Governança de dados não é problema de TI. É decisão de negócio

Em setembro de 2025, a Agência Nacional de Proteção de Dados (ANPD) deixou de ser um órgão vinculado à estrutura ministerial e passou a operar como agência reguladora autônoma.

A mudança, formalizada depois pela Lei nº 15.352/2026, não é um detalhe administrativo: ela deu à Autoridade orçamento próprio, quadro técnico ampliado e, principalmente, capacidade de planejar sua fiscalização com antecedência.

Em novembro do mesmo ano, a ANPD lançou o Painel da Fiscalização, ferramenta pública que expõe em tempo real quais procedimentos sancionadores estão em curso e em quais setores.

Pouco depois, publicou o Mapa de Temas Prioritários para 2026–2027, definindo com precisão onde pretende olhar primeiro: dados biométricos, dados de saúde, dados financeiros e proteção de crianças e adolescentes no ambiente digital.

O efeito prático dessas três mudanças juntas é o que poucas empresas ainda internalizaram.

Até pouco tempo, a fiscalização brasileira de proteção de dados dependia essencialmente de denúncia: um incidente vazava, um titular reclamava, e só então a ANPD agia sobre aquele caso específico.

Esse modelo acabou.

A Autoridade agora abre investigações por setor inteiro, a partir de um mapa que ela mesma publica com dois anos de antecedência.

Isso significa que uma empresa pode ser notificada não porque algo deu errado, mas porque o segmento em que ela atua foi escolhido como prioridade do biênio.

A pergunta que fazia sentido em 2022 — “algum incidente pode expor a gente?” — foi substituída por outra, bem mais desconfortável: “quando a fiscalização chegar ao nosso setor, o que ela vai encontrar?”.

O padrão que as auditorias continuam repetindo É nesse novo cenário que os relatórios de auditoria mais recentes se tornam reveladores.

O achado mais comum não é a ausência de política de privacidade, praticamente toda empresa de médio e grande porte já tem uma.

O achado recorrente é outro: a política existe, mas ninguém consegue comprovar que ela é seguida.

Não há evidência de execução, não há trilha de auditoria, não há histórico de revisão.