A ANPD abriu em 15 de outubro a consulta pública que deve reescrever o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, o normativo que define o valor das multas, as situações agravantes e atenuantes e a metodologia de gradação das penalidades por tipo de infração. A mudança afeta qualquer operação que trate dados pessoais no Brasil — plataformas com verificação de idade, provedores de conexão e de aplicações de internet e empresas que já passaram por fiscalização. A ação prioritária é ler a minuta ainda em outubro e mapear quais controles de segurança e privacidade da sua operação passam a pesar no cálculo de penalidades.
Prazos que a equipe precisa cumprir
A consulta foi aberta na plataforma oficial de participação social do governo federal e permanece disponível até o fim de novembro. As contribuições podem ser enviadas até 30 de novembro, e a audiência pública virtual acontece em 29 de outubro, às 14h30, com inscrições para exposição oral até 24 de outubro. Quem não pretende falar pode apenas acompanhar a transmissão no canal oficial da agência; a presença vale pelo que ela revela sobre as prioridades de fiscalização para o próximo ciclo.
| Etapa | Data | O que fazer |
|---|---|---|
| Leitura da minuta | esta semana | mapear as infrações que tocam os seus processos |
| Inscrição para exposição oral | até 24 de outubro | preencher o formulário eletrônico da ANPD |
| Audiência pública virtual | 29 de outubro, às 14h30 | acompanhar a transmissão e registrar sinais da fiscalização |
| Envio de contribuições | até 30 de novembro | comentar a minuta na plataforma de participação |
O que muda nas sanções
O regulamento em vigor é de 2023 e amarra todo o cálculo de penalidades à LGPD. A minuta atualiza essa base para as competências que a agência acumulou desde então, como as relacionadas ao Estatuto Digital da Criança e do Adolescente, o ECA Digital, e aos Decretos 12.975 e 12.976, que atualizaram a regulamentação do Marco Civil da Internet. O movimento interessa diretamente à área técnica porque a dosimetria deixa de olhar só o incidente com dados pessoais e passa a medir obrigações de plataforma: a minuta passa a prever multas por falhas em mecanismos confiáveis de aferição de idade e na prevenção a ataques contra a mulher no ambiente digital. Um mecanismo de verificação de idade mal calibrado ou um fluxo de denúncia de violência digital ineficaz deixa de ser apenas risco reputacional para virar infração com preço tabelado.
O texto mantém a lógica de gradação por tipo de infração, com valor de multa, agravantes e atenuantes definidos item a item e metodologia de aplicação explicada de forma pública. O foco declarado da agência se amplia para proteção de crianças, adolescentes e mulheres no ambiente digital e combate à circulação de conteúdos criminosos na internet. Para quem responde por segurança, isso significa antecipar a conversão de controles difusos em critérios objetivos de dosimetria — e documentar desde já a evidência de que cada controle existe, funciona e é testado.
Do lado do ECA Digital, a expressão mecanismo confiável de aferição de idade carrega decisão de arquitetura: verificação documental, análise biométrica e declaração simples têm custos, riscos e taxas de erro distintos, e todos geram dados pessoais que precisam de base legal e retenção mínima. A dosimetria nova transforma essa escolha em risco financeiro: quanto mais sensível o método, maior a exigência de demonstrar necessidade e proporcionalidade no processo que o aprovou. Documentar a análise de alternativas antes de implantar o mecanismo é o que separa uma decisão defensável de uma surpresa na fiscalização.
Registros exigidos além do IP
Parte do que a nova dosimetria vai tarifar nasce de deveres operacionais criados pela reformulação do Marco Civil. A alteração da regulamentação determinou que provedores de conexão e de aplicações ampliem o dever de guarda de registros de acesso: a guarda da porta lógica de origem independe de requisição prévia e recai sobre cada provedor. O detalhe muda o desenho de coleta e retenção em bordas, proxies e gateways: o dado precisa existir, estar íntegro e ser recuperável quando a autoridade solicitar — a mesma disciplina de qualidade de log que já discutimos no guia de regras de auditoria que detectam sem ruído.
Há outros deveres na mesma linha: constituir e manter sede e representante legal no país, com poderes para responder nas esferas administrativa e judicial, e publicar termos de uso que abranjam sistema de notificações, devido processo e relatórios anuais de transparência sobre notificações extrajudiciais, anúncios e impulsionamentos. Os dois decretos foram publicados no DOU em 21 de maio de 2026 e entraram em vigor sessenta dias depois. Nenhum desses itens é tarefa de um único time, e todos exigem evidência documental viva, não política de gaveta.
Para times de segurança, o ponto prático é inventário: listar hoje onde a operação captura endereço IP, quais desses pontos enxergam também a porta lógica de origem e qual o prazo de retenção aplicado em cada um. Sem esse mapeamento, a obrigação vira improviso no dia em que uma requisição oficial chega, e a ausência do registro passa a ser ela mesma um problema demonstrável.
Como contribuir tecnicamente
Consulta pública é o momento em que o custo de conformidade ainda pode ser discutido com argumento, antes de virar autuação. Três frentes rendem contribuição sólida de uma equipe defensiva:
- Mensurabilidade dos controles: pedir que cada infração nova indique a evidência aceita como prova de cumprimento — log, relatório ou teste — para que a defesa administrativa não dependa de interpretação subjetiva do fiscal.
- Proporcionalidade na aferição de idade: apontar o intervalo de técnicas aceitas e o nível de garantia exigido conforme o risco do serviço, evitando que um único mecanismo vire obrigação única para todo tipo de plataforma.
- Tratamento da correção antecipada: sugerir que controles implementados antes da vigência da nova regra contem como atenuante documentável, criando incentivo real para correção antes da fiscalização.
A audiência de 29 de outubro costuma revelar o humor da fiscalização: quais focos a agência considera prioritários, como pretende tratar reincidência e quais setores devem entrar primeiro no radar. Mesmo sem exposição oral, vale assistir e registrar internamente o que foi dito.
Checklist de ação antes do prazo
P1 — até 24 de outubro: designar um responsável pela participação; inscrever-se para exposição oral se houver posição setorial a defender; baixar a minuta e cruzar cada infração listada com os controles existentes na operação.
P1 — até 30 de novembro: consolidar comentários por processo — aferição de idade, fluxo de denúncia de violência digital, guarda de registros, transparência — e enviá-los na plataforma oficial, guardando comprovante e data de envio.
P2 — até o fim do ano: mapear a cadeia de captura e retenção da porta lógica de origem; confirmar quem responde pelo representante legal no país e se os relatórios de transparência têm dono; montar o dossiê de evidências de conformidade reutilizável em eventual processo administrativo.
Depois do encerramento da consulta e da realização da audiência, a Superintendência de Regulação da ANPD vai analisar as contribuições apresentadas e consolidar a versão final do regulamento. O texto definitivo ainda pode mudar, e monitorar essa consolidação faz parte do trabalho de quem responde por privacidade e segurança — a mesma disciplina do post-mortem que transforma registro em lição aplicada.