Durante seis años, la ANPD existió como órgano dentro de la Presidencia, sin carrera propia, sin presupuesto independiente. En ese período aplicó solo R$ 14.400 en multas, contra Telekall Infoservice, una microempresa de telemarketing. Los demás casos fueron contra órganos públicos, que por ley no reciben multa pecuniaria, solo advertencia y medidas correctivas. Una agencia orientativa, sin dientes. Seguimos de cerca esta transición y la señal es clara: el modelo orientativo terminó.
El cambio institucional: Ley 15.352/2026 y el poder de policía
Esto cambió en febrero de 2026. La Ley 15.352/2026, sancionada el 25 de febrero, transformó a la ANPD en autarquía vinculada al Ministerio de Justicia. Ganó autonomía financiera, carrera propia (200 cargos, concurso el 24 de junio de 2026) y poder de policía: interdicción y decomiso de bienes. La transición de modelo orientativo a sancionador es institucional, no retórica.
Ya no es una agencia que orienta. Es una agencia que ordena interdicciones y decomisos. La diferencia entre advertir y clausurar es la diferencia entre un oficio y una orden de parada. Para quien trata la LGPD como checklist de cumplimiento, esto cambia el cálculo de riesgo. Para quien la trata como arquitectura, cambia el cálculo de prioridad.
El primer caso: Claro, Serasa y las tres infracciones
El primer caso de sanción contra una gran empresa privada llegó el 8 de junio de 2026. La ANPD abrió proceso administrativo sancionador contra Claro y un nuevo proceso de fiscalización contra Serasa Experian. Claro compartía más de 100 datos diferentes por cliente con Serasa. Tres infracciones: compartición excesiva de datos (Art. 6º, III), falta de transparencia con los titulares (Art. 6º, VI y Art. 9º) y canal del DPO no efectivo (Art. 41).
El contrato terminó en 2023, pero la fiscalización continuó. Multa potencial: hasta 2% de la facturación en Brasil, limitada a R$ 50 millones por infracción. Claro también recibió un aviso sobre contratos. Importante: es un proceso administrativo sancionador, no una condena. Pero la señal para el mercado es inequívoca: la ANPD ahora procesa a grandes empresas privadas, no solo a microempresas de telemarketing u órganos públicos.
56 agentes, 27 cumplieron, 8 con situaciones pendientes, 21 silenciosas
El 25 de junio, la ANPD concluyó el monitoreo de conformidad del DPO y de los canales de comunicación. Monitoreó 56 agentes. Los 27 que cumplieron plenamente fueron archivados: la fiscalización funciona como corrección, no como punición. Los 8 con situaciones pendientes, incluyendo Google e iFood, tienen 10 días hábiles para regularizar. Hasta las grandes techs tienen gaps.
Las 21 que no respondieron fueron enviadas a sanción. No responder a la ANPD ahora es obstrucción, no silencio. La lógica cambió: en el modelo orientativo, no responder era una omisión tolerable. En el modelo sancionador, no responder es evidencia de incumplimiento. La fiscalización que viene no avisa, y quien no responde cuando avisa, pierde la oportunidad de corregir.
Lo que cambia en la práctica: DPO, necesidad, incidentes e IA
Lo que esto cambia para quien opera infraestructura y datos: el DPO no es un cargo ceremonial, es un canal efectivo de comunicación con los titulares. La compartición de datos necesita una evaluación de necesidad documentada. Los incidentes deben notificarse a la ANPD en 3 días hábiles. El Mapa Prioritario 2026-2027 prioriza 75 acciones en cuatro ejes sobre cualquier fiscalización. La ANPD también se prepara para regular IA (PL 2338).
La arquitectura que sobrevive es Zero Trust desde el diseño, con least privilege y seguridad para IA. Es lo que implementamos en Tech86. No se trata de reaccionar a la fiscalización, se trata de diseñar para que la fiscalización no encuentre lo que busca. Least privilege reduce el alcance de cualquier incidente. La microsegmentación contiene el lateral movement. MFA en todo acceso admin reduce el vector que más comprometió infraestructura en los últimos 12 meses, según informes de threat intel.
El Mapa Prioritario 2026-2027: 75 acciones en cuatro ejes
El Mapa Prioritario 2026-2027 de la ANPD prioriza 75 acciones en cuatro ejes sobre cualquier fiscalización puntual. Esto significa que la fiscalización no es reactiva, es planificada y sistemática. Los cuatro ejes cubren desde gobernanza de datos hasta seguridad de la información, desde derechos del titular hasta internacionalización de datos. Quien opera infraestructura necesita entender que la ANPD no está buscando un caso, está construyendo un programa de fiscalización continua.
La diferencia entre el modelo anterior y el actual es estructural. Antes, la ANPD respondía a denuncias e incidentes. Ahora define prioridades anuales, asigna los 200 cargos de carrera propia y ejecuta. El concurso del 24 de junio de 2026 no es simbólico: es la base operacional para 75 acciones fiscalizatorias. Quien espera que la fiscalización toque la puerta para prepararse ya está en desventaja. La preparación debe ser anterior al Mapa, no posterior a la sanción.
Conclusión: el costo de no estar listo ya no es teórico
Repetimos: la fiscalización que viene no avisa, y el costo de no estar listo ya no es teórico. La ANPD pasó de R$ 14.400 en seis años a una multa potencial de R$ 50 millones por infracción. El modelo orientativo terminó. El modelo sancionador llegó con poder de interdicción y decomiso. Las 21 empresas que no respondieron lo descubrieron demasiado tarde.
En Tech86, ayudamos a las empresas a diseñar arquitectura que sobrevive a la fiscalización: Zero Trust desde el diseño, least privilege, DPO efectivo, workflow de incidentes en 3 días hábiles y preparación para la regulación de IA. Antes de la sanción, no después.