ANPD 2026-2027: o que o Mapa de Temas Prioritários cobra da sua empresa
O Mapa de Temas Prioritários 2026-2027, publicado pela ANPD no fim de 2025, define quatro temas prioritários de fiscalização para o biênio. Na prática, isso significa que a fiscalização da LGPD deixou de ser difusa e passou a ter foco declarado, o que muda a natureza do trabalho da sua empresa: em vez de tentar estar pronta para tudo ao mesmo tempo, você agora consegue priorizar. O que a ANPD cobra não é opinião nem boa intenção, é evidência documentada de como os dados pessoais são tratados, quem responde por eles e o que acontece quando algo dá errado.
📚 Continue aprendendo sobre este tema:
O que é o Mapa de Temas Prioritários
É o documento em que a ANPD declara publicamente onde vai concentrar atenção nos próximos dois anos. A agência publicou o mapa referente ao período de 2026 a 2027 no fim de 2025, com quatro temas prioritários, e o material oficial está disponível no gov.br.
Uma recomendação antes de qualquer coisa: leia o documento original da ANPD, na íntegra, antes de fechar o seu plano interno. A redação oficial é o que vale, e resumo de terceiro costuma perder a nuance que define se um tema alcança ou não a sua operação. Neste artigo, o foco é outro e complementar: o que a existência de um mapa de prioridades muda no seu planejamento e como se preparar de um jeito que serve a qualquer um dos temas.
Por que uma lista de prioridades muda o seu planejamento
Antes de existir um foco declarado, a conformidade com a LGPD virava um projeto sem fim: tudo era importante, nada era urgente e o assunto morria na primeira semana difícil. Um mapa de prioridades resolve exatamente esse problema de gestão, por três motivos.
- Dá ordem à fila. O que a autoridade declarou como prioridade entra antes na sua fila de trabalho, e isso é defensável em reunião de diretoria.
- Transforma risco difuso em risco datado. Biênio declarado é horizonte de planejamento, e horizonte de planejamento vira linha de orçamento.
- Permite preparar evidência antes da demanda. Reunir documentação depois que a autoridade pergunta é caro, apressado e costuma expor lacunas que ninguém teve tempo de tratar.
O que a ANPD já fez, para calibrar o risco
Vale separar o risco teórico do risco observado, porque a diferença entre os dois é grande e leva muita empresa a decidir errado nos dois sentidos: ou entra em pânico, ou ignora.
Do lado teórico, a sanção pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Do lado observado, até o levantamento a ANPD abriu pelo menos 9 processos administrativos sancionadores, e apenas uma empresa privada foi efetivamente multada: uma microempresa de telemarketing, que recebeu duas multas somando R$ 14.400.
A leitura que fazemos desse contraste, e aqui é interpretação nossa, é que a agência ainda está em fase de construção de precedente. O risco concreto para uma média empresa hoje é menos a multa e mais a soma de três coisas: bloqueio de dados, dano reputacional e custo de remediação sob pressão. Esse ponto merece atenção porque o art. 52 da LGPD prevê 9 tipos de sanção, e a multa é apenas um deles. Advertência, bloqueio e eliminação dos dados também estão na lista, e bloqueio de base de dados costuma parar a operação de um jeito que nenhuma multa para. Aprofundamos os números no artigo sobre quanto custa de verdade uma multa da LGPD.
O detalhe que mais importa para quem decide orçamento
O Regulamento de Dosimetria, de 2023, trata a existência de um programa de governança em privacidade como atenuante formal no cálculo da sanção. Isso tem uma consequência prática direta: o trabalho de documentar governança não é apenas prevenção, ele tem efeito mesmo no cenário em que algo dá errado. É um dos poucos investimentos de conformidade em que a empresa colhe benefício nos dois desfechos possíveis.
Como transformar o Mapa em plano de ação
Independentemente de qual dos quatro temas toque mais de perto a sua operação, a preparação passa pelas mesmas frentes, porque a autoridade sempre vai pedir a mesma coisa: mostre o que você faz e prove. A tabela abaixo organiza esse trabalho pela pergunta que você precisa conseguir responder com documento na mão.
| Frente | Pergunta que você precisa responder | Evidência que precisa existir |
|---|---|---|
| Mapeamento de dados | Quais dados pessoais a empresa trata, onde estão e por quanto tempo ficam? | Inventário de dados por sistema, com finalidade, base legal e prazo de retenção |
| Transparência | O titular sabe o que você faz com os dados dele? | Aviso de privacidade atualizado, coerente com o que os sistemas realmente fazem |
| Direitos do titular | Se alguém pedir acesso ou exclusão hoje, quem atende e em quanto tempo? | Canal de contato publicado, fluxo interno definido e registro dos pedidos atendidos |
| Segurança técnica | Quem tem acesso ao quê, e como você sabe disso? | Controle de acesso por perfil, autenticação multifator, registro de log e backup testado |
| Fornecedores | Quem mais toca nos seus dados e sob qual contrato? | Lista de operadores, cláusulas de proteção de dados e avaliação de risco do fornecedor |
| Resposta a incidente | Se vazar hoje, quem decide, quem comunica e para quem? | Plano de resposta escrito, com papéis nomeados e registro dos incidentes tratados |
| Governança | Existe um programa vivo ou uma pasta parada? | Política aprovada pela direção, encarregado nomeado, treinamento e cadência de revisão |
Repare que quase toda a coluna da direita é infraestrutura de TI, não texto jurídico. Controle de acesso, log, backup testado e inventário são entregas técnicas. É por isso que projeto de LGPD conduzido só pelo jurídico costuma travar: o documento fica bonito e os sistemas continuam sem evidência para sustentá-lo. O caminho de adequação passo a passo está no artigo sobre LGPD e adequação de empresas em São Paulo.
Os erros que mais aparecem em média empresa
- Aviso de privacidade que descreve uma empresa diferente. Texto genérico copiado de modelo, que promete práticas que os sistemas não executam. Isso é pior que não ter, porque documenta a divergência.
- Encarregado nomeado só no papel. A pessoa existe no site, não tem tempo alocado, não recebe os pedidos e não sabe que é encarregada.
- Acesso de ex-funcionário ativo. É o achado mais comum em diagnóstico de segurança e o mais difícil de justificar diante de qualquer questionamento.
- Dados pessoais em planilha solta. Base exportada do sistema para uma planilha na área de trabalho de alguém, sem controle, sem retenção e sem log.
- Retenção infinita. Guardar tudo para sempre porque nunca ninguém definiu prazo. Cada ano a mais de dado guardado sem finalidade é risco puro, sem contrapartida.
- Programa que parou no primeiro ano. Política aprovada em 2021, nunca revisada, com sistema que mudou três vezes desde então. Governança sem cadência de revisão perde valor como atenuante e como proteção.
Um plano de 30 dias para sair do zero
Se hoje a sua empresa não tem nada estruturado, este é o roteiro que gera mais resultado com menos esforço. Ele não substitui assessoria jurídica, e não pretende: cobre a parte técnica e de gestão, que é a que normalmente atrasa.
- Semana 1. Ler o documento oficial da ANPD e listar quais sistemas da empresa tratam dados pessoais. Uma planilha simples com sistema, tipo de dado, quem acessa e onde fica hospedado já é um começo válido.
- Semana 2. Revisar acessos. Desativar contas de ex-funcionários, remover permissão que ninguém usa há meses e ligar autenticação multifator no e-mail e nos acessos administrativos.
- Semana 3. Verificar backup e log. Testar uma restauração de verdade, confirmar que existe registro de acesso aos sistemas críticos e definir por quanto tempo esse registro é guardado.
- Semana 4. Nomear formalmente o encarregado, publicar o canal de contato do titular e escrever a primeira versão do plano de resposta a incidente, com nomes e telefones. Detalhamos essa parte no texto sobre plano de resposta a incidentes e comunicação à ANPD.
Ao fim de 30 dias você não estará em conformidade plena, e nenhuma empresa fica em um mês. Mas terá inventário, acesso controlado, backup testado, encarregado real e plano de resposta, que é exatamente o conjunto de evidências que sustenta a existência de um programa de governança.
Perguntas frequentes
Minha empresa é média e não vende para consumidor final. A ANPD alcança ela?
Alcança. A LGPD se aplica a qualquer organização que trate dados pessoais no Brasil, e isso inclui dados de funcionários, candidatos a vaga, contatos em empresas clientes e fornecedores. Empresa que atende apenas outras empresas costuma achar que está fora do escopo, e essa é justamente a base de dados que fica sem controle nenhum.
Preciso contratar um encarregado externo?
Não necessariamente. A função pode ser exercida por alguém interno, desde que a pessoa tenha tempo alocado, autonomia para pedir informação nas áreas e acesso direto à direção. O que não funciona é nomear alguém sem contrapartida real de agenda, porque o papel só cumpre a finalidade se conseguir responder ao titular e à autoridade dentro do prazo.
Conformidade com a LGPD é assunto do jurídico ou da TI?
Dos dois, e é por isso que costuma emperrar. O jurídico define base legal, redige política e avalia risco. A TI entrega o que sustenta tudo isso: inventário de sistemas, controle de acesso, log, backup testado e capacidade de responder a um incidente. Sem a parte técnica, a documentação não tem lastro. Sem a jurídica, a técnica não sabe o que precisa provar. O modelo de governança que amarra as duas frentes está no artigo sobre governança de TI para médias empresas.
Como a BS IT Solutions pode ajudar
A BS IT Solutions atua na camada técnica da conformidade, que é a que gera evidência: cyber security, controle de acesso e autenticação multifator, política de backup com teste de restauração, monitoramento com NOC 24x7 e registro de atividades nos sistemas críticos. Atendemos empresas em São Paulo e região metropolitana de forma presencial, e em todo o Brasil de forma remota.
Se você precisa sair da fase de intenção e chegar à fase de evidência, comece por um diagnóstico do ambiente atual. Fale com um especialista da BS IT Solutions.