Fiscalização da ANPD: o que muda na revisão da Res. 1/2021

A Agência abriu consulta pública até 26/10 e audiência em 24/09 para atualizar as regras de fiscalização e do processo administrativo sancionador.

O que aconteceu

A fiscalização da ANPD entrou em revisão. Em 9 de setembro de 2026, a Agência Nacional de Proteção de Dados abriu consulta pública para atualizar o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº 1/2021 e posteriormente alterado pela Resolução CD/ANPD nº 4/2023, que instituiu o regulamento de dosimetria e aplicação das sanções administrativas previstas no art. 52 da LGPD.

A minuta está disponível na plataforma Brasil Participativo e recebe contribuições até 26 de outubro de 2026. Antes do encerramento, a Agência realiza audiência pública virtual em 24 de setembro, às 14h30, com transmissão pelo canal da ANPD no YouTube. Quem pretende fazer manifestação oral precisa se inscrever até 18 de setembro por formulário eletrônico. Encerrada a etapa de participação social, a Superintendência de Regulação (SRE-ANPD) analisará as contribuições, consolidará a versão final da minuta e a encaminhará ao Conselho Diretor.

Por que a revisão vai além de um ajuste redacional

Quatro vetores explicam a reforma, e nenhum deles é cosmético.

O primeiro é institucional. A Lei nº 15.352/2026 transformou a ANPD em agência reguladora, com autonomia reforçada, nova estrutura organizacional e novos fluxos decisórios. Regras de competência, de instrução processual e de recurso precisam acompanhar esse desenho, sob pena de vício formal nos processos em curso.

O segundo é o Estatuto Digital da Criança e do Adolescente (ECA Digital), que atribuiu à Agência funções de supervisão sobre ambientes digitais acessados por crianças e adolescentes.

O terceiro é o Decreto nº 12.975/2026, que atualizou a regulamentação do Marco Civil da Internet e detalhou deveres dos provedores de aplicações de internet, incluindo plataformas digitais.

O quarto são as diretrizes de proteção das mulheres e de enfrentamento à violência no ambiente digital, previstas no Decreto nº 12.976/2026.

Na prática, a ANPD deixa de ser lida apenas como autoridade de proteção de dados pessoais e passa a operar como reguladora de um perímetro digital mais amplo. O regulamento de fiscalização é justamente o instrumento que traduz essa ampliação de atribuições em procedimento concreto: quem pode ser fiscalizado, por qual rito, com quais prazos e com quais consequências.

O que isso significa para quem responde por dados sensíveis

Para instituições de saúde, o ponto de atenção não está apenas no texto que muda, mas no que a mudança sinaliza. O Mapa de Temas Prioritários para o biênio 2026-2027, instituído pela Resolução CD/ANPD nº 30/2025, já havia colocado dados de saúde e dados biométricos entre as frentes preferenciais de atuação da Agência. Some-se a isso uma reguladora com mais autonomia e um regulamento processual modernizado, e o resultado é previsível: mais ciclos de monitoramento, mais pedidos de informação e menor tolerância à conformidade meramente documental.

Vale lembrar que dados referentes à saúde são dados pessoais sensíveis (art. 5º, II, da LGPD) e que seu tratamento depende das hipóteses taxativas do art. 11. Um procedimento fiscalizatório em hospital, operadora, laboratório ou clínica costuma alcançar três frentes simultâneas: a legitimidade da base legal adotada, a existência e a qualidade do registro das operações de tratamento (art. 37) e a consistência da resposta a incidentes de segurança.

Implicações práticas para o Encarregado

A revisão do regulamento é um bom pretexto para um teste de prontidão. Cinco verificações concentram a maior parte do risco:

• Exposição regulatória ampliada. Se a instituição opera aplicativos, portais de paciente, telemedicina ou qualquer canal digital acessado por menores, o ECA Digital passa a integrar o escopo fiscalizatório, e não apenas a LGPD.
• Prontidão documental verificável. ROPA atualizado e coerente com a operação real (art. 37), relatório de impacto para tratamentos de alto risco (art. 38) e política de segurança compatível com os arts. 46 a 49.
• Fluxo de incidentes testado. A comunicação à autoridade e aos titulares segue a Resolução CD/ANPD nº 15/2024, com prazo e conteúdo mínimos definidos. Fluxo escrito e nunca simulado costuma falhar exatamente no dia em que é necessário.
• Cadeia de operadores sob controle. Contratos de operador (art. 39), cláusulas de segurança e a responsabilidade prevista no art. 42 alcançam fornecedores de prontuário eletrônico, faturamento, laboratório de apoio e nuvem.
• Canal do Encarregado funcionando de fato. O art. 41, § 2º, I, atribui ao Encarregado receber comunicações da autoridade. Na maioria dos casos, é por esse canal que a fiscalização começa. Endereço desatualizado ou caixa sem responsável transforma um pedido de esclarecimento em descumprimento.

Há ainda um ponto frequentemente ignorado: em processo sancionador, a dosimetria da Resolução CD/ANPD nº 4/2023 considera a adoção comprovada de boas práticas e de programa de governança em privacidade (art. 50 da LGPD) como circunstância relevante. Evidência produzida antes da fiscalização vale muito mais do que justificativa produzida durante.

O que fazer a partir de agora

São duas frentes, com calendário curto.

Participar. A consulta pública é oportunidade concreta de influência regulatória, e o setor de saúde tem particularidades que raramente aparecem em minutas genéricas: prazos legais de guarda de prontuário, obrigações do CFM e da ANS, interoperabilidade entre estabelecimentos e cadeias de operadores extensas. Contribuições até 26 de outubro; audiência em 24 de setembro; inscrição para manifestação oral até 18 de setembro.

Se preparar. Independentemente da redação final, a direção já está clara. Recomenda-se realizar, ainda neste trimestre, uma revisão de prontidão fiscalizatória: conferência do ROPA contra a operação real, simulação de incidente com cronômetro, revisão dos contratos de operador críticos e consolidação de um dossiê de evidências de governança.

Como o ecossistema HDPO pode ajudar

A revisão de prontidão descrita acima é exatamente o tipo de trabalho que combina assessoria técnico-jurídica e sistema. O PROTEGON sustenta o registro das operações, o ciclo de incidentes e a trilha de evidências de governança; a atuação consultiva da HDPO traduz o texto regulatório em plano de ação com responsáveis e prazos.