ANPD: o que é e o que muda para quem faz marketing digital

ANPD: o que é?

A ANPD é a Agência Nacional de Proteção de Dados, a agência reguladora federal responsável por zelar pela proteção de dados pessoais no Brasil, editar normas sobre a Lei Geral de Proteção de Dados Pessoais (LGPD), fiscalizar empresas e órgãos públicos e aplicar sanções. Ela foi criada pela própria LGPD, a Lei nº 13.709/2018, com o nome de Autoridade Nacional de Proteção de Dados, virou autarquia de natureza especial com a Lei nº 14.460/2022 e, com a Lei nº 15.352/2026, passou a se chamar Agência Nacional de Proteção de Dados, mantendo a sigla. Para quem faz marketing digital, a ANPD é quem diz como a LGPD se aplica a cookies, pixels, formulários e listas de leads.

Muita gente só ouve falar da ANPD quando sai uma notícia sobre vazamento ou multa. Mas o trabalho mais útil para o dia a dia de um site está nos guias e regulamentos que ela publica, como o guia sobre cookies. Neste artigo você vê o que a ANPD faz, quais sanções existem e quais pontos de um site com Google Analytics 4 (GA4), Google Ads e pixel da Meta merecem atenção. Este artigo não é aconselhamento jurídico.

O que a ANPD faz

As competências da ANPD estão no artigo 55-J da LGPD. As mais relevantes para empresas são estas:

• Editar normas e procedimentos sobre proteção de dados pessoais, como regulamentos e resoluções.
• Interpretar a LGPD na esfera administrativa e publicar guias orientativos.
• Fiscalizar e aplicar sanções em caso de descumprimento, com processo administrativo e direito de defesa.
• Receber petições de titulares contra controladores.
• Difundir conhecimento sobre proteção de dados na sociedade.

A ANPD é dirigida por um Conselho Diretor de cinco diretores, incluindo o Diretor-Presidente. Ao lado dele existe o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, que reúne representantes do governo, da sociedade civil, da academia e do setor privado e propõe diretrizes.

Os guias orientativos da ANPD não são normas obrigatórias, mas mostram como a autoridade interpreta a lei. Para quem trabalha com marketing digital, os mais úteis são o guia sobre cookies e proteção de dados pessoais, de 2022, e o guia sobre legítimo interesse. Eles ajudam a decidir quando é preciso consentimento e quando outra base legal pode ser usada, e servem de argumento interno quando alguém pergunta por que o banner precisa de um botão para rejeitar.

→ Banner de cookies com Consent Mode v2: em conformidade, sem licença mensal

Quais sanções a ANPD pode aplicar?

As sanções administrativas da LGPD estão no artigo 52 e valem desde 1º de agosto de 2021. A ANPD definiu como calcular e aplicar essas sanções no Regulamento de Dosimetria, aprovado pela Resolução CD/ANPD nº 4/2023, que classifica as infrações em leves, médias e graves.

Para um site de empresa, a advertência e a obrigação de corrigir são os desfechos mais comuns. Mesmo assim, uma correção imposta com prazo curto custa tempo e dinheiro, e a publicização pode afetar a reputação. Por isso vale corrigir antes, por iniciativa própria.

Na dosimetria, a ANPD considera entre outros fatores a gravidade e a natureza da infração, a boa-fé do infrator, a vantagem obtida, a reincidência, a cooperação e a adoção de medidas para corrigir o problema. Isso mostra por que vale documentar o que foi feito: uma empresa que consegue mostrar seu banner, suas regras de consentimento e suas correções está em posição melhor do que uma que não sabe o que o site carrega.

O que a ANPD pode olhar no seu site

Um site de marketing trata dados pessoais em vários pontos ao mesmo tempo. A ANPD não publica uma lista de verificação para sites, mas a LGPD e o guia de cookies mostram onde estão os riscos mais comuns:

• Cookies e pixels de publicidade, como Google Ads e Meta, carregados antes de qualquer escolha do visitante.
• Banner de cookies sem opção de rejeitar ou com opções pré-marcadas.
• Formulários de contato que coletam mais dados do que o necessário ou não informam a finalidade.
• Política de privacidade e de cookies desatualizada, sem os fornecedores que o site usa hoje.
• Ausência do nome e do contato do encarregado, exigidos pelo artigo 41 da LGPD.

O encarregado é a pessoa ou empresa que recebe reclamações dos titulares e comunicações da ANPD. Sua identidade e contato precisam estar publicados, de preferência no site. A ANPD regulamentou a atuação do encarregado na Resolução CD/ANPD nº 18/2024.

→ Configurando o Google Consent Mode v2 corretamente: sem aviso no Tag Assistant

Como se preparar na prática

O primeiro passo é saber o que o site realmente carrega. Abra o site em uma janela anônima e veja, nas ferramentas do navegador, quais cookies e requisições aparecem antes de clicar no banner. Depois, compare com a política de cookies. O segundo passo é organizar as tags no Google Tag Manager com regras de consentimento e o Google Consent Mode v2, para que Google Ads, Meta e as demais plataformas só carreguem quando a base legal permitir. O terceiro passo é revisar os formulários: quais campos são realmente necessários e se a finalidade está escrita ao lado.

Exemplo: uma imobiliária em Curitiba

Uma imobiliária de Curitiba capta leads com formulários e anuncia no Google Ads e na Meta. Um cliente pediu para saber quais dados a empresa tinha sobre ele e como tinham sido coletados. Na revisão, a equipe percebeu que o pixel da Meta carregava sem escolha no banner e que a política de cookies não citava o Google Ads. A correção levou uma semana: banner com rejeitar, tags no Google Tag Manager com condição de consentimento e política atualizada. Desde então, a empresa consegue explicar a qualquer cliente quais ferramentas o site usa e com qual base legal.

Para ver o que o seu site carrega hoje, a verificação gratuita da Trackum (trackum.app/check) abre a página inicial três vezes em um navegador real, sem responder ao banner, rejeitando e aceitando, além de duas páginas internas, e mostra quais tags e cookies carregam em cada visita. É gratuita, sem cadastro, e leva cerca de dois minutos.