Regulamentos da ANPD: o que cumprir em 2026

A LGPD diz o que fazer; as resoluções do Conselho Diretor da ANPD dizem como, em quanto tempo e com qual documento. Em 30 de outubro de 2026, a página oficial de regulamentações da ANPD lista 13 resoluções, mas só uma parte delas cria trabalho para as empresas. Este mapa separa essas normas, resume o que cada uma exige na prática, os prazos que importam e a evidência que você deveria conseguir mostrar no dia em que a ANPD pedir.

Se a sua empresa ainda está montando a base (inventário de dados, bases legais, encarregado e fluxo de incidentes), comece pelo checklist prático de adequação à LGPD. Este texto parte de onde ele termina: a camada de regulamentos que transforma os artigos da lei em prazos, formulários e documentos.

O que entra no mapa e o que fica de fora

A página de regulamentações da ANPD lista, em 30/10/2026, 13 resoluções, todas sem indicação de revogação. Seis são instrumentos de planejamento da própria ANPD (agendas e mapas de temas) e não criam deveres para as empresas. Sobram sete com efeito direto na operação.

Duas mudanças de contexto valem registro. A ANPD passou a ser a Agência Nacional de Proteção de Dados, com a Lei nº 15.352/2026, que converteu a Medida Provisória nº 1.317/2025. E a agência ganhou competências sobre o Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025), o que explica as revisões em curso dos regulamentos de fiscalização e de sanções.

O mapa em uma tabela

Resolução	Tema	O que exige na prática	Prazos-chave
CD/ANPD nº 15/2024	Comunicação de incidente de segurança	Avaliar o risco, comunicar à ANPD por formulário eletrônico e aos titulares, registrar todo incidente	3 dias úteis; complementação em 20 dias úteis; registro por 5 anos
CD/ANPD nº 18/2024	Encarregado	Ato formal de indicação, substituto, divulgação no site, recursos e autonomia, gestão de conflito de interesse	Apresentar o ato quando a ANPD pedir
CD/ANPD nº 2/2022	Agentes de tratamento de pequeno porte	Comprovar o enquadramento; usar as flexibilizações só se não houver tratamento de alto risco	15 dias para comprovar o enquadramento; prazos em dobro
CD/ANPD nº 19/2024 e nº 32/2026	Transferência internacional	Escolher o mecanismo do art. 33 da LGPD, usar as cláusulas-padrão sem alteração, publicar aviso de transparência	Cláusulas-padrão incorporadas até agosto de 2025; íntegra ao titular em 15 dias
CD/ANPD nº 1/2021	Fiscalização e processo sancionador	Entregar documentos e acesso, manter registros, indicar representante, cumprir medidas preventivas	Prazos em dias úteis; defesa e recurso em 10 dias úteis
CD/ANPD nº 4/2023	Dosimetria e aplicação de sanções	Nenhum documento novo, mas define o que conta como atenuante e agravante	Atenuantes dependem do momento em que a empresa age

Comunicação de incidente: a norma com o relógio mais curto

A Resolução CD/ANPD nº 15/2024 obriga o controlador a comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante. Pelo art. 5º, isso acontece quando o incidente pode afetar significativamente interesses e direitos fundamentais e envolve pelo menos um destes critérios: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; dados protegidos por sigilo; ou dados em larga escala.

O prazo é de três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais (arts. 6º e 9º). O que costuma travar é a parte formal:

Quem assina. A comunicação é feita pelo encarregado, com documento que comprove o vínculo, ou por representante com procuração. Esses documentos vão junto, dentro do mesmo prazo (art. 6º, §§ 5º e 6º). Deixe-os prontos antes do incidente.
O que informar. O art. 6º, § 2º, lista doze itens, entre eles número de titulares afetados, medidas de segurança antes e depois do incidente, riscos e causa principal. O que faltar pode ser complementado, de forma fundamentada, em até 20 dias úteis.
Como avisar os titulares. De forma direta e individualizada, em linguagem simples; se for inviável, por aviso público visível por no mínimo três meses. Depois, o controlador junta ao processo, em até três dias úteis, uma declaração de que comunicou os titulares (art. 9º, § 4º).
O que guardar. Todo incidente, comunicado ou não, entra no registro, guardado por pelo menos cinco anos, com data de conhecimento, avaliação de risco e, quando for o caso, os motivos para não comunicar (art. 10).

A ANPD também pode pedir, a qualquer tempo, o registro das operações de tratamento afetadas, o relatório de impacto (RIPD) e o relatório de tratamento do incidente (art. 8º).

Encarregado: indicação formal, não só um e-mail no rodapé

A Resolução CD/ANPD nº 18/2024 pede um ato formal de indicação: documento escrito, datado e assinado, com as formas de atuação e as atividades do encarregado, a ser apresentado à ANPD quando ela pedir (art. 3º). Também exige um substituto formalmente designado (art. 4º) e a divulgação da identidade e do contato em local de destaque no site (art. 9º).

O encarregado pode ser interno, externo ou pessoa jurídica, sem certificação obrigatória (arts. 12 e 14). A empresa deve dar a ele recursos, autonomia técnica e acesso direto à alta administração (art. 10), e evitar o conflito de interesse que surge quando ele acumula decisões estratégicas sobre o próprio tratamento (art. 19). A responsabilidade pela conformidade é do agente de tratamento, não do encarregado (arts. 11 e 17).

Pequeno porte: flexibilização com condições

A Resolução CD/ANPD nº 2/2022 alcança microempresas, empresas de pequeno porte e startups, entre outros. As flexibilizações incluem dispensa de indicar encarregado (desde que haja um canal com o titular), registro simplificado das operações, política simplificada de segurança da informação e prazos em dobro, inclusive para comunicar incidentes, conforme a redação dada pela Resolução nº 15/2024.

Há três condições. Primeira: quem faz tratamento de alto risco, fatura acima do limite da empresa de pequeno porte (R$ 4,8 milhões, pela Lei Complementar nº 123/2006) ou pertence a grupo econômico que o ultrapasse não pode usar o regime diferenciado (art. 3º). Segunda: o alto risco combina um critério geral (larga escala ou efeito significativo sobre direitos) com um específico, como tecnologia emergente, decisão automatizada ou dados sensíveis (art. 4º). Terceira: a empresa precisa comprovar o enquadramento em até 15 dias quando a ANPD pedir (art. 5º).

Transferência internacional: cláusulas-padrão e transparência

A Resolução CD/ANPD nº 19/2024, retificada em 18/08/2025, regulamenta os mecanismos de transferência do art. 33 da LGPD que dependem da ANPD. Quem já usava cláusulas contratuais tinha 12 meses, contados da publicação em 23/08/2024, para incorporar as cláusulas-padrão aprovadas pela ANPD. Esse prazo terminou em agosto de 2025. As cláusulas-padrão devem ser adotadas integralmente e sem alteração no texto.

A norma também cria deveres de transparência: entregar ao titular, em 15 dias, a íntegra das cláusulas quando ele pedir, e publicar no site, em português, uma explicação sobre a transferência, com finalidade, país de destino, responsabilidades e direitos (art. 17). Desde janeiro de 2026, a Resolução CD/ANPD nº 32/2026 reconhece a União Europeia, além de Islândia, Liechtenstein e Noruega, como destino com proteção adequada. Para esses destinos, a transferência pode se basear na decisão de adequação, que será reavaliada em quatro anos. O caso mais comum são fornecedores de nuvem e SaaS, tema da gestão de risco de fornecedores.

Fiscalização e dosimetria: as regras do jogo

A Resolução CD/ANPD nº 1/2021 lista os deveres de quem é fiscalizado (art. 5º): entregar documentos no prazo e formato pedidos, dar acesso a sistemas e instalações, submeter-se a auditorias, manter os registros pelos prazos legais e durante os processos, e indicar um representante com conhecimento e autonomia. Antes da sanção, a ANPD pode usar medidas preventivas, como aviso, solicitação de regularização e plano de conformidade; não atendê-las conta como agravante em eventual processo sancionador (art. 32, § 2º). Defesa e recurso têm dez dias úteis cada.

A Resolução CD/ANPD nº 4/2023 define como a sanção é calculada. Para o mapa, importam três pontos: a obstrução à fiscalização é infração grave por si só (art. 8º, § 3º, II); atenuantes como cessar a infração ou ter uma política de boas práticas e governança dependem de quando a empresa age; e cabe ao infrator provar que cumpre os requisitos da atenuante (art. 13, § 3º). Evidência organizada antes do processo vale mais que a montada durante ele.

O que está em revisão

Segundo a ANPD, a atualização do regulamento de fiscalização e do processo sancionador esteve em consulta pública até 26 de outubro (ANPD), e a do regulamento de dosimetria foi aberta em outubro, com contribuições até 30 de novembro, para incluir as novas competências, como as do ECA Digital (ANPD). Até a publicação dos textos finais, valem as Resoluções nº 1/2021 e nº 4/2023. Também não há, na lista oficial, resolução específica sobre o RIPD (art. 38 da LGPD), que a ANPD já pode exigir.

Para priorizar, use a Resolução CD/ANPD nº 30/2025, o Mapa de Temas Prioritários de 2026-2027, que direciona a fiscalização para direitos dos titulares (com destaque para dados biométricos, de saúde e financeiros), crianças e adolescentes, Poder Público e inteligência artificial.

Como organizar as evidências

Para cada regulamento, defina dono, controle e evidência datada. Um dossiê mínimo:

Incidentes: procedimento de avaliação de risco com os critérios do art. 5º, modelo de comunicação, documentos de representação já assinados, registro de incidentes com histórico de cinco anos.
Encarregado: ato formal e do substituto, print datado da divulgação no site, declaração de conflito de interesse, registro das consultas feitas a ele em decisões relevantes.
Pequeno porte: análise de enquadramento e de alto risco, revista a cada ano ou mudança de faturamento.
Transferências: inventário de transferências por fornecedor e país, mecanismo usado, contratos com as cláusulas-padrão e a página de transparência.
Fiscalização: representante indicado, política de retenção e um índice que permita entregar documentos no formato pedido.

Quando os mesmos controles servem à LGPD, à ISO 27001 e a normas setoriais, vale reaproveitá-los em uma base única. O guia de plataforma de GRC no Brasil mostra o que pedir de uma ferramenta nesse cenário, e o de software GRC traz os critérios gerais de avaliação.

Onde o Eagle entra

O módulo de GRC do Eagle, da Futture, foi desenhado para centralizar frameworks, requisitos, políticas, controles, evidências e planos de ação em um modelo reaproveitável, com a possibilidade de cadastrar requisitos personalizados, como os das resoluções da ANPD. Ele não envia a comunicação de incidente à ANPD, que é feita pelo formulário oficial, nem substitui a análise jurídica e o encarregado.

Fontes consultadas em 30/10/2026: página de regulamentações da ANPD; resoluções citadas, no DOU e em gov.br/anpd; LGPD, Lei nº 15.352/2026 e Lei Complementar nº 123/2006, no Planalto; notícias da ANPD sobre as consultas públicas. Este artigo tem finalidade informativa e não constitui orientação jurídica; consulte o texto oficial das normas.

Perguntas frequentes

Qual é o prazo para comunicar um incidente de segurança à ANPD?

Três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, quando ele puder acarretar risco ou dano relevante aos titulares (Resolução CD/ANPD nº 15/2024). O mesmo prazo vale para avisar os titulares. As informações podem ser complementadas em até 20 dias úteis. Agentes de tratamento de pequeno porte têm prazo em dobro, desde que se enquadrem na Resolução CD/ANPD nº 2/2022.

A indicação do encarregado precisa de um documento formal?

Sim. A Resolução CD/ANPD nº 18/2024 exige um ato formal, escrito, datado e assinado, com as formas de atuação e as atividades do encarregado, que deve ser apresentado à ANPD quando ela pedir. A norma também exige um substituto formalmente designado e a divulgação da identidade e do contato do encarregado em local de destaque no site.

Ainda posso usar cláusulas contratuais próprias em transferências internacionais?

Quem usava cláusulas contratuais tinha até agosto de 2025, 12 meses após a publicação da Resolução CD/ANPD nº 19/2024, para incorporar as cláusulas-padrão aprovadas pela ANPD, que devem ser adotadas sem alteração. Cláusulas específicas diferentes das padrão dependem de aprovação da ANPD. Para a União Europeia, a Islândia, o Liechtenstein e a Noruega, a Resolução CD/ANPD nº 32/2026 permite usar a decisão de adequação.

As regras de fiscalização e de multas da ANPD vão mudar?

Estão em revisão. A atualização do regulamento de fiscalização e do processo sancionador passou por consulta pública até 26 de outubro de 2026, e a do regulamento de dosimetria recebe contribuições até 30 de novembro de 2026, para incluir competências como as do ECA Digital. Até a publicação dos novos textos, valem as Resoluções CD/ANPD nº 1/2021 e nº 4/2023.

Regulamentos da ANPD: o mapa do que sua empresa precisa cumprir