Resumo visual do artigo
A Lei Geral de Proteção de Dados completou cinco anos em vigor em 2025. Nesse período, o cenário mudou: a ANPD ganhou autonomia real, Brasil e União Europeia adotaram decisões de adequação de proteção de dados e o tema de inteligência artificial entrou definitivamente na pauta regulatória.
Este artigo reúne os fatos relevantes de 2025 e 2026, as prioridades de fiscalização para os próximos dois anos e o que isso significa para empresas de médio porte que operam com dados de clientes.
Sem alarmismo, sem juridiquês. Só o que importa saber.
A ANPD virou agência reguladora: o que isso significa na prática
A ANPD já havia sido transformada em autarquia de natureza especial pela Lei nº 14.460/2022. A mudança para agência reguladora veio com a MP nº 1.317/2025, convertida na Lei nº 15.352/2026.
A legislação atual a vincula ao Ministério da Justiça e Segurança Pública e prevê autonomia funcional, técnica, decisória, administrativa e financeira. Essa evolução institucional não permite prever, sozinha, a quantidade ou a intensidade das próximas sanções.
Sanções: consulte os processos e seu contexto
A aplicação de sanções depende da infração, do processo administrativo e dos critérios legais. Para avaliar um caso concreto, consulte a decisão e sua situação processual.
A multa simples prevista no art. 52 da LGPD pode alcançar 2% do faturamento no Brasil, excluídos tributos, limitada a R$ 50 milhões por infração. A aplicação depende do processo administrativo e dos critérios legais; esse teto não representa uma multa automática.
Os 4 eixos de fiscalização da ANPD em 2026-2027
A Resolução nº 30/2025 aprovou quatro temas: direitos dos titulares; crianças e adolescentes no ambiente digital; tratamento pelo Poder Público; e IA e tecnologias emergentes no tratamento de dados pessoais.
As ações e prazos variam conforme o tema. Relacione o calendário oficial aos dados e processos que sua empresa utiliza. A Nota Técnica nº 54/2025 explica a seleção e a estrutura do mapa.
Para uma empresa, o uso prático é relacionar os temas aos próprios dados e processos: pedidos de titulares, participação de menores, compartilhamentos e sistemas automatizados. A agenda não constitui julgamento geral sobre a legalidade de produtos de IA.
LGPD e IA: o cenário que nenhuma empresa pode ignorar
O uso de IA no atendimento, na análise de clientes e em automações precisa ser avaliado conforme os dados, a finalidade e os controles de cada operação.
O que o Artigo 20 exige sobre decisões automatizadas
O Artigo 20 da LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado. Isso inclui decisões que afetem interesses do titular, como análise de perfil, concessão de crédito, oferta de preços personalizados ou triagem de candidatos.
Na prática, empresas que usam IA para segmentar clientes, definir preços dinâmicos ou qualificar leads precisam ter:
- Transparência sobre o uso de sistemas automatizados na política de privacidade
- Um processo para revisar a decisão quando o titular solicitar
- Fundamento legal adequado para o tratamento dos dados que alimentam o sistema
Muitas empresas usam essas funcionalidades em ferramentas contratadas de terceiros sem perceber que a responsabilidade pelo tratamento permanece com elas, não apenas com o fornecedor.
O guia sobre o marco regulatório de IA distingue propostas em discussão de obrigações vigentes e recomendações de governança.
O sandbox regulatório e o que vem pela frente
Segundo o primeiro relatório divulgado pela ANPD, três empresas começaram a atuar no sandbox em março de 2026. O projeto experimental permite estudar riscos e controles; seus resultados não fixam, por si só, obrigações gerais ou a data de uma futura lei.
Brasil e União Europeia reconhecem adequação de proteção de dados
Em janeiro de 2026, Brasil e União Europeia adotaram decisões de adequação de proteção de dados. Do lado brasileiro, a Resolução CD/ANPD nº 32/2026 reconhece o nível de proteção da União Europeia. As decisões são juridicamente autônomas, como explica a ANPD.
As decisões de adequação dispensam mecanismos adicionais de transferência nos fluxos abrangidos; permanecem as demais obrigações aplicáveis ao tratamento, à segurança e aos direitos dos titulares.
O que muda na transferência internacional de dados
Antes dessas decisões, era necessário avaliar outro mecanismo válido para cada transferência. A hipótese aplicável dependia da direção do fluxo, da legislação e das circunstâncias; não se deve aplicar a lista da LGPD indistintamente a transferências regidas pelo GDPR.
Verifique o alcance territorial e material de cada decisão antes de dispensar outro mecanismo de transferência. A adequação não torna todas as regras da LGPD e do GDPR idênticas.
O impacto prático é mais significativo para empresas que:
- Contratam fornecedores de tecnologia europeus que processam dados de clientes brasileiros
- Exportam produtos ou serviços digitais para mercados europeus
- Operam em modelos de negócio multinacionais com fluxo de dados entre as duas regiões
O impacto depende dos fluxos internacionais de cada operação. A adequação facilita transferências abrangidas pelas decisões, mas não torna as duas legislações idênticas.
LGPD para PMEs: o que mudou e o que ainda falta
O porte reduzido não elimina o dever de avaliar o tratamento de dados. Comece pelos fluxos efetivamente usados: cadastro, marketing, atendimento, fornecedores e pedidos dos titulares.
Checklist mínimo de conformidade
Para uma PME que quer reduzir o risco regulatório de forma objetiva, os itens a priorizar são:
Base legal documentada. Para cada tipo de dado que sua empresa coleta, deve haver uma base legal identificada: consentimento, execução de contrato, interesse legítimo ou outra prevista no Artigo 7º da LGPD. Sem essa documentação, a empresa não tem como demonstrar conformidade em caso de fiscalização.
Política de privacidade atualizada. A política precisa informar claramente quais dados são coletados, para qual finalidade, por quanto tempo são armazenados e como o titular pode exercer seus direitos. Políticas genéricas copiadas de outros sites não atendem esse requisito.
Processo de resposta a titulares. O art. 19 prevê resposta simplificada imediata ou declaração completa em até 15 dias para confirmação e acesso. Não é um prazo geral para todos os direitos; classifique o pedido e confira as regras aplicáveis.
Base legal para comunicações. Identifique a hipótese adequada para cada finalidade. Se usar consentimento, documente sua obtenção e revogação; outras bases exigem análise própria. Não presuma que adquirir uma lista autoriza seu uso.
Contrato com fornecedores que processam dados. Qualquer ferramenta ou serviço que acesse dados de clientes da sua empresa deve ter um contrato que defina os termos do tratamento de dados.
O que acompanhar
Revise as normas e agendas da ANPD, a tramitação de propostas e as decisões aplicáveis ao seu setor. Datas de aprovação, novas orientações e aumento de sanções não devem ser apresentados como fatos antes de sua confirmação.
Avalie fornecedores por contrato, finalidade, dados tratados, controles e condições de uso. Refaça essa avaliação quando houver mudanças relevantes no serviço ou no fluxo de dados.
Conclusão: adequação não é custo, é posicionamento
O argumento mais comum contra o investimento em conformidade com a LGPD é o custo. Advogados, DPOs, processos internos, treinamento de equipe: tudo isso tem um preço.
O argumento contrário, porém, é mais simples: conformidade com LGPD é o requisito mínimo para operar com dados de clientes. Não é diferencial, é pré-requisito.
O que transforma conformidade em posicionamento é o uso estratégico da confiança. Empresas que tratam dados com responsabilidade e comunicam isso com clareza têm uma vantagem concreta em processos de venda para clientes corporativos, em integrações com parceiros europeus e em setores regulados como saúde, educação e serviços financeiros.
O custo de estar em conformidade é previsível. O custo de uma infração, incluindo multas, danos reputacionais e perda de clientes, não é.
Se você quer entender como sua operação se posiciona em relação à LGPD e quais ajustes são prioritários para o seu contexto, a equipe da Oficina Martech pode ajudar a estruturar esse diagnóstico.
Agende uma conversa com a equipe da Oficina Martech.
