ANPD vira agência reguladora: o que a Lei 15.352/2026 muda para as empresas 

A nova posição institucional reforça autonomia, governança regulatória e capacidade técnica potencial, mas não cria automaticamente novas infrações ou sanções na LGPD 

A Lei 15.352/2026, publicada em 25 de fevereiro de 2026, consolidou a transformação da Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados e inseriu a ANPD no rol das agências reguladoras federais submetidas à Lei 13.848/2019. A agência permanece vinculada ao Ministério da Justiça e Segurança Pública, mas passa a operar dentro de um regime institucional mais estruturado, com regras próprias de governança regulatória, autonomia ampliada e quadro técnico específico. 

A mudança é relevante, mas deve ser interpretada com precisão. A Lei 15.352/2026 não institui um novo regime geral de infrações da Lei Geral de Proteção de Dados Pessoais (LGPD), não cria uma nova tabela de multas e não transforma imediatamente os 200 cargos previstos em 200 servidores em exercício. O impacto sobre a fiscalização depende da implementação da nova estrutura e do provimento gradual dos cargos. 

O que mudou na posição institucional da ANPD 

Ingresso formal no regime das agências reguladoras 

A lei incluiu a ANPD no artigo 2º da Lei 13.848/2019. Com isso, a agência passa a observar o regime geral aplicável a reguladores federais, inclusive regras de planejamento, transparência decisória, prestação de contas e participação social. Os mandatos dos atuais membros do Conselho Diretor foram preservados, e as nomeações posteriores devem observar as leis aplicáveis às agências reguladoras. 

Esse desenho tende a reduzir descontinuidades institucionais e a ampliar a previsibilidade regulatória. Não significa independência absoluta, pois a ANPD continua vinculada ao Ministério da Justiça e Segurança Pública e submetida aos controles próprios da administração pública. 

Autonomia e nova estrutura regimental 

A ANPD é definida como autarquia de natureza especial, com autonomia funcional, técnica, decisória, administrativa e financeira e patrimônio próprio. A estrutura regimental foi posteriormente detalhada pelo Decreto 12.881/2026. Na prática, a autonomia jurídica fornece condições institucionais para decisões mais estáveis, mas sua efetividade depende de orçamento, pessoal, processos internos e execução administrativa. 

O quadro técnico previsto pela Lei 15.352/2026 

A lei transformou 797 cargos efetivos vagos do Poder Executivo em 200 cargos efetivos de Especialista em Regulação de Proteção de Dados e 18 cargos em comissão e funções de confiança. Em dispositivo separado, criou 26 Cargos Comissionados Executivos e Funções Comissionadas Executivas para alocação na ANPD. 

Os especialistas terão atribuições relacionadas à regulação, inspeção, fiscalização, controle, implementação de políticas e realização de estudos. Entretanto, o provimento e a designação desses cargos ocorrerão conforme as necessidades do serviço e os requisitos orçamentários. Portanto, é correto falar em expansão da capacidade institucional potencial, não em aumento imediato e integral da força de fiscalização. 

Como muda o processo regulatório 

Análise de impacto e participação pública 

A condição de agência reguladora reforça a aplicação de instrumentos de governança regulatória. Atos normativos de interesse geral dos agentes econômicos, consumidores ou usuários devem ser precedidos de análise de impacto regulatório, observadas as hipóteses legais de dispensa. As minutas de atos normativos também se submetem a consulta pública nos termos da Lei 13.848/2019. 

Isso não torna as normas da ANPD hierarquicamente superiores às anteriores. O ganho está no procedimento: maior fundamentação, transparência e possibilidade de participação dos setores afetados antes da decisão final. 

O que não mudou automaticamente 

A transformação institucional não cria, por si só, novas infrações nem altera os limites das sanções previstos na LGPD. Também não permite presumir que instrumentos consensuais estejam disponíveis indistintamente. A possibilidade de um ajuste deve ser examinada conforme a regulamentação aplicável, a competência da autoridade e as condições do caso concreto. 

A relação com o ECA Digital 

A ampliação de responsabilidades da ANPD também se conecta ao Estatuto Digital da Criança e do Adolescente, a Lei 15.211/2025. A designação da ANPD como autoridade administrativa autônoma para o tema decorre do ECA Digital e de sua regulamentação, enquanto a Lei 15.352/2026 fixou a vigência do Estatuto em 17 de março de 2026 e consolidou a nova posição institucional da agência. 

Para plataformas digitais, serviços on-line e produtos com acesso provável por crianças e adolescentes, esse novo campo regulatório exige atenção específica a mecanismos de aferição etária, supervisão parental, publicidade, desenho de produto e gestão de riscos. A página oficial da ANPD sobre o ECA Digital reúne as normas e orientações atuais. 

O que muda no cálculo de risco empresarial 

A consequência mais provável da nova estrutura é uma fiscalização progressivamente mais técnica e previsível, à medida que cargos sejam providos e processos amadureçam. Isso aumenta a importância de demonstrar a execução real do programa de privacidade. Políticas genéricas, desacompanhadas de registros, responsáveis, testes e evidências, oferecem pouca capacidade de defesa em uma fiscalização. 

O ponto de partida continua sendo um programa de governança de dados e privacidade proporcional ao risco da operação. O inventário de dados, os fluxos com fornecedores, a documentação do encarregado e os mecanismos de atendimento aos titulares precisam refletir a realidade da empresa. 

O que fazer agora 

• Atualizar o inventário de dados pessoais e os registros das operações de tratamento. O roteiro do SMN sobre adequação prática à LGPD ajuda a organizar essa revisão. 

• Revisar contratos com operadores e suboperadores, com obrigações verificáveis de segurança, cooperação e auditoria. 

• Confirmar a designação, a autonomia e os recursos do encarregado pelo tratamento de dados. 

• Revisar e testar o plano de resposta a incidentes. O artigo sobre comunicação de incidente de segurança na LGPD detalha critérios de relevância, prazos e registros necessários. 

• Organizar evidências de treinamento, decisões, logs, auditorias e tratamento de desvios. O conteúdo sobre privacidade e proteção de dados em CRM mostra como controles documentais e técnicos se complementam. 

• Mapear se produtos ou serviços têm acesso provável por crianças e adolescentes e, em caso positivo, realizar análise específica do ECA Digital. 

A Lei 15.352/2026 não exige que toda empresa reconstrua seu programa de privacidade do zero. A consolidação institucional recomenda que a direção incorpore a atuação da agência ao planejamento de riscos. A equipe de proteção de dados do SMN Advogados está à disposição para revisar controles, organizar evidências e apoiar a interlocução com a agência.