Processos recentes, monitoramento de agentes de tratamento e novas medidas da Agência elevam a pressão por proteção de dados, segurança da informação e atuação efetiva do DPO
A fiscalização da Agência Nacional de Proteção de Dados ganhou força no Brasil em 2026 e passou a atingir diretamente empresas e órgãos públicos que tratam dados pessoais. Por meio de monitoramentos, processos administrativos e investigações sobre incidentes de segurança, a ANPD começou a verificar se as organizações conseguem demonstrar, na prática, o cumprimento da LGPD. Entre os movimentos recentes estão a avaliação de possíveis sanções contra 21 agentes que não atenderam às solicitações da Agência, o processo envolvendo Claro e Serasa e a apuração de um ataque de ransomware que comprometeu cerca de 500 mil registros de pacientes. A ofensiva aumenta a pressão porque políticas internas, sozinhas, já não bastam para comprovar que os dados estão protegidos.
Hesron Hori, especialista em gestão de riscos corporativos e segurança da informação, sócio e diretor de Risk Assessment da Under Protection, empresa especializada em cibersegurança e continuidade operacional, avalia que a mudança coloca à prova estruturas de privacidade criadas nos últimos anos. “A empresa precisa demonstrar como protege os dados pessoais, quem responde pelos riscos, quais controles estão funcionando e como reage quando ocorre um incidente. A fiscalização aumenta a pressão para que a LGPD deixe de existir apenas no papel”, afirma o especialista.
A atuação mais intensa ocorre poucos meses depois de a Lei 15.352 transformar a ANPD em autarquia de natureza especial, ampliando sua autonomia e incluindo o órgão no regime das agências reguladoras. A legislação também converteu 200 cargos vagos em postos de especialista em regulação de proteção de dados, com funções ligadas à inspeção, fiscalização e controle.
Fiscalização chega à operação das empresas
O processo envolvendo Claro e Serasa mostra como essa cobrança pode alcançar práticas rotineiras. A ANPD apontou indícios de compartilhamento excessivo de informações de clientes, falta de transparência e dificuldades de acesso ao encarregado pelo tratamento de dados. A Claro responde a processo administrativo sancionador, enquanto a Serasa passou a ser alvo de nova fiscalização.
Se as irregularidades forem confirmadas, a LGPD prevê multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração. Para Hesron, porém, o risco vai além da penalidade financeira. “Um problema com dados pessoais pode afetar a operação, a reputação, a confiança dos clientes e a capacidade de a companhia responder ao regulador. Por isso, LGPD, cibersegurança e segurança da informação não podem funcionar como agendas separadas”, ressalta.
Essa relação também aparece no processo instaurado contra o Instituto Saúde e Cidadania. Segundo a ANPD, um ataque de ransomware ocorrido em 2025 comprometeu cerca de 500 mil registros de pacientes, incluindo dados sensíveis de saúde.
DPO também entra no radar
A fiscalização também passou a olhar mais de perto para o encarregado pelo tratamento de dados, conhecido como DPO. Dos 56 agentes monitorados pela ANPD, 27 atenderam integralmente às solicitações, oito permaneceram com pendências e 21 não responderam aos pedidos de adequação. Estes últimos tiveram os casos encaminhados para avaliação de possíveis sanções.
“Ter um nome publicado no site não resolve a governança de dados. O encarregado precisa estar conectado aos processos, aos fornecedores, à segurança da informação e à resposta a incidentes. A fiscalização aumenta a importância de apresentar evidências de que esse trabalho acontece continuamente”, destaca Hesron.
Com uma fiscalização mais presente, o desafio deixa de ser apenas ter políticas de LGPD e passa a ser demonstrar, diante do regulador ou de um incidente, que responsabilidades, controles e procedimentos realmente funcionam dentro da organização.
Sobre a Under Protection
Com mais de 20 anos de atuação, a Under Protection é especializada em cibersegurança e continuidade operacional. Criadora das metodologias LISA e NG LISA, combina monitoramento em tempo real, resposta imediata e análise integrada de pessoas, processos e tecnologia.
