Seis anos de ANPD: o que os números mostram

Em novembro de 2020, a Agência Nacional de Proteção de Dados começou a funcionar com uma estrutura enxuta e uma lei que ainda soava nova para a maioria das empresas brasileiras.

Seis anos depois, a ANPD publicou um balanço de sua atuação, com dados até outubro de 2026. O documento descreve uma instituição que mudou de natureza jurídica, multiplicou sua equipe e passou a atuar em temas que vão além da LGPD, como a proteção de crianças e adolescentes no ambiente digital.

Os números falam por si. Nesta edição, organizamos os principais dados do balanço para que você acompanhe essa trajetória e avalie, com serenidade, o que ela representa para a sua empresa.

De autoridade a agência reguladora

A trajetória institucional da ANPD acelerou nos últimos doze meses. Em pouco mais de um ano, a autoridade ganhou o status de agência, novas competências e uma estrutura própria.

Uma instituição que ganhou corpo

A mudança mais visível está na própria ANPD. Em fevereiro de 2026, ela se tornou agência reguladora, ao lado de nomes conhecidos como Anvisa, Anatel e ANS. Na prática, isso significa orçamento próprio, decisões independentes e uma equipe de carreira dedicada à proteção de dados.

A equipe acompanhou essa transição. Em 2021, a ANPD contava com 50 profissionais. Em outubro de 2026, eram 412, mais que o dobro do ano anterior.

O balanço registra com transparência que a maior parte desse quadro ainda vem de requisições e contratos temporários. A nova lei criou 200 cargos de Especialista em Regulação de Proteção de Dados, e um concurso já tem autorização para 50 vagas. A própria agência aponta a consolidação do quadro próprio entre seus desafios para os próximos anos.

Mais comunicações de incidentes, mais maturidade

Desde 2021, a ANPD recebeu 1.964 comunicações de incidentes de segurança. A curva sobe em quase todos os anos: 186 em 2021, 395 em 2025 e 423 apenas entre janeiro e setembro de 2026.

Como a ANPD lê esse número. Segundo o balanço, o crescimento pode refletir maior capacidade de detecção e mais conhecimento das obrigações, e não necessariamente um aumento real de incidentes.

Quando um incidente pode causar risco ou dano relevante às pessoas, a empresa tem três dias úteis para comunicar a ANPD. É um prazo curto: na prática, só o cumpre quem já tem um plano definido antes de o problema acontecer.

O titular conhece o caminho até a ANPD

Desde maio de 2026, um canal específico do ECA Digital já reuniu 192 registros. Não por acaso, os direitos dos titulares abrem o Mapa de Temas Prioritários 2026-2027 e concentraram a fiscalização deste ano, ao lado da proteção de crianças e adolescentes.

Na prática, o titular que não recebe uma resposta adequada sabe onde reclamar. E a ANPD, agora, tem estrutura para ouvir.

Orientar antes de sancionar

O balanço descreve um modelo de regulação responsiva. A ANPD combina orientação, prevenção, monitoramento, fiscalização e, quando necessário, sanção. A sanção ocupa o último degrau.

Até outubro de 2026, a ANPD instaurou 70 processos de fiscalização e 36 processos sancionadores. Oito destes chegaram ao fim, e 28 seguem em análise.

Um exemplo: o monitoramento dos encarregados

No setor privado, a ANPD levou 15 empresas de grande e médio porte à conformidade e encaminhou as demais para possível processo sancionador. No setor público, a ação alcançou 56 órgãos e entidades, e a ANPD instaurou 21 processos sancionadores sobre o tema.

Casos que marcaram o período

O balanço cita casos concretos que mostram onde a ANPD concentra sua atenção: dados de crianças, dados de saúde, biometria e uso de dados sensíveis em publicidade.

Processo instaurado não equivale a condenação. As demais apurações seguem em curso, e a decisão sobre o TikTok ainda admite recurso ao Conselho Diretor da ANPD.

Como uma multa ultrapassa R$ 50 milhões? A lei limita cada multa a R$ 50 milhões, mas esse teto vale por infração. No caso TikTok, a decisão somou cinco infrações. Uma delas, de R$ 27,4 milhões, puniu a falta de capacidade de demonstrar o que a empresa fazia para cumprir a lei. Ter boas práticas não basta: é preciso conseguir comprová-las.

O que vem pela frente

A Agenda Regulatória 2025-2026 reúne 19 iniciativas. Uma foi concluída, com as diretrizes da Política Nacional de Proteção de Dados, outra foi encerrada, uma ainda não começou e 16 seguem em andamento.

Vários desses temas tocam diretamente a rotina das empresas:

A ANPD também revisa as regras que definem como fiscaliza e como calcula as sanções, para incluir as novas obrigações sobre crianças e adolescentes. A proposta sobre o cálculo das sanções está em consulta pública até 30 de novembro de 2026, aberta a contribuições de empresas e da sociedade.

Mapa de Temas Prioritários 2026-2027

Brasil e União Europeia: transferência simplificada

Desde janeiro de 2026, o Brasil reconhece que os países da União Europeia (além de Islândia, Liechtenstein e Noruega) protegem dados pessoais em nível equivalente ao nosso. Para quem usa fornecedores, sistemas ou nuvem na Europa, enviar dados para lá ficou mais simples, sem contratos-padrão adicionais. Continuam necessários, porém, a base legal, a transparência com o titular e um bom contrato com o fornecedor.

Para estar preparado

Uma ANPD mais estruturada recompensa quem trata a proteção de dados como rotina. Cinco pontos merecem revisão periódica:

A leitura do balanço confirma uma tendência: a proteção de dados deixou de ser um projeto com data para terminar e passou a fazer parte da gestão. Empresas que tratam o tema com regularidade atravessam essas mudanças com mais tranquilidade.