Revisão do Regulamento de Fiscalização da ANPD: o que muda para controladores e operadores com a consulta pública de 2026
Introdução
A Autoridade Nacional de Proteção de Dados (ANPD) abriu, em 9 de setembro de 2026, consulta pública para atualizar a Resolução CD/ANPD nº 1/2021, que disciplina o Processo de Fiscalização e o Processo Administrativo Sancionador. Simultaneamente, agendou audiência pública online para 24 de setembro de 2026, com inscrições para participação oral aceitas até 18 de setembro do mesmo ano. O movimento não é cosmético: ele ocorre sobre um substrato normativo profundamente alterado nos últimos meses, que inclui a transformação da ANPD em agência reguladora de direito, a incorporação de competências sobre proteção de crianças e adolescentes na internet e novas diretrizes de enfrentamento à violência digital contra mulheres.
Para controladores e operadores, o processo em curso não é apenas uma janela de participação cívica. É, antes de tudo, um sinal de que o modelo de fiscalização vigente desde 2021 será reformulado com escopo ampliado, maior autonomia institucional da autoridade e novas hipóteses de instauração de processo administrativo sancionador. Ignorar essa revisão é, concretamente, perder a oportunidade de influenciar regras que definirão custos de compliance, prazos de defesa e critérios de dosimetria de sanções por anos à frente.
Este artigo examina o contexto normativo da revisão, os vetores de mudança que ela carrega, as implicações jurídicas para controladores e operadores, e o que DPOs, equipes jurídicas e a alta gestão devem fazer agora.
Resultados e Análise
O substrato normativo: por que a Resolução nº 1/2021 precisava ser reescrita
Desde então, o ambiente legislativo mudou de forma estrutural.
O evento mais relevante é a Lei nº 15.352/2026, que transformou a ANPD em agência reguladora em sentido pleno [1]. A mudança não é apenas de rótulo. Agências reguladoras operam sob o regime da Lei nº 13.848/2019 (Lei das Agências Reguladoras), que estabelece autonomia decisória reforçada, mandatos fixos para dirigentes, quarentena e, sobretudo, maior blindagem contra interferência hierárquica do Poder Executivo. Na prática, isso significa que as deliberações do Conselho Diretor da ANPD passam a ter respaldo institucional mais sólido, e os processos administrativos sancionadores ganham presunção de maior estabilidade decisória. Para o controlador que responde a um processo, isso implica que recursos administrativos ao Ministério da Gestão, que antes eram argumentavelmente cabíveis em determinadas hipóteses, tornam-se menos viáveis; a instância revisora natural passa a ser o Poder Judiciário.
A Resolução nº 1/2021 foi redigida sob aquela arquitetura anterior. Seus dispositivos sobre competência, fluxo de deliberação e recursos internos refletem uma ANPD menor e mais dependente. Reescrever esse regulamento à luz da Lei nº 15.352/2026 não é opção: é uma necessidade de coerência sistêmica.
A incorporação do ECA Digital e do Decreto nº 12.975/2026: novos sujeitos passivos de fiscalização
O segundo vetor de mudança é a expansão do perímetro de fiscalização. O chamado ECA Digital incorporou à competência da ANPD a supervisão sobre o tratamento de dados de crianças e adolescentes em ambientes digitais [2]. O Decreto nº 12.975/2026, por sua vez, atualiza a regulamentação do Marco Civil da Internet e atribui expressamente à ANPD competência sobre a garantia de direitos de usuários e deveres de provedores e plataformas digitais [3].
Esses movimentos têm consequência direta sobre o Regulamento de Fiscalização porque ampliam a classe de sujeitos passivos que podem ser investigados. Provedores de aplicações de internet, plataformas de redes sociais e qualquer agente que trate dados de menores de 18 anos passam a estar sob o guarda-chuva formal de fiscalização da ANPD, mesmo quando sua atividade-fim não é primariamente o tratamento de dados pessoais no sentido da LGPD. O art. 14 da LGPD já estabelecia que o tratamento de dados de crianças e adolescentes deve ser realizado com consentimento específico e destacado de pelo menos um dos pais ou responsável legal, proibindo o tratamento em condições que possam discriminar ou prejudicar o desenvolvimento da criança [4]. Com a incorporação das competências do ECA Digital, a ANPD passa a ter instrumento procedimental formal, e não apenas substantivo, para investigar descumprimentos nessa matéria.
Para uma plataforma de streaming, um aplicativo educacional ou um serviço de jogos digitais que coletam dados de usuários menores, isso representa uma mudança concreta de risco regulatório. Antes, a fiscalização dependia de articulação ad hoc entre ANPD e outros órgãos, como o Ministério da Justiça e os Procons. Com o novo regulamento, a ANPD poderá instaurar procedimentos próprios, requisitar documentos, aplicar advertências e multas seguindo o rito que será definido na minuta ora em consulta.
O Decreto nº 12.976/2026 e a proteção de mulheres contra violência digital: uma expansão temática com lógica procedimental própria
O Decreto nº 12.976/2026 traz diretrizes para proteção de mulheres e enfrentamento de violência digital, e sua incorporação ao Regulamento de Fiscalização revela uma tendência que merece análise separada: a ANPD deixa de ser uma autoridade de proteção de dados em sentido estrito para se tornar um ator relevante no ecossistema de proteção de direitos digitais em sentido amplo [5].
Do ponto de vista da LGPD, a violência digital baseada em gênero, como a divulgação não consentida de imagens íntimas ou o uso de dados pessoais para assédio, frequentemente envolve tratamento ilícito de dados sensíveis, especialmente dados que revelam vida sexual ou intimidade, protegidos pelo art. 11 da LGPD [4]. A investigação desses casos por uma autoridade de proteção de dados faz sentido material. Mas a incorporação ao Regulamento de Fiscalização exige que o rito procedimental seja calibrado para a velocidade desses casos: vítimas de violência digital não podem aguardar meses por uma deliberação administrativa convencional.
Isso sugere que a minuta em elaboração precisará disciplinar medidas cautelares de urgência com eficiência real, um ponto que o regulamento de 2021 trata de forma genérica. A consulta pública é, portanto, o momento para que organizações de defesa dos direitos das mulheres, plataformas digitais e jurídicos corporativos apresentem contribuições sobre como o rito deve funcionar em casos sensíveis ao tempo.
O rito de aprovação e os reflexos para o calendário de compliance
A revisão segue um fluxo procedimental interno bem definido: consulta pública até meados de setembro de 2026, audiência pública em 24 de setembro, consolidação da minuta pela Superintendência de Regulação (SRE-ANPD) e envio ao Conselho Diretor para aprovação [2]. Não há prazo publicado para entrada em vigor do novo regulamento.
Esse dado tem implicação prática imediata: controladores e operadores devem se preparar para conviver com um período de incerteza normativa. O regulamento atual (Resolução nº 1/2021) permanece vigente até que seja substituído. Processos administrativos em curso seguirão as regras atuais, salvo disposição expressa de retroatividade mais benéfica, o que é possível em matéria sancionadora por força do princípio constitucional da retroatividade da lei mais benéfica (art. 5º, XL, da Constituição Federal, aplicado analogicamente ao direito administrativo sancionador pela doutrina majoritária).
Para o planejamento de compliance, isso significa que o período entre a publicação da minuta consolidada e a entrada em vigor do novo regulamento será crítico: empresas terão de mapear as mudanças procedimentais (novos prazos de defesa, novos critérios de dosimetria, novas hipóteses de monitoramento) e adaptar seus programas de governança de dados antes que a norma produza efeitos sobre processos já em curso.
Discussão
Para o DPO: participação ativa na consulta pública como obrigação estratégica
O DPO, figura prevista no art. 41 da LGPD como encarregado pelo tratamento de dados pessoais da organização e canal de comunicação com a ANPD, tem interesse direto no conteúdo do novo regulamento [4]. Prazos de resposta a requisições da autoridade, regras sobre cooperação em auditorias, critérios para classificação de violações como leves, médias ou graves, tudo isso que afeta o cotidiano operacional do DPO está no escopo da revisão.
A participação na consulta pública por escrito até a data estabelecida pela ANPD e, se pertinente, por meio de inscrição para participação oral na audiência de 24 de setembro, é o canal formal para que o DPO contribua com perspectiva técnica. Organizações que operam em setores de saúde, finanças, educação ou plataformas digitais têm especificidades que a norma generalista pode não capturar. O momento de registrar essas especificidades é agora, não depois que a norma estiver vigente.
Do ponto de vista da governança interna, o DPO deve comunicar à alta gestão que o novo regulamento provavelmente ampliará o leque de condutas fiscalizáveis, especialmente em relação a dados de crianças e casos de violência digital, e que isso exigirá revisão dos mapeamentos de dados e dos planos de resposta a incidentes.
Para o C-level: risco regulatório crescente como variável de planejamento
A transformação da ANPD em agência reguladora pela Lei nº 15.352/2026 não é um evento administrativo neutro. Ela sinaliza que o governo brasileiro consolidou a aposta em uma autoridade de proteção de dados com poder real de sanção e autonomia para exercê-lo [1]. Para executivos, isso se traduz em uma variável de risco que precisa entrar nos modelos de planejamento estratégico.
As sanções previstas no art. 52 da LGPD chegam a multa de até 2% do faturamento da organização no Brasil no seu último exercício, limitada a R$ 50 milhões por infração [4]. Com um regulamento de fiscalização mais robusto e um órgão mais autônomo, a probabilidade de que esses limites sejam efetivamente aplicados em casos de descumprimento relevante aumenta. O custo de investir em governança de dados preventiva, incluindo serviços de monitoramento contínuo, gestão de evidências e programa de resposta a incidentes, deve ser comparado ao custo esperado de um processo administrativo sancionador, incluindo multas, honorários, dano reputacional e paralisia operacional durante a investigação.
A aritmética raramente favorece o negligenciamento do compliance.
Para o jurídico: monitorar a minuta e preparar posicionamento antecipado
As equipes jurídicas têm uma tarefa técnica urgente: monitorar a minuta consolidada pela SRE-ANPD após o encerramento da consulta pública e avaliar, artigo por artigo, os impactos sobre os processos internos da organização. Aspectos a observar com atenção incluem: mudanças nos prazos de defesa e recurso no processo administrativo sancionador, critérios de dosimetria de sanções (agravantes e atenuantes), regras sobre medidas cautelares de urgência, mecanismos de cooperação com outras autoridades nacionais e internacionais, e procedimentos específicos para casos envolvendo dados de crianças e adolescentes.
O direito à ampla defesa e ao contraditório no processo administrativo sancionador, garantidos pelo art. 5º, LV, da Constituição Federal, e replicados no capítulo da LGPD sobre as sanções, precisam ser confrontados com os novos dispositivos procedimentais para identificar eventuais tensões que possam ser exploradas em defesas futuras ou levadas ao Judiciário. Preparar esse mapa jurídico antes da entrada em vigor do novo regulamento é infinitamente mais eficiente do que fazê-lo sob pressão de um processo em curso.
O papel da governança contínua como antídoto ao risco regulatório ampliado
Um programa de privacidade que depende de adequação pontual, aquela revisão anual de documentos que não se conecta com as operações reais da organização, não sobrevive a um regulamento de fiscalização mais rigoroso.
Governança contínua significa que esses artefatos existem, são atualizados e são auditáveis em qualquer momento, não apenas na véspera de uma investigação. A expansão do perímetro de fiscalização para plataformas digitais, dados de crianças e casos de violência digital aumenta a superfície de exposição regulatória de um número significativo de organizações que até agora operavam sem grande preocupação com a ANPD. Para essas organizações, o momento de estruturar a governança é antes de a nova norma entrar em vigor, não depois.
Conclusão
A consulta pública iniciada em 9 de setembro de 2026 e a audiência de 24 de setembro marcam o início de um processo que resultará em um novo paradigma de fiscalização de proteção de dados no Brasil. A revisão da Resolução CD/ANPD nº 1/2021 não é uma atualização rotineira: ela é o reflexo normativo de uma autoridade que ganhou autonomia institucional plena, recebeu novas competências materiais e precisa de um instrumento procedimental à altura. Para controladores e operadores, o período atual é simultaneamente uma janela de influência, por meio da participação na consulta, e um prazo para preparação interna antes que as novas regras entrem em vigor.
Bibliografia
[1] Lei nº 15.352, de 2026. Transforma a Autoridade Nacional de Proteção de Dados em agência reguladora. (Texto oficial a ser consultado em:) https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2026/lei/l15352.htm [2] ANPD. Consulta Pública e Audiência Pública para atualização do Regulamento de Fiscalização, setembro de 2026. https://www.gov.br/anpd/pt-br/assuntos/noticias [3] Decreto nº 12.975, de 2026. Atualiza a regulamentação do Marco Civil da Internet e atribui competências à ANPD sobre direitos de usuários e deveres de provedores e plataformas digitais. https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2026/decreto/d12975.htm [4] Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), arts. 7º, 11, 14, 41, 46, 48 e 52. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm [5] Decreto nº 12.976, de 2026. Estabelece diretrizes para proteção de mulheres e enfrentamento de violência digital, com incorporação de competências à ANPD. https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2026/decreto/d12976.htm [6] Lei nº 13.848, de 25 de junho de 2019 (Lei das Agências Reguladoras). Dispõe sobre a gestão, a organização, o processo decisório e o controle social das agências reguladoras. https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2019/lei/l13848.htm [7] Constituição da República Federativa do Brasil de 1988, art. 5º, incisos XL e LV. https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm