A Agência Nacional de Proteção de Dados (ANPD) abriu uma consulta pública para revisar uma das normas mais importantes para organizações sujeitas à sua fiscalização: a Resolução CD/ANPD nº 1/2021, que regulamenta o processo de fiscalização e o processo administrativo sancionador.
A consulta pública teve início em 9 de setembro de 2026 e permanecerá aberta até 26 de outubro. Como parte do processo de participação social, a ANPD também realizará uma audiência pública virtual em 24 de setembro.
A proposta vai além de uma simples atualização técnica de um regulamento editado há cinco anos.
Desde 2021, o ambiente regulatório digital brasileiro mudou significativamente. A ANPD ampliou suas atribuições, passou a exercer novas competências relacionadas ao ambiente digital e, em 2026, consolidou sua transformação em agência reguladora.
Nesse contexto, a revisão pode alterar de maneira relevante a forma como empresas, plataformas digitais e demais agentes regulados serão fiscalizados, bem como os instrumentos disponíveis para responder à atuação da Agência.
Por que a Resolução nº 1/2021 está sendo revisada?
Quando foi editada, a Resolução CD/ANPD nº 1/2021 estabeleceu os procedimentos utilizados pela ANPD para fiscalizar agentes de tratamento e conduzir processos administrativos sancionadores relacionados à Lei Geral de Proteção de Dados (LGPD).
Desde então, o cenário institucional mudou.
Além da transformação da ANPD em agência reguladora, novas competências passaram a integrar seu campo de atuação, incluindo aquelas relacionadas ao Estatuto Digital da Criança e do Adolescente (ECA Digital), à fiscalização de obrigações aplicáveis aos provedores de aplicações de internet e à proteção de direitos no ambiente digital.
A própria ANPD afirma que a revisão pretende adequar as atividades e os procedimentos de fiscalização às atribuições atualmente exercidas pela Agência.
Em outras palavras, as regras de fiscalização estão sendo atualizadas para acompanhar a expansão das competências do regulador.
O que pode mudar na fiscalização?
Um dos aspectos mais relevantes da proposta é justamente a adaptação do regulamento a situações que ultrapassam a fiscalização tradicionalmente associada à proteção de dados pessoais.
A minuta incorpora a atuação da ANPD em matérias relacionadas ao ECA Digital, aos direitos dos usuários de internet, aos deveres de provedores de aplicações e às novas atribuições conferidas à Agência no ambiente digital.
Isso significa que determinadas empresas, principalmente aquelas que operam plataformas, aplicações e serviços digitais, podem passar a interagir com a ANPD em um espectro regulatório mais amplo.
Para as organizações, uma das questões centrais passa a ser a previsibilidade da atuação regulatória.
Quanto maior o campo de atuação do regulador, mais importante se torna compreender quando uma fiscalização pode ser iniciada, quais informações podem ser solicitadas, quais determinações podem ser impostas e quais oportunidades de manifestação e defesa estarão disponíveis ao regulado.
Essa compreensão não deve ficar restrita ao departamento jurídico.
Dependendo da natureza da fiscalização, áreas de tecnologia, segurança da informação, privacidade, produto, compliance e negócios também podem precisar atuar de forma coordenada na resposta à Agência.
Medidas cautelares ganham relevância
Outro aspecto que merece atenção é a disciplina das medidas cautelares.
A proposta amplia a importância desses instrumentos em situações nas quais exista risco de dano ou possibilidade de comprometimento do resultado útil da atuação regulatória.
Na prática, isso reforça uma mudança importante de perspectiva para as empresas: uma fiscalização não deve ser analisada apenas sob a ótica de uma eventual sanção aplicada ao final de um processo administrativo.
Dependendo das circunstâncias, a atuação regulatória pode produzir efeitos durante o próprio procedimento, com determinações destinadas a interromper, limitar ou reduzir situações consideradas de risco.
A possibilidade de utilização de multa diária para assegurar o cumprimento de determinações da ANPD também reforça a importância de respostas rápidas e estruturadas. A legislação e a regulamentação aplicável estabelecem limite acumulado de R$ 50 milhões por infração para essa modalidade de multa.
O impacto prático é relevante.
Uma organização que somente estrutura sua estratégia de defesa quando recebe uma decisão sancionatória pode estar reagindo tarde demais.
A preparação para uma fiscalização começa antes da fiscalização.
A fiscalização da ANPD está ficando mais ampla e mais complexa
A revisão da Resolução nº 1/2021 também precisa ser analisada dentro de um movimento mais amplo da própria ANPD.
No Mapa de Temas Prioritários para 2026-2027, a Agência estabeleceu quatro eixos prioritários para sua atividade fiscalizatória:
direitos dos titulares;
proteção de crianças e adolescentes no ambiente digital;
tratamento de dados pessoais pelo Poder Público; e
inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais.
O planejamento demonstra que a fiscalização tende a acompanhar algumas das questões mais sensíveis do atual ambiente digital, incluindo IA, proteção de públicos vulneráveis e utilização de novas tecnologias no tratamento de dados pessoais.
Para as empresas, isso muda gradualmente a pergunta que deve ser feita.
Não basta questionar:
“Estamos em conformidade com a LGPD?”
É necessário também perguntar:
“Se a ANPD fiscalizar a nossa organização, conseguimos demonstrar, com evidências, que nossos controles realmente funcionam?”
A diferença entre essas duas perguntas é fundamental.
Uma empresa pode possuir políticas, contratos, procedimentos e documentos formalmente adequados e, ainda assim, encontrar dificuldades para demonstrar que seus mecanismos de governança funcionam na prática.
Fiscalização exige evidência.
Fiscalização não é sinônimo de multa
Também é importante evitar uma interpretação simplificada da atuação da ANPD.
O modelo de fiscalização previsto pela Agência envolve atividades de monitoramento, orientação e atuação preventiva, sem prejuízo da instauração de processo administrativo sancionador quando houver elementos que justifiquem essa medida.
A lógica regulatória, portanto, não se resume à aplicação de penalidades.
A própria estrutura de fiscalização busca permitir diferentes formas de atuação de acordo com o risco, a conduta do agente regulado e as características da situação identificada.
A revisão da norma não deve ser interpretada simplesmente como a criação de um caminho mais rápido para punir empresas.
Ela também representa uma tentativa de adaptar os instrumentos da Agência a um ambiente regulatório mais amplo e complexo.
O desafio será preservar o equilíbrio entre efetividade da fiscalização, proporcionalidade das medidas, devido processo e segurança jurídica para os regulados.
O que as empresas deveriam fazer agora?
A consulta pública ainda está em andamento e a minuta poderá sofrer alterações antes da aprovação do texto definitivo.
Portanto, não se trata de antecipar obrigações que ainda não existem, mas de compreender a direção que a atuação regulatória está tomando e avaliar se a organização está preparada para esse cenário.
Algumas questões já podem ser analisadas.
1. Processos de resposta à ANPD
A organização sabe quem deve assumir a coordenação quando uma solicitação da Agência é recebida?
Existem responsáveis definidos e um fluxo interno para localizar informações, documentos, contratos, registros e evidências?
Em uma fiscalização, tempo e organização fazem diferença.
2. Evidências de conformidade
A empresa possui apenas políticas e procedimentos ou consegue demonstrar que esses controles são efetivamente executados?
Registros de decisões, avaliações de risco, treinamentos, revisões periódicas, controles técnicos e evidências de implementação podem ser tão relevantes quanto a existência dos documentos formais.
3. Gestão de riscos
Os principais riscos relacionados ao tratamento de dados pessoais estão identificados, avaliados e acompanhados?
A organização consegue demonstrar como chegou às decisões adotadas e quais medidas foram implementadas para reduzir os riscos identificados?
4. Governança sobre terceiros
Fornecedores, operadores e parceiros fazem parte de grande parte dos ecossistemas de tratamento de dados.
A empresa consegue identificar esses terceiros e demonstrar como avalia, contrata, monitora e responde aos riscos associados a eles?
5. Preparação para incidentes e fiscalizações
A organização possui capacidade de preservar evidências, responder solicitações em prazos reduzidos e coordenar áreas jurídicas, técnicas, de segurança e de negócios?
Uma fiscalização relevante dificilmente será responsabilidade exclusiva do encarregado de dados ou do departamento jurídico.
6. Governança de novas tecnologias
Para empresas que utilizam inteligência artificial, biometria, sistemas automatizados ou tecnologias que envolvam crianças e adolescentes, a análise deve ser ainda mais cuidadosa.
Esses temas estão diretamente inseridos nas prioridades atuais da ANPD e tendem a receber atenção crescente do regulador.
Uma nova fase da fiscalização digital no Brasil?
A revisão da Resolução CD/ANPD nº 1/2021 pode representar mais do que uma atualização procedimental.
Ela sinaliza uma nova etapa da atuação da Agência.
A ANPD de 2026 não é a mesma instituição que editou seu primeiro regulamento de fiscalização em 2021.
Suas competências foram ampliadas, sua estrutura institucional mudou e temas como inteligência artificial, plataformas digitais e proteção de crianças e adolescentes passaram a ocupar posição central na agenda regulatória e fiscalizatória brasileira.
Isso também modifica a forma como as empresas precisam compreender seus programas de conformidade.
Durante muito tempo, parte das discussões relacionadas à LGPD esteve concentrada na criação de documentos, políticas, cláusulas contratuais e estruturas formais de governança.
O amadurecimento da fiscalização tende a deslocar o foco para uma questão adicional: a capacidade de demonstrar que esses mecanismos funcionam efetivamente.
É a diferença entre possuir um programa de conformidade e conseguir provar que ele opera na prática.
Por isso, a revisão do regulamento merece ser acompanhada não apenas pelos profissionais responsáveis por privacidade e proteção de dados, mas também pelas empresas submetidas à crescente regulação do ambiente digital.
Mais do que conhecer as próximas regras de fiscalização, é necessário compreender o que elas revelam sobre a evolução da regulação digital no Brasil.
A fiscalização está mudando. E, nesse novo cenário, conformidade não significa apenas cumprir regras, mas estar preparado para demonstrar, com evidências, que elas são efetivamente cumpridas.
