ANPD endurece fiscalización y sanciones bajo la LGPD

La ANPD consolidó en 2025 y 2026 un giro hacia un enforcement más activo bajo la LGPD. La autoridad mantiene en consulta pública hasta el 26 de octubre la actualización de su reglamento de fiscalización y proceso administrativo sancionador, mientras avanza con una guía para proveedores de TI vinculada al ECA Digital y refuerza criterios que ya alcanzan incidentes de seguridad, transferencias internacionales y entrenamiento de sistemas de inteligencia artificial.

¿Qué cambió en la fiscalización de la ANPD?

La ANPD pasó de un enfoque predominantemente orientativo a uno con sanciones activas bajo la LGPD, según análisis de práctica de cumplimiento citados en el material. Ese cambio se apoya en su conversión en agencia reguladora independiente, que amplió su capacidad para imponer multas, expedir normas de certificación y coordinar con reguladores sectoriales.

La propia autoridad también defendió públicamente que actúa con una lógica de fiscalização responsiva y con criterios estrictamente técnicos para llevar a los agentes de tratamiento a la conformidad. Esa posición apareció en respuesta a críticas sobre supuestos superpoderes y censura en la regulación de redes sociales.

¿Qué prevé el reglamento sancionador en consulta?

El marco regulatorio de sanciones de la ANPD contempla agravantes y atenuantes que pueden mover significativamente el valor final de una multa. Según el material, la reincidencia específica o genérica y el incumplimiento de determinaciones preventivas o correctivas pueden elevarla entre 5% y 90% sobre el valor inicial, mientras que mecanismos de gobernanza y medidas correctivas pueden reducirla entre 5% y 75%.

La consulta pública sobre la actualización del Regulamento de Fiscalização e do Processo Administrativo Sancionador seguirá abierta hasta el 26 de octubre. Ese proceso impactará en los procedimientos de supervisión e imposición de sanciones por incumplimiento de la LGPD.

¿Qué otras guías y frentes abrió la ANPD?

La ANPD prepara un Guia de fornecedores de produtos ou serviços de TI, escopo e obrigações gerais do ECA Digital, que está en fase de consolidación de aportes. El documento definirá obligaciones para proveedores de TI en materia de protección de datos de niños y adolescentes, en complemento de las obligaciones ya previstas bajo la LGPD.

Un año después de la entrada en vigor del ECA Digital, la autoridad destacó oficialmente que, tras el Decreto nº 12.622/2025 y la conversión en agencia reguladora federal por la Ley nº 15.352, fiscalizar ese estatuto pasó a ser una atribución central. La cobertura de Folha de S.Paulo mostró además tensiones prácticas en ese enforcement, con el ejemplo de la orden de suspensión de transmisiones en vivo y otros recursos de video de Discord el 12 de agosto, medida cumplida y luego judicializada.

¿Cómo está aplicando la ANPD la LGPD en temas de IA, brechas y transferencias?

La agenda de cumplimiento ya alcanza usos de datos para entrenamiento de IA, incidentes de seguridad y transferencias internacionales. Según análisis jurídicos recientes, la ANPD ya sancionó el uso de datos personales en el entrenamiento de modelos de inteligencia artificial sin esperar un marco específico, aplicando principios de finalidad, necesidad y base legal sobre proyectos de machine learning.

En paralelo, se discute un proyecto que modifica la LGPD para fijar criterios sobre el uso de datos personales en el entrenamiento y perfeccionamiento de sistemas de IA. El material también indica que la autoridad exige comunicar incidentes de seguridad de datos personales en un plazo de 3 días hábiles y que fiscaliza la transferencia internacional desde tres frentes, información al titular, documentación del flujo y respuesta a incidentes.

¿Las nuevas reglas ya se están usando en el sector público?

Sí. Actos administrativos de gobiernos locales brasileños ya aplican de forma concreta la Resolução CD/ANPD nº 18/2024 para designar encarregados, con base en artículos sobre indicación, características, atribuciones y conflicto de interés. El caso muestra que el reglamento ya se incorporó en la práctica del sector público, no solo en empresas privadas.