ANPD independente e adequação UE-Brasil: o que muda para sua empresa

A nova ANPD: de órgão vinculado a agência independente

Nos primeiros anos da LGPD, a ANPD operou como órgão vinculado à Presidência da República, sob a estrutura da Casa Civil. Isso limitava sua capacidade de agir: decisões de fiscalização podiam ser influenciadas por pressões políticas, e seu orçamento dependia de dotações sujeitas a contingenciamento.

A mudança veio em duas etapas. Em 2022, a Lei 14.460 transformou a ANPD em autarquia de natureza especial. Em 2025, a Medida Provisória 1.317 deu mais um passo: a autoridade passou a ser a Agência Nacional de Proteção de Dados, uma agência reguladora sob o regime da Lei 13.848/2019, a mesma lei que rege Anatel, Aneel e Anvisa. O Senado aprovou a MP em 24 de fevereiro de 2026. Na prática, isso significa:

• Autonomia administrativa e financeira típica das agências reguladoras, com orçamento próprio
• Diretores com mandatos fixos, protegidos de demissão por motivo político
• Poder de instaurar investigações e aplicar sanções sem aprovação externa
• Capacidade de firmar acordos de cooperação com autoridades estrangeiras, incluindo autoridades supervisoras europeias

As primeiras inspeções temáticas proativas foram concluídas. A ANPD publicou relatórios de fiscalização por setor e iniciou procedimentos administrativos contra empresas com inadequações identificadas. Quem operava com a expectativa de um regulador consultivo precisa revisar essa premissa.

A decisão de adequação UE-Brasil

O mecanismo de adequação está previsto no artigo 45 do GDPR. Ele permite que a Comissão Europeia declare que um país terceiro garante proteção "essencialmente equivalente" à oferecida pela União Europeia. Quando essa declaração é emitida, dados pessoais podem ser transferidos da UE para o país adequado sem salvaguardas adicionais. A decisão cobre só esse sentido.

No caso do Brasil, a Comissão adotou a Decisão de Execução (UE) 2026/179. O sentido inverso, do Brasil para a UE, depende da LGPD: a ANPD reconheceu, de forma recíproca, que a UE oferece nível de proteção adequado (LGPD, art. 33, I). São dois instrumentos distintos, cada um com sua própria revisão.

Com a decisão de adequação UE-Brasil formalizada, o Brasil integra um grupo seleto de países com esse status, ao lado de Andorra, Argentina, Canadá (parcialmente), Japão, Nova Zelândia e Suíça, entre outros.

O que muda concretamente para cada tipo de empresa:

• Empresas brasileiras que recebem dados de clientes ou parceiros europeus: a transferência da UE para o Brasil deixa de exigir cláusulas contratuais padrão, e o reconhecimento recíproco da ANPD simplifica o envio de dados de volta à UE. O compliance documental fica mais simples e o onboarding de novos clientes europeus remove um atrito regulatório relevante.
• Subsidiárias brasileiras de grupos europeus: o DPO da matriz pode interagir diretamente com a ANPD. A auditoria interna de proteção de dados pode ser unificada sob uma única estrutura de governança.
• Fornecedores SaaS brasileiros com usuários europeus: a adequação remove um obstáculo frequente em processos de due diligence de privacidade conduzidos por clientes da UE.

Quem precisa agir

A adequação cria obrigações nos dois lados do Atlântico. Estas são as categorias de empresas que precisam tomar providências imediatas:

• Empresas brasileiras com clientes europeus que tratam dados pessoais de residentes da UE. O GDPR se aplica a essas operações independentemente de onde o tratamento ocorre fisicamente.
• Subsidiárias brasileiras de grupos europeus, cujos programas de privacidade precisam demonstrar equivalência com o que a matriz implementa na UE.
• Fornecedores e prestadores de serviço brasileiros que processam dados europeus em servidores ou sistemas no Brasil.
• Empresas europeias com operações no Brasil: para elas, a LGPD se aplica ao tratamento de dados de residentes brasileiros, e o alinhamento operacional é necessário para os dois regimes.

O denominador comum é este: todas essas empresas precisam fechar as lacunas entre o que a LGPD exige e o que o GDPR exige, porque é nessas lacunas que a Comissão Europeia identificará falhas de equivalência em futuras revisões da adequação.

As lacunas entre LGPD e GDPR que sua empresa precisa fechar

A LGPD foi modelada no GDPR. Os princípios são os mesmos: finalidade, necessidade, adequação, transparência, segurança. Mas há diferenças operacionais concretas que precisam ser endereçadas antes que uma auditoria cruzada as identifique.

1. Notificação de incidentes

O GDPR exige notificação à autoridade supervisora em até 72 horas após o conhecimento do incidente. Para incidentes que representem alto risco aos titulares, também exige comunicação direta a essas pessoas, sem atraso indevido. A LGPD, pela Resolução CD/ANPD nº 15/2024, exige comunicar a ANPD e os titulares em 3 dias úteis quando houver risco ou dano relevante. Os prazos são próximos, mas uma empresa que atende aos dois regimes precisa de um playbook que dispare as duas notificações em paralelo, com critérios de gatilho diferentes. Esse processo precisa ser documentado, testado e revisado com periodicidade.

2. DPO e Encarregado

O GDPR (artigo 37) exige designação formal do DPO, publicação dos dados de contato para titulares e para a autoridade supervisora, e garantias de independência operacional. A LGPD (art. 41) exige a indicação de um Encarregado, com contato publicado, e a Resolução CD/ANPD nº 18/2024 pede um ato formal de designação; só os agentes de pequeno porte estão dispensados. As garantias de independência, porém, são menos detalhadas do que no GDPR. Para empresas que operam sob os dois regimes, o padrão mais exigente se aplica: a designação deve estar documentada formalmente, o contato publicado de forma proativa, e o Encarregado deve ter autonomia real para exercer seu papel sem interferência da gestão nas decisões de conformidade.

3. Avaliação de impacto (DPIA e RIPD)

O GDPR obriga a realização de avaliação de impacto (DPIA) para tratamentos que apresentem alto risco, com base em triggers publicados pelas autoridades supervisoras. Quando o risco residual permanece elevado após a aplicação de controles, o controlador deve consultar previamente a autoridade supervisora. A LGPD prevê o RIPD (Relatório de Impacto à Proteção de Dados), mas com critérios de obrigatoriedade menos definidos. Para adequação, as empresas devem adotar os triggers do GDPR e, onde o risco residual for elevado, consultar proativamente a ANPD antes de iniciar o tratamento.

4. Registro de operações de tratamento

O artigo 30 do GDPR exige um registro formal das operações de tratamento, com campos específicos: nome e contato do controlador, finalidades, categorias de titulares e dados, destinatários, transferências internacionais, prazos de retenção e descrição técnica das medidas de segurança. A LGPD tem regra equivalente no art. 37, que obriga controlador e operador a manter registro das operações de tratamento, mas sem a mesma lista de campos. Para adequação, as empresas devem manter um RoPA (Record of Processing Activities) no formato do artigo 30, com registros separados para controlador e operador.

5. Bases legais documentadas

O GDPR exige que a base legal de cada operação de tratamento seja determinada e documentada antes do início do tratamento. Mudanças de base legal após o tratamento ter começado são, em geral, vedadas. A LGPD tem exigência similar, mas a prática de enforcement no Brasil tem sido menos rigorosa nesse ponto até agora. Com a ANPD independente conduzindo inspeções temáticas, isso está mudando. As empresas devem auditar e documentar as bases legais de todos os seus tratamentos de dados, corrigindo eventuais inconsistências antes de uma inspeção as identificar.

6. Prazos de resposta aos direitos dos titulares

O GDPR estabelece 30 dias para responder a pedidos de titulares, com possibilidade de extensão por mais 60 dias em casos complexos, mediante comunicação justificada ao titular. A LGPD fixa, no próprio texto da lei (art. 19, II), 15 dias para a confirmação de existência ou o acesso completo aos dados; para os demais direitos, pede providência imediata. Para empresas que operam sob os dois regimes, o prazo de 30 dias do GDPR, contado desde o recebimento do pedido, deve ser adotado como padrão. O processo de atendimento a direitos dos titulares precisa estar documentado, com responsáveis definidos e prazos internos que deixem margem para revisão jurídica antes da resposta.

O plano de ação em 6 etapas

As seis lacunas acima têm uma sequência lógica de endereçamento. Começar pelo registro de operações viabiliza todo o restante, porque você não consegue auditar bases legais, avaliar impactos ou testar notificação de incidentes sem saber exatamente quais dados trata e por quê.

1. Mapeie todos os fluxos de dados transfronteiriços. Identifique cada transferência de dados entre o Brasil e a UE, incluindo dados em trânsito por cloud providers com servidores europeus. Muitas empresas descobrem nessa etapa transferências que não estavam no radar do time de privacidade.
2. Construa ou atualize o registro de operações de tratamento (RoPA). Use o modelo do artigo 30 do GDPR como referência. Mantenha registros separados para as operações em que sua empresa age como controladora e aquelas em que age como operadora.
3. Audite as bases legais de todos os tratamentos. Para cada operação no RoPA, documente a base legal aplicada e verifique se ela sustenta o tratamento sob o GDPR. Corrija inconsistências antes de documentar formalmente.
4. Formalize o papel do Encarregado com documentação GDPR-compatível. Revise o instrumento de designação, garanta autonomia operacional e publique as informações de contato de forma proativa em aviso de privacidade e no site institucional.
5. Elabore ou atualize o RIPD para operações de alto risco. Use os triggers do GDPR para identificar quais tratamentos exigem avaliação de impacto. Para aqueles com risco residual elevado, considere a consulta prévia à ANPD como medida de conformidade proativa.
6. Teste seus procedimentos de resposta a incidentes contra os prazos de 72 horas (GDPR) e 3 dias úteis (LGPD). Realize um exercício tabletop com as equipes de segurança, privacidade e jurídico. O objetivo é mapear os gargalos internos que impedem a produção da notificação dentro do prazo, antes que um incidente real os exponha.

Como a Cyvra pode ajudar

A Cyvra tem equipes nos Países Baixos e no Brasil. Isso nos permite conduzir avaliações de conformidade que examinam suas operações simultaneamente sob o GDPR e a LGPD, identificando as lacunas que importam, não apenas as que são visíveis de um único lado da regulação.

Trabalhamos com empresas brasileiras que precisam demonstrar conformidade para clientes europeus, com subsidiárias brasileiras de grupos da UE que precisam alinhar seus programas de privacidade com a matriz, e com fornecedores SaaS que querem remover barreiras regulatórias no processo de expansão para a Europa.

Se sua empresa está nessa posição, o próximo passo prático é um gap assessment duplo: uma análise estruturada das suas operações de tratamento de dados contra os requisitos da LGPD e do GDPR, com um plano de remediação priorizado pelo risco.