

Primeiro, que possuem mecanismos efetivos de moderação de conteúdo em canais públicos, com processos documentados de escalonamento e remoção. A mera previsão em termos de uso não satisfaz esse requisito: a ANPD examinará processos operacionais, não apenas documentos contratuais.

Segundo, que seus canais de denúncia são acessíveis, funcionais e geram fluxos rastreáveis de resposta. Aqui há sobreposição com o art. 18 da LGPD, que assegura ao titular o direito de peticionar em relação ao tratamento de seus dados, mas o escopo vai além: a plataforma precisa demonstrar que denúncias de conteúdo criminoso geram ação.

Terceiro, no caso das ferramentas de IA generativa do Grupo 2, que existem salvaguardas técnicas contra a produção de conteúdo íntimo não consensual, incluindo deepfakes e manipulações de imagem. Essas salvaguardas precisam estar implementadas na camada de modelo, nas políticas de uso e nos mecanismos de resposta a abusos.

Quarto, que os mecanismos de proteção de crianças e adolescentes previstas no ECA Digital estão operacionalizados, o que inclui restrições de acesso, controles parentais e fluxos de reporte de conteúdo impróprio.

A ausência de evidências documentadas expõe as plataformas a sanções administrativas que, no âmbito da LGPD, podem alcançar até 2% do faturamento do grupo econômico no Brasil no seu último exercício, limitadas a R$ 50 milhões por infração, nos termos do art. 52, inciso II, da LGPD [4].

Precedentes e trajetória regulatória da ANPD: um padrão em consolidação

O monitoramento de agosto de 2026 não surge em vácuo. Esse instrumento normativo é o que confere eficácia processual ao monitoramento ora analisado: as notificações cursam sob rito previamente estabelecido, com prazos, direito ao contraditório e possibilidade de sanções graduadas.

A trajetória recente da Agência inclui ainda o monitoramento iniciado em junho de 2026 sobre lojas de aplicativos e sites com conteúdo pornográfico [1], que demonstra continuidade temática e progressão de escopo. Em junho de 2026, o foco era conteúdo adulto acessível a menores. Em agosto de 2026, o foco se amplia para toda a cadeia de plataformas digitais de massa e para ferramentas de IA generativa. O padrão é de escalonamento regulatório deliberado.

Embora o DSA e o marco regulatório brasileiro sejam instrumentos distintos, a convergência de direção é significativa: reguladores ao redor do mundo estão migrando de uma abordagem reativa de moderação de conteúdo para uma abordagem estrutural de governança de plataformas.

Discussão

Para DPOs, equipes jurídicas e C-level de empresas que operam plataformas digitais ou ferramentas de IA no Brasil, o monitoramento da ANPD impõe uma revisão imediata de premissas sobre o que constitui conformidade regulatória.

A primeira implicação prática é de escopo: o programa de privacidade e proteção de dados de uma plataforma digital não pode mais ser gerido de forma isolada da governança de conteúdo e dos mecanismos de prevenção de uso criminoso. A ANPD examina a plataforma como um todo sistêmico, e uma deficiência nos mecanismos de moderação de conteúdo pode ser interpretada também como falha na proteção de dados pessoais de titulares vulneráveis, especialmente crianças.

A segunda implicação diz respeito à evidência. O prazo de 10 dias úteis para resposta às notificações é curto para qualquer organização que não mantenha documentação atualizada de seus processos de governança [1]. Programas de privacidade gerenciados de forma contínua, com registros de atividades de tratamento atualizados (art. 37 da LGPD), relatórios de impacto (art. 38 da LGPD) e evidências de controles técnicos e administrativos, estão em posição substancialmente melhor do que aqueles que documentam a conformidade de forma episódica.

A terceira implicação é de cadeia: empresas que desenvolvem ou integram ferramentas de IA generativa precisam mapear com precisão o papel jurídico de cada ator na cadeia de tratamento de dados. Ser operador de uma ferramenta de IA não elimina responsabilidade: o art. 42, parágrafo 1º, da LGPD estabelece responsabilidade solidária quando o operador descumpre a legislação de proteção de dados ou as instruções lícitas do controlador [4]. No contexto de IA generativa, isso significa que desenvolvedores de modelos, distribuidores e integradores precisam ter clareza contratual e técnica sobre quem responde por quais salvaguardas.

A quarta implicação é de calendário regulatório. Não há mais janela para adequação gradual sem risco regulatório ativo. Plataformas que ainda não operacionalizaram os requisitos do ECA Digital, em especial aquelas do Grupo 1, estão expostas.

Para empresas que não estão diretamente no escopo dos 22 agentes monitorados, a leitura do sinal também é relevante. A ANPD estabeleceu um padrão de what good looks like em termos de governança de plataformas: mecanismos sistêmicos documentados, rastreáveis e auditáveis. Esse padrão tende a se tornar referência em eventual litígio regulatório ou civil envolvendo qualquer provedor de aplicação de internet no Brasil.

Por fim, a exclusão das comunicações privadas do escopo de monitoramento [3] deve ser compreendida como delimitação de competência, não como ausência de risco. Plataformas que disponibilizam funcionalidades híbridas, canais com características públicas e privadas simultaneamente, devem avaliar com cuidado onde cada funcionalidade se enquadra à luz do art. 16-O do Decreto nº 8.771/2016. Ambiguidades nessa classificação podem ser exploradas em processo administrativo.

A LGPD2U sustenta que governança de privacidade efetiva, neste ambiente regulatório, exige monitoramento contínuo, evidências prontas para auditoria e capacidade de resposta a incidentes e notificações regulatórias dentro de prazos comprimidos. O monitoramento da ANPD de agosto de 2026 é a demonstração mais concreta, até o momento, de que esse padrão de exigência já está em operação no Brasil.

Bibliografia

[1] Autoridade Nacional de Proteção de Dados (ANPD). "ANPD avalia como plataformas digitais atuam para prevenir conteúdos criminosos e proteger crianças e mulheres na internet." Nota oficial, 21 ago. 2026. https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-avalia-como-plataformas-digitais-atuam-para-prevenir-conteudos-criminosos-e-proteger-criancas-e-mulheres-na-internet [3] Presidência da República. Decreto nº 8.771, de 11 de maio de 2016. Regulamenta a Lei nº 12.965/2014 (Marco Civil da Internet). Diário Oficial da União, 12 mai. 2016. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2016/decreto/d8771.htm [4] Presidência da República. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, 15 ago. 2018. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm