Imagine receber uma notificação da Autoridade Nacional de Proteção de Dados pedindo explicações sobre como a sua empresa trata os dados de clientes, fornecedores e funcionários. Até pouco tempo atrás, esse tipo de contato costumava terminar em orientação e um prazo confortável para ajustes. Em 2026 o cenário mudou. A ANPD deixou de ser um órgão essencialmente educativo e virou uma agência reguladora de verdade, com poder de fiscalizar, abrir processo e aplicar multa.
De órgão orientador a agência reguladora
Em outubro de 2025 o Congresso converteu em lei a Medida Provisória 1.317/25, que transformou a ANPD em Agência Nacional de Proteção de Dados, vinculada ao Ministério da Justiça e Segurança Pública. Na prática, isso trouxe autonomia funcional, técnica e financeira, orçamento próprio e a criação de duzentos cargos de especialista em regulação de proteção de dados. A fase inicial da LGPD, entre 2021 e 2024, foi marcada por orientação e prazo para adequação. Esse período acabou. A Agência já aplica multas de forma efetiva, inclusive contra microempresas, o que derruba a ideia de que só as grandes companhias entram no radar.
Como funciona a conta da multa
A LGPD prevê multa simples de até 2% do faturamento da empresa no último exercício, sem contar os tributos, com teto de cinquenta milhões de reais por infração. Para um pequeno negócio o valor máximo parece distante, mas a exposição prática de uma microempresa já soma alguns milhares de reais por infração, e o ponto de atenção é outro: as infrações tendem a se acumular. Falta de encarregado de dados, ausência de base legal para o tratamento, vazamento de informações e demora para notificar o incidente podem virar quatro autuações separadas para o mesmo episódio.
Setores que estão na mira em 2026
A ANPD publicou o mapa de temas prioritários para 2026 e 2027, com fiscalização organizada por segmento. Saúde, com clínicas, laboratórios e telemedicina, biometria, com reconhecimento facial, controle de ponto por digital e academias, setor financeiro, com bancos digitais e fintechs, comércio eletrônico e qualquer negócio que trate dados de crianças e adolescentes entraram na lista de prioridade. Muitas empresas nem percebem que se encaixam nesse perfil: câmeras com reconhecimento facial na entrada da loja, folha de pagamento terceirizada, ferramentas de marketing digital que coletam dados de visitantes do site e programas de estágio ou jovem aprendiz já são, por si só, pontos de atenção.
Transparência que também é risco
Desde novembro de 2025 a ANPD mantém um painel público de fiscalização, com dados sobre processos abertos, em andamento e concluídos, organizados por setor e tipo de controlador. O detalhe importante para o empresário é que o desgaste de imagem pode começar antes mesmo de qualquer multa ser aplicada, apenas pela empresa aparecer listada como alvo de um processo em curso.
O que fazer antes de virar estatística
A adequação não depende de grandes investimentos, depende de organização. O primeiro passo é mapear quais dados pessoais a empresa coleta, armazena e compartilha, e para qual finalidade. Em seguida, é preciso definir a base legal de cada tratamento, já que o consentimento é apenas uma entre as dez opções previstas na lei. Também é recomendável designar um encarregado de dados, ainda que terceirizado, revisar a política de privacidade para que reflita a realidade da operação e manter um protocolo escrito para notificar eventuais incidentes de segurança dentro do prazo exigido.
Esses passos custam muito menos do que uma autuação e ainda reduzem o risco de a empresa aparecer no meio de um processo público de fiscalização. Quem trata dados de clientes, fornecedores ou funcionários sem essa organização básica está mais exposto do que imagina, independentemente do porte do negócio.
Tem uma situação parecida na sua empresa? Fale com a Amon & Farias.