Durante seis anos, a ANPD operou com equipe cedida de outros órgãos e com capacidade limitada de fiscalização. Nesse período, muitas empresas do setor imobiliário trataram a LGPD como uma obrigação futura, algo que “um dia” precisaria ser resolvido. Esse dia chegou.
Em 25 de fevereiro de 2026, o Congresso Nacional converteu a Medida Provisória 1.317/2025 na Lei nº 15.352/2026, transformando a ANPD de órgão vinculado à Presidência da República em agência reguladora com autonomia funcional, técnica, decisória, administrativa e financeira. A mudança não é cosmética: ela equipa a Agência com as ferramentas que faltavam para fiscalizar de verdade.
Para construtoras e incorporadoras, que lidam diariamente com CPF, renda, dados bancários, contratos de financiamento e informações patrimoniais de milhares de compradores, a nova realidade regulatória exige uma revisão imediata de práticas. Este artigo traduz o que mudou e o que sua empresa precisa fazer agora.
A Linha do Tempo da Transformação
O Que Muda na Prática: Antes vs. Depois
A diferença entre uma “autoridade” sem estrutura e uma “agência reguladora” com dentes não é abstrata. Ela se traduz em capacidade concreta de investigar, autuar e punir. Veja a comparação:
Como resumiu a diretora Miriam Wimmer: “Essa transformação é fruto de uma trajetória bem-sucedida. A ANPD foi criada inicialmente como um órgão vinculado diretamente à Presidência, um arranjo muito longe de ser ideal.” A nova configuração resolve isso de forma definitiva.
Para entender como a conformidade funciona na prática e quais são as obrigações básicas da sua empresa, recomendamos a leitura: Introdução à Conformidade com a LGPD.
O Mapa de Temas Prioritários 2026-2027: Onde a ANPD Vai Olhar
Em dezembro de 2025, a ANPD publicou a Resolução CD/ANPD nº 30/2025, definindo os quatro eixos estratégicos de fiscalização para o biênio 2026-2027. São pelo menos 75 atividades fiscalizatórias previstas. Essa é a primeira vez que a Agência divulga publicamente onde vai concentrar seus esforços com esse nível de detalhe.
Para construtoras, o Eixo 1 é o mais imediato. Uma incorporadora que vende 500 unidades por ano recebe centenas de solicitações de acesso, portabilidade e exclusão de dados. Se o canal de atendimento não funciona (ou não existe), a empresa está exposta a procedimentos preparatórios que podem evoluir para processos administrativos sancionadores.
O Eixo 4 afeta empresas que utilizam inteligência artificial em seus processos de venda, análise de crédito ou segmentação de clientes. Se sua construtora usa CRM com scoring preditivo ou chatbots que processam dados pessoais, a ANPD pode exigir a apresentação de Relatório de Impacto (RIPD). Para saber como elaborar esse documento, veja: RIPD passo a passo: como conduzir uma Avaliação de Impacto à Proteção de Dados na sua empresa.
A Data Guide preparou uma análise completa do Mapa que cobre todos os setores: O Mapa de Fiscalização da ANPD para 2026-2027: o que sua empresa precisa saber antes de estar na mira.
O Painel da Fiscalização: Transparência que Gera Pressão
Em novembro de 2025, a ANPD lançou o Painel da Fiscalização, uma ferramenta pública e interativa que permite a qualquer pessoa consultar dados agregados sobre procedimentos preparatórios, processos administrativos sancionadores e ações fiscalizatórias em andamento.
O impacto prático é duplo. Primeiro, jornalistas, advogados e concorrentes podem verificar se determinado setor está sendo investigado. Segundo, a ANPD passa a prestar contas publicamente sobre o volume de trabalho realizado, o que cria incentivo institucional para aumentar as autuações. Em outras palavras: a Agência agora precisa mostrar resultado, e construtoras com dados desprotegidos são alvos fáceis para demonstrar efetividade.
Atenção para o setor: construtoras e incorporadoras tratam dados financeiros em grande volume (renda, patrimônio, score de crédito, dados bancários para boletos). Esse perfil de tratamento é considerado de alto risco pela ANPD, pois vazamentos permitem fraudes diretas contra compradores (como o golpe do boleto falso).
Até agora, a ANPD operava com menos de 100 pessoas (todas cedidas). A partir de 2027, terá corpo técnico dedicado e qualificado em proteção de dados. Profissionais de Direito, TI, Ciência de Dados e Economia comporão esse quadro. A consequência para o mercado: investigações mais profundas, mais rápidas e mais tecnicamente sofisticadas.
Impacto Direto em Construtoras e Incorporadoras
O setor imobiliário tem características que o tornam particularmente vulnerável a fiscalizações e sanções:
Cenários concretos de exposição
1. Dados de compradores compartilhados com lojas de móveis e decoração: prática comum em que a construtora repassa dados de compradores (nome, telefone, e-mail, unidade adquirida) a parceiros comerciais sem base legal ou consentimento específico. Já gerou condenação no TJSP em 2023. Com a nova ANPD, isso pode resultar em processo sancionador administrativo.
2. Boletos de financiamento via WhatsApp: construtoras que enviam boletos por canais não seguros criam vetores para o golpe do boleto falso. Quando o vazamento ocorre, a empresa responde objetivamente (Súmula 479/STJ). A ANPD pode agravar essa responsabilidade com sanção administrativa.
3. CRMs sem controle de acesso granular: vendedores com acesso a toda a base de contratos, incluindo dados financeiros de compradores de unidades que não são suas. O princípio do menor privilégio é exigência do art. 46 da LGPD.
4. Ausência de canal de atendimento ao titular: compradores que pedem acesso ou exclusão de dados e não recebem resposta em 15 dias (prazo regulamentar). Com o Eixo 1 do Mapa de Temas Prioritários, esse tipo de omissão está na linha de frente da fiscalização.
Para uma visão detalhada sobre o que fazer quando um possível vazamento é identificado, veja: Resposta a incidentes na prática: o que fazer nas primeiras 24 horas.
O Que Fazer Agora: Plano de Ação para o Setor Imobiliário
A janela entre a nova lei e a chegada dos primeiros fiscais concursados (prevista para 2027) é o momento ideal para se adequar. Não se trata de “conformidade perfeita”, mas de eliminar as vulnerabilidades mais graves.
Medidas prioritárias (curto prazo, 30-90 dias)
- Implementar canal de atendimento ao titular: pode ser um formulário no site ou e-mail dedicado (dpo@empresa.com.br), mas precisa ter fluxo interno documentado e SLA de resposta de até 15 dias.
- Revisar controles de acesso ao CRM: segregar dados por perfil. Vendedores só veem suas carteiras; financeiro só acessa dados financeiros. Nenhum usuário vê tudo.
- Eliminar envio de boletos por WhatsApp: migrar para portal autenticado do comprador. Se o canal não existe, um link para boleto via área logada com verificação de identidade resolve.
- Nomear DPO (Encarregado) e publicar contato: exigência expressa do art. 41 da LGPD. Muitas construtoras ainda não têm.
Medidas estruturais (médio prazo, 3-6 meses)
- Elaborar mapeamento de dados: quais dados pessoais sua empresa coleta, de quem, para qual finalidade, com quem compartilha, onde armazena e por quanto tempo retém.
- Realizar RIPD (Relatório de Impacto): obrigatório para tratamentos de alto risco. Dados de financiamento imobiliário são, por natureza, de alto risco.
- Revisar contratos com fornecedores: CRMs, plataformas de assinatura digital, correspondentes bancários e empresas de marketing devem ter cláusulas de proteção de dados e responsabilidade solidária definida.
- Implementar treinamento periódico: equipe comercial, backoffice e atendimento treinados em proteção de dados. Registro documental de cada sessão.
- Criar plano de resposta a incidentes: com etapas, responsáveis, prazos e canais de comunicação definidos.
Dica: comece pelo mapeamento de dados. Sem ele, qualquer outra medida é construída sobre suposições. O mapeamento revela exatamente onde estão os riscos e permite priorizar com inteligência. Veja como estruturar todo o programa: Como estruturar um programa de proteção de dados na sua empresa
Sanções: O Que a ANPD Pode Fazer
Com a nova estrutura, a ANPD mantém o arsenal sancionatório da LGPD (art. 52), agora com capacidade real de aplicá-lo em escala:
A sanção mais temida não é a multa. É a suspensão do tratamento de dados. Para uma construtora, isso significa não poder processar contratos, emitir boletos ou acessar dados de clientes. Na prática, é a paralisia total do negócio.
A publicização da infração também merece atenção especial. No setor imobiliário, reputação é capital. Um comprador que pesquisa “nome da construtora + LGPD + multa” antes de fechar um contrato de R$ 500 mil pode desistir da compra.
A Relação com Fornecedores na Nova Realidade
A cadeia de fornecedores de uma construtora inclui dezenas de empresas que processam dados pessoais de compradores: plataformas de CRM, sistemas de assinatura digital, correspondentes bancários, empresas de marketing digital, plataformas de cobrança. Cada um é potencialmente um operador de dados nos termos da LGPD.
A ANPD, com corpo técnico especializado, terá capacidade de investigar toda a cadeia. A responsabilidade solidária do art. 42 da LGPD significa que a construtora responde junto com o fornecedor que causou o incidente, a menos que demonstre ter adotado medidas adequadas de due diligence e monitoramento contínuo.
Para estruturar esse processo de forma prática: Gestão de fornecedores e LGPD: como mapear, contratar e monitorar operadores de dados com segurança.
Segurança da Informação e Proteção de Dados: Entendendo a Diferença
Um erro comum no setor imobiliário é acreditar que “ter firewall e antivírus” equivale a estar em conformidade com a LGPD. São dimensões complementares, mas distintas. A segurança da informação protege sistemas; a proteção de dados pessoais protege pessoas e seus direitos. A ANPD fiscaliza ambas, mas seu foco é a segunda.
Ter um sistema seguro não garante conformidade se não há base legal para o tratamento, se os dados são retidos além do necessário ou se o titular não consegue exercer seus direitos. A diferença prática entre esses conceitos é fundamental para o planejamento: Segurança da Informação e Proteção de Dados: Entenda as Diferenças e Como Funcionam Juntas.
Perguntas Frequentes
A lei não criou obrigações materiais novas para empresas. As obrigações continuam sendo as da LGPD (Lei 13.709/2018). O que mudou foi a capacidade da ANPD de fiscalizar e punir: agora ela tem autonomia financeira, carreira própria de 200 especialistas, estrutura regimental aprovada (Decreto 12.881/2026) e planejamento público de onde vai atuar (Mapa de Temas Prioritários). Na prática, obrigações que existiam desde 2020 mas não eram cobradas agora serão efetivamente fiscalizadas.
O Mapa não elege setores específicos, mas sim temas transversais. O Eixo 1 (direitos dos titulares) e o Eixo 4 (IA e tecnologias emergentes) afetam diretamente construtoras: o primeiro porque exige canal funcional de atendimento a compradores; o segundo porque muitas empresas usam CRMs com inteligência artificial para scoring e segmentação. Além disso, incidentes de segurança envolvendo dados financeiros (como o golpe do boleto falso) são classificados como “risco relevante” e exigem comunicação à ANPD em até 3 dias úteis.
Precisa, sim. A LGPD se aplica a qualquer empresa que trata dados pessoais, independentemente do porte. A ANPD inclusive já sancionou empresas de pequeno porte. O critério não é tamanho da empresa, mas natureza do tratamento e volume de dados. Uma construtora que vende 100 unidades por ano tem dados financeiros sensíveis de centenas de pessoas (compradores e fiadores). Se esses dados vazarem e forem usados em golpes, a empresa responde. Para entender seu cenário: LGPD para Empresas: O Guia Definitivo.
O primeiro passo é nomear um Encarregado (DPO) e publicar seu contato no site (art. 41 da LGPD). Pode ser interno ou terceirizado. O segundo passo é fazer o mapeamento de dados: entender quais dados pessoais a empresa coleta, onde armazena, com quem compartilha e por quanto tempo retém. A partir do mapeamento, você consegue priorizar as lacunas. O terceiro passo é criar um canal de atendimento ao titular. Essas três ações, sozinhas, já reduzem drasticamente o risco de uma sanção. Para começar de forma estruturada: Como estruturar um programa de proteção de dados na sua empresa.
Fontes e Referências
- Lei nº 15.352, de 25 de fevereiro de 2026. Diário Oficial da União. Disponível em: planalto.gov.br
- Decreto nº 12.881, de 18 de março de 2026 (Estrutura Regimental da ANPD). Disponível em: DOU/Imprensa Nacional
- ANPD ganha nova estrutura e se consolida como agência reguladora (08/04/2026). Disponível em: gov.br/anpd
- Resolução CD/ANPD nº 30/2025: Mapa de Temas Prioritários 2026-2027. Disponível em: DOU/Imprensa Nacional
- ANPD lança Painel da Fiscalização (10/11/2025). Disponível em: gov.br/anpd
- Primeiro concurso público para carreira própria da ANPD é autorizado (24/06/2026). Disponível em: gov.br/anpd
- Senado aprova MP que transforma a ANPD em agência e cria 200 cargos (24/02/2026). Disponível em: Senado Notícias
- Convergência Digital: Congresso aprova, ANPD vira agência (25/02/2026). Disponível em: convergenciadigital.com.br
