A ANPD virou agência reguladora. O que muda para quem guarda processo.

O que exatamente mudou

Em 25 de fevereiro de 2026 foi sancionada a Lei nº 15.352, resultado da conversão da Medida Provisória nº 1.317/2025. Ela transforma a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, com natureza de autarquia de natureza especial — a mesma forma jurídica da Anatel, da Aneel e das demais agências reguladoras brasileiras.

Na prática, três coisas vieram junto: autonomia funcional, técnica, decisória, administrativa e financeira; patrimônio próprio; e a criação de 200 cargos de especialista em regulação de proteção de dados, a serem preenchidos por concurso público.

Por que isso não é notícia de burocracia

Porque muda a natureza da relação. Órgão sem autonomia orçamentária e sem quadro próprio fiscaliza por amostragem, quando sobra gente. Agência reguladora com corpo técnico permanente e concursado fiscaliza por rotina — e a diferença entre as duas coisas, para quem é fiscalizado, é a diferença entre uma probabilidade remota e um calendário.

Escritório de advocacia tinha, até aqui, uma proteção informal razoável: era pequeno demais para valer a atenção de uma autoridade com poucos servidores. Essa proteção era estatística, não jurídica. E ela encolheu.

O que já dá para observar em 2026

Não é preciso especular sobre postura — a própria Agência publica o que faz. Em 25 de junho de 2026 ela divulgou o resultado de um monitoramento de 56 agentes de tratamento, 39 órgãos públicos e 17 empresas privadas, sobre duas obrigações formais: indicação de encarregado e disponibilização de canal de comunicação com o titular.

O resultado: 27 em conformidade, 8 com pendências e 21 que simplesmente não responderam, com a Agência registrando que a ausência de resposta pode levar “inclusive à aplicação de sanções”.

Vale sublinhar o que estava em jogo ali: não era vazamento. Eram duas obrigações de organização — ter alguém indicado, ou ter um canal aberto. É o tipo de dever que se cumpre numa tarde e que fica pendente por anos porque nunca é urgente.

O que a Agência pode aplicar

As sanções continuam sendo as do art. 52 da LGPD, que não mudou. Elas vão de advertência, com prazo para adoção de medidas corretivas, a multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração — além de publicização da infração, bloqueio e eliminação dos dados.

Para um escritório de advocacia, a publicização costuma pesar mais que o valor. Uma banca que aparece numa lista pública de infratora em proteção de dados perde cliente corporativo antes de discutir o mérito.

Três coisas para fazer com esta notícia

1. Descobrir em que categoria o escritório está. Com ou sem encarregado indicado, com ou sem canal aberto para o titular. Foi exatamente isso que a Agência foi olhar em junho.
2. Escrever o registro de tratamento. Pode ser simplificado se o escritório se enquadrar como agente de pequeno porte — e esse enquadramento tem uma condição que a maioria não checou.
3. Saber quem responde por quê. O escritório é o controlador, o fornecedor é o operador, e o contrato entre os dois não move essa linha: é o assunto deste outro artigo.

Nenhuma das três exige consultoria, orçamento ou projeto. Exigem uma decisão e uma tarde — e são exatamente as que a Agência começou a cobrar primeiro.