Papel da ANPD: estrutura, atuação e sanções

Missão e poderes da ANPD

A ANPD foi criada em 2020 e a Lei nº 15.352/2026, que converteu a MP 1.317/2025, alterou a LGPD na parte institucional. O art. 55-A passou a definir a ANPD como autarquia de natureza especial, dotada de autonomia funcional, técnica, decisória, administrativa e financeira, com patrimônio próprio e sede no Distrito Federal — e vinculada ao Ministério da Justiça e Segurança Pública. Mudou também o nome, de Autoridade para Agência Nacional de Proteção de Dados, mantida a sigla. Na leitura prática, é uma estrutura equiparável à de uma agência reguladora; a expressão da lei, porém, é "autarquia de natureza especial", e a vinculação ministerial permanece. A lei ainda criou a carreira de Regulação e Fiscalização de Proteção de Dados, com 200 cargos de especialista, e preservou os mandatos em curso dos diretores até o término original^[2]. Na prática, deixou de ser vista como órgão que apenas orienta e passou a atuar como regulador que fiscaliza e sanciona de forma proativa: abriu dezenas de processos administrativos sancionadores e intensificou a fiscalização da LGPD^[3]. Tem autoridade para: (1) orientar empresas sobre LGPD, (2) receber denúncias de violação, (3) investigar empresas, (4) aplicar multas de até 2% da receita bruta anual, limitadas a R$ 50 milhões por infração.

ANPD processa reclamações: pessoa que acha seus dados foram usados ilegalmente notifica ANPD, que investiga. Se encontra violação, pode multar empresa. Processo é administrativo (não requer ação judicial).

O perfil sancionatório recente ajuda a calibrar a expectativa. Em processo administrativo sancionador sobre tratamento de dados de crianças e adolescentes, a ANPD aplicou multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, com base no art. 6º, VIII e X, e no art. 7º da LGPD, com referência ao ECA Digital — dado divulgado pela própria ANPD em comunicado oficial. A decisão veio acompanhada de plano de conformidade com cronograma: privacidade por padrão para menores de 16 anos, reforço de controle parental, filtros de conteúdo e, no feed sem cadastro, limite de 12 horas de uso e suspensão total de anúncios no Brasil. Vale lembrar que o teto de R$ 50 milhões da LGPD é por infração, o que explica valores totais acima dele quando há mais de uma conduta apurada.

Principais atribuições da ANPD

Orientação: ANPD publica guias, cartilhas, e orientações sobre como implementar LGPD. Exemplo: "Guia de Princípios LGPD" (como seguir diretrizes).

Consulta pública: ANPD abre consultas para ouvir empresas, entidades, especialistas antes de tomar decisões importantes. Empresa pode contribuir com comentários.

Investigação: ANPD pode convocar empresa, pedir documentos, entrevistar responsáveis. Investigação pode levar meses a anos.

Fiscalização: ANPD fiscaliza de forma cada vez mais ativa, inclusive por monitoramentos temáticos e medidas preventivas (pode determinar a suspensão imediata de uma campanha, ferramenta de IA ou base de dados diante de risco grave)^[3].

Aplicação de multas: Se encontra violação, aplica sanção. A sanção pode ser advertência (sem valor), multa simples (até 2% do faturamento, limitada a R$ 50 milhões por infração), multa diária (se violação persiste), publicização da infração ou bloqueio dos dados. Acordo e medidas corretivas são comuns, mas o silêncio diante de ofícios da ANPD passou a acionar processo sancionador.

Tipos de violação que ANPD investiga

Falta de consentimento: Usar dados pessoais sem base legal. Exemplo: coletar email de cliente sem pedir permissão para marketing.

Violação de privacidade: Dados vazam ou são acessados indevidamente. Exemplo: hacker acessa base de clientes.

Recusa em atender direitos: Pessoa solicita acesso/exclusão de dados e empresa recusa ou demora demais.

Falta de notificação: Dados vazam e empresa não notifica ANPD ou afetados dentro de prazo.

Transferência ilegal: Transferir dados para outro país sem proteção adequada.

Como se proteger de investigação de ANPD

1. Tenha política de privacidade clara: Publicar no site: quais dados coleta, por quê, onde armazena, quanto tempo mantém. Simples e acessível.

2. Peça consentimento: Antes de usar dados para fim novo (marketing, pesquisa), peça consentimento explícito. Cookie banner é exemplo.

3. Contrate DPO: Se empresa tem muitos dados, DPO ajuda a navegar conformidade e responde a ANPD.

4. Documente decisões: Guardar registros de: por que usa esse dado, base legal, quando coleta, onde armazena. Prova de conformidade.

5. Notifique se vazar: Se detecta violação de dados, notifique ANPD dentro de 10 dias e afetados assim que possível. Rápida notificação reduz penalidade.

6. Implemente segurança: Criptografia, controle de acesso, backup. ANPD espera "medidas de segurança apropriadas".