O avanço da Agência Nacional de Proteção de Dados (ANPD) nos últimos seis anos desafia a crença de que a regulação da privacidade no Brasil seria lenta, branda ou de alcance restrito. Em 2026, a ANPD não só expandiu sua estrutura e atribuições, mas também intensificou a fiscalização sobre empresas, plataformas digitais e provedores de tecnologia, tornando-se um ator central na definição dos limites e obrigações do ambiente digital brasileiro. Para quem dirige negócios ou gerencia operações de TI, a era da “adaptação gradual” à LGPD e à proteção de dados ficou para trás: o risco regulatório é real, crescente e, cada vez mais, imprevisível.

Da autoridade à agência: autonomia e novos poderes

O salto institucional da ANPD é consenso entre as publicações analisadas. Segundo o Telesíntese, a agência passou a ter natureza regulatória especial após a Lei nº 15.352, de fevereiro de 2026, ampliando sua autonomia e incorporando competências do Estatuto Digital da Criança e do Adolescente (ECA Digital) e da proteção de direitos dos usuários de internet. O Mobile Time reforça que a transformação em agência fortaleceu a capacidade de resposta e o reconhecimento da proteção de dados como tema estratégico de Estado, citando o então presidente Waldemar Gonçalves: “Neste ano, fortaleceu-se sua autonomia, capacidade institucional de responder às responsabilidades que lhe são atribuídas”.

O Capital Digital detalha que a ANPD ganhou autonomia em 2022 e, desde então, acumulou novas atribuições, como a fiscalização de plataformas digitais e a proteção de mulheres contra violência online (Decreto nº 12.976/2026). O órgão também prepara seu primeiro concurso público para especialistas em regulação, sinalizando institucionalização de longo prazo.

Fiscalização intensificada: de orientação à sanção

O crescimento do poder fiscalizatório é um divisor de águas. O Mobile Time e o Capital Digital relatam que, desde 2020, a ANPD instaurou 70 processos de fiscalização, abrangendo empresas, plataformas, sistemas operacionais e ferramentas de inteligência artificial. O número de comunicações de incidentes de segurança também cresceu: de acordo com o Telesíntese, foram 1.964 desde 2021, com aumento de 31,8% entre os nove primeiros meses de 2025 e 2026.

O caso TikTok ilustra o novo rigor: em agosto de 2026, a ByteDance Brasil foi multada em R$ 153,7 milhões por falhas na proteção de dados de crianças e adolescentes, além de ter sido ordenada a eliminar dados coletados irregularmente (Mobile Time, Capital Digital). O WhatsApp, por sua vez, foi alvo de determinações para auditoria externa e fortalecimento de controles após investigação sobre fluxo de dados entre aplicativos da Meta. Discord e Grok (IA) também enfrentaram medidas preventivas, incluindo suspensão de funcionalidades e exigência de controles técnicos para evitar deepfakes e outros riscos.

O superintendente de fiscalização da ANPD, Fabrício Lopes, afirmou em evento que a ampliação da equipe, de menos de 10 para 80 pessoas, chegando a 412 colaboradores em 2026 segundo o Mobile Time, permitiu “entregar processos bem antigos” e acompanhar de perto grandes players como Meta, WhatsApp e Facebook.

Novas frentes regulatórias: IA, biometria e padrões de segurança

A agenda regulatória da ANPD para 2025 a 2026, detalhada pelo Telesíntese, contempla 19 iniciativas, das quais 16 estão em andamento. Entre os temas prioritários estão:

• Inteligência artificial: A agência busca definir parâmetros para aplicação da LGPD a decisões automatizadas, treinamento e uso de sistemas de IA, com foco em direitos dos titulares e boas práticas de governança. O Capital Digital destaca o Sandbox Regulatório de IA e o estudo sobre deepfakes como exemplos do protagonismo técnico da agência.
• Biometria e reconhecimento facial: Em resposta à ampliação do uso dessas tecnologias em setores como finanças, ensino e controle de fronteiras, a ANPD prepara regulamentação específica para o tratamento de dados biométricos, reconhecendo riscos de erros e discriminação.
• Padrões mínimos de segurança: A definição de medidas técnicas e administrativas para proteção de dados sensíveis é outra frente em andamento, alinhada ao artigo 46 da LGPD.
• Proteção infantojuvenil: Com a incorporação do ECA Digital, a ANPD passou a regulamentar mecanismos de aferição de idade, escopo e obrigações de fornecedores de tecnologia e revisão de procedimentos sancionadores. Orientações preliminares sobre verificação de idade foram publicadas em março de 2026.

O Capital Digital acrescenta que a agência também atua na definição de padrões de anonimização, regras para compartilhamento de dados públicos e limites para agregadores de dados.

Transferências internacionais e cooperação global

O ambiente regulatório brasileiro se aproxima de padrões internacionais. O Telesíntese relata que a Resolução CD/ANPD nº 19/2024 disciplina mecanismos para transferências internacionais de dados, incluindo cláusulas-padrão e normas corporativas globais. Em janeiro de 2026, a União Europeia foi reconhecida como organismo com grau de proteção adequado, facilitando operações transfronteiriças para empresas com presença internacional.

Na cooperação internacional, a ANPD firmou nove acordos e dez memorandos de entendimento com outras autoridades, além de presidir a Rede Iberoamericana de Proteção de Dados e integrar a Global Online Safety Regulators Network (Capital Digital).

O contra-argumento: adaptação, incertezas e desafios práticos

Se o fortalecimento da ANPD é visto como avanço por especialistas em privacidade, há quem questione os impactos para a inovação e a competitividade das empresas. O Mobile Time registra que, até 2021, a agência priorizava orientação e diálogo, promovendo mudanças de comportamento mesmo sem poder sancionador. O aumento de sanções e exigências técnicas pode elevar custos de adequação, sobretudo para pequenas e médias empresas, e gerar insegurança jurídica diante de normas ainda em construção.

Outra fonte de incerteza é a própria evolução da agenda regulatória. O Telesíntese observa que, em temas como biometria e IA, ainda não há normas definitivas nem requisitos técnicos fechados. A participação da sociedade e o uso de sandboxes regulatórios são tentativas de equilibrar proteção e inovação, mas o ritmo de atualização pode não acompanhar a velocidade das mudanças tecnológicas.

Por fim, a ANPD reconhece que parte da fiscalização depende de denúncias, petições e monitoramento ativo, o que pode deixar lacunas na proteção efetiva, especialmente em ambientes digitais de alta complexidade.

O que muda para empresas: risco regulatório, operação e decisões estratégicas

Para organizações que operam no Brasil, o novo perfil da ANPD exige revisão urgente de práticas, políticas e investimentos em proteção de dados. O crescimento dos processos de fiscalização e o rigor das sanções, como a multa milionária ao TikTok, evidenciam que a exposição a riscos regulatórios não se limita mais a grandes multinacionais ou setores de tecnologia: qualquer empresa que trate dados sensíveis, use IA, biometria ou atue com públicos vulneráveis está sob o radar.

O reconhecimento da União Europeia como ambiente de proteção equivalente reduz barreiras para transferências internacionais, mas obriga empresas a manter padrões elevados de compliance. A definição de padrões mínimos de segurança e a regulamentação de novas tecnologias ampliam o escopo de obrigações técnicas, exigindo integração entre áreas jurídicas, de TI e de negócios.

No contexto de Manaus e do Polo Industrial, onde cadeias produtivas cada vez mais dependem de dados e conectividade, a incerteza regulatória pode afetar decisões sobre automação, terceirização de serviços digitais e expansão de operações. A participação em consultas públicas e o acompanhamento próximo das normas em gestação tornam-se essenciais para antecipar riscos e evitar impactos financeiros ou reputacionais.

O balanço dos seis anos da ANPD marca o fim da era da improvisação em proteção de dados. Com poderes ampliados, equipe robusta e foco em temas sensíveis como IA, biometria e proteção infantojuvenil, a agência redefine o que é aceitável, e o que pode custar caro, para empresas que dependem de dados e tecnologia. Em um cenário de fiscalização intensificada e regras em constante evolução, a capacidade de adaptação rápida e o acesso a infraestrutura digital segura deixam de ser diferencial e passam a ser pré-requisito para quem não quer ser surpreendido pelo próximo movimento do regulador.