A Lei Geral de Proteção de Dados Pessoais (LGPD) completou ontem (18/9) seis anos de vigência. O aniversário é uma oportunidade para reconhecer o quanto o cenário brasileiro de privacidade e proteção de dados mudou nesse período. Mas é, sobretudo, um momento adequado para fazer uma pergunta mais incômoda: seis anos depois, ainda é razoável tratar a adequação à LGPD como um projeto em andamento?

Quando a lei entrou em vigor, em 2020, havia justificativas concretas para uma fase de adaptação. Empresas precisavam compreender conceitos novos, identificar os dados pessoais tratados em suas operações, definir bases legais, revisar contratos, criar procedimentos para atendimento aos titulares, estruturar programas de governança e incorporar uma cultura de proteção de dados que, até então, estava longe de ser uniforme no mercado brasileiro.

A própria estrutura regulatória ainda estava em construção. A então Autoridade Nacional de Proteção de Dados dava seus primeiros passos, e diversas disposições da LGPD dependiam, e algumas ainda dependem, de regulamentação e interpretação.

De autoridade a agência: mudança que precisa produzir efeitos práticos

Talvez uma das mudanças institucionais mais relevantes desses seis anos tenha ocorrido justamente em 2026. A Lei nº 15.352/2026 transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, mantendo a conhecida sigla ANPD, mas alterando significativamente sua estrutura institucional. Não se trata apenas de uma mudança de nomenclatura.