ANPD agência reguladora: o que a Lei 15.352 e a consulta de 2026 mudam na rotina

Quando a autoridade que fiscaliza a LGPD ganha mais autonomia e quadro próprio, e uma regra nova de fiscalização entra em consulta, quem toca uma consultoria de 15 pessoas faz uma pergunta simples: o que muda na segunda-feira? A resposta curta é que muda pouco o que a lei exige e muito a importância de conseguir mostrar, com documento, como a empresa trata o dado pessoal.

Este texto separa o que já mudou do que ainda é proposta, aplica ao dia a dia de reuniões gravadas, documentos, projetos e portal do cliente e termina com um checklist de 12 itens.

O que a Lei 15.352/2026 mudou na ANPD?

A Lei 15.352, de 25 de fevereiro de 2026, reescreveu o art. 55-A da LGPD: a ANPD passou a ser a Agência Nacional de Proteção de Dados, autarquia de natureza especial ligada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira. O texto está no Planalto.

A lei veio da Medida Provisória 1.317/2025, submeteu a ANPD à lei geral das agências reguladoras (Lei 13.848/2019) e criou 200 cargos permanentes de especialista em regulação e proteção de dados, segundo a cobertura do Congresso em Foco. A mudança é na estrutura da autoridade, não nos artigos que dizem o que a empresa deve fazer.

O que está em consulta até 26 de outubro de 2026?

Desde 9 de setembro de 2026, a ANPD mantém na plataforma Brasil Participativo a minuta que atualiza o Regulamento de Fiscalização (Resolução CD/ANPD nº 1/2021), que trata do processo de fiscalização e do processo administrativo sancionador. As contribuições vão até 26 de outubro de 2026, e a audiência pública foi em 24 de setembro.

Segundo o escritório Cescon Barrieu, a minuta amplia o alcance para fornecedores de tecnologia voltados a crianças e adolescentes e para temas como a proteção de mulheres no ambiente digital, e já considera a ANPD como agência. É proposta, e o texto final pode mudar. Para uma empresa de serviço sem esse público, o recado é acompanhar e manter documentos prontos, não reescrever processos hoje.

A IA entrou na lista de prioridades da fiscalização?

Entrou. O Mapa de Temas Prioritários 2026–2027, aprovado pela Resolução CD/ANPD nº 30/2025, em dezembro de 2025, organiza a fiscalização em quatro frentes, e uma delas é inteligência artificial: sistemas que usam dados pessoais para inferência, decisão ou personalização de serviços. O Teletime noticiou cerca de 75 fiscalizações no biênio.

Quem usa IA para resumir reunião, redigir documento ou buscar nos arquivos já está nesse campo sempre que há pessoa identificável no texto. O caminho está no guia de LGPD para agências e, para o projeto de lei da IA, no texto sobre o PL 2338 em 2026.

Onde o dado pessoal aparece na operação de uma empresa de serviço?

Em mais lugares do que o cadastro de clientes. Voz e imagem na gravação, nomes e cargos na ata, e-mail de contato no portal e texto livre nos chamados são dados pessoais. A tabela mostra onde procurar e qual cuidado cabe em cada lugar.

Como a Consultoria Lume fez o mapa em uma tarde?

A Consultoria Lume (fictícia, 15 pessoas) reuniu quem atende clientes, quem cuida do financeiro e quem administra as ferramentas, e percorreu a tabela acima lugar por lugar, anotando o que existe, quem acessa e por quanto tempo fica guardado.

• Achou gravações de reuniões de 2024 sem prazo definido em duas contas de gravador.
• Descobriu que três contatos de clientes antigos ainda tinham acesso a arquivos de projetos já encerrados.
• Percebeu que a política de privacidade do site não mencionava o uso de IA nas reuniões.

Cada achado virou tarefa com responsável e prazo no mesmo dia. Nenhum exigiu ferramenta nova, só decisão e registro.

Como se preparar em 12 passos?

O checklist cabe em uma reunião de uma hora, e cada item vira uma tarefa. A ordem importa: quem mapeia primeiro descobre o que falta nos itens seguintes. Os itens 5 e 9 usam o termo de consentimento de gravação e o acordo de confidencialidade.

CHECKLIST: OPERAÇÃO EM DIA COM A LGPD
Empresa: ____  Responsável: ____  Data: ____  Próxima revisão: ____

[ ] 1. Responsável pelos dados definido (encarregado ou quem faz esse papel) e contato publicado
[ ] 2. Mapa de onde o dado pessoal aparece (reuniões, atas, projetos, portal, chamados, contratos, IA)
[ ] 3. Registro das operações de tratamento: o que, para quê, quem acessa, onde fica
[ ] 4. Base legal escolhida e escrita para cada operação
[ ] 5. Aviso de gravação no convite e na abertura de cada reunião, com a finalidade e o prazo
[ ] 6. Prazo de retenção definido por tipo de material (gravação, transcrição, anexos, contratos)
[ ] 7. Acesso por cargo, com revisão de acessos a cada 3 meses e remoção no dia em que alguém sai
[ ] 8. Lista de fornecedores e ferramentas que tratam dados em nome da empresa, inclusive de IA
[ ] 9. Cláusula de dados e confidencialidade nos contratos com clientes e fornecedores
[ ] 10. Canal e roteiro para pedidos de titulares (acesso, correção, eliminação), com prazo interno
[ ] 11. Plano de incidente: quem avisa quem, em quantas horas, com contatos atualizados
[ ] 12. Evidências guardadas: versão e data das políticas, treinamento do time e ata de cada revisão

Como organizar essa rotina no Mentrun?

Boa parte dos itens do checklist tem tela própria no Mentrun:

• Reuniões (itens 5 e 6): em Empresa › Dados e privacidade, a tela lembra de avisar os participantes no início de cada reunião, e a empresa escolhe por quanto tempo a transcrição fica guardada, de 3 meses a 5 anos. Depois do prazo o texto é apagado, e análises, notas e resumos continuam.
• Acesso por cargo (item 7): pastas e documentos podem ter acesso restrito por cargo ou por pessoa, e o Assistente só mostra o que o cargo de quem pergunta pode ver.
• Portal do cliente (item 7): o contato do cliente não vê menu, tarefas, horas, valores nem notas internas.
• Evidências (item 12): em Empresa › Histórico de atividades, o registro guarda por 24 meses quem fez o quê, com o antes e o depois, e ninguém apaga. O Dono exporta todos os dados da empresa em um arquivo, com verificação em duas etapas, e pode pedir a exclusão da empresa, apagada depois de 30 dias.

Consultorias que atendem várias empresas como encarregado encontram o desenho por cliente em sistema para consultoria de LGPD, e o aviso na gravação está em gravação de reunião e LGPD.

Quais erros comuns aparecem na adequação e como corrigir?

Os erros mais frequentes não são técnicos: são de rotina. A adequação trava quando vira projeto de uma vez, quando ignora planilhas e contas pessoais e quando não deixa evidência com data.

• Tratar como projeto de uma vez só. A adequação é rotina: marque revisão trimestral do mapa e dos acessos.
• Mapear só o que está no sistema. Planilhas, e-mails e gravações em contas pessoais também contam. Pergunte ao time onde guarda.
• Esquecer o que é do cliente. Anexos e bases que o cliente enviou têm prazo de eliminação ao fim do projeto. Escreva o prazo no contrato.
• Deixar a IA fora do mapa. Todo texto colado numa ferramenta de IA é tratamento. Inclua as ferramentas na lista do item 8.
• Documentar sem data. Política sem versão e data não serve de evidência. Registre quando foi revisada e por quem.