A Lei Geral de Proteção de Dados Pessoais (LGPD) completou ontem (18/9) seis anos de vigência. O aniversário é uma oportunidade para reconhecer o quanto o cenário brasileiro de privacidade e proteção de dados mudou nesse período. Mas é, sobretudo, um momento adequado para fazer uma pergunta mais incômoda: seis anos depois, ainda é razoável tratar a adequação à LGPD como um projeto em andamento?
Marcelo Casal Jr./Agência BrasilQuando a lei entrou em vigor, em 2020, havia justificativas concretas para uma fase de adaptação. Empresas precisavam compreender conceitos novos, identificar os dados pessoais tratados em suas operações, definir bases legais, revisar contratos, criar procedimentos para atendimento aos titulares, estruturar programas de governança e incorporar uma cultura de proteção de dados que, até então, estava longe de ser uniforme no mercado brasileiro.
A própria estrutura regulatória ainda estava em construção. A então Autoridade Nacional de Proteção de Dados dava seus primeiros passos, e diversas disposições da LGPD dependiam, e algumas ainda dependem, de regulamentação e interpretação.
Seis anos depois, o cenário é bastante diferente.
A ANPD regulamentou temas importantes, como a aplicação da LGPD aos agentes de tratamento de pequeno porte, o processo de fiscalização e sancionador, a dosimetria das sanções administrativas, a comunicação de incidentes de segurança, a atuação do encarregado pelo tratamento de dados pessoais e as transferências internacionais de dados.
Ao mesmo tempo, assuntos de enorme relevância continuam na agenda regulatória, entre eles direitos dos titulares, relatórios de impacto à proteção de dados pessoais, dados biométricos, inteligência artificial, tratamento de dados de alto risco e padrões de segurança. Ou seja, o sistema brasileiro de proteção de dados deixou de estar em seus primeiros passos. Ainda há lacunas, mas já existe um conjunto regulatório suficientemente consistente para que a LGPD seja tratada como aquilo que efetivamente é: legislação vigente e obrigação permanente de governança empresarial.
De autoridade a agência: mudança que precisa produzir efeitos práticos
Talvez uma das mudanças institucionais mais relevantes desses seis anos tenha ocorrido justamente em 2026. A Lei nº 15.352/2026 transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, mantendo a conhecida sigla ANPD, mas alterando significativamente sua estrutura institucional. Não se trata apenas de uma mudança de nomenclatura.
SpaccaA transformação em agência reguladora insere a ANPD em um novo patamar de maturidade institucional e reforça sua função regulatória e fiscalizatória. A legislação também criou carreira específica de Regulação e Fiscalização de Proteção de Dados, aspecto especialmente importante para um órgão que precisa supervisionar um universo gigantesco de agentes públicos e privados e operações de tratamento cada vez mais complexas.
Esse fortalecimento chega em um momento oportuno. Afinal, quanto mais o mercado digital se desenvolve, maior é a distância entre uma fiscalização baseada apenas em documentos e a fiscalização necessária para compreender ecossistemas envolvendo algoritmos, biometria, inteligência artificial, publicidade comportamental, grandes bases de dados, plataformas digitais e tratamento massivo de informações.
A expectativa, portanto, é que a transformação institucional seja acompanhada por capacidade operacional. Uma agência forte não se mede apenas pela quantidade de normas que publica, mas também pela capacidade de monitorar o mercado, identificar práticas de risco, investigar violações e produzir consequências suficientemente relevantes para estimular mudanças de comportamento.
ECA Digital amplia significativamente esse desafio
Outro marco importante dessa nova etapa é o Estatuto Digital da Criança e do Adolescente, o chamado ECA Digital. A Lei nº 15.211/2025 ampliou substancialmente o conjunto de obrigações relacionadas à proteção de crianças e adolescentes no ambiente digital e atribuiu à ANPD importantes competências de regulamentação e fiscalização. O tema ultrapassa a proteção de dados em sentido estrito.
A nova legislação estabelece deveres relacionados, entre outros pontos, à aferição de idade, supervisão parental, publicidade, perfilamento, jogos eletrônicos, redes sociais, desenho de produtos e serviços digitais e prevenção de riscos associados à utilização dessas tecnologias por crianças e adolescentes. É uma mudança importante porque aproxima a proteção de dados de uma discussão mais ampla sobre responsabilidade digital.
Não basta mais perguntar apenas se determinado tratamento possui uma base legal. É necessário analisar como o produto foi desenvolvido, quais riscos ele cria, quem são seus usuários, quais mecanismos de proteção foram incorporados desde a concepção e se determinadas funcionalidades podem afetar públicos vulneráveis.
A ANPD já começou a demonstrar essa nova postura ao iniciar ações de monitoramento relacionadas ao cumprimento do ECA Digital, inclusive quanto à implementação de mecanismos de aferição de idade por grandes plataformas.
Essa atuação pode indicar uma mudança importante de paradigma, de uma autoridade predominantemente normativa e orientativa para uma agência que também deverá estar presente, de forma mais intensa, na supervisão concreta do ambiente regulado.
Próximo passo precisa ser fiscalização
É justamente nesse ponto que surge uma das principais questões para os próximos anos. A construção regulatória brasileira avançou mais rapidamente do que a percepção de risco regulatório por parte de muitas organizações.
Nos primeiros anos da LGPD, uma atuação predominantemente educativa era compreensível. Era necessário construir parâmetros, orientar o mercado e permitir que empresas e órgãos públicos compreendessem uma legislação transversal, aplicável praticamente a todas as atividades econômicas. Mas uma legislação que permanece indefinidamente em fase educativa corre o risco de produzir um efeito indesejado, o de tornar economicamente confortável o seu descumprimento.
O desafio da ANPD, agora como agência reguladora e com estrutura institucional reforçada, será encontrar o equilíbrio entre orientação e enforcement. Isso não significa defender uma política baseada simplesmente na multiplicação de multas. Fiscalização eficiente é mais sofisticada do que isso. Ela envolve monitoramento baseado em risco, seleção estratégica de setores, atuação preventiva, transparência sobre critérios regulatórios, respostas proporcionais às infrações e, quando necessário, sanções capazes de produzir efeito pedagógico não apenas sobre o infrator, mas sobre todo o mercado.
A previsibilidade também é essencial. Quanto mais claros forem os critérios utilizados pela Agência, maior será a capacidade das organizações de direcionar recursos para os riscos que efetivamente precisam ser tratados.
Seis anos depois, adequação também precisa amadurecer dentro das empresas
A crítica, entretanto, não pode ser dirigida apenas ao regulador. Existe também uma responsabilidade evidente do setor privado e das organizações públicas.
Depois de seis anos, já não parece razoável que programas de adequação à LGPD se resumam à publicação de uma política de privacidade, à indicação formal de um encarregado ou à inclusão de cláusulas genéricas de proteção de dados nos contratos. Compliance em proteção de dados exige evidência.
A organização conhece os dados pessoais que trata? Sabe por que os coleta? Consegue justificar sua retenção? Possui critérios para compartilhamento com terceiros? Avalia fornecedores? Tem procedimentos para incidentes de segurança? Consegue responder adequadamente a solicitações de titulares? Avalia riscos antes de implementar novas tecnologias? Possui controles específicos para dados sensíveis, biometria, inteligência artificial e dados de crianças e adolescentes? Mais importante: consegue demonstrar tudo isso?
O princípio da responsabilização e prestação de contas previsto na própria LGPD torna essa última pergunta especialmente relevante. A diferença entre estar adequado e parecer adequado está justamente na capacidade de demonstrar que a governança existe na prática.
E essa discussão se torna ainda mais importante diante da rápida incorporação de ferramentas de inteligência artificial às rotinas empresariais. Muitas organizações estão permitindo que dados pessoais sejam utilizados em novas tecnologias em velocidade muito superior àquela com que atualizam seus processos internos de governança.
O risco é criar uma espécie de “problema regulatória”: a tecnologia avança, os tratamentos se multiplicam e a estrutura de compliance permanece a mesma.
Proteção de dados também virou requisito de mercado
Existe ainda uma mudança que talvez seja menos perceptível juridicamente, mas extremamente relevante economicamente. A proteção de dados deixou de ser apenas uma preocupação do departamento jurídico.
Hoje, ela aparece em processos de contratação, auditorias, operações societárias, due diligences, avaliações de fornecedores, programas de integridade, questionários de segurança da informação e negociações envolvendo empresas brasileiras e estrangeiras. Uma organização com governança deficiente em proteção de dados não carrega apenas risco de sanção administrativa. Carrega risco contratual, reputacional, operacional e comercial.
Por isso, a pergunta empresarial também mudou. Em 2020, muitas organizações perguntavam: “Precisamos nos adequar à LGPD?” Em 2026, a pergunta deveria ser: “Nosso programa de proteção de dados continua adequado aos riscos que temos hoje?”
São perguntas profundamente diferentes. A primeira pressupõe um projeto com começo e fim. A segunda reconhece que proteção de dados é um processo permanente de governança.
Aniversário que deveria marcar o fim da fase de transição
Os seis anos da LGPD mostram avanços importantes. O Brasil construiu uma autoridade de proteção de dados, desenvolveu regulamentação, criou mecanismos de fiscalização, estruturou regras sancionatórias, ampliou o debate sobre direitos dos titulares e, mais recentemente, fortaleceu institucionalmente a ANPD ao transformá-la em agência reguladora.
O ECA Digital adiciona uma nova camada a esse processo e coloca a Agência diante de um dos maiores desafios regulatórios contemporâneos: proteger crianças e adolescentes em um ambiente digital estruturado justamente para coletar dados, produzir engajamento e personalizar experiências.
Mas talvez o principal marco dos seis anos de LGPD devesse ser menos jurídico e mais cultural. É hora de encerrar definitivamente a ideia de que proteção de dados é um tema novo no Brasil.
Não é.
Seis anos constituem tempo suficiente para que empresas conheçam suas obrigações básicas, desenvolvam processos internos e compreendam que privacidade, segurança e governança de dados fazem parte das condições normais para o exercício de atividades econômicas em uma sociedade digital.
Da mesma forma, o fortalecimento institucional da ANPD aumenta a expectativa de que a fiscalização avance e que a distância entre a existência da lei e a percepção de suas consequências diminua.
A próxima fase da proteção de dados brasileira, portanto, não precisa necessariamente de mais discursos sobre a importância da LGPD. Precisa de efetividade.
Para as organizações, isso significa substituir programas de adequação estáticos por estruturas permanentes de governança e gestão de riscos. Para a ANPD, significa transformar o fortalecimento institucional em capacidade regulatória e fiscalizatória concreta.
E, para ambos, significa reconhecer que, seis anos depois, proteção de dados já não pode mais ser tratada como promessa de conformidade futura.
É obrigação presente.
O post Seis anos de vigência da LGPD: proteção de dados precisa entrar na fase da efetividade apareceu primeiro em Consultor Jurídico.