ANPD registra alta de incidentes de segurança ligados à LGPD

A Lei Geral de Proteção de Dados Pessoais (LGPD) completa seis anos em vigor no Brasil em meio ao aumento dos incidentes de segurança e aos desafios trazidos pela inteligência artificial (IA). Dados da Agência Nacional de Proteção de Dados (ANPD) mostram que os registros passaram de 186, em 2021, para 599 até outubro deste ano, alta de 222% em cinco anos.

A ocorrência mais comum neste ano foi a exploração de vulnerabilidades em sistemas de informação, com 142 casos. Na sequência aparecem roubo de credenciais, com 107, e acesso não autorizado a sistemas, com 89. Os números indicam situações que podem expor informações pessoais e exigem respostas de organizações públicas e privadas sujeitas à lei.

A LGPD, Lei nº 13.709/2018, estabelece regras para a coleta, o armazenamento, o tratamento e o compartilhamento de dados pessoais por empresas e órgãos públicos. A norma foi aprovada em agosto de 2018, e a maior parte de seus artigos começou a valer em setembro de 2020. Além de exigir cuidados no uso de informações, a legislação prevê a comunicação de incidentes de segurança à ANPD e aos titulares quando o caso puder causar risco ou dano relevante.

A agência também apura ocorrências e pode aplicar sanções. Entre 2021 e este ano, abriu 111 processos administrativos relacionados a incidentes. Cinquenta e oito seguem em tramitação; 23 foram encerrados sem caracterização de incidente, 18 encaminhados para tratamento de incidente, sete classificados como incidente comunicado e cinco permanecem em tramitação interna.

A atuação da ANPD ganha importância com a expansão da inteligência artificial, que pode ampliar a escala e a velocidade do tratamento de dados. O uso de sistemas automatizados também torna relevantes questões como a transparência sobre decisões, a revisão de resultados e a proteção de crianças e adolescentes. A agência informou que, em parceria com o Programa das Nações Unidas para o Desenvolvimento, contratou consultores e especialistas externos para produzir estudos técnicos sobre IA, proteção de dados, governança de dados e ambiente digital para crianças e adolescentes.

A autoridade recebeu novas atribuições relacionadas ao Marco Civil da Internet e ao Estatuto da Criança e do Adolescente Digital. Também poderá assumir funções ligadas ao Marco Legal da Inteligência Artificial, projeto que ainda tramita no Congresso. A ampliação das responsabilidades ocorre enquanto a agência estrutura sua capacidade de fiscalização.

Em nota, a ANPD afirmou que a Lei nº 15.352/2026 fortaleceu sua estrutura, com a criação de uma carreira própria e o aumento de sua autonomia. A agência também informou que foi autorizado um concurso para 50 vagas imediatas, destinado a ampliar sua capacidade de atuação regulatória e fiscalizatória.

A LGPD prevê multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração. A ANPD também pode aplicar medidas que restrinjam atividades, conforme a gravidade e as circunstâncias do caso. Em agosto deste ano, a agência multou a ByteDance, controladora do TikTok, em R$ 153,7 milhões por irregularidades no tratamento de dados de crianças e adolescentes e determinou a implementação de um plano de conformidade para melhorar a proteção desse público na plataforma.

O caso reacendeu a discussão sobre a consistência das punições. O advogado Matheus Puppe avaliou que a sanção indica disposição da agência para aplicar penalidades de impacto econômico, mas disse que a atuação também depende de previsibilidade, qualidade técnica, coerência na definição das sanções e fiscalização contínua. Para ele, é necessário que casos de grande repercussão se convertam em uma política de aplicação da lei consistente.

Renato Opice Blum, especialista em Direito Digital, afirmou que a ANPD deixou de ser uma estrutura simplificada e se tornou um órgão mais robusto. Ele comparou a legislação brasileira ao Regulamento Geral sobre a Proteção de Dados da União Europeia e avaliou que o Brasil dispõe de mecanismos de aplicação prática. Blum também apontou que a rápida evolução da IA e os desafios de cibersegurança exigem uma atuação mais efetiva da agência.

As avaliações sobre a aplicação da lei, porém, não são unânimes. O advogado Felipe Carteiro Moreira considerou lenta a fiscalização e disse que o avanço das fraudes digitais evidencia falhas na proteção de dados mantidos por empresas e pelo Poder Público. Ele também criticou o uso genérico da LGPD para restringir o acesso a informações públicas, afirmando que a anonimização e outros mecanismos podem permitir a divulgação sem expor dados pessoais.

Moreira apontou pendências relativas aos direitos dos titulares, à revisão de decisões automatizadas, aos relatórios de impacto à proteção de dados e ao compartilhamento de informações pelo Poder Público. A expansão da IA torna essas questões parte dos próximos desafios regulatórios, ao lado da resposta a incidentes e da capacidade da ANPD de fiscalizar o cumprimento da lei.