Indicado por Bolsonaro para um mandato de seis anos, presidente deixa agência com estrutura ampliada, 28 processos sancionadores em análise e regulamentações essenciais da LGPD ainda pendentes.
A Agência Nacional de Proteção de Dados (ANPD) celebrou seus seis anos de funcionamento em clima de despedida de seu primeiro presidente, o coronel da reserva do Exército Waldemar Gonçalves Ortunho Junior, indicado pelo ex-presidente Jair Bolsonaro em 2020 para um mandato excepcional de seis anos, superior aos mandatos ordinários de dirigentes das agências reguladoras federais. A comemoração marcou o encerramento de uma gestão que atravessou dois governos, mas cujo balanço revela uma distância significativa entre a expansão institucional da agência e os resultados efetivos de sua fiscalização.
Figura controversa desde sua indicação, especialmente pela presença de militares na primeira composição do Conselho Diretor de uma autoridade encarregada de proteger direitos fundamentais e fiscalizar o tratamento de dados pessoais, Ortunho permaneceu no comando da ANPD por seis anos, de novembro de 2020 a novembro de 2026. Seu mandato foi o mais longo da composição inaugural da agência, estabelecido como parte de um sistema de mandatos escalonados para os primeiros dirigentes.
O relatório comemorativo de 85 páginas, divulgado em novembro, registra o crescimento administrativo da instituição e a ampliação de suas competências. Entretanto, os próprios números apresentados pela ANPD levantam questionamentos sobre a eficácia de sua atuação. Dos 36 processos administrativos sancionadores instaurados desde novembro de 2020, apenas oito haviam sido concluídos até outubro de 2026. Os outros 28, equivalentes a 77,8% do total, permaneciam em análise.
No mesmo período, foram instaurados 70 processos de fiscalização, média aproximada de 12 por ano, em um universo que envolve órgãos públicos, instituições financeiras, operadoras de telecomunicações, empresas de tecnologia e plataformas digitais que tratam informações pessoais de milhões de brasileiros. Embora a quantidade de processos não seja suficiente para medir isoladamente a eficácia de uma agência reguladora, os números evidenciam a necessidade de avaliar sua capacidade de concluir investigações e assegurar o cumprimento da Lei Geral de Proteção de Dados (LGPD).
A ANPD adota um modelo de fiscalização responsiva, que privilegia orientação, prevenção e correção de irregularidades antes da aplicação de penalidades. A estratégia permite obter resultados sem necessariamente recorrer a multas, mas exige indicadores capazes de demonstrar quantas organizações corrigiram suas práticas e se as determinações da agência foram efetivamente cumpridas.
Um exemplo apresentado no balanço envolve o monitoramento de 56 agentes de tratamento, entre órgãos públicos e empresas privadas, para verificar a indicação de encarregados de dados e a existência de canais de atendimento aos titulares. Desse total, 27 promoveram adequação integral, oito receberam avisos de regularização e 21 tiveram processos sancionadores instaurados por não responderem às solicitações da agência.
Esses 21 procedimentos representam 58,3% de todos os processos sancionadores instaurados pela ANPD em seis anos. A concentração evidencia o peso das fiscalizações relacionadas a obrigações administrativas de transparência e atendimento, enquanto investigações envolvendo compartilhamento irregular de informações, incidentes de segurança e utilização de dados sensíveis continuam exigindo apurações mais complexas.
Entre os resultados mais relevantes está a multa de R$ 153,7 milhões aplicada à ByteDance Brasil, controladora do TikTok, em agosto de 2026, por irregularidades no tratamento de dados de crianças e adolescentes. A decisão também determinou a eliminação de informações coletadas irregularmente e a adoção de medidas corretivas. Entretanto, o próprio balanço informa que o cumprimento dessas determinações ainda estava sendo acompanhado pela fiscalização. O documento não esclarece, na apresentação do caso, se o valor da multa já foi efetivamente recolhido.
Outras investigações permanecem sem desfecho definitivo. A ANPD instaurou processo sancionador contra a Claro após identificar indícios de compartilhamento excessivo de dados de clientes com a Serasa, além de possíveis falhas de transparência. Também investiga o Instituto Saúde e Cidadania, após incidente que expôs informações de aproximadamente 500 mil pacientes, e o aplicativo Sapphos, em razão de uma vulnerabilidade que comprometeu dados de cerca de 14 mil usuárias.
No setor público, um dos casos envolve a Prefeitura de Feira de Santana, na Bahia, investigada pela divulgação de informações pessoais de mais de 600 pessoas vivendo com HIV ou diagnosticadas com outras condições de saúde. Os procedimentos buscam esclarecer eventuais infrações à LGPD, sem que sua instauração represente comprovação definitiva de responsabilidade.
Pendências
A produção normativa também apresenta pendências importantes. Das 19 iniciativas previstas na Agenda Regulatória 2025-2026, apenas duas constavam como concluídas ou encerradas até outubro. Outras 16 permaneciam em andamento e uma sequer havia sido iniciada.
Entre os assuntos pendentes estão a regulamentação dos direitos dos titulares, o compartilhamento de dados pessoais pelo Poder Público, o tratamento de informações biométricas e de saúde, os padrões mínimos de segurança, a utilização de inteligência artificial e os critérios para anonimização de dados.
A demora ganha relevância diante da expansão de sistemas de identificação biométrica, da integração de bases governamentais e do uso crescente de inteligência artificial na prestação de serviços públicos. Embora a LGPD já estabeleça obrigações para essas atividades, a ausência de regulamentações específicas concluídas mantém indefinições sobre procedimentos, critérios técnicos e mecanismos de responsabilização.
O compartilhamento de dados pelo Poder Público merece atenção especial. Seis anos após o início das atividades da ANPD, ainda não foi concluída a regulamentação destinada a estabelecer requisitos complementares para a circulação de informações pessoais entre órgãos governamentais e sua transferência a entidades privadas. A pendência ocorre justamente quando o governo federal amplia projetos de interoperabilidade e utilização de bases de dados em serviços digitais.
A agência contabiliza oito regulamentos e enunciados, 13 guias orientativos, 20 tomadas de subsídios e 18 consultas públicas ao longo de sua trajetória. São instrumentos importantes para a consolidação da LGPD, mas sua publicação não significa necessariamente que as organizações reguladas tenham corrigido irregularidades ou que os titulares estejam conseguindo exercer seus direitos.
Estrutura ainda em formação
O balanço também mostra uma transformação significativa na estrutura da ANPD. Seu quadro passou de 50 profissionais em 2021 para 412 em outubro de 2026. Entretanto, a instituição ainda não dispõe de uma carreira própria efetivamente preenchida. Dos profissionais em atividade, 188 eram requisitados, 171 temporários, 40 estavam em exercício descentralizado e 13 ocupavam cargos sem vínculo efetivo com a administração pública.
A Lei nº 15.352, de fevereiro de 2026, criou 200 cargos efetivos para a carreira de Regulação e Fiscalização de Proteção de Dados, mas o primeiro concurso autorizado contempla apenas 50 vagas. A dependência de servidores cedidos e contratos temporários representa um desafio para a continuidade de atividades que exigem especialização técnica, especialmente na investigação de incidentes cibernéticos, sistemas de inteligência artificial e grandes plataformas digitais.
A mesma legislação consolidou a transformação da ANPD em agência reguladora, ampliando sua autonomia institucional. A mudança ocorreu em meio à atribuição de novas responsabilidades, iniciada com o Estatuto Digital da Criança e do Adolescente e posteriormente ampliada pelos decretos que estabeleceram obrigações para plataformas digitais e mecanismos de proteção das mulheres contra a violência na internet.
Com isso, a ANPD passou a exercer competências que ultrapassam a fiscalização tradicional da LGPD, incluindo deveres de transparência de plataformas, prevenção de riscos, mecanismos de aferição de idade e medidas relacionadas à circulação de conteúdos ilícitos.
A ampliação de poderes ocorreu, entretanto, antes da conclusão de parte expressiva da agenda regulatória original e da formação de um quadro permanente de especialistas. A situação coloca em discussão a compatibilidade entre as responsabilidades atribuídas à agência e sua capacidade operacional para executá-las.
O relatório reconhece a necessidade de fortalecer a estrutura e ampliar a capacidade de atuação, mas a prestação de contas ainda deixa questões relevantes para uma avaliação completa da eficácia institucional. Entre elas estão o tempo médio de tramitação dos processos, os valores efetivamente recolhidos em multas, a reincidência de organizações fiscalizadas e o percentual de determinações cumpridas após as intervenções.
Também seria necessário demonstrar de maneira consolidada quantos cidadãos tiveram seus direitos efetivamente assegurados em decorrência da fiscalização e quantas práticas irregulares foram interrompidas ou corrigidas de forma permanente.
A gestão de Ortunho deixa avanços institucionais importantes, especialmente na construção do marco regulatório brasileiro, na ampliação da estrutura e na adoção de medidas preventivas que produziram adequações. Entretanto, o balanço de despedida também mostra que a consolidação administrativa ainda não veio acompanhada da conclusão de parcela expressiva dos processos sancionadores e das regulamentações consideradas prioritárias.
A questão central para a nova fase da ANPD deixa de ser apenas o crescimento da agência ou a quantidade de atribuições recebidas. Com mais autonomia, servidores e poderes sobre o ambiente digital, a instituição terá de demonstrar, por meio de resultados verificáveis, que sua atuação consegue prevenir violações, corrigir irregularidades e assegurar os direitos previstos na LGPD. Afinal, a eficácia de uma autoridade de proteção de dados não se mede somente pelo número de normas publicadas ou processos instaurados, mas pela proteção que efetivamente proporciona à sociedade.
