ANPD endurece sanciones y fiscalización en Brasil

La ANPD de Brasil intensificó en septiembre su esquema de fiscalización bajo la LGPD, con revisión de reglamentos de sanciones y supervisión, nuevas medidas cautelares sobre plataformas digitales y antecedentes recientes en casos como TikTok y Discord. El movimiento eleva el estándar de cumplimiento para empresas que tratan datos de residentes brasileños, incluidas operaciones regionales con usuarios en Perú.

¿Qué está revisando la ANPD?

La autoridad informó el 4 de septiembre de 2026 que revisa el Reglamento de Dosimetría y Aplicación de Sanciones Administrativas, previsto en la Resolução CD/ANPD nº 4/2023, y el Reglamento del Proceso de Fiscalización, de la Resolução CD/ANPD nº 1/2021. DPOExpert agregó que el 9 de septiembre abrió una consulta pública para revisar el proceso de fiscalización y el proceso administrativo sancionador.

Ese paquete normativo impacta en los criterios de cálculo de sanciones y en los procedimientos de supervisión bajo la LGPD. DPL News reportó además que la Superintendencia de Fiscalización podría adoptar medidas cautelares antes o durante los procesos, incluso sin manifestación previa del regulado, cuando haya riesgo de daño o de afectación a la investigación.

¿Qué tipo de sanciones está aplicando?

La ANPD viene usando advertencias, bloqueo de bancos de datos y multas que pueden llegar a R$ 50 millones por infracción, el tope previsto en la LGPD, según De Paula e Nadruz e INTA Data Committee. AdvTechPro.ai añadió que la conversión de la ANPD en autarquía de naturaleza especial en 2024 expandió su capacidad de fiscalización y permitió sanciones más expresivas a partir de 2026.

Ese mismo análisis, citando datos oficiales sin enlazar el informe primario, sostuvo que en 2026 hubo un crecimiento de aproximadamente 280% en los procesos administrativos sancionadores y una recaudación cercana a R$ 85 millones en el primer semestre. Como esa cifra no está respaldada allí con un documento primario enlazado, conviene tratarla como una referencia del propio medio y no como dato cerrado.

¿Qué muestran los casos TikTok y Discord?

La sanción más visible fue la aplicada a ByteDance por TikTok, con cinco sanciones pecuniarias por un total consolidado de R$ 153.769.671,33 y la orden de eliminar datos tratados irregularmente, según el comunicado oficial de la ANPD del 25 de agosto de 2026 citado por GRCX3. DataPrivacyBR y Migalhas precisaron que el expediente también exigió un plan de conformidad específico para reforzar la protección de niños y adolescentes, más mejoras técnicas y organizativas.

El caso se fundó, de acuerdo con Migalhas, en el artículo 7º de la LGPD por tratamiento sin base legal válida, en el artículo 6º, inciso VIII, por ausencia de medidas de prevención, y en el artículo 6º, inciso X, por falta de comprobación de conformidad. Un análisis posterior de Migalhas agregó que el proceso administrativo se abrió en noviembre de 2024 y que la empresa debe eliminar datos de adolescentes sin representación legal regularizada, notificar a terceros que recibieron esos datos y comprobar técnicamente el cumplimiento.

En Discord, la ANPD determinó el 12 de agosto de 2026 la suspensión de transmisiones en vivo y otros recursos de vídeo hasta que se adoptaran medidas efectivas para proteger a niños y adolescentes. Es Hoje informó que la plataforma acató la orden el 17 de agosto, aunque recurrió cuestionando la competencia de la autoridad, y G1 añadió que la medida respondió al uso reiterado de la herramienta en casos de violencia, acoso e inducción a la automutilación y al suicidio.

¿Qué cambia para empresas con usuarios en Brasil?

Las exigencias ya no pasan solo por reaccionar a incidentes, sino por documentar, reportar y demostrar controles. DPOExpert señaló que la Resolução CD/ANPD nº 15/2024 obliga a conservar por al menos cinco años los registros de incidentes de seguridad que involucren datos personales, con detalle de fecha de conocimiento, circunstancias, categorías de datos afectados, evaluación de riesgo, medidas adoptadas y justificación de una eventual no comunicación.

Ese mismo marco fija, en general, un plazo de tres días hábiles para notificar a la ANPD los incidentes que puedan generar riesgo o daño relevante y también a los titulares. TechPolicy.Press sumó que, tras la sanción a TikTok, la ANPD ordenó además que las plataformas con más de 1 millón de usuarios menores de 18 años publiquen su primer informe semestral de transparencia antes de mediados de septiembre de 2026.

¿Dónde entra la inteligencia artificial?

La ANPD eligió la inteligencia artificial como eje prioritario de fiscalización para 2026 y 2027, según LCF Consulting, que indicó que desde el 21 de agosto de 2026 monitorea a 22 agentes de mercado, entre redes sociales, tiendas de aplicaciones y herramientas de IA generativa. StartSe agregó que, conforme al Edital nº 2/2025, la autoridad seleccionó a Metatext, Synapse AI y Prevvine Tecnologia para un sandbox regulatorio iniciado en marzo de 2026 junto al grupo CIAAM de la Universidad de São Paulo.

AdvTechPro.ai también señaló, citando datos oficiales sin enlace al informe primario, que el mayor volumen sancionador de 2026 estuvo vinculado al tratamiento de datos personales en sistemas de inteligencia artificial. El mismo reporte indicó que la ANPD está en una fase de mayor rigor regulatorio, mientras Vlibras recordó que sus orientaciones y resoluciones son la base para cumplir las reglas de transferencia internacional de datos bajo la LGPD.