O Doutor Gilmar Stelo, advogado e fundador do Stelo Advogados, tem alertado clientes de diferentes portes sobre uma mudança de postura que já reconfigurou a relação entre empresas e a Autoridade Nacional de Proteção de Dados. Até pouco tempo atrás, a ANPD era vista por boa parte dos empresários como um órgão essencialmente orientativo, mais preocupado em educar o mercado do que em punir infrações. Em 2026, esse cenário mudou de forma definitiva, e o órgão hoje atua com poder de fiscalização, autuação e sanção equivalente ao de outras agências reguladoras já consolidadas no país.
Diante dessa transformação, a pergunta que realmente importa deixou de ser quando a ANPD vai fiscalizar, já que ela já está fiscalizando, e passou a ser outra: o que exatamente o órgão vai encontrar quando chegar até a sua empresa. Entender os pontos que mais têm gerado autuações recentes ajuda a antecipar ajustes simples, mas decisivos, antes que a fiscalização se transforme em processo administrativo sancionador.
De órgão orientador a xerife do ambiente digital
A virada institucional aconteceu em fevereiro de 2026, quando o Congresso Nacional converteu a medida provisória que tratava do tema em lei, transformando a ANPD em uma agência reguladora de fato, com autonomia funcional, técnica, administrativa e financeira, carreira própria composta por duzentos cargos de especialista preenchidos por concurso público e uma estrutura de seis superintendências, incluindo uma unidade dedicada exclusivamente à fiscalização. Gilmar Stelo explica que essa mudança não é apenas simbólica; ela representa um salto real na capacidade operacional do órgão de identificar e punir irregularidades em escala.
Esse novo poder já se traduziu em ação concreta. Recentemente, a ANPD concluiu um ciclo nacional de monitoramento voltado a uma obrigação básica da legislação, a indicação formal do encarregado de dados, oficiando dezenas de organizações para verificar se possuíam esse profissional e se os canais de contato estavam em conformidade. Enquanto algumas companhias de grande porte demonstraram conformidade dentro do prazo, outras receberam prazos curtos de regularização, e vinte e uma entidades sequer responderam aos pedidos de informação, sendo encaminhadas diretamente para abertura de processo administrativo sancionador.
O que a ANPD realmente verifica antes de multar?
O mapa de temas prioritários da agência para o biênio 2026-2027 já deixa claro onde a fiscalização vai se concentrar, com foco especial em direitos dos titulares relacionados a dados biométricos, de saúde e financeiros, além de dados de crianças e adolescentes, inteligência artificial e o próprio poder público. Analisando os casos já concluídos, cinco categorias de infração se repetem com frequência muito maior do que as demais: vazamento de dados sem notificação adequada em até setenta e duas horas, tratamento sem base legal válida documentada, compartilhamento indevido com terceiros, ausência de encarregado de dados nomeado e falha nos canais de atendimento aos titulares.
Segundo o Doutor Gilmar Stelo, especialista na área jurídica, contencioso e administrativo, o padrão que se observa nesses processos é bastante revelador: a ANPD ainda não está punindo sofisticação técnica ou falhas complexas de segurança da informação; ela está punindo o básico. Empresas que ainda não mapearam formalmente quais dados coletam, com que base legal e sem ter sequer um encarregado nomeado estão, na prática, sinalizando ao órgão exatamente onde procurar uma infração fácil de comprovar.
O tamanho da empresa não é escudo contra a multa
Um dado que costuma surpreender pequenos e médios empresários é que a primeira multa em dinheiro aplicada pela ANPD recaiu justamente sobre uma microempresa, somando pouco mais de quatorze mil reais entre multa e advertência por ausência de base legal documentada e falta de encarregado de dados. As sanções previstas na legislação podem chegar a dois por cento do faturamento da empresa no último exercício, limitadas a cinquenta milhões de reais por infração, e o custo médio de uma violação de dados no Brasil já ultrapassa sete milhões de reais quando considerados todos os impactos operacionais e reputacionais envolvidos.
More EV News
Esse cenário se torna ainda mais desafiador com a criação, desde novembro de 2025, de um painel público que reúne dados agregados de todos os procedimentos fiscalizatórios em andamento, aumentando consideravelmente a pressão reputacional sobre organizações que aparecem sob investigação, independentemente do resultado final do processo. Sendo assim, Gilmar Stelo informa que esperar para se adequar apenas depois de receber uma notificação formal deixou de ser uma estratégia segura para qualquer empresa, grande ou pequena.
Como estruturar a conformidade antes que a fiscalização bata à porta?
O ponto de partida mais básico, e também o mais verificado pela ANPD, é o mapeamento claro dos dados coletados pela empresa, a definição da base legal para cada tipo de tratamento e a nomeação formal de um encarregado de dados responsável por mediar a relação com titulares e com o próprio órgão fiscalizador. Complementam esse cuidado a existência de um plano estruturado de resposta a incidentes e controles técnicos básicos, como registro de acessos, criptografia e rastreabilidade das informações tratadas pela organização.
Tal como resume o Doutor Gilmar Stelo, o Stelo Advogados Associados tem auxiliado empresas de diferentes portes a estruturar essa conformidade de forma integrada à governança corporativa já existente, entendendo que a proteção de dados deixou de ser tema estritamente técnico de tecnologia da informação para se tornar responsabilidade jurídica direta da alta administração de qualquer negócio.
A fiscalização ativa da ANPD chegou para ficar, e o histórico recente mostra que ela está mirando exatamente as falhas mais elementares de conformidade, não as mais sofisticadas. Empresas que resolverem essas pendências básicas antes de receber a primeira notificação do órgão tendem a evitar não apenas multas evitáveis, mas também o desgaste reputacional de figurar publicamente entre as organizações sob investigação.
