A ANPD começou a cobrar evidências: o que as fiscalizações de 2026 ensinam às empresas sobre LGPD 

Durante os primeiros anos da Lei Geral de Proteção de Dados Pessoais, muitas empresas concentraram a adequação em políticas, cláusulas e nomeações formais. Esses documentos continuam necessários, mas a atuação recente da Agência Nacional de Proteção de Dados mostra que já não bastam. A pergunta regulatória passou a ser objetiva: a organização consegue demonstrar que seus controles funcionam na prática? 

Os processos de 2026 indicam uma fiscalização voltada à operação real. Em junho, a ANPD instaurou processo administrativo sancionador contra a Claro (00261.003285/2026-15) após apuração relacionada ao compartilhamento de dados de clientes com a Serasa. A fiscalização da Serasa tramita separadamente, sob o número 00261.003351/2026-49. A autoridade apontou possíveis problemas de necessidade, transparência e acesso ao encarregado. Em outro monitoramento, 21 dos 56 agentes avaliados não responderam aos pedidos de adequação e oito ainda apresentavam pendências. 

Em julho, o processo sancionador contra o Instituto Saúde e Cidadania (00261.003381/2026-55) reforçou o componente probatório. Após incidente de ransomware que envolveu aproximadamente 500 mil registros de pacientes, a ANPD afirmou não ter recebido evidências técnicas suficientes para sustentar determinadas alegações do agente. Os casos têm objetos diferentes, mas o recado é comum: a fiscalização alcança o que foi feito, quando, por quem e com qual prova. 

A LGPD nunca exigiu apenas documentos 

O artigo 6º, inciso X, da LGPD estabelece o princípio da responsabilização e prestação de contas. O agente deve adotar medidas eficazes e ser capaz de demonstrar a observância das normas. Por isso, uma política sem trilha operacional é fraca. Quem afirma controlar acessos precisa apresentar configuração, responsáveis e registros. Quem informa ter treinado colaboradores deve recuperar listas, conteúdo e datas. Quem diz ter avaliado um risco precisa mostrar o critério utilizado e a decisão adotada. 

Conformidade, nesse cenário, é a capacidade de reconstruir o histórico do tratamento. O inventário deve corresponder aos sistemas em uso; a política de privacidade deve refletir os fluxos reais; os contratos precisam ser compatíveis com as instruções transmitidas aos fornecedores; e as respostas aos titulares devem permanecer recuperáveis. A adequação prática à LGPD deve reduzir essa distância entre documentos e operação. 

Claro e Serasa: necessidade e transparência precisam aparecer na operação 

No caso Claro e Serasa, a discussão divulgada pela ANPD envolve uma parceria para desenvolvimento de metodologias de análise de crédito e outras condições de mercado. A existência de contrato não encerra a análise. A empresa precisa justificar quais categorias foram compartilhadas, por que eram necessárias, qual finalidade sustentava a operação, qual papel cada agente exercia, como o titular foi informado e quais controles foram aplicados. 

Isso exige governança de terceiros além da cláusula genérica. O fluxo deve constar do inventário; a finalidade e a base legal devem estar documentadas; as informações de transparência precisam acompanhar a operação; e a organização deve preservar a análise de necessidade e proporcionalidade. Sem essa trilha, uma relação comercial ordinária pode se converter em exposição regulatória. 

Encarregado e canal de atendimento precisam funcionar 

O monitoramento dos encarregados demonstra que obrigações conhecidas também são fiscalizadas. A Resolução CD/ANPD nº 18/2024 disciplina a atuação do encarregado, mas indicar um nome e publicar um endereço eletrônico não encerra a tarefa. A solicitação precisa chegar ao responsável, ser classificada, mobilizar as áreas competentes, receber resposta no prazo aplicável e gerar registro verificável. 

Parte dos agentes monitorados foi selecionada a partir de denúncias e petições que indicavam ausência ou deficiência de canais. Isso cria uma consequência prática: um atendimento desorganizado pode produzir a documentação que desencadeará a fiscalização. Testes periódicos do canal, matriz de responsabilidades e guarda dos protocolos são controles simples, mas precisam existir de verdade. 

O caso Isac e a diferença entre afirmar e provar 

No processo envolvendo o Isac, a questão central divulgada pela ANPD foi a insuficiência de comprovação. Dizer que determinados dados não foram acessados é diferente de apresentar logs, perícia e outros elementos que sustentem a conclusão. Dizer que medidas corretivas foram adotadas é diferente de registrar quais ações foram executadas, quando, por quem e com qual resultado. 

A resposta a incidentes deve conter o evento e permitir sua reconstrução futura. Isso envolve cronologia, preservação de logs, decisões do comitê, avaliação de risco, comunicação de incidentes de segurança e evidências de remediação. Os prazos devem ser calculados segundo a regulamentação aplicável. O ponto adicional dos casos de 2026 é claro: a narrativa sem base técnica não sustenta a defesa. 

A fiscalização também ficou mais previsível 

O Mapa de Temas Prioritários para 2026 e 2027 identifica quatro eixos: direitos dos titulares, proteção de crianças e adolescentes no ambiente digital, tratamento de dados pessoais pelo Poder Público e inteligência artificial e tecnologias emergentes. Esses temas foram definidos com base em requerimentos, comunicações de incidentes e fiscalizações anteriores. 

Empresas expostas a esses eixos não deveriam aguardar um ofício. O trabalho preventivo inclui testar canais, atualizar registros, revisar fornecedores, avaliar novos tratamentos e integrar o encarregado às decisões. A regulação responsiva combina orientação, prevenção e repressão, mas a reação do agente é relevante: responder, cooperar e corrigir com evidências reduzem o risco; ignorar ou responder sem documentação agrava a exposição. 

O conjunto mínimo de evidências 

A documentação adequada depende do risco, mas deve permitir reconstruir dados utilizados, finalidades, bases legais, destinatários, avaliações, controles e decisões. Também devem ser recuperáveis solicitações de titulares, incidentes, treinamentos, contratos, análises de novos projetos, registros de compartilhamento e comprovação das medidas de segurança. Quanto maior o risco do tratamento, maior deve ser a capacidade de explicar e demonstrar as escolhas. 

O que a administração precisa conseguir demonstrar 

As fiscalizações de 2026 não provam que toda desconformidade terminará em sanção, nem autorizam rotular como infrator quem ainda está sob apuração. Elas demonstram, porém, que políticas e contratos isolados não bastam. A pergunta correta para a administração é concreta: se a ANPD solicitar amanhã as evidências da conformidade, o que a organização conseguirá apresentar? 

A SMN Advogados apoia empresas na estruturação de governança de dados, revisão de fornecedores, resposta a incidentes e preparação de evidências para fiscalizações da ANPD.