Por Luciano Poubel · Publicado originalmente no LinkedIn em 18 de agosto de 2026.
Durante alguns anos, era relativamente simples explicar o que fazia a ANPD.
Dados pessoais. Privacidade. LGPD.
Se uma empresa coletava seus dados sem base legal, compartilhava informações indevidamente ou desrespeitava os direitos do titular, lá estava a ANPD.
Só que alguma coisa mudou.
Aliás, várias coisas mudaram.
E talvez a primeira delas tenha passado despercebida por muita gente:
ANPD já não significa Autoridade Nacional de Proteção de Dados.
Hoje significa Agência Nacional de Proteção de Dados.
Parece apenas uma troca de palavra?
Não é.
Em 17 de setembro de 2025, a Medida Provisória nº 1.317 alterou a LGPD e criou a Agência Nacional de Proteção de Dados como autarquia de natureza especial, dotada de autonomia funcional, técnica, decisória, administrativa e financeira. Em fevereiro de 2026, a MP foi convertida na Lei nº 15.352, que consolidou a nova estrutura e incluiu expressamente a ANPD entre as agências reguladoras submetidas à Lei nº 13.848/2019.
A sigla permaneceu.
A instituição, não.
E talvez essa mudança ajude a compreender algo muito maior que está acontecendo diante de nós.
Primeiro vieram os dados. Depois, as crianças. Agora, as plataformas.
A transformação não aconteceu de uma só vez.
Em setembro de 2025, a Lei nº 15.211 instituiu o Estatuto Digital da Criança e do Adolescente — o chamado ECA Digital.
Na mesma data, o Decreto nº 12.622 designou a ANPD como autoridade administrativa autônoma de proteção dos direitos de crianças e adolescentes nos ambientes digitais.
Posteriormente, a Lei nº 15.352/2026 fixou a entrada em vigor do ECA Digital em 17 de março de 2026, e o Decreto nº 12.880/2026 regulamentou esse novo regime, atribuindo expressamente à ANPD sua regulamentação e fiscalização.
Proteção de dados continuava no centro.
Mas já não estava sozinha.
Então chegamos a maio de 2026.
E aqui a história muda de dimensão.
De dados pessoais para… a internet?
Em 20 de maio de 2026, foram editados dois decretos.
O Decreto nº 12.975/2026 alterou o Decreto nº 8.771/2016, que regulamenta o Marco Civil da Internet.
O Decreto nº 12.976/2026 estabeleceu diretrizes específicas para a proteção das mulheres na internet e para o enfrentamento da violência contra mulheres em ambiente digital.
Ambos entraram em vigor sessenta dias após a publicação e já produzem efeitos.
E os dois colocaram a ANPD em uma posição que vai muito além da imagem tradicional de uma agência dedicada exclusivamente à LGPD.
O art. 19-A introduzido na regulamentação do Marco Civil estabelece que a ANPD atuará na regulação, fiscalização e apuração de infrações relacionadas à garantia dos direitos dos usuários e ao cumprimento dos deveres dos provedores de aplicações de internet, especialmente aqueles previstos no novo conjunto de obrigações criado pelo decreto.
Então já podemos responder à primeira pergunta:
A ANPD continua sendo apenas “a agência da LGPD”?
Não.
E isso não é mais uma previsão sobre o futuro.
É direito positivo.
Mas é preciso evitar o exagero inverso.
A ANPD virou a “reguladora de toda a internet brasileira”?
Também não.
Suas novas competências são relevantes, mas possuem limites normativos. Elas estão relacionadas aos deveres e direitos disciplinados pelo Marco Civil, pela LGPD, pelo ECA Digital e pelos decretos que lhes deram concretude.
Além disso, essas atribuições convivem com competências de outros órgãos e instituições públicas.
Portanto, a pergunta correta talvez não seja se a ANPD passou a “mandar na internet”.
A pergunta mais interessante é:
quanto poder regulatório sobre o ecossistema digital brasileiro está começando a se concentrar em torno dela?
Imagine a seguinte situação
Você publica algo em uma rede social.
Alguém denuncia.
A plataforma recebe a notificação.
Ela remove?
Mantém?
Quem fiscaliza se existe um canal adequado para receber essa denúncia?
Quem verifica se o procedimento de análise é transparente?
Quem avalia se a plataforma possui mecanismos capazes de prevenir a circulação massiva de determinados conteúdos criminosos?
Quem examina se há estrutura de governança, gestão de riscos e procedimentos para contestação?
Nesse novo modelo, uma parcela relevante dessas respostas passa pela ANPD.
O Decreto nº 12.975 introduziu deveres relacionados a canais de denúncia, transparência, tratamento de notificações, gestão de riscos sistêmicos, anúncios e impulsionamentos, autorregulação e medidas de prevenção à circulação massiva de determinados conteúdos ilícitos.
E surge imediatamente uma preocupação:
Então a ANPD passará a decidir o que podemos ou não publicar?
Não.
Pelo menos não foi esse o desenho normativo adotado.
A ANPD não será o “juiz de cada postagem”
A própria Agência esclarece que sua fiscalização terá caráter sistêmico.
Isso significa examinar mecanismos, processos, estruturas de governança, canais de denúncia e medidas técnicas e organizacionais utilizadas pelas plataformas.
A ANPD afirma expressamente que não lhe caberá analisar isoladamente cada conteúdo ou publicação, avaliar diretamente a conduta dos usuários ou determinar a suspensão de contas.
E existe algo ainda mais importante:
o próprio Decreto nº 12.975 veda que a autoridade competente responsabilize uma plataforma exclusivamente pela manutenção ou remoção isolada de um conteúdo e também proíbe que a autoridade notifique provedores para promover moderação de conteúdos criminosos ou ilícitos de forma isolada.
Esse limite importa.
Mas ele encerra a discussão?
Não.
Porque existe uma diferença entre:
regular diretamente o conteúdo
e
regular a arquitetura utilizada para decidir o destino do conteúdo.
Uma autoridade pode nunca examinar a sua postagem.
Mas, ao estabelecer parâmetros sobre sistemas de denúncia, deveres de cuidado, tratamento das notificações, transparência, governança e gestão de riscos, pode influenciar a maneira como as plataformas tratarão milhões de publicações.
Essa é uma distinção essencial.
E talvez seja justamente nela que esteja a transformação mais interessante.
Não estamos falando apenas de remoção de conteúdo.
Estamos falando de governança da arquitetura digital.
Mas quem decide o que é “diligência suficiente”?
Aqui existe uma resposta.
Só não existe uma resposta matemática.
O Decreto nº 12.975 trabalha com o conceito de falha sistêmica.
Em linhas gerais, haverá falha quando o provedor não conseguir demonstrar a adoção de medidas adequadas de prevenção ou remoção capazes de oferecer elevados níveis de segurança, de acordo com o estado da técnica, e de inibir a circulação massiva dos conteúdos criminosos abrangidos pela norma.
Mas o decreto também estabelece uma salvaguarda importante:
a existência de um conteúdo ilícito isolado não caracteriza, por si só, falha sistêmica.
A avaliação deverá considerar o funcionamento do sistema como um todo.
Além disso, poderão existir critérios diferenciados levando em consideração fatores como porte econômico, nível de interferência na circulação de conteúdo, estado da técnica e risco associado ao serviço.
Portanto, a lógica não é simplesmente:
“apareceu conteúdo criminoso = plataforma responsável”.
A pergunta regulatória é mais sofisticada:
a plataforma construiu e efetivamente utiliza mecanismos adequados para lidar com aquele risco?
É aqui que a atuação da ANPD se torna decisiva.
O problema jurídico raramente está no “para quê?”
Combater golpes.
Prevenir fraudes.
Proteger crianças.
Enfrentar violência contra mulheres.
Combater terrorismo.
Impedir exploração sexual.
Reduzir redes artificiais de disseminação de conteúdo ilícito.
Poucas pessoas contestariam esses objetivos.
A dificuldade jurídica normalmente aparece depois.
Como fazer?
Até onde fazer?
Quem decide?
Quais salvaguardas existem?
Porque os sistemas construídos para enfrentar situações evidentemente criminosas também terão que lidar com zonas cinzentas.
Uma sátira.
Uma crítica dura.
Uma denúncia jornalística.
Uma manifestação religiosa.
Uma opinião equivocada.
Uma publicação fora de contexto.
Uma paródia.
Um conteúdo aparentemente criminoso que, analisado integralmente, não é.
O próprio Decreto nº 12.975 reconhece essa dificuldade.
A norma determina que a análise considere o contexto da publicação, a liberdade religiosa e de crença e eventual finalidade informativa, educativa, crítica, satírica ou de paródia.
E permite que o provedor mantenha o conteúdo disponível quando, após análise diligente e fundamentada, houver dúvida razoável sobre seu caráter criminoso.
Ou seja:
o próprio regulamento reconhece que moderação de conteúdo não é uma operação matemática.
E então entra a inteligência artificial
Talvez aqui esteja um dos pontos mais simbólicos dessa transformação.
O Decreto nº 12.976 não trata apenas da violência digital nos moldes tradicionais.
Ele define como conteúdo íntimo também aquele produzido ou manipulado, total ou parcialmente, por sistema de inteligência artificial ou tecnologia equivalente.
Mais do que isso.
O decreto veda, aos provedores alcançados pela norma, a geração ou modificação de conteúdo íntimo de terceiro mediante IA ou tecnologia que altere imagem ou som da vítima e exige que aplicações baseadas em inteligência artificial implementem salvaguardas para identificar e bloquear solicitações desse tipo.
A regulação, fiscalização e apuração das infrações previstas nesse decreto competem à ANPD.
Observe o movimento.
Uma instituição historicamente associada à proteção de dados passa a lidar também com:
proteção de crianças e adolescentes;
aferição de idade;
governança de plataformas;
gestão de riscos sistêmicos;
moderação;
violência digital;
conteúdo sintético;
deepfakes íntimos;
e sistemas de inteligência artificial.
Talvez seja cedo demais para chamá-la de autoridade geral da vida digital brasileira.
Mas já parece tarde demais para descrevê-la simplesmente como “a agência da LGPD”.
Só que existe uma pergunta constitucional
E ela não pode ser ignorada.
De onde deve vir tamanho poder regulatório?
Aqui existe uma distinção jurídica fundamental.
A transformação institucional da ANPD em agência reguladora possui fundamento em ato com força de lei e, posteriormente, em lei aprovada pelo Congresso Nacional.
Portanto, seria incorreto afirmar que o Poder Executivo simplesmente decidiu, por decreto, transformar a ANPD em agência reguladora.
Não foi isso que aconteceu.
A controvérsia mais delicada está em outro ponto:
até onde um decreto pode ir ao regulamentar o Marco Civil da Internet?
O Decreto nº 12.975 não se limita a indicar uma autoridade fiscalizadora.
Ele estabelece deveres, mecanismos de notificação e contestação, parâmetros de diligência, regras para anúncios e impulsionamentos, critérios relacionados à falha sistêmica e consequências associadas ao descumprimento das obrigações.
E justamente por isso o tema chegou ao Supremo Tribunal Federal.
O STF entrou na conversa
O Decreto nº 12.975/2026 é questionado na ADI 7.981, ajuizada pelo Partido Renovação Democrática.
Entre outros argumentos, o partido sustenta que o Poder Executivo teria ultrapassado os limites da competência regulamentar e instituído obrigações, mecanismos de responsabilização administrativa e competências sancionatórias que dependeriam de previsão legal.
Também são levantadas alegações relacionadas à liberdade de expressão.
Mas é indispensável fazer uma ressalva:
isso é a tese de quem ajuizou a ação.
Não é uma conclusão do Supremo Tribunal Federal.
A ADI 7.981 tramita sob relatoria do ministro Alexandre de Moraes.
E existe outro elemento que torna a discussão ainda mais complexa.
Antes mesmo da edição desses decretos, o STF já havia modificado profundamente o regime jurídico.
Em junho de 2025, ao julgar conjuntamente os Temas 987 e 533 da repercussão geral, nos Recursos Extraordinários 1.037.396 e 1.057.258, a Corte definiu novos parâmetros para a responsabilidade das plataformas por conteúdos produzidos por terceiros e afastou parcialmente o modelo anteriormente extraído do art. 19 do Marco Civil da Internet.
Em junho de 2026, no julgamento dos embargos de declaração, o Tribunal aperfeiçoou a tese e determinou, entre outras medidas, prazo de 60 dias para que determinados provedores de grande porte implementassem medidas estruturais relacionadas ao dever de cuidado, à autorregulação e aos canais para pedidos de retirada de conteúdo.
Veja o desenho institucional que surge.
Temos:
Congresso Nacional;
Poder Executivo;
Supremo Tribunal Federal;
ANPD;
outras autoridades públicas;
e as próprias plataformas
participando, de maneiras diferentes, da construção do novo regime jurídico da internet brasileira.
Talvez a pergunta já não seja apenas:
“Quem regula a internet?”
Talvez seja:
“Como distribuir o poder de regulá-la?”
Se não for a ANPD, quem deveria ser?
Essa pergunta não possui uma única resposta possível.
O Congresso pode atribuir competências específicas à ANPD.
Pode distribuir funções entre diferentes autoridades.
Pode criar mecanismos de coordenação institucional.
E sempre haverá espaço para controle judicial e para a atuação dos demais órgãos dentro de suas competências.
Portanto, o verdadeiro dilema não é:
regulação ou ausência de regulação.
É:
qual desenho institucional oferece proteção suficiente sem concentrar poder demais?
E existe outra pergunta:
qual deve ser a fonte jurídica de cada competência?
Lei?
Decreto regulamentar?
Regulamento da agência?
Decisão judicial?
Todas essas fontes possuem seu espaço no sistema jurídico.
Mas isso não significa que qualquer matéria possa ser tratada indistintamente por qualquer uma delas.
A discussão sobre essa fronteira talvez seja uma das mais relevantes do Direito Digital brasileiro nos próximos anos.
Segurança e liberdade raramente entram na sala de mãos dadas
Existe um paradoxo difícil de eliminar.
Quanto mais exigimos das plataformas para impedir crimes, golpes e abusos, maior pode se tornar o incentivo econômico e regulatório para remover conteúdos preventivamente.
Para uma empresa, em determinadas situações, pode parecer menos arriscado retirar vários conteúdos duvidosos do que manter um conteúdo que futuramente seja considerado ilícito.
Surge então o risco do overblocking:
a remoção excessiva de conteúdo, inclusive lícito, como efeito defensivo diante do risco de responsabilização.
Mas existe o problema inverso.
Se a intervenção ocorrer tarde demais, um conteúdo criminoso pode alcançar milhões de pessoas antes de qualquer providência.
Então qual erro estamos mais dispostos a tolerar?
Remover demais?
Ou:
remover tarde demais?
Não há resposta jurídica simples para essa escolha.
E talvez exatamente por isso ela não deva ser resolvida apenas por tecnologia.
Quem regula o regulador?
Aqui, ao contrário de outras perguntas deste artigo, existe uma resposta institucional.
A ANPD não atua fora do sistema de controles.
Como agência reguladora, está submetida às regras da Lei nº 13.848/2019 e a deveres de transparência, prestação de contas e participação social. Seus atos continuam sujeitos ao devido processo e ao controle jurisdicional. A própria ANPD destaca essas salvaguardas ao apresentar as novas competências.
Mas responder “existem controles” não encerra a questão.
A pergunta seguinte é mais difícil:
esses controles serão suficientes diante da expansão das competências?
Porque, se aumenta o poder regulatório, também devem amadurecer:
a transparência;
a participação social;
a fundamentação das decisões;
o devido processo;
a proporcionalidade;
a auditabilidade técnica;
e os mecanismos de prestação de contas.
O desafio não é impedir que o Estado tenha capacidade para enfrentar novos riscos digitais.
É impedir que a expansão dessa capacidade deixe de ser acompanhada pela expansão dos controles.
E isso não é uma discussão para o futuro
É uma discussão de agora.
A ANPD encerrou, em 17 de agosto de 2026, uma Tomada de Subsídios sobre o Marco Civil da Internet destinada a receber contribuições sobre a implementação das novas regras aplicáveis às plataformas digitais.
Segundo a própria Agência, as manifestações deverão ajudar a mapear dúvidas, identificar temas sensíveis e definir prioridades regulatórias relacionadas aos direitos dos usuários, aos deveres dos provedores e à proteção das mulheres no ambiente digital.
E há mais.
O cronograma institucional divulgado pela ANPD prevê uma segunda etapa ainda em 2026, com definição de temas prioritários para eventual inclusão na Agenda Regulatória 2027-2028 e atualização dos regulamentos de fiscalização e dosimetria.
A implementação permanente de ações de fiscalização relacionadas a essas obrigações está prevista para avançar a partir de 2027.
Ou seja:
a nova arquitetura regulatória ainda está sendo construída enquanto discutimos seus limites.
Talvez seja exatamente por isso que este seja o momento certo para fazer as perguntas.
Talvez estejamos assistindo a algo maior
Veja a sequência.
A ANPD nasceu vinculada à proteção de dados pessoais.
Em 2025, começou uma transformação institucional que a converteu em agência reguladora.
O ECA Digital acrescentou uma dimensão relevante de proteção de crianças e adolescentes no ambiente digital.
Em 2026, novos decretos atribuíram funções relacionadas aos direitos dos usuários, aos deveres das plataformas, aos riscos sistêmicos, à violência digital e à inteligência artificial.
Agora, a Agência estrutura como exercerá parte dessas competências.
Isso já não parece uma alteração pontual.
Parece uma trajetória.
Talvez a ANPD esteja deixando de ocupar apenas o espaço da proteção de dados para se tornar uma das instituições centrais da governança digital brasileira.
Isso pode ser positivo.
Pode ser necessário.
Pode melhorar a proteção dos usuários.
Pode contribuir para responsabilizar plataformas que não possuam estruturas adequadas diante de riscos graves.
Mas também exige atenção.
Porque instituições mudam.
Competências crescem.
Tecnologias evoluem.
E instrumentos criados para situações excepcionais podem, com o tempo, integrar permanentemente a arquitetura do poder estatal.
Então, afinal, qual é a resposta?
A expansão da ANPD é real.
Mas ela não é ilimitada.
A Agência ganhou novas competências.
Mas não se tornou dona da internet.
Sua atuação anunciada é sistêmica.
Mas decisões sistêmicas podem produzir efeitos sobre milhões de conteúdos individuais.
Há finalidades legítimas de segurança e proteção.
Mas também existem riscos reais para a liberdade de expressão quando os incentivos regulatórios estimulam moderação excessiva.
Existem controles institucionais.
Mas eles também precisarão evoluir.
E existe uma controvérsia constitucional concreta sobre os limites que o Poder Executivo pode alcançar por meio de decreto.
É exatamente por isso que eu não terminaria este texto dizendo simplesmente:
“sou a favor”.
Ou:
“sou contra”.
A realidade é mais interessante do que isso.
Prefiro terminar com perguntas para as quais o Direito e a sociedade ainda terão que construir respostas.
E você?
A ANPD é a instituição adequada para assumir esse protagonismo crescente na governança digital?
Quais competências deveriam necessariamente nascer de uma lei aprovada pelo Congresso e quais podem ser detalhadas por regulamentação?
Fiscalizar a arquitetura da moderação, sem decidir postagem por postagem, é suficiente para preservar a liberdade de expressão?
Como evitar que o medo da responsabilização leve plataformas a remover conteúdo lícito em excesso?
É melhor concentrar competências digitais em uma agência especializada ou distribuí-las entre diferentes instituições?
E, principalmente:
Até onde deve ir o poder do Estado para tornar a internet mais segura sem transformar segurança em controle?
Não tenho a pretensão de encerrar essa discussão.
Muito pelo contrário.
Quero abri-la.
Qual é a sua opinião?
A transformação da ANPD representa uma evolução institucional necessária ou estamos começando a concentrar competências demais em uma única agência?
Onde você colocaria essa linha?
Comente.
Especialmente se você discordar.
Porque, em temas como este, talvez o debate mais importante comece exatamente onde termina o consenso.
Referências
BRASIL. Medida Provisória nº 1.317, de 17 de setembro de 2025. Altera a LGPD para tratar da Agência Nacional de Proteção de Dados e promove alterações na estrutura institucional da ANPD. Presidência da República.
BRASIL. Lei nº 15.352, de 25 de fevereiro de 2026. Conversão da MP nº 1.317/2025. Dispõe sobre a Agência Nacional de Proteção de Dados, altera a LGPD, inclui a ANPD entre as agências reguladoras e promove outras alterações institucionais. Presidência da República.
BRASIL. Lei nº 15.211, de 17 de setembro de 2025. Dispõe sobre a proteção de crianças e adolescentes em ambientes digitais — Estatuto Digital da Criança e do Adolescente. Presidência da República.
BRASIL. Decreto nº 12.622, de 17 de setembro de 2025. Designa a ANPD como autoridade administrativa autônoma de proteção de crianças e adolescentes em ambientes digitais. Presidência da República.
BRASIL. Decreto nº 12.880, de 18 de março de 2026. Regulamenta o Estatuto Digital da Criança e do Adolescente e atribui à ANPD competências de regulamentação e fiscalização. Presidência da República.
BRASIL. Decreto nº 12.975, de 20 de maio de 2026. Altera o Decreto nº 8.771/2016, regulamentador do Marco Civil da Internet, e estabelece novos deveres relacionados aos provedores de aplicações de internet e competências da ANPD. Presidência da República.
BRASIL. Decreto nº 12.976, de 20 de maio de 2026. Estabelece diretrizes para a proteção de mulheres na internet e para o enfrentamento da violência contra mulheres em ambiente digital. Presidência da República.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Marco Civil da Internet. Informações institucionais sobre as novas competências da Agência, caráter sistêmico da fiscalização, cronograma regulatório e participação social.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Tomada de Subsídios sobre novas regras aplicáveis às plataformas digitais. Processo de participação social realizado até 17 de agosto de 2026.
SUPREMO TRIBUNAL FEDERAL. ADI 7.981. Ação Direta de Inconstitucionalidade ajuizada contra dispositivos do Decreto nº 12.975/2026, sob relatoria do ministro Alexandre de Moraes.
SUPREMO TRIBUNAL FEDERAL. RE 1.037.396 — Tema 987 e RE 1.057.258 — Tema 533 da repercussão geral. Responsabilidade das plataformas por conteúdos produzidos por terceiros e interpretação do art. 19 do Marco Civil da Internet. Julgamento principal concluído em 2025, com aperfeiçoamento da tese em embargos de declaração em junho de 2026.