ANPD e LGPD: o que sua empresa precisa saber

ANPD: a proteção de dados deixou de ser uma preocupação apenas das grandes plataformas

A proteção de dados pessoais deixou definitivamente de ser um assunto restrito aos departamentos de tecnologia das grandes empresas. Os recentes episódios envolvendo plataformas digitais como Discord, TikTok, Instagram e outras redes sociais demonstram que a atuação da Autoridade Nacional de Proteção de Dados (ANPD) passou a ocupar um espaço cada vez mais relevante no ambiente empresarial brasileiro.

Para as empresas, isso significa uma mudança importante de perspectiva. Quem coleta, armazena, utiliza, compartilha ou elimina dados pessoais precisa saber exatamente quais informações possui, por que as possui, quem tem acesso a elas e por quanto tempo pretende mantê-las.

Não se trata apenas de uma questão de privacidade. A proteção de dados também envolve governança, segurança jurídica, gestão de riscos e responsabilidade empresarial. É nesse contexto que a relação entre ANPD e LGPD ganha importância para empresas de todos os portes.

ANPD e LGPD: qual é a relação?

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável por zelar pela proteção dos dados pessoais e pela privacidade no Brasil. Entre suas atribuições estão regulamentar, orientar, fiscalizar e aplicar sanções relacionadas à Lei Geral de Proteção de Dados Pessoais (LGPD).

A ANPD exerce papel central na interpretação e implementação da LGPD, estabelecendo normas e diretrizes para sua aplicação e zelando pela proteção dos dados pessoais dos brasileiros.

Com a evolução legislativa recente, a Autoridade também passou a exercer papel relevante na proteção de crianças e adolescentes em ambientes digitais.

A ANPD foi criada pela Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD). Sua transformação em agência reguladora foi consolidada pela Lei nº 15.352/2026, ampliando sua autonomia funcional, técnica, decisória, administrativa e financeira.

Essa mudança demonstra o fortalecimento institucional da Autoridade e sua importância dentro do sistema regulatório brasileiro.

O que a ANPD pode fazer?

A relação entre ANPD e LGPD também se manifesta nas atividades de fiscalização, orientação e regulamentação exercidas pela Autoridade. Entre suas principais atribuições estão a orientação dos agentes de tratamento, a fiscalização do cumprimento da legislação e a aplicação das sanções administrativas previstas na Lei.

A Autoridade pode instaurar procedimentos de fiscalização, solicitar informações e documentos, determinar medidas preventivas e, constatada uma infração, aplicar as sanções cabíveis.

A LGPD prevê, entre outras medidas, advertência, bloqueio ou eliminação de dados pessoais, suspensão parcial do funcionamento do banco de dados e multa, observados os requisitos legais.

A ANPD também possui regulamentação específica sobre o processo de fiscalização e o processo administrativo sancionador.

É importante destacar, entretanto, que a atuação da ANPD não se resume à aplicação de multas. A Autoridade adota um modelo de regulação responsiva, priorizando, quando adequado, medidas orientativas e preventivas para conduzir os agentes de tratamento à conformidade.

Por isso, uma empresa não deve enxergar a ANPD exclusivamente como um órgão punitivo. Deve compreendê-la como uma autoridade reguladora diante da qual precisa demonstrar que possui mecanismos efetivos de conformidade.

Discord, TikTok e o novo momento da fiscalização

Os acontecimentos recentes envolvendo grandes plataformas digitais ajudam a compreender a dimensão que a atuação da ANPD está assumindo.

Em agosto de 2026, a Autoridade determinou, em medida preventiva, que o Discord suspendesse no Brasil sua funcionalidade de transmissões ao vivo, em meio às discussões relacionadas à proteção de crianças e adolescentes no ambiente digital.

Também recentemente, a ANPD aplicou ao TikTok uma multa de R$ 153,7 milhões relacionada a falhas na proteção de dados de crianças e adolescentes.

Esses casos são relevantes porque demonstram que a fiscalização pode ultrapassar a análise meramente documental e alcançar a própria arquitetura e o funcionamento dos serviços digitais.

Não estamos mais falando apenas de uma empresa que deixou de apresentar determinada política de privacidade. Os questionamentos podem envolver a forma como a empresa coleta dados, identifica seus usuários, verifica idade, utiliza informações, disponibiliza determinados recursos e estabelece mecanismos para prevenir riscos.

O cenário se tornou ainda mais amplo com a implementação do Estatuto da Criança e do Adolescente Digital (ECA Digital), instituído pela Lei nº 15.211/2025, que estabeleceu novas obrigações relacionadas à proteção de crianças e adolescentes em ambientes digitais.

A própria ANPD passou a destacar, em sua agenda de 2026, ações relacionadas ao ECA Digital e à proteção de crianças e adolescentes.

O alerta não é somente para as redes sociais

Seria um erro concluir que a preocupação com a ANPD é exclusiva de empresas como TikTok, Instagram, Facebook, WhatsApp, YouTube ou Discord.

Praticamente toda empresa trata dados pessoais.

Uma clínica possui dados de pacientes. Uma escola possui dados de alunos e responsáveis. Uma empresa possui dados de funcionários. Um escritório de advocacia possui dados de clientes e partes processuais. Uma imobiliária possui dados de compradores, vendedores, locatários e proprietários. Um comércio possui dados de consumidores. Uma empresa de marketing possui bases de clientes e potenciais clientes.

Até mesmo uma pequena empresa que mantém uma planilha com nome, telefone, CPF e endereço de seus clientes já está realizando tratamento de dados pessoais.

A LGPD se aplica ao tratamento de dados pessoais realizado por pessoas físicas ou jurídicas, de direito público ou privado, inclusive em meios digitais.

Portanto, o tamanho da empresa não elimina a necessidade de conformidade.

O principal problema: muitas empresas não sabem quais dados possuem

Um dos maiores riscos empresariais atualmente não está necessariamente na existência de uma grande quantidade de dados, mas na falta de controle sobre eles.

É comum encontrar empresas que possuem:

• planilhas antigas de clientes;
• documentos digitalizados;
• cópias de documentos pessoais;
• dados bancários;
• informações de funcionários;
• cadastros em sistemas;
• listas de transmissão;
• grupos de WhatsApp;
• gravações;
• imagens de câmeras;
• dados enviados por e-mail;
• informações armazenadas em computadores pessoais;
• documentos em serviços de armazenamento em nuvem;
• bases utilizadas por empresas terceirizadas.

Muitas vezes, porém, ninguém consegue responder com precisão a perguntas fundamentais:

Quais dados temos? Por que coletamos esses dados? Qual é a base legal para o tratamento? Quem possui acesso? Com quem compartilhamos? Onde estão armazenados? Por quanto tempo permanecerão armazenados? O que acontece quando o titular solicita sua exclusão ou alteração?

Essas perguntas deveriam fazer parte da rotina de governança de qualquer empresa.

A importância do controle do ciclo de vida dos dados

A conformidade com a LGPD não deve começar pela elaboração de uma política de privacidade genérica retirada da internet.

Ela deve começar pelo mapeamento dos dados.

A empresa precisa conhecer o ciclo de vida da informação:

coleta → armazenamento → utilização → compartilhamento → retenção → eliminação

Esse mapeamento permite identificar riscos e corrigir problemas antes que eles se transformem em incidentes ou processos administrativos.

Também permite aplicar um dos princípios fundamentais da proteção de dados: não coletar ou manter informações sem uma finalidade legítima e definida.

Dados desnecessários representam risco desnecessário.

Quanto maior a quantidade de informações armazenadas sem finalidade clara, maior tende a ser o impacto de eventual vazamento, acesso indevido ou utilização inadequada.

Segurança da informação não é apenas responsabilidade do departamento de TI

Outro equívoco frequente é acreditar que a adequação à LGPD consiste simplesmente em instalar antivírus, criar senhas fortes ou contratar um sistema de segurança.

A segurança da informação é apenas uma parte do problema. A empresa precisa também estabelecer processos, políticas e responsabilidades.

É necessário definir, por exemplo:

• quem pode acessar determinadas informações;
• quais funcionários podem consultar dados pessoais;
• quais dados podem ser enviados por WhatsApp;
• como documentos devem ser armazenados;
• quando documentos devem ser eliminados;
• como agir diante de um incidente de segurança;
• como responder às solicitações dos titulares;
• como contratar fornecedores que terão acesso a dados;
• quais informações podem ser compartilhadas com terceiros;
• como registrar e demonstrar as medidas de conformidade adotadas.

A ANPD possui, inclusive, guia específico de segurança da informação destinado aos agentes de tratamento de pequeno porte. Isso demonstra que a preocupação com segurança e conformidade também alcança pequenas empresas.

O risco não está apenas no vazamento

É importante compreender que uma empresa pode enfrentar problemas relacionados à LGPD mesmo sem ocorrer um vazamento de dados.

Tratamento sem base legal, ausência de transparência, compartilhamento inadequado, retenção excessiva, falhas no atendimento aos titulares, ausência de mecanismos adequados de segurança ou descumprimento de determinações da Autoridade também podem gerar consequências.

A própria ANPD vem realizando ações de fiscalização relacionadas, por exemplo, à existência de Encarregado pelo Tratamento de Dados Pessoais e à disponibilização de canais adequados de comunicação com os titulares.

Por isso, esperar que ocorra um vazamento para somente então verificar a situação da empresa pode representar um erro de gestão.

Conformidade é também uma forma de defesa

Existe uma consequência importante dessa realidade.

Uma empresa que possui programa de governança em privacidade, registros de tratamento, políticas internas, contratos adequados, controle de acesso, treinamento de funcionários, procedimento de resposta a incidentes e mecanismos de atendimento aos titulares está em uma posição muito diferente daquela que simplesmente afirma estar “adequada à LGPD”.

Em eventual fiscalização, não basta dizer que a empresa se preocupa com privacidade. É fundamental conseguir demonstrar o que foi feito.

A documentação da conformidade passa, portanto, a desempenhar papel estratégico.

Ela permite demonstrar que a empresa:

• identificou seus riscos;
• estabeleceu procedimentos;
• treinou seus colaboradores;
• adotou medidas de segurança;
• definiu responsabilidades;
• revisou contratos;
• controlou acessos;
• estabeleceu critérios de retenção e eliminação;
• possui canal para os titulares;
• possui plano para responder a incidentes.

A LGPD deve ser tratada como governança empresarial

Os recentes casos envolvendo grandes plataformas servem, portanto, como um alerta para todo o mercado.

Toda empresa deveria fazer uma pergunta:

“Se a ANPD fiscalizar minha empresa amanhã, conseguirei demonstrar que sei exatamente como trato os dados pessoais que estão sob minha responsabilidade?”

A proteção de dados não deve ser encarada como um documento que fica arquivado em uma pasta chamada “LGPD”. Ela precisa fazer parte da governança cotidiana da empresa.

A empresa precisa conhecer seus dados, controlar seus acessos, limitar seus compartilhamentos, estabelecer períodos de retenção, treinar seus colaboradores e criar mecanismos para responder rapidamente a incidentes e solicitações dos titulares.

Conclusão

Os casos recentes envolvendo Discord, TikTok e outras plataformas demonstram que a proteção de dados pessoais entrou definitivamente em uma nova fase no Brasil.

A ANPD está fortalecendo sua atuação institucional e ampliando sua presença regulatória, ao mesmo tempo em que o ECA Digital acrescenta novas obrigações relacionadas à proteção de crianças e adolescentes no ambiente digital.

Nesse cenário, não conhecer os próprios dados passou a ser um risco empresarial. A adequação à LGPD não deve ser vista apenas como uma obrigação burocrática ou como uma preocupação das grandes empresas de tecnologia.

Ela representa uma necessidade de governança, prevenção e gestão de riscos.

Empresas que conhecem seus dados e controlam adequadamente seu ciclo de vida estão mais preparadas para prevenir incidentes, responder aos titulares, atender às exigências regulatórias e, principalmente, evitar que uma falha de tratamento de dados se transforme em um problema jurídico, financeiro e reputacional.

Este conteúdo possui caráter exclusivamente informativo e não substitui a análise jurídica individualizada de situações concretas

Perguntas frequentes (FAQ)

Precisa de orientação jurídica especializada?

Nossa equipe está preparada para analisar o seu caso e oferecer uma orientação jurídica segura, técnica e personalizada.

Pasquali & Poli Advogados
Direito Administrativo | Ribeirão Preto/SP