Sua Empresa Recebeu Fiscalização da ANPD? Saiba Como Responder em 2026

A ANPD deixou de ser um órgão de orientação. Em 2026, com mais de 200 novos servidores e poderes ampliados de autarquia, a Autoridade Nacional de Proteção de Dados passou a fiscalizar ativamente empresas de todos os portes. Mais de 20 grandes corporações já foram auditadas neste ano. Se a sua empresa recebeu uma notificação, o que você faz nas próximas horas pode definir se a consequência será uma adequação tranquila ou uma multa de até R$ 50 milhões.

A ANPD em 2026: de Orientadora a Fiscalizadora

A fase educativa da ANPD acabou. Em 2025, a autoridade foi transformada em autarquia especial, ganhou autonomia decisória plena e contratou mais de 200 novos servidores para fiscalização em campo. Quem ainda aguarda uma "segunda chance" para se adequar está operando sob risco real de auditoria.

Em 2025, a ANPD foi transformada em autarquia de natureza especial pela Lei nº 14.460/2022, consolidada pelo Decreto regulamentador. Com isso, ganhou autonomia técnica, decisória e financeira. A autoridade contratou mais de 200 novos servidores para compor equipes de fiscalização em campo.

O resultado prático apareceu rápido. Nos primeiros meses de 2026, a ANPD abriu processos de fiscalização contra mais de 20 grandes empresas. O foco principal: ausência de Encarregado de Dados (DPO) designado e falta de canais acessíveis para exercício de direitos pelos titulares.

O Que a ANPD Fiscaliza: Violações Mais Comuns

A notificação da ANPD não chega por acaso. A autoridade trabalha com critérios objetivos para selecionar alvos. Denúncias de titulares, incidentes de segurança reportados e verificações de ofício são os principais gatilhos.

Nos processos abertos em 2026, as irregularidades mais recorrentes seguem um padrão claro. A maioria das empresas fiscalizadas cometeu mais de uma infração simultaneamente.

A ausência de DPO lidera a lista porque é facilmente verificável. A ANPD consulta o site da empresa, busca o registro público e verifica se há um canal funcional. Se não encontra, abre procedimento.

Passo a Passo: O Que Fazer Quando a Notificação Chegar

A notificação da ANPD chega por ofício eletrônico, geralmente ao e-mail institucional da empresa ou ao endereço do DPO registrado. Ela específica as irregularidades apontadas, os documentos solicitados e o prazo para manifestação.

O primeiro impulso de muitos gestores é ignorar ou subestimar a notificação. Esse é o pior erro possível. A omissão é tratada como agravante pela ANPD e pode resultar em sanções adicionais.

A sequência correta de ações é a seguinte:

1. Preserve o ofício e registre a data de recebimento. O prazo para resposta começa a correr a partir do recebimento. Em regra, são 10 dias úteis para apresentação de defesa ou esclarecimentos. Perca esse prazo e a ANPD pode decidir sem ouvir a empresa.

2. Acione imediatamente o DPO e o jurídico. Se a empresa não tem DPO designado, esse é o momento de contratar. A nomeação durante o procedimento demonstra boa-fé, mas não elimina a infração anterior.

3. Levante toda a documentação existente. Políticas de privacidade, registros de tratamento, contratos com operadores, termos de consentimento, relatórios de impacto. Tudo que demonstre algum nível de conformidade deve ser reunido.

4. Elabore resposta técnica fundamentada. A manifestação deve ser objetiva, responder ponto a ponto cada irregularidade apontada e apresentar evidências documentais. Linguagem jurídica genérica sem comprovação documental não convence a ANPD.

5. Apresente plano de adequação com cronograma. A ANPD considera favoravelmente empresas que demonstram comprometimento com a conformidade. Um cronograma realista, com metas e responsáveis, pode ser a diferença entre uma advertência e uma multa.

Notificação de Incidentes: A Regra dos 3 Dias Úteis

A Resolução CD/ANPD nº 15, de julho de 2024, regulamentou a comunicação de incidentes de segurança. O prazo para notificar a ANPD sobre vazamentos ou acessos não autorizados é de 3 dias úteis a partir do conhecimento do incidente.

Esse prazo vale para incidentes que possam acarretar risco ou dano relevante aos titulares. A empresa deve avaliar a gravidade em tempo real. Dados sensíveis envolvidos, volume de titulares afetados e potencial de dano financeiro ou moral são os critérios.

A comunicação deve conter, no mínimo: descrição da natureza dos dados afetados, indicação dos titulares envolvidos, medidas de segurança adotadas antes e depois do incidente, e os riscos relacionados.

A notificação tardia é infração autônoma. Mesmo que o incidente em si seja de baixa gravidade, o descumprimento do prazo de 3 dias gera sanção independente. A ANPD tem reiterado esse entendimento nos processos de 2026.

Sanções: O Que a ANPD Pode Aplicar

O Art. 52 da LGPD prevê um rol gradativo de sanções. A escolha da penalidade depende da gravidade da infração, da boa-fé do infrator, da vantagem obtida e da adoção de mecanismos de mitigação.

A advertência é a sanção mais branda. Vem acompanhada de prazo para adoção de medidas corretivas. Se a empresa cumpre as exigências dentro do prazo, o processo é arquivado sem multa.

A multa simples pode chegar a 2% do faturamento da pessoa jurídica no último exercício fiscal, limitada a R$ 50 milhões por infração. Uma empresa com faturamento anual de R$ 100 milhões, por exemplo, pode receber multa de até R$ 2 milhões por cada infração constatada.

A multa diária é usada para forçar o cumprimento de obrigações. Enquanto a empresa não regularizar a situação, a multa se acumula. O teto total permanece em R$ 50 milhões.

A publicização da infração é uma das sanções mais temidas. A ANPD divulga publicamente que a empresa violou a LGPD. O dano reputacional pode superar o valor de qualquer multa.

Em casos extremos, a ANPD pode determinar o bloqueio ou eliminação dos dados pessoais objeto da infração. Pode também suspender parcialmente o funcionamento do banco de dados por até 6 meses, prorrogáveis. E pode proibir parcial ou totalmente o exercício da atividade de tratamento de dados.

O DPO: Quem Precisa Designar e Quem Está Dispensado

O Art. 41 da LGPD exige que todo controlador de dados indique um Encarregado pelo Tratamento de Dados Pessoais. Essa pessoa é responsável por receber comunicações dos titulares e da ANPD, orientar funcionários e executar as demais atribuições previstas em lei.

A identidade e o contato do DPO devem ser divulgados publicamente, preferencialmente no site da empresa. A ANPD verifica esse requisito de forma rotineira.

A Resolução CD/ANPD nº 2/2022 trouxe regras específicas para agentes de tratamento de pequeno porte. Microempresas, empresas de pequeno porte, startups e pessoas físicas que tratam dados pessoais com fins econômicos foram contempladas.

Esses agentes estão dispensados de nomear DPO, desde que disponibilizem um canal de comunicação com o titular. A dispensa não se aplica se a empresa realizar tratamento de alto risco, como dados sensíveis em larga escala ou decisões automatizadas com efeitos jurídicos.

Empresas de médio e grande porte não têm essa flexibilização. A ausência de DPO é infração objetiva, verificável sem necessidade de auditoria aprofundada. Por isso, é a irregularidade mais frequente nas fiscalizações de 2026.

Estratégia de Defesa Administrativa

Argumentos exclusivamente legais, sem evidências concretas de conformidade, têm baixa eficácia perante a ANPD. A autoridade valoriza documentação objetiva: políticas implementadas, registros de treinamento, logs de incidentes. A defesa que demonstra medidas práticas — mesmo parciais — obtém resultados significativamente melhores do que a defesa que apenas contesta a competência da autoridade.s de adequação.

O primeiro pilar da defesa é a documentação. Registros de operações de tratamento (Art. 37), Relatório de Impacto à Proteção de Dados (Art. 38), políticas internas, termos de consentimento e contratos com operadores são os documentos mais relevantes.

O segundo pilar é a demonstração de boa-fé. Treinamentos realizados, investimentos em segurança da informação, contratação de consultorias especializadas e implementação de programa de governança em privacidade pesam a favor da empresa.

O terceiro pilar é o plano de remediação. Se a empresa reconhece falhas, deve apresentar cronograma de adequação com prazos, metas e responsáveis. A ANPD tende a ser mais leniente com quem demonstra compromisso genuíno com a correção.

A cooperação com a autoridade é fator expressamente previsto na lei como atenuante. Responder dentro do prazo, fornecer os documentos solicitados e adotar postura colaborativa reduz significativamente o risco de sanções mais severas.

Adequação Preventiva: O Que Fazer Antes da Fiscalização

A melhor defesa contra uma fiscalização da ANPD é não precisar de uma. A adequação preventiva custa menos, demanda menos urgência e posiciona a empresa de forma favorável caso venha a ser fiscalizada.

O programa de conformidade à LGPD deve começar pelo mapeamento de dados. Identificar quais dados pessoais a empresa coleta, onde armazena, com quem compartilha e por quanto tempo retém. Sem esse diagnóstico, qualquer medida posterior é superficial.

Em seguida, revisar as bases legais utilizadas para cada operação de tratamento. Consentimento, execução de contrato, obrigação legal, legítimo interesse -- cada hipótese tem requisitos próprios. A base legal inadequada invalida o tratamento inteiro.

Implementar medidas de segurança proporcionais ao risco. Criptografia, controle de acesso, pseudonimização, backups regulares e plano de resposta a incidentes são o mínimo esperado. A ANPD avalia a razoabilidade das medidas adotadas, não exige perfeição.

Treinar a equipe. Funcionários que lidam com dados pessoais devem conhecer as regras básicas da LGPD e saber a quem reportar irregularidades. Um único colaborador desinformado pode gerar um incidente que resulta em fiscalização.

Documentar tudo. A ANPD solicita evidências. Se a empresa fez treinamentos mas não tem lista de presença, investiu em segurança mas não tem relatórios, é como se nada tivesse sido feito. A prova documental é indispensável.

Casos Recentes: Precedentes da ANPD em 2025 e 2026

A atuação sancionadora da ANPD acelerou a partir de 2024. Os primeiros casos concretos servem como referência para entender o que a autoridade prioriza e como aplica as sanções.

Em 2024, a ANPD aplicou a primeira multa com base na LGPD a uma microempresa de telecomunicações por telemarketing abusivo sem base legal. A sanção foi de advertência e obrigação de adequação. A empresa não tinha política de privacidade nem registro de tratamento.

Em 2025, com a transformação em autarquia, a ANPD ampliou o escopo. Processos contra empresas de tecnologia, saúde e varejo foram instaurados. O denominador comum: descumprimento de obrigações formais, não necessariamente vazamentos.

Em 2026, a tendência se intensificou. As auditorias em andamento focam no segmento financeiro, e-commerce e saúde. Setores que lidam com grande volume de dados pessoais e dados sensíveis são prioridade declarada da autoridade.

A jurisprudência administrativa da ANPD já consolida alguns entendimentos. A boa-fé e a cooperação reduzem sanções. A reincidência agrava. A ausência total de programa de conformidade é tratada como negligência grave.