Associação recebeu quase uma comunicação de incidente por dia em 2025 e amplia pressão por proteção de dados

A Agência Nacional de Proteção de Dados (ANPD) recebeu 362 comunicações de incidentes de segurança em 2025, média próxima de uma por dia. Ao mesmo tempo em que cresce a demanda relacionada a incidentes, ações recentes de fiscalização mostram que organizações ainda apresentam problemas em obrigações básicas previstas na Lei Geral de Proteção de Dados (LGPD), cinco anos após o início da aplicação das sanções administrativas.

Levantamento da Datalege Consultoria Empresarial, a partir de dados públicos da ANPD, Cetic.br/NIC.br e Sebrae, mostra que o problema vai além dos incidentes: há organizações que ainda falham em medidas elementares de proteção de dados, enquanto pesquisas nacionais revelam baixa adoção de práticas como planos de conformidade, políticas de resposta a incidentes e canais de atendimento aos titulares.

Os números mais recentes da ANPD reforçam esse cenário. Em monitoramento divulgado em julho de 2026, a Agência avaliou 56 agentes de tratamento – 39 órgãos públicos e 17 empresas privadas – quanto ao cumprimento de obrigações relacionadas à indicação do encarregado pelo tratamento de dados e à disponibilização de canais de comunicação entre controladores e titulares.

Dos 56 agentes monitorados, 27 atenderam integralmente às solicitações da ANPD. Outros oito ainda apresentavam pendências que deveriam ser corrigidas e 21 não responderam aos pedidos de adequação. De acordo com a Agência, esses últimos casos seguiram para avaliação das medidas cabíveis, inclusive eventual aplicação de sanções.

Para Mario Toews, diretor comercial da Datalege Consultoria Empresarial, o resultado chama atenção porque a fiscalização alcança obrigações que já deveriam estar incorporadas à governança das organizações. “Já são seis anos de vigência da LGPD e cinco do início das sanções. Não estamos mais falando de uma legislação nova. Quando uma fiscalização ainda encontra problemas relacionados ao encarregado de dados e ao próprio canal de comunicação com os titulares, fica evidente que parte das organizações não conseguiu transformar a LGPD em um processo permanente de gestão”, afirma Toews.

O Relatório Integrado de Gestão 2025 da ANPD também mostra o crescimento da demanda relacionada a incidentes de segurança. Entre 2021 e 2025, a Agência registrou 1.508 comunicações de incidentes. Somente em 2025 foram 362.

Além disso, a ANPD informou ter instaurado 81 processos de fiscalização ao longo de 2025 e respondido a 12.701 requerimentos de titulares de dados no período.

Para Toews, os números mostram por que a análise de risco empresarial não deve estar concentrada apenas na possibilidade de aplicação de multas. “Durante muito tempo, parte das empresas mediu o risco da LGPD olhando para o número de sanções aplicadas. O problema é que o impacto começa muito antes de uma eventual multa. Um incidente exige resposta rápida, conhecimento sobre os dados afetados, definição de responsabilidades e capacidade de demonstrar quais medidas de segurança e governança existiam antes do problema”, explica.

A atuação recente da ANPD mostra ainda que fiscalização em proteção de dados não se resume a vazamentos.