A ANPD abriu duas janelas no mesmo dia: o que ela vai regular até 2028 e quais normas em vigor vai colocar na mesa

Quem acompanha regulação aprende cedo que a decisão mais importante de uma agência raramente é o texto de uma norma. É a lista do que ela vai escrever. Um tema que entra na agenda regulatória vira consulta pública, minuta, prazo e obrigação em dois anos. Um tema que fica de fora simplesmente não existe nesse ciclo — e o setor descobre isso quando já não há o que contribuir.

A Autoridade Nacional de Proteção de Dados abriu essa lista para debate em 1º de setembro. E abriu, no mesmo dia, uma segunda lista que quase ninguém olha.

As duas janelas

A Superintendência de Regulação da ANPD (SRE/ANPD) publicou duas tomadas de subsídios na plataforma Brasil Participativo, ambas com participação de 1º de setembro a 16 de outubro de 2026:

A primeira é a Agenda Regulatória 2027/2028, cujo objetivo declarado é coletar contribuições da sociedade sobre os temas que serão contemplados na agenda regulatória da Autoridade no biênio. É o instrumento de planejamento normativo: os temas prioritários de regulamentos e guias orientativos, com metas e prazos por projeto.

A segunda é a Agenda de Avaliação de Resultado Regulatório (ARR) 2027/2030, aberta para coletar contribuições sobre os itens já publicados e receber sugestões de eventuais acréscimos.

Em ambas o rito é o mesmo e tem um degrau que derruba participação: é preciso primeiro preencher um formulário de identificação e só depois enviar a contribuição pela aba "Tomada de Subsídios". Quem chega na véspera do prazo e encontra o formulário de identificação costuma desistir. O contato da unidade responsável é [email protected].

Um registro de transparência: nenhuma das duas iniciativas publica número de processo administrativo no aviso. É informação que a Autoridade não divulgou nesta abertura, e não se deve inventar — o rastreamento aqui se faz pelas páginas oficiais das duas tomadas de subsídios.

Por que a segunda janela é a que importa mais para quem já está regulado

Agenda regulatória todo mundo entende: é a fila do que vem. A ARR é menos conhecida e, para empresa que já opera sob a LGPD há anos, costuma ser a mais valiosa das duas.

O Decreto nº 10.411, de 30 de junho de 2020 — que regulamenta a análise de impacto regulatório de que tratam o art. 5º da Lei nº 13.874/2019 e o art. 6º da Lei nº 13.848/2019 — define, no art. 2º, inciso III, a avaliação de resultado regulatório como a verificação dos efeitos decorrentes da edição de ato normativo, considerados o alcance dos objetivos originalmente pretendidos e os demais impactos observados sobre o mercado e a sociedade, em decorrência de sua implementação.

Traduzindo: a AIR pergunta "vale a pena editar esta norma?". A ARR pergunta "a norma que editamos funcionou?". A primeira acontece antes; a segunda, depois — e é o único canal institucional em que o regulado pode dizer, com efeito procedimental, que uma regra em vigor produziu custo desproporcional, gerou insegurança interpretativa ou não entregou a proteção prometida.

É por isso que a segunda janela merece mais atenção do que recebe. A agenda regulatória captura reclamações sobre o futuro. A ARR é o lugar onde entra a reclamação sobre o presente — a norma que já está doendo. Colocar um item nessa lista é conseguir que a Autoridade se comprometa formalmente a reexaminar os efeitos daquela regra dentro de um horizonte definido, aqui declarado até 2030.

O que está em jogo no biênio

A ANPD chegou a este ciclo em condição diferente da dos anteriores. Ela deixou de ser vista apenas como a autoridade da LGPD e passou a acumular frentes cujo desenho normativo ainda está aberto — o que amplia a disputa por lugar na fila. Temas que naturalmente se apresentam a uma agenda 2027-2028 incluem transferência internacional de dados, relatório de impacto à proteção de dados pessoais, tratamento de dados de crianças e adolescentes, hipóteses de legítimo interesse, direitos do titular e prazos de resposta, comunicação de incidentes de segurança, dosimetria sancionatória e articulação com outros reguladores setoriais.

Não é papel deste texto afirmar quais desses temas a ANPD listou — a leitura da lista publicada é justamente o primeiro passo de quem vai contribuir, e ela está nas páginas das duas tomadas de subsídios. O que se pode afirmar é a consequência procedimental: tema que não entra na agenda 2027-2028 dificilmente vira norma até 2029. E o inverso também vale — tema que entra passa a ter data, e a empresa que só reagir quando a consulta pública abrir estará opinando sobre uma minuta já escrita, com o problema regulatório já delimitado por outra pessoa.

Contribuir na agenda é opinar sobre a pergunta. Contribuir na consulta pública é opinar sobre a resposta. A primeira oportunidade é mais barata e vale mais.

Quem deveria estar escrevendo

Este é um ciclo de participação de baixo custo e alto retorno, e ele não interessa só a quem tem "dados" no nome do cargo.

Controladores e operadores de qualquer porte, porque a agenda define o próximo pacote de obrigações. Encarregados de proteção de dados, que sabem exatamente qual guia orientativo faltou nos últimos dois anos. Escritórios de advocacia com carteira de privacidade, que acumulam o inventário das dúvidas interpretativas recorrentes dos clientes. Setores fortemente regulados por outras agências — saúde, telecomunicações, energia, financeiro — onde a sobreposição entre a norma setorial e a LGPD produz obrigação dupla e às vezes contraditória. E entidades da sociedade civil, para quem a ARR é o instrumento de cobrar se a proteção prometida por uma norma chegou ao titular.

Uma contribuição útil aqui não é um manifesto. É curta e específica: o tema, o problema concreto observado, por que ele não se resolve por interpretação, e o que se ganha em segurança jurídica ao normatizar — ou ao reavaliar o que já foi normatizado.

O que fazer até 16 de outubro

O caminho é direto: abrir as duas páginas da tomada de subsídios no Brasil Participativo, ler a lista de itens já publicados, preencher o formulário de identificação — o degrau que separa quem participa de quem pretendia participar — e enviar as contribuições pela aba própria, antes de 16 de outubro de 2026. Vale tratar as duas como uma peça só: o tema que você quer ver regulado entra na agenda regulatória; a norma que você quer ver reavaliada entra na ARR.

E fica o registro de método que atravessa este blog. Prazos de participação são a parte visível do ciclo; o que decide o resultado é o que vem depois — a consolidação das contribuições, a publicação da agenda aprovada, a abertura de cada consulta pública dela derivada, meses adiante. Nada disso é comunicado a quem contribuiu. Manter esse acompanhamento de pé, sem depender de alguém lembrar de conferir a página certa no dia certo, é exatamente o trabalho que o procTracker faz em segundo plano.