Por anos a Autoridade Nacional de Proteção de Dados operou em modo educativo. Nasceu em 2020 com equipe reduzida, priorizou orientação em vez de punição e demorou quase três anos para aplicar a primeira sanção. Muita empresa leu esse comportamento como permissão para adiar.

Esse cenário mudou — e mudou rápido.

O que aconteceu em 2026

Três fatos, todos verificáveis:

• A ANPD virou agência reguladora. A Lei nº 15.352/2026, originada da MP 1.317/2025, deu à autoridade autonomia administrativa e financeira. Na prática: orçamento próprio, estrutura própria e capacidade de fiscalizar sem depender de terceiros.
• 19 processos sancionadores abertos de uma vez. Em junho de 2026, a maior leva da história da autoridade.
• 75 ações de fiscalização planejadas. O Mapa de Temas Prioritários 2026–2027 prevê esse volume no biênio, com foco declarado em dados biométricos, saúde, dados financeiros, crianças e adolescentes, e inteligência artificial.

Uma ressalva honesta sobre os valores

Você vai encontrar por aí muito texto citando a multa máxima da LGPD — R$ 50 milhões por infração — como se fosse o cenário provável. Não é, ainda.

O total de multas efetivamente aplicadas pela ANPD até o início de 2026 é modesto: a maior parte dos sancionados foi do setor público, que não paga, e a única empresa punida era uma microempresa, com valores reduzidos pela dosimetria.

O risco real hoje não é a multa histórica. É a mudança de patamar: uma autoridade com estrutura, plano e volume de processos que não existiam antes.

Vender medo com número inflado é fácil — e some no primeiro CFO que checar a fonte. O argumento verdadeiro é mais simples: a fase de aviso acabou, e quem esperou vai ter que correr com prazo de regulador em cima.

O prazo que realmente pega: 72 horas

Na prática, o que mais derruba empresa não é a multa — é o prazo de notificação. Depois de um incidente com dado pessoal, você tem 72 horas para comunicar a autoridade.

E o relógio começa a correr quando você descobre o vazamento, não quando você termina de resolver. Se a sua empresa leva três dias só para entender o que aconteceu, o prazo já venceu antes da primeira reunião.

O que ter pronto

1. Mapeamento de dados pessoais. Quais dados existem, onde ficam, quem acessa e por quanto tempo são guardados. Sem isso, nenhuma outra coisa é possível.
2. Base legal documentada por tratamento. Cada uso de dado precisa de fundamento — e você precisa saber apontar qual é.
3. Encarregado (DPO) indicado. A lei exige. Pode ser interno ou terceirizado.
4. Plano de resposta a incidente. Quem avisa quem, em que ordem, com que texto. Escrito antes, porque durante não dá tempo.
5. Contratos com fornecedores. Quem trata dado no seu nome precisa estar amarrado por cláusula.
6. RIPD para tratamento de risco elevado. O relatório de impacto que a autoridade pode solicitar.

Adequação não é segurança

Essa confusão custa caro. Dá para estar formalmente adequado à LGPD — política publicada, DPO nomeado, registro em dia — e ainda assim ser invadido por uma brecha que ninguém testou.

Num dos casos que investigamos, a empresa tinha DPO nomeado e sistema homologado. O prontuário estava atrás de um login sem segunda camada, num sistema legado sem atualização há anos.

Conformidade cuida do papel. Segurança cuida do buraco. As duas coisas precisam andar juntas.