A Lei Geral de Proteção de Ddados (LGPD) completou 8 anos em 14 de agosto de 2026 e, desde sua publicação em 2018, já trazia um modelo abrangente de proteção de dados pessoais. O legislador, contudo, optou por deixar pontos específicos para regulamentação futura pela Agência Nacional de Proteção de Dados (ANPD), de modo que diversos dispositivos remetem a regulamento, normas complementares ou termos a serem definidos pela agência.
Passados 8 anos, é hora de avaliar o que já foi regulamentado e o que ainda está por vir. Nos últimos anos, especialmente em 2024, a ANPD preencheu lacunas centrais da LGPD sobre temas como a função do Encarregado (DPO, na sigla em inglês), transferências internacionais de dados e a comunicação de incidentes de segurança. Ao mesmo tempo, porém, temas como direitos dos titulares, proteção de crianças e adolescentes e inteligência artificial continuam na fila da regulamentação.
I. O que já foi regulamentado pela ANPD
Encarregado pelo tratamento de dados (DPO)
Dentre os pontos em aberto da legislação, a LGPD previa que a ANPD estabeleceria normas complementares sobre o encarregado pelo tratamento de dados pessoais. Com a publicação da LGPD, diferentes agentes de tratamento se depararam com insegurança sobre questões básicas, como a possibilidade de o encarregado ser pessoa jurídica, a necessidade de vínculo empregatício com a organização, as qualificações mínimas exigidas e as hipóteses em que a indicação seria dispensável.
O Regulamento de Atuação do Encarregado (Resolução CD/ANPD nº 18/2024) preencheu essa lacuna ao definir os deveres do agente de tratamento em relação ao DPO, além de hipóteses de dispensa para agentes de pequeno porte e a possibilidade de indicação de pessoa natural ou jurídica, interna ou externa - de modo que órgãos e empresas passaram a contar com parâmetros objetivos para designar formalmente seus encarregados (inclusive demandando ato formal para tanto).
Transferência internacional de dados
A LGPD delegava à ANPD a definição do conteúdo dos mecanismos aptos a legitimar a transferência internacional de dados do Brasil para outras jurisdições. Nesse cenário empresas com operações transfronteiriças operavam sem instrumentos formais reconhecidos pela autoridade brasileira, o que gerava incerteza sobre a conformidade de fluxos já existentes.
Com a publicação do Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024) a ANPD esclareceu o tema e estabeleceu ainda a primeira minuta das Cláusulas Contratuais Padrão que legitimam o fluxo internacional de dados sem burocracias adicionais. A estrutura adotada facilita a interoperabilidade com o modelo europeu, algo especialmente relevante para multinacionais que já utilizam instrumentos semelhantes no âmbito da União Europeia. Mais recentemente, em 2026, a ANPD publicou sua decisão de adequação reconhecendo os países da União Europeia como aptos para o envio de dados do Brasil (o que foi recebido de forma recíproca sob a perspectiva da União Europeia).
Comunicação de incidentes de segurança
A LGPD indicava que a comunicação de incidentes de segurança seria feita em prazo razoável, conforme definido pela autoridade. Na prática, porém, essa indeterminação gerava dúvidas operacionais, já que a ANPD recomendava informalmente 2 dias úteis em seu formulário online sem que houvesse parâmetro normativo vinculante.
Com a chegada do Regulamento de Comunicação de Incidentes de Segurança (Resolução CD/ANPD nº 15/2024) a ANPD definiu não apenas o que se entende por “incidente de segurança” como estabeleceu critérios objetivos para a análise sobre o dever de notificar ou não determinada ocorrência (a partir de uma análise do grau de risco ou dano relevante do incidente) e ainda estabeleceu o prazo de 3 dias úteis para a sua comunicação à ANPD (quanto necessário). Assim, diante desse marco, as empresas passaram a estruturar políticas internas de resposta a incidentes com base em parâmetros claros e com menos margem de subjetividade.
II. O que ainda está por vir
Se 2024 foi o ano das grandes resoluções, os próximos anos prometem avanços em temas igualmente relevantes. Como forma de antecipar o que está por vir, a ANPD sinalizou em sua Agenda Regulatória de 2025-2026 (Resolução CD/ANPD nº 31/2025) e em seu Mapa de Temas Prioritários para 2026-2027 (Resolução CD/ANPD nº 30/2025) alguns pontos de partida, o que inclui:
i. Direitos dos titulares: A LGPD prevê direitos como portabilidade, acesso a dados e revisão de decisões automatizadas, mas a ANPD ainda não detalhou como esses direitos devem ser operacionalizados. O tema é prioritário na Agenda Regulatória 2025-2026 e ainda consta no Mapa de Temas Prioritários como foco de fiscalização em setores como biometria, saúde e dados financeiros.
ii. Proteção de crianças e adolescentes no ambiente digital: A LGPD exige que o tratamento de dados de crianças e adolescentes observe o melhor interesse. Até 2023, a dúvida era se o consentimento parental seria a única base legal possível, mas a ANPD permitiu outras bases desde que o melhor interesse prevaleça. O cenário ficou mais complexo com o ECA Digital, que trouxe obrigações de aferição de idade (saiba mais em nosso artigo - Classificação Indicativa e ECA Digital: classificação do conteúdo e controle etário), segurança por padrão e vedação de perfilamento de menores, o que ganha maior destaque no mercado com o enfoque da ANPD enquanto autoridade fiscalizadora no tema.
iii. Inteligência artificial e tecnologias emergentes: A LGPD garante ao titular o direito de pedir revisão de decisões automatizadas, mas não regulamenta como esse direito deve ser exercido. Com a expansão de IA generativa em áreas como crédito, RH e saúde, essa lacuna se tornou mais sensível. O Mapa de Temas Prioritários lista IA como foco de fiscalização, e o momento pede atenção a transparência e explicabilidade, já que mesmo sem regulamento específico a LGPD já serve de base para questionamentos.
III. O que fica daqui para frente
Em 8 anos, a LGPD saiu de uma lei com pontos em aberto para um ecossistema normativo mais robusto, com três regulamentos centrais em 2024, decisão de adequação em 2026 e uma agência com capacidade institucional fortalecida. O trabalho, porém, está longe de concluído, e direitos dos titulares, proteção de crianças e adolescentes e inteligência artificial representam os próximos capítulos dessa trajetória.
Para empresas que operam no Brasil, a maturidade da proteção de dados é um processo contínuo, e acompanhar a agenda regulatória da ANPD segue sendo o ponto de partida para qualquer programa de conformidade que pretenda se manter atualizado e preparado para os próximos ciclos de regulamentação.
*Escrito por: Carla Couto, Luiza Sato e Miguel Carneiro, respectivamente, sócias e advogado da área.
