ANPD completa seis anos de atuação, apresenta balanço institucional e inicia nova fase de liderança
A Agência Nacional de Proteção de Dados (ANPD) celebrou, em 5 de novembro de 2026, seis anos de atuação com uma solenidade realizada no auditório do Tribunal de Contas da União (TCU), em Brasília. O evento reuniu representantes do setor público, pesquisadores, especialistas e integrantes da instituição para apresentar os principais resultados alcançados desde sua criação, em 2020, além de discutir os desafios e as perspectivas para os próximos anos.
A celebração representou um marco especialmente significativo por ocorrer no primeiro ano da ANPD como agência reguladora federal, condição que acompanha a ampliação de suas competências institucionais e o fortalecimento de sua estrutura administrativa. Inicialmente voltada à regulamentação e fiscalização da Lei Geral de Proteção de Dados Pessoais (LGPD), a Agência passou a exercer atribuições relacionadas ao Estatuto Digital da Criança e do Adolescente (ECA Digital) e aos decretos que atualizaram a regulamentação do Marco Civil da Internet, ampliando sua atuação sobre a proteção de direitos no ambiente digital.
Durante a apresentação do balanço institucional, foram destacados avanços na capacidade operacional e regulatória da Agência. Segundo as informações divulgadas, a estrutura passou de menos de 200 servidores, em 2025, para aproximadamente 500 profissionais em 2026, incluindo servidores, estagiários e trabalhadores terceirizados. As áreas de Fiscalização e Regulação praticamente dobraram de tamanho, acompanhando o crescimento das responsabilidades institucionais. Também foi anunciada a previsão do primeiro concurso público da ANPD, com 50 vagas imediatas e expectativa de ingresso de novos servidores em 2027.
Os resultados apresentados demonstram a evolução das atividades regulatórias e fiscalizatórias. Ao longo dos seis anos, a Superintendência de Regulação publicou oito regulamentos e 13 guias orientativos, além de promover 20 tomadas de subsídios e 18 consultas públicas. No campo da fiscalização, foram destacados 70 processos instaurados e a adoção de uma abordagem responsiva, orientada não apenas à aplicação de sanções, mas também à promoção da conformidade e à orientação dos agentes regulados.
A solenidade também marcou o encerramento do mandato de Waldemar Gonçalves, primeiro diretor-presidente da ANPD, que esteve à frente da instituição desde o início de suas atividades. Sua despedida simbolizou o encerramento de um ciclo de estruturação e consolidação institucional, caracterizado pela implementação dos primeiros instrumentos regulatórios, pela ampliação da atuação fiscalizatória e pelo reconhecimento da proteção de dados pessoais como elemento fundamental da governança digital brasileira.
Com o encerramento do mandato, o diretor Iagê Zendron Miola assumiu interinamente, em 6 de novembro, a presidência do Conselho Diretor da ANPD. Integrante do colegiado desde janeiro de 2025, Miola é doutor em Direito pela Universidade de Milão, servidor público federal de carreira e professor da Universidade Federal de São Paulo (Unifesp). Sua designação foi formalizada pela Portaria nº 758/2026, após deliberação do Conselho Diretor, e permanecerá vigente até a posse de um novo diretor-presidente, cuja indicação compete ao presidente da República, com aprovação do Senado Federal.
A transição ocorre em um momento estratégico para a Agência, diante da necessidade de conciliar o fortalecimento da fiscalização, o desenvolvimento de novas regulamentações e a implementação das atribuições relacionadas à proteção de crianças e adolescentes e à governança de tecnologias emergentes.
O balanço dos seis anos evidencia que a proteção de dados pessoais deixou de ocupar um espaço predominantemente associado à implementação inicial da LGPD para integrar uma agenda regulatória mais abrangente, envolvendo inovação tecnológica, direitos fundamentais, responsabilidade das plataformas digitais e segurança no tratamento de informações pessoais.
Referências
ANPD — Balanço de seis anos de atuação
ANPD — Solenidade de balanço e encerramento do mandato do primeiro diretor-presidente
ANPD — Iagê Miola assume interinamente a presidência do Conselho Diretor
ANPD conclui primeiro Sandbox Regulatório de IA e anuncia nova edição voltada à proteção de crianças e adolescentes em jogos digitais
A Agência Nacional de Proteção de Dados anunciou, em 5 de novembro de 2026, a conclusão da primeira edição de seu Sandbox Regulatório de Inteligência Artificial e Proteção de Dados, iniciativa destinada à experimentação de soluções tecnológicas em um ambiente controlado e supervisionado. Na mesma ocasião, a instituição confirmou a preparação de uma segunda edição, que terá como foco a promoção do uso seguro e equilibrado de jogos digitais por crianças e adolescentes.
A primeira edição do programa foi desenvolvida com apoio científico e metodológico do Centro de Inteligência Artificial e Aprendizado de Máquina da Universidade de São Paulo (CIAAM/USP). A iniciativa permitiu avaliar três soluções tecnológicas utilizadas em diferentes setores, considerando aspectos como transparência, explicabilidade, segurança da informação, supervisão humana e proteção de dados pessoais.
Na área da saúde, o projeto STAiDOC, desenvolvido pela Prevvine Tecnologia, foi analisado quanto à utilização de inteligência artificial no apoio à formulação de hipóteses diagnósticas e condutas médicas. A experimentação destacou a importância da supervisão humana e da adoção de salvaguardas específicas para o tratamento de dados sensíveis de saúde. A avaliação também contou com a participação da Agência Nacional de Vigilância Sanitária (Anvisa) e da Agência Nacional de Saúde Suplementar (ANS), evidenciando a necessidade de articulação entre diferentes órgãos reguladores.
No setor financeiro, a solução GuardionAI foi submetida a testes relacionados à segurança de fluxos de dados e à governança de agentes de inteligência artificial. A avaliação reconheceu resultados favoráveis na prevenção de vazamentos de informações, na implementação de mecanismos de privacidade por padrão e na disponibilização de registros auditáveis, elementos relevantes para a utilização responsável de sistemas automatizados em ambientes corporativos.
Já no campo da mobilidade urbana, o projeto Trajetto, desenvolvido pela Synapse AI, buscou aprimorar a recomendação de rotas para pedestres e a acessibilidade em espaços públicos. A análise identificou riscos relacionados ao cruzamento de informações de geolocalização com atributos de acessibilidade, demonstrando como determinadas combinações de dados podem aumentar os riscos aos direitos dos titulares. Entre os resultados, destacou-se a reformulação de funcionalidades para reduzir a necessidade de coleta de dados sensíveis.
A conclusão do programa reforçou um entendimento relevante para a governança de inteligência artificial: a conformidade regulatória não deve se limitar à existência de políticas, documentos ou declarações formais, sendo necessário verificar, por meio de testes práticos, como os sistemas efetivamente realizam o tratamento de dados e se as salvaguardas previstas funcionam adequadamente.
Paralelamente, a ANPD anunciou que a segunda edição do Sandbox será direcionada aos jogos digitais utilizados por crianças e adolescentes. Desenvolvida em parceria com o Programa das Nações Unidas para o Desenvolvimento (PNUD), a iniciativa buscará avaliar práticas de desenvolvimento tecnológico compatíveis com os requisitos de proteção integral previstos no ECA Digital e em sua regulamentação.
Entre os aspectos que deverão ser examinados estão mecanismos de estímulo ao uso prolongado de jogos, notificações excessivas e sistemas de recompensas associados ao tempo de permanência nas plataformas. A proposta é investigar alternativas capazes de reduzir riscos de utilização excessiva, problemática ou compulsiva, preservando a autonomia dos usuários e promovendo experiências digitais mais seguras.
A Agência também publicou o Manual do Sandbox Regulatório, documento que sistematiza os aprendizados da primeira edição e apresenta orientações para a estruturação de experimentos regulatórios. Embora não tenha natureza normativa, o material poderá contribuir para iniciativas semelhantes desenvolvidas por outros órgãos públicos.
O encerramento do primeiro Sandbox e o anúncio de sua continuidade demonstram uma aproximação entre regulação e inovação tecnológica, com ênfase na avaliação concreta dos riscos e na construção de soluções que incorporem a proteção de dados desde sua concepção. A escolha dos jogos digitais como tema da próxima edição também reforça a crescente prioridade atribuída à proteção de crianças e adolescentes no ambiente digital brasileiro.
Referência
ANPD — Conclusão do primeiro Sandbox de IA e anúncio da segunda edição
FGC sofre incidente de segurança com acesso não autorizado a dados pessoais de investidores
O Fundo Garantidor de Créditos (FGC) divulgou, em 5 de novembro de 2026, informações sobre um incidente de segurança que resultou no acesso não autorizado a dados pessoais de investidores vinculados a processos de pagamento de garantias. A ocorrência, identificada em 26 de outubro, envolveu informações cadastrais e financeiras de pessoas físicas, levantando preocupações sobre a exposição de dados e sua possível utilização em tentativas de fraude.
De acordo com as informações divulgadas, entre os dados acessados estão nomes completos, números de CPF, endereços de e-mail, datas de nascimento, informações relacionadas a pagamentos e tributos retidos, além da identificação das instituições utilizadas para a contratação dos investimentos. Embora não tenha sido informado o número total de pessoas afetadas, a natureza das informações envolvidas exige atenção, especialmente pela possibilidade de sua utilização em abordagens fraudulentas direcionadas aos investidores.
Após a identificação do incidente, o FGC adotou medidas de contenção, incluindo o bloqueio de contas indevidas e a restrição de acessos aos sistemas afetados. A instituição também iniciou uma investigação com apoio de especialistas em segurança da informação para determinar a extensão do comprometimento, identificar os responsáveis e verificar se houve cópia, divulgação ou utilização das informações acessadas.
Segundo os esclarecimentos apresentados, até o momento da divulgação não haviam sido identificadas evidências de uso indevido dos dados nem perdas financeiras decorrentes do incidente. Entretanto, as investigações permanecem em andamento, e a ausência de evidências de utilização indevida não elimina os riscos associados à exposição das informações.
A instituição informou, ainda, que realizou a comunicação do incidente à Agência Nacional de Proteção de Dados (ANPD) e notificou os investidores envolvidos, em conformidade com as providências de resposta adotadas diante da ocorrência.
Um dos principais pontos de atenção está relacionado ao potencial de utilização dos dados expostos em ataques de engenharia social. Informações como CPF, data de nascimento, e-mail e histórico de pagamentos podem ser combinadas para conferir maior credibilidade a mensagens fraudulentas, especialmente quando criminosos se apresentam como representantes de instituições financeiras ou do próprio FGC.
Nesse contexto, o Fundo orientou os investidores a redobrarem os cuidados com contatos recebidos por telefone, e-mail e aplicativos de mensagens, evitando o fornecimento de senhas, códigos de autenticação ou a realização de pagamentos solicitados por canais não oficiais. Também recomendou que informações relacionadas ao pagamento de garantias sejam consultadas exclusivamente por meio de seu aplicativo e de seus canais institucionais.
O caso evidencia que incidentes de segurança não se limitam à eventual indisponibilidade de sistemas ou à ocorrência imediata de prejuízos financeiros. A exposição de informações pessoais pode produzir consequências posteriores, especialmente quando os dados permitem identificar indivíduos e construir abordagens fraudulentas personalizadas. Por essa razão, a prevenção, o monitoramento e a resposta a incidentes permanecem como elementos essenciais da governança de privacidade e segurança da informação.
Referências
G1 — FGC sofre invasão que dá acesso a nomes e CPFsFGC — Sala de imprensa e nota de esclarecimento sobre o incidente de segurança
Anatel estabelece novas regras para combater golpes por SMS e ampliar a identificação de remetentes
A Agência Nacional de Telecomunicações (Anatel) publicou, em 4 de novembro de 2026, novas medidas destinadas a reforçar a segurança das mensagens de texto enviadas por empresas e instituições aos usuários de telefonia móvel. As determinações buscam reduzir a ocorrência de fraudes digitais, ampliar a rastreabilidade das comunicações e dificultar a utilização de números e identificadores por criminosos que se passam por organizações legítimas.
As regras concentram-se nas mensagens classificadas como A2P (Application-to-Person), modalidade utilizada para o envio automatizado de SMS por empresas, bancos, plataformas digitais e outras instituições. Essas mensagens são frequentemente empregadas para encaminhar códigos de autenticação, notificações de transações, avisos de segurança e comunicações relacionadas à utilização de serviços.
Uma das principais mudanças é a obrigatoriedade de criação de um diretório nacional de códigos curtos, conhecidos como short codes, utilizados na identificação de remetentes de SMS corporativos. A ferramenta deverá permitir a consulta pública e gratuita das empresas responsáveis pelos envios, proporcionando maior transparência sobre a origem das mensagens recebidas pelos consumidores.
Pelas novas determinações, cada código curto deverá estar vinculado, como regra, a uma única pessoa jurídica devidamente identificada, restringindo o compartilhamento desses identificadores entre diferentes organizações. As operadoras também deverão implementar mecanismos para impedir a entrega de mensagens provenientes de códigos não cadastrados, reduzindo as possibilidades de utilização irregular da infraestrutura de comunicação.
A regulamentação estabelece prazos para a implementação das medidas. As prestadoras deverão estruturar políticas internas de segurança e mecanismos de monitoramento em até 60 dias, enquanto a criação do diretório nacional e a adoção dos mecanismos de cadastramento e bloqueio estão previstas para ocorrer em até 90 dias, observadas as condições estabelecidas pela Anatel.
Além da identificação dos remetentes, as operadoras deverão adotar ferramentas automatizadas para monitorar o tráfego de mensagens e identificar padrões suspeitos, campanhas potencialmente fraudulentas e tentativas de falsificação da identidade de empresas. Também deverão estabelecer procedimentos de prevenção, detecção e tratamento de incidentes relacionados ao serviço de mensageria.
As responsabilidades não ficarão restritas às operadoras de telefonia. Empresas responsáveis pela contratação, intermediação e distribuição de mensagens corporativas, incluindo agregadores e integradores, também deverão observar exigências relacionadas à identificação dos participantes, à legitimidade das campanhas e à preservação de registros necessários à apuração de possíveis irregularidades.
Outro aspecto relevante é a previsão de medidas de segurança aplicáveis às comunicações digitais críticas, especialmente aquelas utilizadas em procedimentos de autenticação, recuperação de credenciais, confirmação de identidade e autorização de transações. A iniciativa reconhece que a segurança dessas operações depende da atuação coordenada dos diferentes participantes do ecossistema digital.
A decisão também determina o acompanhamento das medidas pela Superintendência Executiva da Anatel, que deverá apresentar, no prazo de 180 dias, um relatório sobre os resultados da implementação e eventuais necessidades de aperfeiçoamento regulatório.
A relevância da iniciativa está associada à frequência com que mensagens de texto são utilizadas em tentativas de fraude. Segundo levantamento do Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação (Cetic.br), citado pelo Ministério das Comunicações, 71% das tentativas de golpes identificadas na pesquisa envolveram abordagens por SMS.
Sob a perspectiva da privacidade e da proteção de dados pessoais, as novas regras reforçam a importância da autenticidade das comunicações, da rastreabilidade dos remetentes e da definição de responsabilidades entre os agentes envolvidos no envio de mensagens. A utilização indevida de informações pessoais em campanhas fraudulentas demonstra que a segurança das comunicações deve integrar as estratégias de proteção dos titulares, especialmente em operações que envolvam dados financeiros, credenciais de acesso e procedimentos de autenticação.
Embora as medidas representem um avanço na prevenção de fraudes, sua efetividade dependerá da implementação dos mecanismos de identificação, do monitoramento contínuo e da cooperação entre operadoras, empresas e demais participantes da cadeia de mensageria. O fortalecimento desses controles contribui para a construção de um ambiente de comunicação digital mais seguro, transparente e confiável.
Referências
G1 — Governo publica novas regras para combater golpes por SMSAnatel — Medidas para reforçar a segurança de mensagens SMS e prevenir fraudes
A Importância do DPO as a Service na Proteção de Dados
As notícias desta semana evidenciam o fortalecimento da proteção de dados pessoais como componente essencial da regulação e da segurança digital no Brasil. A celebração dos seis anos da ANPD, acompanhada da apresentação de resultados institucionais e da transição em sua presidência, demonstra a evolução da Agência e a ampliação de suas responsabilidades. Paralelamente, a conclusão do primeiro Sandbox Regulatório de Inteligência Artificial e o anúncio de uma nova edição voltada aos jogos digitais reforçam a importância da inovação responsável e da proteção de crianças e adolescentes no ambiente digital.
No campo da cibersegurança, o incidente envolvendo dados de investidores do FGC evidencia os riscos associados ao acesso não autorizado a informações pessoais, enquanto as novas medidas da Anatel para combater golpes por SMS demonstram a necessidade de fortalecer a identificação de remetentes e a prevenção de fraudes. Em conjunto, os acontecimentos reforçam que a efetividade da proteção de dados depende não apenas do desenvolvimento regulatório, mas também da implementação contínua de medidas de segurança, transparência, prevenção de riscos e responsabilidade no tratamento das informações pessoais.
Nesse cenário de exposição constante e ambientes digitais complexos, o DPO as a Service surge como uma solução estratégica para elevar o nível de maturidade em privacidade e segurança da informação. O modelo oferece suporte técnico e jurídico especializado, atualização regulatória contínua, atuação preventiva na gestão de riscos e apoio no relacionamento com a ANPD e os titulares de dados. Mais do que atender à LGPD, o DPO as a Service fortalece a governança de dados, protege a reputação institucional e contribui para a sustentabilidade digital das organizações.
Clique aqui e veja como a DPO Expert pode proteger sua empresa.
