Dosimetria de sanções da ANPD: consulta pública aberta

A ANPD revisa o regulamento de multas da LGPD; entenda o que muda na lógica de cálculo e como instituições de saúde devem se preparar.

O que aconteceu

A ANPD abriu, em 15 de outubro de 2026, consulta pública sobre a dosimetria de sanções, por meio de minuta de resolução que altera o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4/2023. As contribuições são recebidas até 30 de novembro de 2026, exclusivamente pela plataforma Brasil Participativo. A audiência pública virtual ocorre em 29 de outubro, às 14h30, com transmissão no canal da Autoridade no YouTube; as inscrições para manifestação oral encerraram em 24 de outubro.

Segundo a ANPD, a atualização incorpora as novas competências da Autoridade decorrentes do ECA Digital e dos Decretos nº 12.975 e nº 12.976, de 2026, que atualizam a regulamentação do Marco Civil da Internet. A minuta trata dos valores das multas, das circunstâncias agravantes e atenuantes por tipo de infração e da metodologia de aplicação das penalidades.

Até aqui, a dosimetria estava ligada somente à Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Com a minuta, o regulamento passa a ser o instrumento comum para calcular sanções em um conjunto mais amplo de obrigações.

Por que isso importa para o setor

Para quem trata dados de saúde, o ponto central não está nas novas infrações voltadas a plataformas digitais, e sim na lógica de cálculo da sanção. O art. 52, § 1º, da LGPD determina que a sanção considere, entre outros fatores, a gravidade e a natureza das infrações (inciso I), a boa-fé do infrator (II), o grau do dano (VI), a cooperação (VII), a adoção reiterada e demonstrada de mecanismos internos para minimizar o dano (VIII), a adoção de política de boas práticas e governança (IX) e a pronta adoção de medidas corretivas (X). O regulamento é o que transforma esses critérios em método.

Portanto, qualquer ajuste em agravantes e atenuantes altera, na prática, o valor de risco regulatório de hospitais, operadoras, clínicas, laboratórios e seus fornecedores. Coberturas da imprensa sobre a minuta mencionam a previsão de uma atenuação para governança comprovada e a distinção entre falhas sistêmicas e incidentes isolados; esses pontos devem ser conferidos diretamente no texto da minuta, disponível no portal da ANPD e no Brasil Participativo.

O momento também é sensível. Incidentes recentes em grandes hospitais privados, com intervalos relevantes entre a detecção e o comunicado público, tornam a discussão sobre o que a Autoridade considerará agravante ou atenuante especialmente pertinente.

Implicações práticas para o Encarregado e o gestor

A primeira implicação é probatória. Critérios como os dos incisos VIII e IX do art. 52, § 1º, só beneficiam quem consegue demonstrá-los. Política de privacidade arquivada sem execução não sustenta atenuante; registros de treinamento, relatórios de risco, atas de comitê e testes de resposta a incidentes sustentam.

A segunda é a distinção entre falha sistêmica e falha pontual. Se a minuta consolidar esse tratamento, a organização precisará mostrar que o evento foi isolado e que existiam controles operando no momento do incidente. Isso exige rastreabilidade, por exemplo de acessos a prontuário e a sistemas de imagem, e não apenas declarações de conformidade.

A terceira é a comunicação de incidentes. A cooperação (art. 52, § 1º, VII) e a pronta adoção de medidas corretivas (X) dialogam com o art. 48 da LGPD e com a Resolução CD/ANPD nº 15/2024. Atrasos injustificados na comunicação à Autoridade e aos titulares tendem a pesar contra o controlador, ainda mais quando os dados envolvem saúde, categoria de dado pessoal sensível (art. 5º, II, e art. 11).

Pontos de atenção por perfil

• Hospitais e clínicas: inventário atualizado das atividades de tratamento, controle de acesso a prontuário e plano de resposta a incidentes testado.
• Operadoras e planos de saúde: governança de fornecedores e operadores, com cláusulas e evidências de segurança.
• Escritórios e consultorias jurídicas: revisão de matrizes de risco que usem o regulamento de 2023 como parâmetro.

O que fazer a partir de agora

Primeiro, leia a minuta completa no Brasil Participativo e identifique os dispositivos que afetam sua operação. Em seguida, avalie se vale contribuir: organizações do setor de saúde têm experiência concreta sobre o que é viável em termos de controles, e a consulta é o canal para isso, até 30 de novembro.

Segundo, faça uma autoavaliação das evidências de governança. Pergunte: se a ANPD pedisse hoje a demonstração dos mecanismos do art. 52, § 1º, VIII e IX, o que a instituição apresentaria? Onde houver lacuna, priorize registros de treinamento, relatórios do Encarregado e testes de incidente.

Terceiro, atualize a matriz de risco regulatório e o orçamento de conformidade, lembrando que a minuta ainda é proposta e pode mudar antes da versão final, que será preparada pela Superintendência de Regulação após a análise das contribuições.

Como o ecossistema HDPO pode ajudar

A HDPO apoia instituições de saúde na estruturação de programas de governança e na organização das evidências de conformidade; o PROTEGON concentra mapeamento, gestão de incidentes e registros de governança em um só ambiente, o que facilita demonstrar, de forma documentada, a maturidade do programa de privacidade.