Regulamento de fiscalização da ANPD: o que muda agora

ANPD revisa regras de fiscalização e sanções, com medidas cautelares sem aviso prévio e multas diárias de até R$ 50 milhões.

O que aconteceu

A Autoridade Nacional de Proteção de Dados (ANPD) abriu, em 9 de setembro de 2026, consulta pública para atualizar o regulamento de fiscalização da ANPD, previsto na Resolução CD/ANPD nº 1/2021, que também disciplina o processo administrativo sancionador. A audiência pública sobre o tema ocorreu em 24 de setembro, e as contribuições continuam sendo recebidas pela Plataforma Brasil Participativo até 26 de outubro de 2026.

A revisão decorre da ampliação das competências da autoridade após a transformação da ANPD em agência reguladora, promovida pela Lei nº 15.352/2026, e da necessidade de incorporar a fiscalização de novas obrigações, entre elas o Estatuto da Criança e do Adolescente Digital (ECA Digital), os deveres de provedores de aplicações de internet previstos no Decreto nº 12.975/2026 e as regras de proteção das mulheres no ambiente digital do Decreto nº 12.976/2026.

Entre as mudanças propostas, destacam-se três pontos de maior impacto prático. Primeiro, a reorganização do processo investigativo em quatro fases (instauração, instrução, relatório e decisão), com separação mais clara entre atividades de monitoramento contínuo e ações de fiscalização propriamente ditas. Segundo, a possibilidade de a Superintendência de Fiscalização adotar medidas cautelares sem aviso prévio ao agente regulado, sempre que identificar perigo de dano ou risco ao resultado útil da apuração. Terceiro, a fixação de multa diária que pode alcançar o teto cumulativo de R$ 50 milhões, conforme a gravidade da infração e o dano causado.

Por que isso importa para o setor

Hospitais, clínicas, laboratórios, operadoras de planos de saúde e demais instituições que tratam dados sensíveis em volume relevante estão entre os agentes mais expostos a qualquer intensificação da atuação fiscalizatória da ANPD, dado o histórico de fiscalização temática voltada a dados de saúde.

A minuta em consulta não cria uma regra específica para o setor da saúde, mas altera o procedimento aplicável a qualquer instituição fiscalizada, independentemente do setor. Isso significa que hospitais e operadoras já sob monitoramento, ou que venham a ser selecionados em ações temáticas futuras, poderão se sujeitar a um rito mais célere, com menos formalidades prévias e com possibilidade de bloqueio cautelar de atividades antes mesmo da conclusão da apuração.

A exigência de que a instituição fiscalizada informe seu faturamento no Brasil relativo ao ano anterior, já na fase de defesa, também merece atenção de gestores financeiros e jurídicos, pois esse dado passa a compor diretamente o cálculo da eventual sanção.

Implicações práticas para o Encarregado / gestor

Para o Encarregado (DPO) e para a liderança de compliance, a mudança de maior relevância operacional é a possibilidade de medida cautelar sem aviso prévio. Na prática, isso reduz a janela de reação da instituição: não haverá, necessariamente, um contato formal da ANPD antes de uma eventual determinação de suspensão de tratamento ou de outra restrição cautelar, quando houver risco de dano.

Esse cenário reforça a importância de a instituição já operar com:

• inventário de dados atualizado e auditável (ROPA), que permita responder rapidamente a um pedido de esclarecimento da autoridade;
• fluxo interno de resposta a incidentes e a notificações da ANPD, com prazos e responsáveis definidos, alinhado à Res. ANPD 15/2024;
• registro documental das decisões sobre bases legais, avaliações de risco e relatórios de impacto (RIPD), que sirvam de evidência de boa-fé regulatória em eventual defesa;
• canal de comunicação institucional preparado para lidar com pedidos formais da ANPD no novo rito de quatro fases.

A ausência de adesão a planos de adequação previamente firmados com a ANPD passa a ser expressamente considerada agravante na dosimetria da sanção, o que eleva o custo de descumprir compromissos assumidos em fiscalizações anteriores.

O que fazer a partir de agora

A consulta pública ainda está aberta até 26 de outubro de 2026, o que representa uma janela concreta de participação. Recomenda-se que instituições de saúde e demais organizações sob o escopo da LGPD avaliem a minuta e, quando pertinente, enviem contribuições pela Plataforma Brasil Participativo, especialmente sobre os critérios de aplicação de medidas cautelares e sobre a proporcionalidade da multa diária para pequenas e médias organizações.

Internamente, o momento é oportuno para revisar o grau de maturidade do programa de privacidade: verificar se o mapeamento de atividades de tratamento está atualizado, se as bases legais aplicadas resistem a uma auditoria externa e se existe um protocolo claro de resposta a uma notificação da ANPD, incluindo quem assina, em que prazo e com qual nível de aprovação interna.

Como o ecossistema HDPO pode ajudar

A revisão do regulamento de fiscalização reforça que a conformidade documental precisa estar pronta antes de qualquer contato da autoridade, não depois dele. A HDPO acompanha a consulta pública da ANPD e apoia instituições de saúde e de outros setores na revisão de mapeamentos de dados, na atualização de políticas internas e no desenho de fluxos de resposta a incidentes e a ações fiscalizatórias. Quem utiliza o PROTEGON conta com módulos de ROPA, gestão de incidentes e auditoria legal integrados, o que facilita a organização das evidências exigidas em um eventual processo de fiscalização.

Transparência no uso de IA: este artigo foi redigido com apoio de ferramentas de inteligência artificial e integralmente revisado, verificado e editado por João Gonçalves, que assume a responsabilidade editorial pelo seu conteúdo.