Hoje, 14 de agosto, a Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018) completa oito anos de sua publicação. Anteriormente, comentamos sobre como 2026 está sendo um ano histórico para a Proteção de Dados no Brasil, na medida em que o tema deixou de ser apenas compliance e se tornou estratégia de sobrevivência. A celebração deste aniversário é, ao mesmo tempo, um convite à reflexão sobre os avanços conquistados e os desafios que se apresentam para o futuro.

A legislação, pioneira em regulamentar de forma abrangente o tratamento de dados pessoais no Brasil, representou, desde sua promulgação, um marco fundamental para a proteção da privacidade ao estabelecer princípios, direitos dos titulares e deveres dos agentes de tratamento nos setores público e privado. Mais do que criar obrigações jurídicas, a LGPD contribuiu para transformar a forma como organizações e sociedade compreendem o valor dos dados pessoais e os impactos de seu uso inadequado sobre direitos fundamentais como liberdade, privacidade e o livre desenvolvimento da personalidade.

A evolução institucional da ANPD

Ao longo desses oito anos, assistimos a uma crescente evolução da maturidade das organizações em relação à proteção de dados, acompanhada por uma atuação cada vez mais incisiva da Agência Nacional de Proteção de Dados (ANPD). O ano de 2026, em particular, marca um divisor de águas institucional, com a conversão da ANPD em Agência Reguladora, trazendo um reforço estrutural inédito que sinaliza a consolidação definitiva do enforcement no país.

A trajetória regulatória da ANPD merece destaque. Desde as primeiras agendas regulatórias (2021-2022 e 2023-2024), a Agência avançou consistentemente no preenchimento das lacunas deixadas pelo texto original da Lei. Entre os marcos regulatórios mais relevantes, destacam-se:

• A aprovação do Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4/2023);
• O Regulamento de Comunicação de Incidentes de Segurança (Resolução CD/ANPD nº 15/2024);
• O Regulamento sobre a atuação do Encarregado pelo Tratamento de Dados Pessoais (Resolução CD/ANPD nº 18/2024);
• O Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024), com a aprovação de cláusulas-padrão contratuais;
• O reconhecimento da União Europeia como organismo internacional com nível adequado de proteção de dados (Resolução CD/ANPD nº 32/2026);

Novos marcos: ECA Digital e Inteligência Artificial

Além do desenvolvimento da Agenda Regulatória, temas como o Estatuto Digital da Criança e do Adolescente (ECA Digital – Lei nº 15.211/2025), Inteligência Artificial, Transferência Internacional de Dados e Incidentes de Segurança foram destaque ao longo desses anos de vigência.

No campo da Inteligência Artificial, o PL 2688/2025 em tramitação na Câmara dos Deputados prevê a ANPD como uma das autoridades responsáveis pela fiscalização do uso de IA no Brasil, ampliando ainda mais o protagonismo da Agência no ecossistema regulatório digital. O Mapa de Temas Prioritários para o biênio 2026-2027 (Resolução CD/ANPD nº 30/2025) já contempla IA e decisões automatizadas como eixo estratégico de fiscalização.

Enforcement: da pedagogia à responsabilização

Destaca-se, no entanto, que esse período não transcorreu sem polêmicas. Entre os temas mais sensíveis estão o balanceamento de direitos das plataformas digitais com as obrigações impostas pelo ECA Digital, a fiscalização de tecnologias emergentes e sistemas de Inteligência Artificial e a percepção, durante anos, de que a ANPD exercia uma postura predominantemente educativa, com aplicação limitada de sanções pecuniárias.

De fato, até 2026, a ANPD havia aplicado uma única multa pecuniária de R$ 14.400,  em julho de 2023. Todas as demais sanções recaíram sobre órgãos públicos, na forma de advertências e publicização da infração, já que entes públicos não recebem multa em dinheiro (art. 52, § 3º, da LGPD).

Essa fase, contudo, parece encerrada: somente em junho de 2026, a ANPD abriu 19 novos processos sancionadores, mais do que em todos os anos anteriores somados.

O que vem pela frente

O aniversário da LGPD, portanto, representa a consolidação de uma mudança cultural ainda em curso, mas que avança em ritmo acelerado. Em um cenário marcado pela expansão da inteligência artificial, da economia baseada em dados e de novas formas de tratamento e compartilhamento de informações, os próximos anos deverão exigir das organizações uma abordagem cada vez mais preventiva, baseada em riscos e orientada à proteção efetiva dos direitos dos titulares.

O Mapa de Temas Prioritários 2026-2027 da ANPD indica quatro principais eixos: (i) direitos dos titulares, com foco em dados biométricos, de saúde e financeiros; (ii) proteção de crianças e adolescentes no ambiente digital; (iii) tratamento de dados pelo poder público; e (iv) inteligência artificial e decisões automatizadas. Empresas que operam nessas frentes já estão no radar da Agência.

O desafio agora é avançar da conformidade formal para uma verdadeira cultura de privacidade, na qual a proteção de dados esteja incorporada à tomada de decisões estratégicas e ao desenho de produtos, serviços e processos desde a sua concepção (privacy by design).