ANPD virou agência reguladora: o que muda para o seu site

Durante anos, o argumento mais comum para adiar a adequação à LGPD foi "a ANPD não fiscaliza". Em 2026, esse argumento morreu — não por opinião, mas por três fatos documentados. Este artigo apresenta os três e termina com o que fazer a respeito.

Fato 1: a ANPD virou agência de verdade (Lei 15.352/2026)

Em 25 de fevereiro de 2026, foi sancionada a Lei 15.352, que alterou o Art. 55-A da LGPD e transformou a ANPD em Agência Nacional de Proteção de Dados: autarquia de natureza especial vinculada ao Ministério da Justiça, com autonomia funcional, técnica, decisória, administrativa e financeira, sob o regime das agências reguladoras (Lei 13.848/2019).

A mudança não é cosmética. A lei criou a carreira de Especialista em Regulação de Proteção de Dados, com 200 cargos destinados à atividade regulatória e fiscalizatória. A criação da carreira não equivale à contratação imediata — o provimento depende de concurso público —, mas uma autoridade com orçamento próprio e quadro técnico previsto em lei opera de forma diferente de um órgão que dependia de estrutura emprestada.

Fato 2: Google e iFood receberam prazo de 10 dias úteis

Em junho de 2026, a ANPD concluiu um ciclo nacional de monitoramento sobre uma obrigação básica da LGPD: a indicação do encarregado de dados (DPO) e do canal de atendimento ao titular. Foram monitorados 56 agentes — 39 órgãos públicos e 17 empresas privadas. O resultado, publicado pela própria ANPD:

27 atenderam integralmente às solicitações. 8 apresentaram pendências e receberam 10 dias úteis, contados da notificação, para regularizar — segundo a imprensa especializada, Google Brasil e iFood estão entre elas. E 21 organizações que não responderam tiveram a situação encaminhada à Coordenação-Geral de Sanções para análise.

Vale registrar o que esse encaminhamento significa: ser encaminhado à área de sanções não é ser sancionado. É uma etapa do processo de fiscalização, que pode ou não resultar em processo sancionador. O que o caso mostra é o prazo: dez dias úteis para regularizar, inclusive para empresas de grande porte.

Fato 3: o plano de fiscalização 2026-2027 já está publicado — e inclui publicidade direcionada

A ANPD publicou o Mapa de Temas Prioritários 2026-2027 prevendo 75 atividades de fiscalização para o biênio, distribuídas em quatro eixos: direitos dos titulares; proteção de crianças e adolescentes no ambiente digital; tratamento de dados pessoais pelo Poder Público; e inteligência artificial e tecnologias emergentes. O Mapa foi aprovado pela Resolução CD/ANPD nº 30/2025.

Dois pontos do plano interessam diretamente a quem tem site. A ANPD cita, entre as atividades previstas, o monitoramento do uso secundário de dados pessoais para entrega de publicidade comercial direcionada e a verificação da adoção, por design e por padrão, do modelo mais protetivo de privacidade. É nesse ponto — e não em uma fiscalização de "cookies" como categoria — que cookies, pixels e tags de terceiros entram na conversa: eles são o meio pelo qual esse tratamento acontece.

O que fazer agora: 4 verificações que a fiscalização olharia primeiro

1. Canal de atendimento ao titular e encarregado identificados. Foi exatamente essa a obrigação do ciclo de monitoramento de junho. Sua política de privacidade precisa identificar o encarregado e oferecer um canal funcional.

2. Rastreadores bloqueados antes do consentimento. Analytics e pixels de marketing só podem disparar depois do aceite — é o comportamento que as 5 ações sobre publicidade direcionada tendem a examinar.

3. Configuração mais protetiva por padrão. Categorias não essenciais desmarcadas, sem caixas pré-selecionadas, com recusa tão fácil quanto o aceite.

4. Registro de consentimento auditável. Se a fiscalização perguntar "prove que este visitante consentiu", a resposta precisa ser um registro com data, versão do banner e escolha feita — não uma captura de tela.

Conclusão

A pergunta mudou. Não é mais "será que a ANPD fiscaliza?" — ela virou agência reguladora, ganhou carreira própria em lei e publicou o que pretende priorizar. A pergunta agora é mais concreta: se a sua organização fosse notificada amanhã, você conseguiria responder com evidência — quais dados trata, com qual base legal, e o que o seu site carrega antes do consentimento? Para saber mais sobre o processo de fiscalização, veja o guia completo ANPD: como funciona a fiscalização da LGPD e a tabela de penalidades da LGPD.

Este conteúdo tem caráter informativo, com fontes oficiais citadas. Consulte um advogado especializado em privacidade de dados para adequação completa à LGPD.