O que mudou na fiscalização em 2026
A Lei 15.352, de 25/02/2026, transformou a ANPD em agência reguladora, agora chamada Agência Nacional de Proteção de Dados, com mais autonomia e estrutura própria de fiscalização.
Em 25/06/2026, a ANPD concluiu a primeira fase de dois processos de monitoramento sobre essas obrigações. Parte das organizações foi escolhida a partir de denúncias e pedidos de titulares que apontavam a falta de encarregado ou de canal de contato. A agência enviou ofícios, e 21 órgãos e empresas que não responderam foram encaminhados à área de sanções.
A mensagem é clara: a ANPD está olhando para o básico. E as reclamações dos próprios clientes podem ser o ponto de partida de uma fiscalização.
Obrigação 1: indicar o encarregado
O encarregado (também chamado de DPO, sigla em inglês) é a pessoa indicada pela empresa para ser o canal de comunicação com os titulares dos dados e com a ANPD (LGPD, art. 41). Titular é a pessoa a quem os dados se referem: o cliente, o empregado, o fornecedor pessoa física.
A Resolução CD/ANPD nº 18/2024 detalhou essa obrigação:
- a indicação deve ser feita por documento formal, escrito, datado e assinado;
- o encarregado pode ser um empregado ou um prestador de serviço externo, pessoa física ou jurídica;
- a identidade e o contato do encarregado devem ser divulgados de forma clara, de preferência no site da empresa, em local de fácil acesso;
- a empresa deve dar ao encarregado os meios necessários para exercer a função.
E as pequenas empresas?
A Resolução CD/ANPD nº 2/2022 criou regras simplificadas para os chamados agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups e outras organizações menores. Eles estão dispensados de indicar encarregado. Mas continuam obrigados a manter um canal de comunicação com os titulares. A dispensa não vale para quem faz tratamento de dados considerado de alto risco.
Obrigação 2: um canal com o titular que funcione
A LGPD garante ao titular uma série de direitos (art. 18), entre eles:
- saber se a empresa trata seus dados e ter acesso a eles;
- corrigir dados incompletos ou desatualizados;
- pedir a eliminação de dados desnecessários ou tratados sem base legal;
- saber com quem os dados foram compartilhados;
- revogar o consentimento.
Para exercer esses direitos, a pessoa precisa de um canal. E o canal precisa funcionar: um e-mail que ninguém lê ou um formulário quebrado não cumprem a lei. Quando o pedido é de acesso, a declaração completa deve ser entregue em até 15 dias (art. 19, II).
Obrigação 3: responder à ANPD
O monitoramento de 2026 mostrou que não responder à agência é, por si só, um problema sério. Os ofícios chegam pelos contatos informados pela empresa. Por isso, o contato do encarregado, ou do canal, precisa estar atualizado e ser acompanhado de perto.
O que pode acontecer
As sanções previstas na LGPD (art. 52) vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados. Na prática, a ANPD costuma começar com ofícios e determinações de correção. A falta de resposta é o que tem levado aos processos de sanção.
Checklist para pequenas e médias empresas
☐ Definir quem será o encarregado, interno ou externo, ou confirmar se a empresa se enquadra na dispensa para pequeno porte
☐ Formalizar a indicação por documento escrito, datado e assinado
☐ Publicar no site o nome e o contato do encarregado, ou do canal, em local de fácil acesso
☐ Criar um e-mail ou formulário exclusivo para pedidos de titulares e testar se funciona
☐ Definir quem responde e em quanto tempo, respeitando o prazo de 15 dias
☐ Registrar cada pedido recebido e a resposta dada
☐ Garantir que comunicações da ANPD cheguem a quem decide
☐ Revisar a política de privacidade para que ela corresponda ao que a empresa de fato faz
Perguntas frequentes
Minha empresa é microempresa. Preciso de encarregado? Em regra, não, mas precisa manter um canal de comunicação com os titulares. A exceção é o tratamento de dados de alto risco.
O encarregado pode ser terceirizado? Sim. A Resolução CD/ANPD nº 18/2024 admite encarregado externo, pessoa física ou jurídica.
Em quanto tempo devo responder a um pedido do titular? O pedido de acesso em formato simplificado deve ser atendido de imediato. A declaração completa, em até 15 dias.
A política de privacidade substitui o canal de atendimento? Não. A política informa; o canal permite que o titular exerça seus direitos. São obrigações diferentes.