A Lei 15.352/2026 transformou a ANPD em agência reguladora, a autoridade aplicou uma multa milionária em 2026 e a agenda regulatória avança sobre biometria e alto risco. A LGPD não mudou, mas o ambiente de fiscalização sim.

Escrito por Guido Schenone

O que mudou na proteção de dados no Brasil em 2026?

A LGPD continua a mesma lei de 2018, mas a instituição que a fiscaliza mudou de patamar. A Lei nº 15.352, de 25 de fevereiro de 2026, alterou a LGPD para dispor sobre a Agência Nacional de Proteção de Dados, incluindo-a entre as agências reguladoras, e criou a carreira de Regulação e Fiscalização de Proteção de Dados, com 200 cargos de especialista. A mesma lei tratou da vigência do ECA Digital (Lei nº 15.211/2025), que protege crianças e adolescentes no ambiente digital. Para as empresas, a mudança não cria obrigações novas na seleção de pessoal, mas sinaliza mais capacidade institucional para fiscalizar as que já existem: base legal, finalidade, necessidade, transparência, segurança e responsabilização.

O que está na agenda regulatória da ANPD?

A agenda regulatória 2025-2026, aprovada pela Resolução CD/ANPD nº 23/2024 e alterada em dezembro de 2025, traz vários temas que tocam diretamente os processos seletivos. Segundo o balanço do primeiro semestre de 2026, a regulamentação dos direitos dos titulares já tem análise de impacto publicada e aguarda decisão sobre consulta pública; a de dados biométricos passou por tomada de subsídios e tem minuta em elaboração; as de inteligência artificial e tratamento de alto risco estão em fase de minuta ou de aprovação pelo Conselho Diretor; e a de consentimento deve começar no segundo semestre de 2026. Para a agenda seguinte, a Nota Técnica nº 20/2026 registra que o Conselho Nacional de Proteção de Dados sugeriu regras sobre dados pessoais nas relações de trabalho, embora o tema não figure entre as ações propostas.

Como a fiscalização está se comportando?

O histórico recente mostra uma autoridade que passou da orientação à sanção. A primeira multa, em 2023, foi aplicada à Telekall Infoservice, no valor de R$ 14,4 mil. Em agosto de 2026, a ANPD aplicou à ByteDance Brasil, responsável pelo TikTok, multa de R$ 153,8 milhões por infrações aos artigos 6º e 7º da LGPD e determinou a eliminação de dados de usuários adolescentes, sob pena de multa diária; a decisão é administrativa e ainda cabe recurso. Não há, até onde verificamos, sanção da ANPD relacionada especificamente a processos seletivos. A leitura prudente é que a fiscalização começou pelos casos de maior escala, mas os princípios aplicados — base legal e transparência — são os mesmos que valem para o tratamento de dados de candidatos.

E a regulação da inteligência artificial?

Outro movimento importante corre no Congresso. O PL nº 2.338/2023, que cria o marco legal da inteligência artificial, foi aprovado pelo Senado em 10 de dezembro de 2024 e aguarda parecer do relator na comissão especial da Câmara dos Deputados. O texto do Senado classifica como de alto risco os sistemas usados na "tomada de decisões sobre recrutamento, avaliação, promoção e demissão de trabalhadores", garante direito à explicação, à contestação e à revisão humana, e atribui à ANPD a coordenação do futuro sistema nacional de regulação da IA. O projeto ainda pode mudar, mas a direção converge com a LGPD, cujo artigo 20 já garante a revisão de decisões tomadas unicamente por tratamento automatizado. "A nova fase da ANPD não muda a lei, mas muda a expectativa: base legal clara, finalidade definida e fornecedores com contrato deixam de ser diferencial e passam a ser o mínimo", afirma Guido Schenone, Comercial & Growth Manager da Validato.

Como se preparar sem esperar novas regras?

Aplicado ao RH, preparar-se significa inventariar quais dados de candidatos são coletados e para quê, revisar os avisos de privacidade e as bases legais usadas em cada etapa da seleção, fixar prazos de retenção e eliminação, mapear onde há decisões automatizadas e garantir que exista revisão, e organizar os contratos com os fornecedores que fazem verificações, já que eles atuam como operadores. Também vale manter um registro das operações de tratamento, como exige o artigo 37 da LGPD. A Validato estrutura seus processos de background screening com informação ao titular, base legal definida e rastreabilidade, o que facilita responder tanto a um pedido do candidato quanto a uma fiscalização. Recomendamos consultar assessoria jurídica própria, porque parte das regulamentações ainda está em elaboração.

Referências

1. Lei nº 15.352/2026. Senado Federal. https://legis.senado.leg.br/norma/42835651
2. Congresso em Foco, 02/2026, sanção da lei da ANPD. https://www.congressoemfoco.com.br/noticia/116782/lula-sanciona-lei-que-transforma-anpd-em-agencia-reguladora
3. ANPD, Balanço da Agenda Regulatória 2025-2026 (1º semestre de 2026). https://www.gov.br/anpd/pt-br/assuntos/regulacao/agenda-regulatoria-1/agenda-regulatoria-2025-2026/balanco-agenda-regulatoria-2025-2026-01-2026.pdf/@@display-file/file
4. ANPD, Nota Técnica nº 20/2026 (agenda 2027-2028). https://www.gov.br/anpd/pt-br/acesso-a-informacao/participacao-social/outras-acoes/ts-04-2026-nota-tecnica-no-20-2026.pdf/@@display-file/file
5. ANPD, Despacho Decisório nº 27/2026/CGS/SFI (ByteDance Brasil). https://www.gov.br/anpd/pt-br/centrais-de-conteudo/decisoes-em-processos-sancionadores/despacho-decisorio-no-27-2026-cgs-sfi.pdf/@@display-file/file
6. HLC, primeira sanção da ANPD (Telekall, 2023). https://www.hlc.com/en/publications/the-brazilian-data-protection-authority-has-published-its-first-sanction-under-the-general-data-protection-law
7. Agência Senado, 10/12/2024, aprovação do PL 2338/2023. https://www12.senado.leg.br/noticias/materias/2024/12/10/senado-aprova-regulamentacao-da-inteligencia-artificial-texto-vai-a-camara
8. Câmara dos Deputados, ficha de tramitação do PL 2338/2023. https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262
9. Lei nº 13.709/2018 (LGPD), arts. 20 e 37. Planalto.