Senado avança com projeto que amplia poderes da ANPD para fiscalizar vazamentos de dados

A Comissão de Ciência, Tecnologia, Inovação e Informática (CCT) do Senado aprovou na quarta-feira, 10, parecer favorável ao Projeto de Lei nº 2.335/2024, que amplia e explicita as competências da Agência Nacional de Proteção de Dados (ANPD) relacionadas à fiscalização de medidas de segurança da informação e à aplicação de sanções em casos de vazamento de dados pessoais. A matéria segue agora para análise da Comissão de Constituição, Justiça e Cidadania (CCJ), em decisão terminativa.

Foto: Jonas Pereira/Agência Senado

De autoria do senador Carlos Viana (Podemos-MG), o projeto altera a Lei Geral de Proteção de Dados (LGPD) para incluir expressamente entre as atribuições da ANPD a fiscalização da implementação das medidas de segurança previstas na legislação e a atuação sancionadora em incidentes de segurança relacionados a vazamentos de dados pessoais.

O parecer aprovado foi relatado pela senadora Ivete da Silveira (MDB-SC), que avaliou que a proposta fortalece a atuação institucional da ANPD e reforça a dimensão preventiva da política brasileira de proteção de dados.

Novas competências explícitas para a ANPD

O texto acrescenta dois incisos ao artigo 55-J da LGPD.

O primeiro atribui à ANPD a competência para fiscalizar a implementação das medidas de segurança previstas no artigo 46 da lei. O segundo estabelece expressamente a competência da agência para fiscalizar e aplicar sanções em casos de incidentes de segurança relacionados ao vazamento de dados pessoais.

Na justificativa do projeto, Carlos Viana argumenta que os frequentes episódios de vazamento de dados demonstram fragilidades nos sistemas utilizados por empresas e demais agentes de tratamento, exigindo aperfeiçoamentos na legislação. Segundo o parlamentar, é necessário conferir maior clareza às responsabilidades relacionadas à segurança da informação e à fiscalização de seu cumprimento.

O senador também sustenta que a efetividade da proteção de dados depende da definição de padrões mínimos de segurança e da capacidade do órgão regulador de fiscalizar sua implementação e responsabilizar agentes que descumpram as regras.

Reforço à atuação fiscalizatória

Em seu parecer, Ivete da Silveira observa que a LGPD já estabelece a obrigação de controladores e operadores adotarem medidas técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados, perdas, destruição, alterações ou divulgação indevida. Contudo, a relatora avalia que a proposta contribui para tornar mais explícita a função fiscalizatória da ANPD nesse campo.

Segundo o parecer, a iniciativa reforça a dimensão preventiva da proteção de dados ao destacar o papel da agência na supervisão do cumprimento das medidas de segurança previstas na legislação.

A relatora também considera positiva a previsão expressa de competência para fiscalizar e aplicar sanções em casos de vazamentos de dados, por entender que a medida fortalece a resposta institucional a incidentes de grande impacto social.

“O projeto fortalece a resposta institucional a episódios de grande impacto social e deixa claro que tais ocorrências podem ensejar apuração administrativa e responsabilização dos agentes de tratamento, quando configurado descumprimento da legislação”, registra o parecer.

Compatibilidade com a LGPD e com a estrutura da ANPD

A relatora destaca que a proposta não cria competências totalmente novas para a agência, mas torna explícitas atribuições que já decorrem da própria LGPD.

O parecer lembra que o artigo 55-J da lei já confere à ANPD competência para fiscalizar e aplicar sanções em casos de tratamento de dados realizado em desconformidade com a legislação, enquanto o artigo 52 estabelece o rol de penalidades administrativas cabíveis.

Na avaliação da senadora, o projeto apenas reforça e detalha competências compatíveis com a lógica já adotada pelo marco brasileiro de proteção de dados pessoais.

O parecer também cita o Decreto nº 12.881/2026, que aprovou a atual estrutura regimental da ANPD. Segundo a relatora, a norma já atribui à agência competências para fiscalizar tratamentos de dados realizados em desconformidade com a legislação e realizar auditorias em agentes de tratamento, inclusive no setor público.

Para Ivete da Silveira, essa convergência demonstra que a proposta está alinhada ao desenho institucional adotado para a ANPD e contribui para fortalecer sua atuação técnica em matéria de segurança da informação.

Segurança da informação como obrigação jurídica

Outro ponto enfatizado pela relatora é o papel da proposta como instrumento de incentivo à conformidade regulatória.

Segundo o parecer, ao reforçar a fiscalização das medidas de segurança e a responsabilização em casos de vazamento, o projeto sinaliza aos agentes de tratamento que a proteção de dados não deve ser tratada apenas como questão operacional ou tecnológica, mas como obrigação jurídica essencial para garantir os direitos dos titulares.

A avaliação é de que a iniciativa contribui para conferir maior densidade normativa ao dever de segurança previsto na LGPD e para fortalecer o papel da ANPD como órgão responsável pela supervisão e aplicação da política nacional de proteção de dados pessoais.

Próximos passos

Aprovado pela CCT na 16ª reunião extraordinária da comissão, o projeto segue agora para análise da Comissão de Constituição, Justiça e Cidadania. Caso seja aprovado sem recurso para apreciação em plenário, poderá seguir diretamente para a Câmara dos Deputados.

A tramitação ocorre em um momento de crescente atenção regulatória sobre incidentes de segurança, vazamentos de dados e mecanismos de fiscalização da LGPD. Nos últimos anos, a ANPD ampliou sua estrutura de fiscalização e passou a conduzir processos sancionadores envolvendo empresas e órgãos públicos, consolidando seu papel como regulador central do ecossistema brasileiro de proteção de dados.

Se aprovado, o PL 2.335/2024 deverá tornar explícitas na legislação competências que hoje já são exercidas pela agência, mas que passarão a constar de forma expressa no texto da LGPD.