Radar de Privacidade HDPO — Edição 18

ANPD multa o TikTok em R$ 153,7 milhões e impõe obrigações assinadas pelo Encarregado

Em decisão publicada no Diário Oficial de 25/08 (Despacho Decisório nº 27/2026/CGS/SFI), a ANPD aplicou à ByteDance Brasil multa de R$ 153.769.671,33 por cinco violações aos arts. 6º, VIII e X, e 7º da LGPD nos feeds com e sem cadastro, todas classificadas como graves e sem atenuantes, além de determinar privacidade restritiva por padrão para menores de 16 anos e suspensão de anúncios no feed sem cadastro. O ponto mais relevante para encarregados está nas obrigações acessórias: eliminação de dados de adolescentes de 13 a 17 anos sem representação parental em 60 dias úteis, com relatório técnico e logs de auditoria, declaração assinada pelo próprio Encarregado em 5 dias úteis e repasse comprovado da ordem de eliminação a toda a cadeia de suboperadores, sob multa diária de R$ 137.081,49. É a primeira vez que a Autoridade nomeia o Encarregado como responsável pela atestação formal do cumprimento de uma sanção. Recomendação HDPO: revise agora se a sua organização consegue executar uma ordem de eliminação com prova técnica (logs, relatório e evidência de repasse a operadores e suboperadores) dentro de 60 dias úteis, e formalize por contrato o dever de os fornecedores comprovarem a eliminação em prazo compatível.

Fonte: ANPD, agosto de 2026 · acessar matéria original

ANPD defende aprovação rápida do Marco Legal de IA e diz que o sandbox está em fase final de testes

No painel sobre regulação de IA da Febraban Tech 2026, o superintendente de inovação tecnológica da ANPD, Lucas Costa dos Anjos, afirmou que a regulação prática da inteligência artificial no Brasil já é realidade por meio da LGPD e defendeu a aprovação do Marco Legal de IA para dar segurança jurídica ao ecossistema e ao titular; informou ainda que o sandbox regulatório da Agência está em fase final de testes e reforçou que o risco de um sistema não é característica inerte, mas contextual. A declaração ocorre na mesma semana em que o relator na Câmara, deputado Aguinaldo Ribeiro, avisou que o Marco Legal só será votado depois das eleições de outubro, o que mantém a LGPD como o único fundamento exigível hoje para uso de IA sobre dados pessoais. Recomendação HDPO: não espere o Marco Legal para governar IA; classifique por contexto de uso os sistemas de triagem, apoio diagnóstico, auditoria de contas e atendimento, e sustente cada um em base legal, RIPD e registro de decisões automatizadas sob a LGPD.

Fonte: Convergência Digital, agosto de 2026 · acessar matéria original

InvestSUS 2.0 integra dados financeiros, execução e planejamento em tela única para gestores do SUS

O Ministério da Saúde lançou em 24/08 a nova versão da plataforma do Fundo Nacional de Saúde, que reúne em tela única saldo do Fundo de Saúde, valores a receber, repasses, execução financeira e dados declarados e homologados no SIOPS, organizados em quatro blocos (Visão Geral do Gestor, Atenção e Planejamento, Dados de Execução e SIOPS Receitas e Despesas). A plataforma cruza pendências de SIOPS, SISMOB, InvestSUS e RDQA e importa Plano de Saúde, relatórios quadrimestrais e Relatório Anual de Gestão vindos do DigiSUS, ou seja, amplia o volume de dados de gestão consolidados em um único ambiente federal. Recomendação HDPO: prestadores e gestores que alimentam esses sistemas devem revisar quem tem perfil de acesso, manter o inventário de integrações atualizado no ROPA e tratar credenciais do gov.br e do SCPA como ativo crítico, com revisão periódica de concessão e revogação.

Fonte: Ministério da Saúde, agosto de 2026 · acessar matéria original

ANS suspende cautelar contra a Hapvida e institui monitoramento regulatório sobre cerca de 947 mil vidas

A Diretoria Colegiada da ANS reuniu-se em 21/08 com a Hapvida (Registro ANS 368253) para esclarecer o comunicado ao mercado de 12/08 sobre possível rescisão de contratos e reajustes de dois dígitos que alcançariam cerca de 947 mil vidas; após os esclarecimentos, de que as medidas se restringem a contratos coletivos empresariais de grandes grupos, a Agência suspendeu os efeitos da medida cautelar preventiva e instituiu monitoramento regulatório, sem proibir a negociação dos reajustes coletivos. O caso mostra que a ANS passa a acompanhar a operadora por dados e evidências continuadas, e não por decisão pontual, o que eleva a exigência sobre a qualidade dos registros de contratos, comunicações e cálculos de reajuste. Recomendação HDPO: operadoras e administradoras de benefícios devem garantir rastreabilidade das comunicações enviadas a beneficiários e a empresas contratantes, preservar a memória de cálculo dos reajustes e verificar a base legal e a minimização dos dados de beneficiários usados em estudos de sinistralidade.

Fonte: ANS, agosto de 2026 · acessar matéria original

ANPD abre monitoramento de 22 plataformas e ferramentas de IA sob as novas regras do Marco Civil

Em 21/08 a ANPD iniciou o monitoramento de 22 agentes com base no Decreto nº 8.771/2016, alterado pelos Decretos nº 12.975/2026 e nº 12.976/2026, em dois processos: o nº 00261.005031/2026-23, que alcança Instagram, Facebook, Canais do WhatsApp, Telegram, TikTok, X, Discord, YouTube, Kwai, LinkedIn, Snapchat, Pinterest e Reddit, e o nº 00261.005032/2026-78, que alcança App Store, Google Play e ferramentas de IA generativa como Copilot, Claude, DeepSeek, Gemini, ChatGPT, Meta AI e Perplexity, todos com dez dias úteis para responder a partir da ciência. A Autoridade deixou claro que quer demonstração de efetividade das medidas de prevenção e mitigação de riscos, não a mera existência formal de políticas, e excluiu do escopo e-mail e comunicações privadas. Recomendação HDPO: adote o mesmo padrão probatório internamente, ou seja, para cada política de privacidade, canal de denúncia e controle de conteúdo, mantenha métricas, registros de acionamento e evidências de resultado, porque o teste da Autoridade hoje é de efetividade demonstrável.

Fonte: ANPD, agosto de 2026 · acessar matéria original

Falha com CVSS 10 no Microsoft Entra ID teve exploração ativa antes da correção

A Microsoft divulgou em 21/08 comunicado sobre a CVE-2026-69836, com CVSS 10.0, uma desserialização de dados não confiáveis no Entra ID (antigo Azure AD) que permitia execução remota de código sem autenticação, e confirmou que houve exploração antes da correção; o ajuste já foi aplicado no serviço em nuvem, de modo que os clientes não precisam instalar patch. O ponto de atenção para controladores é outro: praticamente todo hospital, clínica, laboratório e operadora que usa Microsoft 365 tem sua camada de identidade no Entra ID, e sem retenção adequada de logs do tenant o controlador não consegue afirmar, com evidência, que não houve acesso indevido a dados pessoais. Recomendação HDPO: revise a retenção e a exportação dos logs de entrada e de auditoria do tenant, audite contas com papéis privilegiados e aplicações com consentimento amplo, e registre formalmente a avaliação do episódio no processo de gestão de incidentes, para sustentar eventual decisão de não comunicação nos termos do art. 48 da LGPD.

Fonte: CISO Advisor, agosto de 2026 · acessar matéria original