ANPD virou agência: o que muda para a sua empresa

Em fevereiro de 2026, a ANPD mudou de natureza: deixou de ser uma "autoridade" e virou uma agência. A pergunta que muita empresa faz é simples: o que isso muda para mim? Este texto separa o que a lei realmente diz do que ainda é expectativa, com base no texto da Lei 15.352/2026.

O que a lei fez

A Lei nº 15.352, de 25 de fevereiro de 2026, converteu a Medida Provisória nº 1.317/2025. Segundo o texto, ela:

• cria a Agência Nacional de Proteção de Dados (ANPD), uma "autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, dotada de autonomia funcional, técnica, decisória, administrativa e financeira, com patrimônio próprio";
• altera a LGPD em três pontos: as definições de encarregado e de autoridade nacional (art. 5º) e os artigos de organização do órgão (arts. 55-A e 55-C), que passam a prever, por exemplo, uma Procuradoria e uma Auditoria;
• cria uma carreira própria, a de Regulação e Fiscalização de Proteção de Dados, com cargos de Especialista em Regulação de Proteção de Dados;
• fixa o início da vigência do ECA Digital (Lei 15.211/2025, o Estatuto Digital da Criança e do Adolescente) em 17 de março de 2026.

Segundo o Congresso em Foco, são 200 cargos efetivos de especialista, e o governo afirmou que a reestruturação atende às novas atribuições do órgão, especialmente a regulamentação do ECA Digital.

O que não mudou

Aqui está o ponto mais importante para quem toca uma empresa: o texto da lei trata da estrutura do órgão, não das obrigações de quem trata dados. Dos artigos da LGPD, a lei altera só o art. 5º e os de organização da ANPD. Ou seja, não são alterados por essa lei:

• o dever de adotar medidas de segurança (art. 46);
• a comunicação de incidente à ANPD e ao titular (art. 48), regulamentada pela Resolução CD/ANPD nº 15/2024, com prazo de 3 dias úteis quando há risco relevante;
• as sanções (art. 52).

Nem a lei nem a reportagem citada indicam mudança de obrigações, prazos ou sanções para empresas.

O que isso sugere, sem exagero

Um órgão com autonomia, carreira própria e mais cargos tem, em princípio, mais capacidade de atuar. Mas isso é uma expectativa, não algo que o texto da lei garanta. O que dá para dizer com segurança é que a ANPD está mais estruturada, e que a empresa que consegue demonstrar o que faz em segurança e em resposta a incidentes sai na frente, seja qual for o ritmo da fiscalização.

Um checklist prático

1. Encarregado indicado e conhecido pelos titulares, com um canal de contato funcionando. A lei ajustou a definição, mas a função segue a mesma.
2. Plano de resposta a incidentes escrito: quem decide, quem avisa os clientes e a ANPD, e como (veja o canal oficial de comunicado de incidente).
3. Evidências de segurança: MFA, backup testado, proteção dos computadores e servidores, controle de acesso. Saber provar o que foi feito é o que importa depois de um incidente. Veja o que a LGPD pede em segurança e LGPD.
4. Registro de operações e fornecedores: quem recebe dados de clientes e com qual proteção.
5. Treinamento da equipe sobre phishing e tratamento de dados.
6. Se o seu serviço alcança crianças e adolescentes, acompanhe o ECA Digital com orientação jurídica.

Para um exemplo recente de como o tema aparece na prática, veja o que fazer quando seus dados vazam.

Precisa de ajuda para organizar a segurança?

A Codlinx, Parceira Oficial Bitdefender e Microsoft, ajuda empresas em todo o Brasil a levantar o que falta em segurança e a reunir as evidências que a LGPD pede. Este texto é informativo e não substitui orientação jurídica. O atendimento é de segunda a sexta, das 8h às 20h, com retorno em até 24 horas úteis. Peça um diagnóstico gratuito.