Art. 2º Compete à ANPD:
I - zelar pela proteção dos dados pessoais, nos termos da legislação;
II - zelar pela observância dos segredos comercial e industrial, observada a proteção de dados pessoais e do sigilo das informações, quando protegido por lei ou quando a quebra do sigilo violar o disposto no art. 2º da Lei nº 13.709, de 14 de agosto de 2018;
III - elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade;
IV - fiscalizar e aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso;
V - apreciar petições de titular contra controlador após comprovada pelo titular a apresentação de reclamação ao controlador não solucionada no prazo estabelecido em regulamentação;
VI - promover o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e medidas de segurança;
VII - promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade;
VIII - estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais, os quais deverão considerar as especificidades das atividades e o porte dos responsáveis;
IX - promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional ou transnacional;
X - dispor sobre as formas de publicidade das operações de tratamento de dados pessoais, observados os segredos comercial e industrial;
XI - solicitar, a qualquer momento, às entidades do Poder Público que realizem operações de tratamento de dados pessoais, informe específico sobre o âmbito, a natureza dos dados e os demais detalhes do tratamento realizado, com a possibilidade de emitir parecer técnico complementar para garantir o cumprimento da Lei nº 13.709, de 14 de agosto de 2018;
XII - elaborar relatórios de gestão anuais acerca de suas atividades;
XIII - editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade, bem como sobre relatórios que avaliem o impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos na Lei nº 13.709, de 14 de agosto de 2018;
XIV - ouvir os agentes de tratamento e a sociedade em matérias de interesse relevante e prestar contas sobre suas atividades e sobre seu planejamento;
XV - arrecadar e aplicar suas receitas e publicar, nos relatórios de gestão a que se refere o inciso XII, o detalhamento de suas receitas e despesas;
XVI - realizar auditorias ou determinar sua realização, no âmbito da atividade de fiscalização de que trata o inciso IV e em observância ao disposto no inciso II, sobre o tratamento de dados pessoais efetuado pelos agentes de tratamento, incluído o Poder Público;
XVII - celebrar, a qualquer momento, compromisso com agentes de tratamento para eliminar irregularidade, incerteza jurídica ou situação contenciosa, no âmbito de processos administrativos, de acordo com o previsto no Decreto-Lei nº 4.657, de 4 de setembro de 1942;
XVIII - editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas e empresas de pequeno porte, e iniciativas empresariais de caráter incremental ou disruptivo, que se autodeclarem_startups_ou empresas de inovação, possam se adequar ao disposto na Lei nº 13.709, de 14 de agosto de 2018;
XIX - garantir que o tratamento de dados relacionados a idosos seja efetuado de maneira simples, clara, acessível e adequada ao seu entendimento, nos termos do disposto na Lei nº 13.709, de 14 de agosto de 2018, e na Lei nº 10.741, de 1º de outubro de 2003;
XX - deliberar, na esfera administrativa e em caráter terminativo, sobre a interpretação da Lei nº 13.709, de 14 de agosto de 2018, as suas competências e os casos omissos;
XXI - comunicar às autoridades competentes as infrações penais das quais tiver conhecimento;
XXII - comunicar aos órgãos de controle interno o descumprimento do disposto na Lei nº 13.709, de 14 de agosto de 2018, por órgãos e entidades da administração pública federal;
XXIII - articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação;
XXIV - implementar mecanismos simplificados, inclusive por meio eletrônico, para o registro de reclamações sobre o tratamento de dados pessoais em desconformidade com a Lei nº 13.709, de 14 de agosto de 2018;
XXV - zelar pela aplicação da Lei nº 15.211, de 17 de setembro de 2025, inclusive por meio da edição de normas complementares, e fiscalizar seu cumprimento em todo o território nacional;
XXVI - estabelecer processos e procedimentos administrativos para a apuração de infrações e a aplicação das sanções de advertência e multa previstas no art. 35 da Lei nº 15.211, de 17 de setembro de 2025;
XXVII - atualizar anualmente e publicar na imprensa oficial, por ato próprio, os valores das multas previstas no art. 35,_caput_, inciso II, da Lei nº 15.211, de 17 de setembro de 2025, de acordo com o Índice Nacional de Preços ao Consumidor Amplo - IPCA, calculado pela Fundação Instituto Brasileiro de Geografia e Estatística - IBGE, ou outro que vier a substituí-lo;
XXVIII - emitir recomendações e orientações acerca das práticas relevantes para a consecução das obrigações previstas na Lei nº 15.211, de 17 de setembro de 2025, considerados as assimetrias regulatórias, as funcionalidades e o nível de risco de cada produto ou serviço, a evolução tecnológica e os padrões técnicos aplicáveis;
XXIX - estabelecer, por ato próprio, diretrizes e padrões mínimos sobre mecanismos de supervisão parental a serem observados pelos fornecedores, nos termos do disposto no art. 17, § 1º, da Lei nº 15.211, de 17 de setembro de 2025;
XXX - nos termos do ato próprio, avaliar o grau de efetividade e o progresso dos mecanismos de verificação de idade a que se refere o art. 24, § 1º, inciso III, e § 2º, da Lei nº 15.211, de 17 de setembro de 2025, para identificar as contas operadas por crianças e adolescentes;
XXXI - definir, por ato próprio, critérios e requisitos para o acesso a dados necessários à realização de pesquisas sobre os impactos de produtos e serviços de provedores de aplicações de internet nos direitos de crianças e de adolescentes e no seu melhor interesse, por parte de instituições acadêmicas, científicas, tecnológicas, de inovação ou jornalísticas, nos termos do disposto no art. 31 da Lei nº 15.211, de 17 de setembro de 2025;
XXXII - normatizar o processo de suspensão de acesso de usuários a redes sociais, inclusive quanto à possibilidade de interposição de apelação pelo responsável legal, nas hipóteses de indícios de que a conta seja operada por criança ou adolescente em desconformidade com os requisitos de idade mínima previstos na legislação;
XXXIII - requisitar dos fornecedores de produtos ou serviços de tecnologia da informação direcionados a crianças e adolescentes ou de acesso provável por eles relatórios de impacto, de monitoramento e de avaliação da proteção de dados pessoais, na hipótese de tratamento de dados de crianças e de adolescentes, na forma do disposto em ato próprio;
XXXIV - apreciar os mecanismos de supervisão parental submetidos por fornecedores de produtos ou serviços de tecnologia da informação direcionados a crianças e adolescentes ou de acesso provável por eles;
XXXV - atuar como reguladora e promotora de soluções técnicas de verificação de idade, inclusive por meio da definição de requisitos mínimos de confiabilidade, eficácia, transparência, segurança e interoperabilidade, nos termos do disposto nos art. 11 e art. 12, § 3º, da Lei nº 15.211, de 17 de setembro de 2025; e
XXXVI - definir os critérios para aferição do grau de intervenção e aplicação proporcional das obrigações, para fins no disposto no art. 39, § 3º, da Lei nº 15.211, de 17 de setembro de 2025.
§ 1º A ANPD observará o princípio da intervenção mínima ao impor condicionantes administrativas ao tratamento de dados pessoais por agente de tratamento privado, tais como limites, encargos ou sujeições, assegurados os fundamentos, os princípios e os direitos dos titulares previstos no art. 170 da Constituição e na Lei nº 13.709, de 14 de agosto de 2018.
§ 2º Os regulamentos e as normas editados pela ANPD deverão ser precedidos de consulta e audiência públicas, e de análises de impacto regulatório, conforme o disposto na Lei nº 13.709, de 14 de agosto de 2018.
§ 3º A ANPD e os órgãos e entidades públicas responsáveis pela regulação de setores específicos da atividade econômica e governamental devem coordenar suas atividades, nas correspondentes esferas de atuação, com vistas a assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados, conforme legislação específica, e o tratamento de dados pessoais, nos termos do disposto na Lei nº 13.709, de 14 de agosto de 2018.
§ 4º A ANPD manterá fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatórias, fiscalizatórias e punitivas da ANPD.
§ 5º A ANPD, no exercício das competências de que trata o_caput_, deverá zelar pela preservação do segredo comercial e industrial e do sigilo das informações, nos termos da legislação.
§ 6º As reclamações colhidas conforme o disposto no inciso V do_caput_poderão ser analisadas de forma agregada e as eventuais providências delas decorrentes poderão ser adotadas de forma padronizada.
§ 7º A aplicação das sanções previstas na Lei nº 13.709, de 14 de agosto de 2018, compete exclusivamente à ANPD e suas competências prevalecerão, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública.
§ 8º A ANPD articulará sua atuação com outros órgãos e entidades com competências sancionatórias e regulatórias relacionadas ao tema de proteção de dados pessoais e funcionará como o órgão central de interpretação da Lei nº 13.709, de 14 de agosto de 2018, e do estabelecimento de normas e diretrizes para a sua implementação.
§ 9º A regulamentação de que trata o inciso XXVII do_caput_não poderá impor, autorizar ou resultar na implementação de mecanismos de vigilância massiva, genérica ou indiscriminada, vedadas as práticas que comprometam os direitos fundamentais à liberdade de expressão, à privacidade, à proteção integral e ao tratamento diferenciado dos dados pessoais de crianças e adolescentes, nos termos do disposto na Constituição, na Lei nº 8.069, de 13 de julho de 1990, e na Lei nº 13.709, de 14 de agosto de 2018.
§ 10\. Nas atividades previstas nos incisos XXV a XXXVI do_caput_, a ANPD deverá observar a ocorrência de possíveis assimetrias regulatórias e adotar abordagem responsiva, assegurado tratamento diferenciado e proporcional a serviços de natureza, risco e modelo de negócio distintos.
