ANPD fiscaliza pesado: o recado de R$ 153 milhões às empresas

No dia 16 de setembro de 2026, a Autoridade Nacional de Proteção de Dados aplicou uma multa de R$ 153,7 milhões ao TikTok. É o maior valor já sancionado ao setor privado desde que a LGPD entrou em vigor, e ele chega junto com outro movimento que passou mais despercebido: a ANPD abriu consulta pública para revisar o próprio Regulamento do Processo de Fiscalização e o Processo Administrativo Sancionador, com audiência pública marcada para 24 de setembro. Só em junho de 2026, a autarquia abriu dezenove novos processos administrativos sancionadores, mais do que o total registrado entre 2020 e 2024 somado.

O recado é direto: a ANPD saiu do modo reativo (esperar denúncia, investigar caso a caso) para um modo temático e setorial de fiscalização. Isso significa escolher um setor, um tipo de tratamento de dado ou um padrão de reclamação recorrente e varrer várias empresas daquele grupo ao mesmo tempo. Para clínicas, laboratórios, hospitais e qualquer organização que trate dado de saúde (categoria que a própria LGPD classifica como sensível, no artigo 11), isso muda o cálculo de risco de forma relevante.

Por que dado de saúde pesa mais na régua da ANPD

A LGPD trata dado de saúde com um regime mais rígido que dado pessoal comum: exige base legal mais restrita, controles de acesso mais explícitos e, na prática, um histórico de tratamento (quem acessou, quando, por quê) que resista a uma auditoria. Multas por vazamento ou uso indevido de dado sensível de saúde tendem a ser calculadas com o teto mais alto: até 2% do faturamento da empresa no último exercício, limitado a R$ 50 milhões por infração. Para uma clínica de porte médio, esse teto raramente é atingido em valor absoluto, mas o dano reputacional e o custo de resposta a um processo sancionador (advogados, DPO, plano de remediação, comunicação a titulares) já é suficiente para doer.

O ponto que costuma passar batido é que a ANPD não está fiscalizando só gigante de tecnologia. O histórico recente já mostra ação contra empresa pequena por tratamento de dado sem base legal adequada, e a lógica de fiscalização temática aumenta a chance de qualquer organização de um setor sensível (saúde, educação, financeiro) entrar na mira sem nunca ter recebido uma reclamação individual.

O que muda na prática a partir de agora

Compliance com LGPD deixou de ser um documento assinado uma vez e guardado na gaveta. As áreas que mais aparecem em processos sancionadores, segundo o histórico público da ANPD, são:

• Base legal do tratamento. Não basta ter consentimento genérico; é preciso registrar qual hipótese legal (consentimento, execução de contrato, cumprimento de obrigação legal, tutela da saúde) ampara cada finalidade de tratamento de dado.
• Relatório de Impacto à Proteção de Dados (RIPD). Obrigatório quando o tratamento envolve alto risco, o que inclui, quase sempre, dado de saúde em volume.
• Canal do titular. A empresa precisa conseguir responder, dentro de prazo, a um pedido de acesso, correção ou eliminação de dado pessoal. Não ter esse canal estruturado é uma das falhas mais citadas em autuações.
• Trilha de auditoria. Saber quem acessou qual prontuário, documento ou registro sensível, e quando, é a diferença entre responder a um processo sancionador em horas ou em semanas.

O erro mais caro não é a falta de política de privacidade no site. É não conseguir provar, quando a ANPD pede, o que a empresa faz na prática com o dado.

Compliance não é evento, é rotina

Boa parte das organizações de saúde e diagnóstico já convive com auditoria por causa de normas como RDC, ONA ou ISO 9001, mas trata a LGPD como um projeto separado, tocado uma vez pelo jurídico e esquecido. É o erro mais comum, e o mais fácil de corrigir: LGPD deveria entrar no mesmo ciclo de gestão de qualidade e conformidade que já existe para as normas sanitárias, não correr paralelo em uma planilha perdida.

Na prática, isso significa três coisas: primeiro, mapear onde o dado sensível vive (prontuário eletrônico, sistema de agendamento, planilha de RH, backup); segundo, formalizar quem é o encarregado (DPO) e garantir que ele tenha visibilidade real dos incidentes, não só o cargo no organograma; terceiro, manter evidência de que os controles funcionam, não apenas que existem no papel. É exatamente esse terceiro ponto que costuma faltar quando chega uma fiscalização: a empresa tem a política, mas não tem o registro de que a política foi seguida.

É por isso que o módulo de conformidade da facilita.ops trata LGPD como mais uma norma dentro do mesmo painel de auditoria, não conformidade e evidência que já cobre RDC, ISO e ONA: a trilha de quem acessou o quê, quando um RIPD venceu ou uma não conformidade foi aberta fica no mesmo lugar onde a equipe já registra o resto da gestão da qualidade, em vez de virar mais um sistema paralelo que ninguém atualiza.

O que fazer nas próximas semanas

Com a consulta pública da ANPD em andamento até 26 de outubro, o regulamento de fiscalização ainda pode mudar em detalhe, mas a direção já está dada: mais processos abertos, mais foco setorial, menos tolerância com empresa que nunca formalizou nada. Não faz sentido esperar o texto final para agir. Três passos que qualquer organização de porte médio consegue tocar até o fim do trimestre:

1. Revisar (ou criar, se ainda não existe) o inventário de dados sensíveis tratados, incluindo os que estão em planilha ou sistema legado fora do software principal.
2. Confirmar que existe um canal formal e documentado para o titular exercer seus direitos, com prazo de resposta definido.
3. Testar, na prática, se a empresa consegue responder "quem acessou o dado do paciente X no dia Y" em minutos, não em dias.

Se a resposta ao último item exige ligar para três pessoas diferentes e torcer para alguém lembrar, o risco não é multa. É não ter, hoje, uma gestão de dado que resista a uma pergunta simples.

Klaus Fuchs Founder da facilita.etc. 15+ anos liderando gestão estratégica em saúde, educação e organizações sociais. Conduziu acreditações em uma das maiores OSS do Brasil. Escreve sobre o que pratica.