LGPD com dentes: a ANPD virou autarquia e quem tem cliente no Brasil precisa prestar atenção

Se você tem uma loja online, manda newsletter, mantém um CRM com dados de cliente ou simplesmente recebe Pix, parar uns minutinhos pra entender o que mudou na fiscalização de proteção de dados no Brasil nesse primeiro semestre de 2026 vale a pena. Não é mais papo de que “um dia isso vira problema”. A Autoridade Nacional de Proteção de Dados, a ANPD, virou autarquia de regime especial, ganhou poder de polícia, verba própria e uma carreira técnica dedicada, e em junho abriu de uma só vez 19 novos processos administrativos sancionadores, o maior lote da história dela. A fase de orientação acabou, a fiscalização entrou em outro patamar operacional, e a diferença entre se ajustar agora e ficar pra depois pode ser o que separa um negócio que segue de um que leva uma multa dentro do seu caixa no meio do caminho.

A lei que tirou a ANPD do quarto dos fundos

A Lei 15.352 foi publicada em 25 de fevereiro de 2026 e simplesmente consagrou a ANPD como autarquia especial vinculada ao Ministério da Justiça e Segurança Pública. Esse nome técnico significa, na prática, algumas coisas bem concretas: autonomia técnica, administrativa e financeira, velocidade maior pra editar normas e diretrizes, e uma carreira pública específica de regulação e fiscalização de proteção de dados, com servidores focados em inspeção, auditoria e normatização. Não é uma reorganização burocrática que não chega na sua porta; é exatamente o tipo de mudança que faz a fiscalização ficar mais frequente, mais técnica e menos dependente de boa vontade política.

Pra dimensionar o salto, vale olhar o histórico. A primeira multa efetivamente aplicada pela ANPD saiu só em julho de 2023, contra uma empresa chamada Telekall Infoservice, que comercializava listas de contatos de WhatsApp de eleitores pra disparo de propaganda, e o total foi de R$ 14.400 (duas multas de R$ 7.200). Depois disso veio uma sanção de advertência sem multa contra o IAMSPE, em outubro de 2023, por falha em comunicar um incidente. Em julho de 2024 a própria Meta foi obrigada a suspender imediatamente o uso de dados de brasileiros pra treinar inteligência artificial, sob multa cominatória de R$ 50 mil por dia de descumprimento, e em dezembro do mesmo ano a X Corp teve cinco dias pra parar de usar dados de menores de 18 no treinamento de IA generativa. Em todos esses casos, o valor monetário efetivamente cobrado continuou sendo só os R$ 14.400 do Telekall. Isso não é sinal de baixo risco; é sinal de uma autoridade que ainda engatinhava no picadeiro, que agora tem musculatura. Somar isso aos 19 processos novos de junho e ao Mapa de Temas Prioritários publicado em dezembro de 2025 (que fixa quatro frentes pro biênio 2026-2027: direitos dos titulares, proteção de crianças e adolescentes, tratamento de dados pelo poder público e inteligência artificial) deixa claro que o volume de fiscalização tende a crescer, e o histórico modesto de multas tende a mudar.

Os prazos que já valem pra todo mundo

Independente da virada institucional, a Lei Geral de Proteção de Dados, a LGPD (Lei 13.709 de 2018), já obriga todo mundo que trata dados pessoais de brasileiros a responder a solicitação de titular em 15 dias corridos e a notificar incidente de segurança em 3 dias úteis, tanto pra ANPD quanto pros titulares afetados, conforme a Resolução CD/ANPD número 15 de 2024. Pra dimensionar: o prazo de resposta ao titular é a metade do prazo do GDPR europeu, que dá 30 dias. E o gatilho pra notificar incidente não exige dano confirmado; basta risco potencial relevante, envolvendo dado sensível, dado de criança ou idoso, dado financeiro, credenciais de acesso ou tratamento em larga escala. Em outras palavras, se vazou CPF e e-mail de cliente da sua loja, você não espera pra ver se alguém usa; a contagem dos 3 dias úteis começa a partir do conhecimento do risco, e manter o registro desse incidente é obrigação por pelo menos 5 anos, mesmo dos casos não notificados.

O teto da multa segue o mesmo: até 2% do faturamento da empresa no Brasil, limitado a R$ 50 milhões por infração, mais multa diária, suspensão do funcionamento do banco de dados por até seis meses, suspensão da atividade de tratamento e até proibição de operar com órgãos públicos. A discussão sobre se a ANPD realmente vai aplicar isso num MEI soa sensata, mas a pergunta honesta é: você quer ser o caso de teste? Com a nova autonomia, a tendência é justamente que o primeiro lote exemplar venha fora das big techs, em alvos que tenham um pingo de exemplaridade e que aos poucos isso escorra pra PME. O caminho mais em conta segue sendo o mesmo: mapear dados, separar contas pessoais de contas jurídicas, ter documento fiscal em dia pra quem recebe Pix, e tratar de qualquer sistema que colete dado de cliente com o mesmo cuidado que a lei já exige de software de CRM, loja online e afins.

O que você ajusta hoje pra não virar caso

A primeira frente é mapeamento. O artigo 37 da LGPD exige inventário completo dos processos que tratam dados pessoais, com detalhe maior quando a base legal é legítimo interesse. Pra quem tem CRM, lista de e-mail, analytics, backup na nuvem, isso significa catalogar sistema por sistema, classificar dado sensível (origem racial, convicção religiosa, opinião política, dado de saúde, dado biométrico) e justificar prazo de retenção. Retenção indefinida viola o princípio da necessidade, e é a pegadinha em que quase todo mundo cai: você guarda o cliente que saiu há dois anos “por precaução”, e aí isso vira inconsistência.

A segunda frente é incidente. Se você tem loja online, define hoje, antes de acontecer, quem responde e como. O prazo de 3 dias úteis não admite “deixa eu ver o que houve com calma”; tem que ter canal de contato com a ANPD mapeado, formulário de notificação de incidente na mão, lista dos titulares afetados pra notificar. O registro interno deve ir em planilha controlada, com data, descrição, dado comprometido, medida tomada. Repetindo: basta risco potencial, não exige dano. Esperar pra “ver se gera problema” é o jeito mais caro de descobrir que a janela fechou.

A terceira frente é inteligência artificial. Se você ou seu marketing usam qualquer sistema de IA que treina em dado de cliente, atenção redobrada. Os dois casos exemplares da Meta e da X Corp foram justamente sobre treinamento de IA com dado de brasileiro sem salvaguarda adequada. A ANPD passou a cobrar documentação explícita de que o tratamento atende ao melhor interesse de crianças e adolescentes, com medidas como pseudonimização. Não é mais papo de “a IA aprende sozinha”; o controlador do dado é você, e a governança sobre o uso de dados em IA virou item explícito do Mapa de Temas Prioritários.

O que sobra de mensagem

O exercício mais honesto é perguntar: o seu negócio sobrevive a uma fiscalização da ANPD tão madura quanto a que saiu da Lei 15.352/2026? Se a resposta for não, vale rodar a adequação antes que ela venha cobrada, com juros. A LGPD com dentes não é mais promessa; é calendário, com o maior lote de processos da história já aberto.

E se a sua principal complicação hoje é achar um sócio operacional que entenda de governança, processo e compliance do barato de verdade, dá uma olhada no Meu Novo Sócio. É um lugar pra encontrar quem completa o que falta no seu negócio, sem achismo.