A ANPD virou agência em 2026: o que mudou de verdade para a clínica odontológica
A Lei 15.352/2026 transformou a ANPD em agência reguladora. Separamos o que de fato mudou do que está sendo vendido como pânico, e listamos o que já valia antes e continua valendo.
Se você recebeu mensagem dizendo que a ANPD vai fiscalizar clínicas odontológicas em 2026 e que é melhor contratar uma consultoria antes que a multa chegue, vale ler isto antes de assinar qualquer coisa. Duas coisas mudaram de verdade neste ano, e nenhuma delas é a que está sendo vendida.
O que mudou: a ANPD virou agência reguladora
A Lei nº 15.352, de 25 de fevereiro de 2026, publicada no DOU do mesmo dia, transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados. Ela passa a ser autarquia de natureza especial, mantida a vinculação ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira. A lei também criou 200 cargos de especialista em regulação, a serem preenchidos por concurso público. A norma nasceu da conversão da MP 1.317/2025.
Traduzindo para a prática da clínica: o órgão que fiscaliza a LGPD ganhou orçamento próprio, estrutura e gente. Um regulador com 200 fiscais concursados fiscaliza mais do que um sem. Essa é a mudança real, e ela é estrutural, não um anúncio de campanha.
O que não mudou: clínica de saúde não virou alvo declarado
Aqui é onde a conversa costuma exagerar. Em 24 de dezembro de 2025, a ANPD publicou o seu Mapa de Temas Prioritários para o biênio 2026-2027. Ele define quatro temas prioritários para a atividade de fiscalização:
- direitos dos titulares;
- proteção de crianças e adolescentes no ambiente digital;
- tratamento de dados pessoais pelo Poder Público;
- inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais.
Dados de saúde não aparecem nessa lista, e clínicas odontológicas não são citadas. Quem afirma que a ANPD anunciou uma varredura no setor está estendendo o documento além do que ele diz — geralmente em texto assinado por quem vende adequação.
O que obriga a sua clínica, e independe de qualquer mapa
A ausência do setor na lista de prioridades não é alvará. O que obriga a clínica está na LGPD e nas resoluções da própria ANPD, e vale desde antes de 2026:
Prontuário é dado sensível, e a base legal não é consentimento
Dado de saúde é dado pessoal sensível. O tratamento do prontuário se apoia na tutela da saúde por profissional de saúde (art. 11, II, da LGPD), que dispensa consentimento. Isso não é detalhe: clínica que apoia o prontuário em consentimento cria um problema real, porque consentimento pode ser revogado a qualquer momento — e prontuário tem prazo de guarda que não se revoga.
Incidente de segurança: 3 dias úteis
Pela Resolução CD/ANPD nº 2/2022, alterada pela nº 15/2024, o prazo para comunicar incidente de segurança relevante à ANPD e aos titulares é de 3 dias úteis contados da ciência. Agentes de tratamento de pequeno porte têm prazo em dobro, mas esse regime não alcança quem trata dados sensíveis em larga escala — que é a situação de qualquer clínica com base de pacientes.
Três dias úteis é curto. Ninguém escreve procedimento de resposta durante um vazamento: quem decide o que comunicar, para quem, e em quanto tempo, precisa estar escrito antes.
Encarregado designado por escrito
A Resolução ANPD nº 18/2024 trata da figura do encarregado. Designação em ato escrito e datado, com identificação e canal de contato divulgado em local de destaque — não basta alguém dizer que cuida disso.
O teste honesto de cinco perguntas
Se você responder as cinco sem hesitar, está à frente da maioria. Se travar em duas ou mais, o trabalho é esse, e ele não depende de nenhuma fiscalização acontecer:
- Quem é o encarregado da sua clínica, e onde o contato dele está publicado?
- Se um notebook com acesso ao sistema sumir hoje, quem decide se houve incidente, e em quanto tempo?
- Você consegue listar quais serviços e fornecedores têm acesso a dado de paciente?
- Quando um funcionário sai, em quanto tempo o acesso dele é cortado?
- Se um paciente pedir tudo o que a clínica tem sobre ele, você entrega em quanto tempo?
A quarta é a que mais reprova, e é a mais barata de resolver. Detalhamos o assunto em prontuário eletrônico e LGPD na odontologia.
Metade disso é o sistema que resolve
Acesso por perfil, trilha de auditoria de quem viu o quê, corte de acesso na saída do funcionário e exportação dos dados do paciente. Teste grátis, sem cartão.
Criar conta grátis →Perguntas frequentes
A ANPD anunciou fiscalização de clínicas odontológicas em 2026?+
Não. O Mapa de Temas Prioritários para o biênio 2026-2027, publicado pela ANPD em 24/12/2025, define quatro temas prioritários de fiscalização: direitos dos titulares; proteção de crianças e adolescentes no ambiente digital; tratamento de dados pessoais pelo Poder Público; e inteligência artificial e tecnologias emergentes. Dados de saúde não constam dessa lista, e clínicas odontológicas não são citadas. Isso não afasta as obrigações da LGPD, que valem independentemente do mapa.
O que a Lei 15.352/2026 mudou?+
Ela transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, e criou 200 cargos de especialista em regulação a serem providos por concurso. Foi sancionada e publicada no DOU em 25 de fevereiro de 2026, resultado da conversão da MP 1.317/2025.
Em quanto tempo a clínica precisa comunicar um vazamento de dados?+
Três dias úteis contados da ciência, para comunicar à ANPD e aos titulares afetados, conforme a Resolução CD/ANPD nº 2/2022 com a redação dada pela nº 15/2024. O prazo em dobro previsto para agentes de tratamento de pequeno porte não alcança quem trata dados sensíveis em larga escala, situação típica de uma clínica com base de pacientes.
A clínica precisa de consentimento do paciente para manter o prontuário?+
Não. O tratamento se apoia na tutela da saúde por profissional de saúde, prevista no art. 11, II, da LGPD, que dispensa o consentimento para dado sensível de saúde. Apoiar o prontuário em consentimento é um erro comum e cria problema prático, porque consentimento é revogável a qualquer tempo, enquanto o prontuário tem prazo de guarda próprio.
Preciso ter um encarregado mesmo sendo uma clínica pequena?+
A figura do encarregado é tratada na Resolução ANPD nº 18/2024, que exige designação por ato escrito e datado, com identificação e canal de contato divulgado de forma acessível. Não precisa ser um cargo dedicado nem um profissional externo, mas precisa ser uma pessoa definida por escrito, com contato publicado.