Essa mudança já pode ser observada na atuação de autoridades concorrenciais em diferentes países. A União Europeia adotou um regime específico para os chamados gatekeepers por meio do Digital Markets Act. O Reino Unido criou um modelo voltado a empresas com Strategic Market Status. A Alemanha, por sua vez, ampliou os poderes de intervenção do Bundeskartellamt diante de empresas com importância primordial para a concorrência entre mercados. Embora existam diferenças importantes entre esses regimes, todos partem de um diagnóstico semelhante: determinadas características dos mercados digitais podem produzir posições de intermediação e dependência que exigem respostas mais rápidas e direcionadas do que aquelas oferecidas exclusivamente pela repressão posterior a condutas anticompetitivas.

No Brasil, esse debate ganhou densidade institucional nos últimos anos e hoje ocupa uma posição central na agenda de defesa da concorrência.

Mercados digitais possuem características econômicas que ajudam a explicar essa preocupação. Efeitos de rede podem fazer com que um serviço se torne mais valioso à medida que concentra usuários; economias de escala e escopo favorecem empresas capazes de operar simultaneamente em diferentes mercados; e o controle sobre dados, sistemas operacionais, lojas de aplicativos, mecanismos de busca ou meios de pagamento pode permitir que determinados agentes estabeleçam as condições pelas quais outras empresas acessam consumidores. 

A questão não é simplesmente o tamanho dessas empresas. Em muitos casos, plataformas passam a exercer funções de intermediação essenciais para o funcionamento de mercados inteiros. Elas podem organizar o acesso entre consumidores e empresas, definir regras de participação e, ao mesmo tempo, competir nesses próprios ambientes.

Esse tipo de situação tem estado cada vez mais presente na agenda brasileira. Em audiência pública realizada pelo Conselho Administrativo de Defesa Econômica (Cade) em 2025 sobre os ecossistemas móveis iOS e Android, foram discutidas as condições de acesso a funcionalidades dos sistemas operacionais e seus impactos sobre concorrentes. Posteriormente, o Cade instaurou inquérito administrativo para investigar restrições relacionadas ao acesso à tecnologia NFC em dispositivos da Apple e seus possíveis efeitos sobre soluções alternativas de pagamento.

Como já discutido anteriormente pela Data, casos como esse ajudam a mostrar que determinadas infraestruturas privadas podem assumir um papel decisivo para a entrada e o funcionamento de outros agentes econômicos. Essa posição confere à empresa que controla a plataforma central um poder de orquestração sobre o ecossistema, entendido como a capacidade de estabelecer regras de participação, condições de acesso e padrões técnicos que coordenam a atuação dos demais agentes (Jacobides; Lianos, 2021). Esse conceito foi incorporado no voto do Conselheiro Victor Fernandes, no caso Apple App Store, que destacou a capacidade de um orquestrador, nesse caso a Apple, de alterar unilateralmente as condições de concorrência em mercados adjacentes. 

Os limites de uma atuação exclusivamente ex post

Tradicionalmente, o direito da concorrência atua a partir da análise de condutas ou operações específicas. Uma investigação identifica determinado comportamento, avalia seus efeitos e, caso configurada uma infração à ordem econômica, aplica remédios ou sanções.

Essa lógica continua sendo fundamental. Mas a experiência internacional e brasileira tem colocado em discussão sua suficiência diante de mercados caracterizados por fortes efeitos de rede, integração vertical e mudanças tecnológicas rápidas. Em alguns desses mercados, o tempo necessário para investigação e julgamento pode ser incompatível com a velocidade de consolidação de determinadas posições. Quando uma decisão definitiva é alcançada, um mercado pode já ter se reestruturado de forma difícil de reverter (Cade, 2024).

Esse diagnóstico também apareceu no processo brasileiro que antecedeu a apresentação do PL nº 4.675/2025. A Tomada de Subsídios conduzida pela Secretaria de Reformas Econômicas do Ministério da Fazenda, em 2024, organizou o debate em torno da suficiência dos instrumentos atualmente disponíveis no Sistema Brasileiro de Defesa da Concorrência, da conveniência de mecanismos ex ante e das alternativas institucionais para sua implementação.

O PL nº 4.675/2025 e a construção de um modelo brasileiro

O Projeto de Lei n° 4.675/2025 propõe alterar a Lei nº 12.529/2011 para incorporar instrumentos específicos voltados aos mercados digitais. Entre suas principais inovações está a possibilidade de o Cade designar agentes econômicos de relevância sistêmica em mercados digitais, aos quais poderão ser impostas obrigações especiais.

A proposta parte, portanto, de uma lógica assimétrica. Nem toda empresa digital estaria sujeita ao mesmo conjunto de obrigações. A intervenção seria direcionada aos agentes que apresentassem determinadas características relacionadas à sua posição econômica e à estrutura dos mercados em que atuam.

Entre os elementos previstos para a designação estão presença em mercados de múltiplos lados, efeitos de rede, integração vertical, posição estratégica para atividades de terceiros, acesso a grandes volumes de dados, número relevante de usuários e oferta de múltiplos produtos ou serviços digitais.

Esse é um dos pontos centrais da proposta. O poder econômico nos mercados digitais nem sempre decorre apenas de uma participação elevada em um único mercado claramente delimitado. Ele pode resultar da combinação de diferentes posições dentro de um ecossistema: controle da infraestrutura, acesso privilegiado a dados, intermediação entre diferentes grupos de usuários e capacidade de integrar serviços.

Por isso, a discussão sobre relevância sistêmica procura olhar para a posição estrutural do agente dentro do ecossistema digital.

O modelo brasileiro também possui uma característica institucional importante. Diferentemente de experiências que criaram regimes relativamente autônomos em relação ao direito concorrencial, o PL busca incorporar esses instrumentos ao próprio Sistema Brasileiro de Defesa da Concorrência, atribuindo ao Cade a responsabilidade pela designação dos agentes e pela definição das obrigações aplicáveis.

A Data Privacy Brasil tem acompanhado essa discussão desde a formulação da proposta e manifestou apoio à criação de instrumentos específicos para enfrentar problemas concorrenciais em mercados digitais. A defesa do projeto, no entanto, não elimina a necessidade de discutir sua calibragem institucional, os critérios de designação, a proporcionalidade das obrigações e os mecanismos de participação e revisão das decisões.

Regulação assimétrica não significa regulação uniforme

A experiência internacional mostra também que “regulação ex ante” não corresponde a um único modelo.

O desenho europeu é frequentemente utilizado como principal referência por ter criado, com o Digital Markets Act, um conjunto de obrigações aplicáveis aos gatekeepers. Outros países seguiram caminhos diferentes, com maior espaço para definição individualizada das obrigações ou para atuação das próprias autoridades concorrenciais.

A existência de experiências internacionais permite identificar problemas recorrentes, mas não elimina a necessidade de considerar as características institucionais e econômicas locais. O Brasil possui uma autoridade concorrencial consolidada e uma experiência própria de aplicação da Lei nº 12.529/2011. O desafio consiste menos em reproduzir um modelo estrangeiro e mais em avaliar quais instrumentos podem ser incorporados ao sistema brasileiro sem perder as capacidades que já foram construídas.

Também é preciso considerar que mercados digitais não permanecem estáticos. Modelos de negócio, tecnologias e posições econômicas podem mudar rapidamente. Uma regulação assimétrica precisa, por isso, ser capaz de identificar posições de poder relevantes sem transformar categorias regulatórias em classificações permanentes.

A própria discussão sobre o tempo de duração da designação dos agentes de relevância sistêmica evidencia esse problema. Como analisamos anteriormente, a combinação entre segurança jurídica e possibilidade de revisão é especialmente importante em mercados cuja estrutura pode mudar de forma significativa ao longo de poucos anos.

Concorrência, inovação e direitos no mesmo ecossistema

A discussão sobre regulação dos mercados digitais também costuma ser apresentada como um conflito entre concorrência e inovação. Esse enquadramento é limitado.

Empresas de tecnologia evidentemente precisam de espaço para desenvolver novos produtos, testar modelos de negócio e realizar investimentos. Ao mesmo tempo, estruturas altamente concentradas podem reduzir as possibilidades de inovação por agentes menores quando estes dependem de plataformas que controlam as condições de entrada e permanência no mercado. Nesse sentido, a contestabilidade dos mercados também é uma condição para inovação.

Interoperabilidade, acesso não discriminatório a determinadas funcionalidades e redução de custos de troca podem ampliar as possibilidades de entrada e permitir que novos agentes disputem mercados hoje organizados em torno de poucas plataformas.

Além disso, os efeitos dessas estruturas ultrapassam uma concepção estritamente econômica da concorrência. Poder de intermediação pode influenciar privacidade, liberdade de escolha, proteção do consumidor e acesso a infraestruturas digitais.

Foi esse o ponto levantado pela Data Privacy Brasil ao discutir as restrições ao acesso à tecnologia NFC e sua relação com o Pix por aproximação. A dependência de uma infraestrutura privada pode produzir efeitos sobre a concorrência, mas também sobre o acesso a uma infraestrutura pública digital relevante para a sociedade brasileira.

A política concorrencial não precisa assumir as competências de autoridades de proteção de dados, defesa do consumidor ou regulação financeira para reconhecer essas interfaces. Ao contrário, o desenvolvimento de mercados digitais torna cada vez mais importante pensar mecanismos de coordenação entre autoridades.

Quem participa da construção dessas regras?

Há ainda uma dimensão institucional menos discutida: a participação dos atores afetados pela regulação.

Decisões sobre interoperabilidade, acesso a dados, sistemas de pagamento, distribuição de aplicativos ou condições de acesso às plataformas afetam muito mais gente do que as empresas diretamente reguladas. Afetam consumidores, desenvolvedores, pequenos negócios, trabalhadores e outros agentes que dependem dessas infraestruturas para operar.

A sociedade civil tem um papel próprio nesse debate. Organizações que atuam com defesa do consumidor, proteção de dados, direitos digitais e liberdade de expressão conseguem trazer para a discussão efeitos que não aparecem necessariamente nas manifestações das empresas ou nas análises estritamente econômicas. Em mercados digitais, isso importa porque parte das assimetrias nasce das próprias regras privadas que organizam o ecossistema e das condições impostas pelos agentes que o controlam.

A experiência recente do PL nº 4.675/2025 mostra como esse debate pode ganhar com uma participação mais ampla. A Data Privacy Brasil e outras organizações da sociedade civil, como a Coalizão de Direitos na Rede, têm acompanhado a tramitação do projeto, apresentado contribuições técnicas e defendido mecanismos de participação no desenho e na aplicação da futura regulação. 

A abertura desses espaços também ajuda a diminuir uma assimetria concreta do processo regulatório: grandes empresas e associações empresariais costumam dispor de mais recursos, informações e capacidade de incidência do que os demais grupos afetados. Por essa razão, participação social não deve ser entendida apenas como mecanismo de legitimidade, na medida em que também contribui para a própria qualidade da análise concorrencial.

E agora, quais são os próximos passos?

O debate brasileiro sobre mercados digitais chega, portanto, a uma nova etapa.

Durante os últimos anos, uma parte importante do esforço institucional foi dedicada a construir o diagnóstico: compreender os efeitos de rede, a concentração de dados, as estruturas de intermediação e os limites dos instrumentos tradicionais diante de ecossistemas digitais.

O PL nº 4.675/2025 desloca essa discussão para outra pergunta: quais instrumentos o Brasil pretende adotar para responder a esses problemas?

Essa transição exige cautela. A criação de mecanismos ex ante pode ampliar a capacidade de resposta do Cade, mas sua efetividade dependerá do desenho dos procedimentos, dos critérios utilizados para identificar agentes de relevância sistêmica, da possibilidade de revisão das obrigações e da própria capacidade institucional da autoridade concorrencial.

Também dependerá da capacidade de manter essa discussão aberta. Mercados digitais são estruturados por relações que envolvem grandes plataformas, empresas dependentes, consumidores, trabalhadores, Estado e sociedade civil. A construção das regras que organizarão esses mercados precisa refletir essa diversidade de interesses e perspectivas.

O Brasil não precisa escolher entre simplesmente preservar o modelo atual ou reproduzir integralmente experiências estrangeiras. Há espaço para construir uma resposta própria, aproveitando a experiência acumulada pelo Cade e incorporando instrumentos capazes de enfrentar formas de poder econômico associadas a ecossistemas, infraestrutura e intermediação digital.

Esse debate estará no centro do painel de Mercados Digitais na Data Privacy Global Conference (DPGC 2026), que acontece nos dias 7 e 8 de dezembro de 2026, no campus Álvaro Alvim da ESPM, em São Paulo. O encontro reunirá representantes do poder público, setor privado, academia e sociedade civil para discutir os próximos passos da regulação dos mercados digitais no Brasil e as experiências internacionais de regulação assimétrica.

O post Mercados digitais e os novos caminhos da política concorrencial brasileira apareceu primeiro em Data Privacy.

O monitoramento realizado pelo Observatório IA nas Eleições, iniciativa da Data Privacy Brasil e do Aláfia Lab, ajuda a dimensionar essa transformação. Entre dezembro de 2025 e fevereiro de 2026, foram identificados 137 casos de uso de IA relacionados a assuntos políticos ou à recriação de figuras políticas nas redes sociais, uma média de 1,5 caso por dia e um aumento de 50% em relação à média diária registrada no ano anterior. Ao menos 34% das publicações foram feitas por agentes políticos, entre políticos e partidos.

Mais do que o volume, chama atenção a forma como essas tecnologias vêm sendo utilizadas. Conteúdos sintéticos foram empregados tanto para produzir sátiras e críticas quanto para disseminar desinformação, atacar reputações, criar narrativas falsas e produzir conteúdos de apoio a políticos. O levantamento identificou, por exemplo, vídeos e áudios que simulavam declarações de figuras públicas, falsas pesquisas eleitorais e imagens manipuladas de políticos. Em alguns casos, a IA foi utilizada para criar identidades fictícias e simular apoio político.

Esse cenário coloca um desafio adicional para a integridade do processo eleitoral: nem sempre será evidente para o eleitor quando um conteúdo foi produzido ou manipulado artificialmente. À medida que ferramentas de inteligência artificial tornam a criação de imagens, vídeos, áudios e textos sintéticos mais acessível e realista, aumenta também a dificuldade de distinguir conteúdos autênticos daqueles que foram fabricados ou modificados. 

Em um contexto eleitoral, essa dificuldade pode ter consequências relevantes, especialmente quando conteúdos sintéticos são utilizados para representar candidatos, simular acontecimentos, atribuir declarações que não foram feitas ou construir narrativas capazes de influenciar a percepção do público. O problema, portanto, não está apenas na possibilidade de produzir conteúdos enganosos, mas na crescente dificuldade de reconhecê-los como tais. A transparência sobre o uso de inteligência artificial passa a ser, nesse contexto, um elemento importante para que o eleitor possa avaliar criticamente a informação que recebe e tomar decisões de forma mais consciente.

A questão se torna ainda mais relevante quando conteúdos falsos assumem a aparência de acontecimentos reais. O Observatório identificou, por exemplo, vídeos gerados por IA que simulavam reportagens jornalísticas e apresentavam falsas informações sobre pesquisas eleitorais, além de conteúdos que criavam acontecimentos que nunca ocorreram envolvendo figuras políticas e integrantes do Supremo Tribunal Federal.

Ao mesmo tempo, a inteligência artificial também passa a ocupar um lugar mais direto na própria experiência de informação política. Chatbots já são utilizados como ferramentas para buscar informações sobre candidatos, propostas e temas de interesse público. Em testes realizados pelo Observatório com cinco chatbots disponíveis no Brasil, todas as ferramentas identificaram e apresentaram perfis de pré-candidatos à Presidência. Quatro delas também ranquearam propostas em diferentes áreas, enquanto quatro recomendaram candidatos de acordo com perfis específicos de eleitores.

É nesse contexto que as novas regras do Tribunal Superior Eleitoral ganham importância. Para as eleições de 2026, a Resolução nº 23.755/2026, que atualizou a regulamentação da propaganda eleitoral, estabeleceu regras específicas para provedores que oferecem sistemas de inteligência artificial ou tecnologia equivalente. Durante o período de propaganda eleitoral, esses provedores não podem ranquear, recomendar, sugerir ou priorizar candidaturas, partidos ou campanhas. A norma também proíbe respostas automatizadas que emitam opinião, indiquem preferência eleitoral, recomendem voto ou promovam favorecimento ou desfavorecimento político-eleitoral.

A regulamentação também estabelece obrigações relacionadas à sinalização de conteúdos sintéticos. De acordo com o Observatório, o artigo 9º-B da Resolução nº 23.755/2026 determina que conteúdos multimídia produzidos ou manipulados por IA utilizados em propaganda política sejam identificados de maneira explícita, destacada e acessível, com indicação de que o material foi fabricado ou manipulado e da tecnologia utilizada.

A existência da regra, entretanto, não encerra o debate. O monitoramento realizado pelo Observatório mostra justamente a distância que pode existir entre a previsão normativa e a circulação efetiva dos conteúdos nas plataformas. A presença de publicações sintéticas sem rotulagem, inclusive entre conteúdos publicados por agentes políticos, levanta questões sobre transparência, responsabilização e capacidade de fiscalização durante o período eleitoral.

Há ainda uma dimensão relacionada à violência política e de gênero. Entre os casos identificados pelo Observatório, foram encontrados conteúdos que utilizaram IA para manipular imagens de mulheres na política, produzir deepfakes de caráter sexual ou criar conteúdos destinados a atacar sua reputação. A sofisticação dessas ferramentas pode potencializar formas já existentes de violência política, especialmente quando conteúdos manipulados são produzidos para parecer autênticos e podem continuar circulando mesmo depois de removidos.

Assim, o debate sobre IA nas eleições não se limita à pergunta sobre o que é verdadeiro ou falso. Envolve também quem produz determinado conteúdo, como ele é identificado, quais mecanismos de distribuição são utilizados, quais critérios orientam sistemas automatizados e de que maneira conteúdos sintéticos podem influenciar percepções, reputações e escolhas políticas.

É nesse cenário que o Observatório IA nas Eleições realiza sua oficina na Data Privacy Global Conference 2026, que acontece nos dias 7 e 8 de dezembro de 2026, no campus Álvaro Alvim da ESPM, em São Paulo. Buscamos discutir como a inteligência artificial vem transformando a comunicação e quais desafios seu uso apresenta para a integridade da informação e para a capacidade de escolha do eleitor e para democracia nas eleições de 2026.

O post Quando a inteligência artificial entra na disputa eleitoral de 2026 apareceu primeiro em Data Privacy.

Desde então, o tema saiu rapidamente do texto da lei. Organizações modificaram produtos, mecanismos de aferição de idade passaram a integrar discussões sobre arquitetura de sistemas, a Agência Nacional de Proteção de Dados (ANPD) publicou orientações, abriu tomadas de subsídios e,, iniciou ações de fiscalização com fundamento direto no ECA Digital.

Em poucos meses já é possível observar os primeiros efeitos de uma legislação que procura deslocar a proteção de crianças e adolescentes para o próprio desenho e funcionamento dos ambientes digitais.

Mas o que efetivamente mudou? O que esses primeiros meses revelam sobre a implementação da lei? E, principalmente, quais questões ainda precisam ser respondidas? Vamos nessa?

Entrada em vigor

Logo após a entrada em vigor da lei, em 18 de março de 2026, foram editados novos atos destinados à sua regulamentação. Entre eles estão o Decreto nº 12.880/2026, que detalhou uma série de obrigações previstas no ECA Digital e instituiu a Política Nacional de Promoção e Proteção dos Direitos da Criança e do Adolescente no Ambiente Digital, e o Decreto nº 12.881/2026, que reorganizou a estrutura regimental da ANPD.

A implementação do ECA Digital trouxe novas obrigações para as organizações e exigiu a construção de uma estrutura capaz de regulamentar, orientar e fiscalizar um conjunto de temas. Nesse sentido, os decretos auxiliaram a dar mais concretude a conceitos como design protetivo e abusivo, relatórios de transparência. avaliações de impacto à segurança e saúde de crianças e etc. É nesse novo cenário que a ANPD passa a ocupar uma posição chave.

A Agência já havia sido designada como autoridade administrativa autônoma de proteção dos direitos de crianças e adolescentes no ambiente digital pelo Decreto nº 12.622, de 17 de setembro de 2025. Com a entrada em vigor do ECA Digital e sua regulamentação, essa atribuição começou a se materializar em competências regulatórias e fiscalizatórias.

O Decreto nº 12.880/2026 estabeleceu expressamente que compete à ANPD regulamentar e fiscalizar o ECA Digital, sem prejuízo da atuação dos demais órgãos integrantes do sistema de garantia dos direitos de crianças e adolescentes. Nesse sentido, Ministério da Justiça e Segurança Pública, Polícia Federal, Ministério da Gestão e da Inovação em Serviços Públicos, Conanda e outros atores aparecem no arranjo desenhado pelo Decreto. Ainda assim, parte relevante da definição de parâmetros técnicos e da fiscalização das obrigações atribuídas aos fornecedores ficou sob responsabilidade da ANPD.

Entre outras atribuições, caberá à Agência estabelecer parâmetros para a verificação de idade; regulamentar requisitos mínimos de segurança por padrão e atuar contra práticas manipulativas, enganosas ou coercitivas; regulamentar e fiscalizar modelos de linguagem, agentes conversacionais e interfaces semelhantes quando sujeitos ao ECA Digital; regulamentar medidas de prevenção à exposição de crianças e adolescentes a produtos e serviços proibidos; e detalhar aspectos das avaliações de impacto desse público.

Essa centralidade do papel da agência já estava sinalizada no Mapa de Temas Prioritários 2026–2027, que incluiu a proteção de crianças e adolescentes no ambiente digital entre os quatro temas prioritários para a fiscalização da Agência. Entre as ações previstas estão o monitoramento da adequação de serviços ao ECA Digital, a análise de configurações de privacidade por padrão e a verificação da adoção de medidas destinadas a impedir o acesso de crianças e adolescentes a conteúdos inadequados, inclusive por meio de mecanismos de aferição de idade.

Os primeiros meses passaram a revelar como essa atuação começaria a acontecer.

Primeiras reações

Nos dias que antecederam a vigência da lei, empresas começaram a anunciar alterações em seus produtos. Um dos casos mais conhecidos foi o da Riot Games. A empresa informou que jogadores adultos teriam de passar por procedimentos de verificação de idade e que contas de menores de 18 anos seriam temporariamente impedidas de acessar alguns títulos, como League of Legends, Teamfight Tactics e Wild Rift. A própria Riot afirmou que pretendia reavaliar essas restrições à medida que seus produtos fossem adaptados às novas exigências.

Outro debate surgiu em torno de sistemas operacionais e projetos de software livre. Após a entrada em vigor da lei, projetos como MidnightBSD e Arch Linux 32 anunciaram restrições a usuários brasileiros, alegando dificuldades técnicas e financeiras para cumprir determinadas obrigações. O episódio rapidamente alimentou discussões sobre um suposto bloqueio do Linux no país.

A interpretação, contudo, também foi contestada. Em texto publicado pelo Instituto de Referência em Internet e Sociedade (IRIS), argumentou-se que seria uma falácia tratar a nova legislação como necessariamente incompatível com sistemas abertos ou comunitários,  uma vez que  conceitos como proporcionalidade, risco e características do fornecedor ainda precisariam orientar a aplicação concreta das obrigações.

Independentemente da posição nesse debate, ele evidencia uma das questões centrais desses primeiros meses: normas como “acesso provável”,, “aferição de idade” e “design protetivo” precisavam ser interpretadas e implementadas.

E é exatamente nessa passagem entre norma e tecnologia que boa parte do debate da implementação do ECA Digital está acontecendo.

Parâmetros de implementação

Na sequência da entrada em vigor do ECA Digital, a ANPD passou a desenvolver documentos destinados a esclarecer conceitos e obrigações que serão determinantes para a aplicação do ECA Digital. Duas iniciativas são especialmente importantes.

A primeira é a tomada de subsídios para o Guia Orientativo sobre Fornecedores de Produtos ou Serviços de Tecnologia da Informação, voltado a esclarecer o próprio escopo de incidência da lei. A proposta orienta sobre os conceitos como “produto ou serviço de tecnologia da informação” e “acesso provável”, além das exceções previstas pela legislação e dos deveres gerais de prevenção, proteção, informação e segurança.

A segunda iniciativa trata dos mecanismos de aferição de idade. A proposta submetida à participação pública aprofunda as Orientações Preliminares publicadas pela ANPD em março de 2026 e discute conceitos, responsabilidades ao longo da cadeia digital e requisitos aplicáveis a diferentes soluções técnicas, incluindo estimativa facial e verificação documental. Uma das grandes orientações do guia proposto é a de que a solução de aferição de idade mais protetiva para crianças e adolescentes também precisa ser desenhada de forma a não produzir uma infraestrutura desproporcional de identificação e vigilância dos delas

É justamente por isso que os guias importam. Ao tratar do escopo da lei e dos mecanismos de aferição de idade, a ANPD começa a construir parâmetros comuns para transformar conceitos em parâmetros para orientar produtos e serviços digitais.

Sinais de enforcement

Se os guias mostram uma dimensão orientativa da implementação, os últimos meses também demonstraram que o ECA Digital já passou a ser mobilizado em atividades de fiscalização.

Em junho, a ANPD iniciou o monitoramento de 18 sites com conteúdo pornográfico e serviços de acompanhantes, responsáveis, segundo a Agência, por aproximadamente 98% do tráfego desse tipo de conteúdo no Brasil. O objetivo é verificar a adoção de mecanismos de verificação de idade capazes de impedir o acesso de crianças e adolescentes.

Em agosto, a Agência avançou sobre outro conjunto de obrigações. Em despacho recente, a ANPD esclareceu que provedores de aplicações direcionadas a crianças e adolescentes ou de acesso provável por esse público, com mais de um milhão de usuários menores de 18 anos registrados no Brasil, deverão publicar até 17 de setembro o primeiro relatório semestral de transparência previsto no art. 31 do ECA Digital.

O documento deverá abranger o período entre 1º de janeiro e 30 de junho de 2026 e funcionar como instrumento de prestação de contas sobre as medidas adotadas pelas plataformas. A Agência também recomendou que os relatórios sejam encaminhados diretamente à ANPD.

Poucos dias antes, a ANPD havia instaurado um processo de fiscalização contra o Discord para investigar possíveis descumprimentos de deveres previstos no ECA Digital.

A apuração envolve possíveis falhas na prevenção e mitigação de riscos relacionados à exposição ou facilitação do contato de menores de 18 anos com conteúdos associados à automutilação e ao suicídio, além da efetividade dos mecanismos de aferição de idade e do cumprimento de obrigações relacionadas à remoção de conteúdo e à comunicação às autoridades.

O processo rapidamente produziu um segundo movimento. Em 12 de agosto, a Agência determinou, em caráter preventivo, a suspensão das transmissões ao vivo e de recursos equivalentes de compartilhamento de vídeo no Brasil. A determinação deve permanecer válida até que a empresa demonstrasse a adoção de medidas consideradas suficientes para a proteção de crianças e adolescentes.

Um aspecto particularmente relevante da medida está em sua relação com a arquitetura do serviço. Entre os elementos analisados pela fiscalização está o fato de que, segundo a ANPD, a arquitetura adotada para as transmissões não permitiria ao Discord acessar o conteúdo do vídeo durante sua realização, limitando a possibilidade de detecção de violações em tempo real. A Agência também considerou que alterações realizadas na funcionalidade Go Live às vésperas da entrada em vigor da lei teriam reduzido salvaguardas existentes.

Em todos esses casos, o alvo da Agência foi o de avaliar como funcionalidades são tecnicamente construídas, quais riscos sua arquitetura produz e quais decisões foram tomadas para prevenir esses riscos desde a concepção do produto e sua adaptação para a proteção de crianças e adolescentes.

O cenário até aqui

Esses primeiros meses também deixam claro que a implementação do ECA Digital está longe de estar concluída. Afinal, alguns dos pontos mais importantes da lei ainda dependem de maior concretização regulatória.

A aferição de idade é um deles. A própria ANPD estruturou sua implementação em etapas. Depois das orientações preliminares e do monitoramento inicial de lojas de aplicativos e sistemas operacionais, a previsão é avançar para parâmetros mais definitivos e um período de adaptação e acompanhamento das soluções entre agosto e novembro de 2026.

Outro campo relevante são os mecanismos de supervisão parental. O ECA Digital exige ferramentas que permitam aos responsáveis acompanhar e gerenciar determinados aspectos da experiência digital, mas sua implementação precisa considerar tanto a proteção quanto a autonomia progressiva de crianças e adolescentes. Traduzir esses princípios em padrões de produto continuará sendo uma tarefa regulatória e técnica importante.

Por fim, há uma questão institucional diretamente ligada à própria fiscalização. Os atuais Regulamentos de Fiscalização e de Dosimetria e Aplicação de Sanções Administrativas foram originalmente elaborados tendo como referência as competências da ANPD previstas na LGPD.

Com a ampliação das atribuições da Agência, ambos estão sendo revistos para incorporar as particularidades do ECA Digital. A Agenda Regulatória da ANPD prevê a revisão da Resolução CD/ANPD nº 1/2021, que disciplina a fiscalização e o processo administrativo sancionador, e da Resolução CD/ANPD nº 4/2023, referente à dosimetria e à aplicação de sanções administrativas. A atualização dos regulamentos integra o cronograma de implementação do ECA Digital.

Nesse sentido, vivemos um cenário de intensificação da fiscalização e adaptação  dos instrumentos que a tornam possível.

Caminhos abertos

O ECA Digital convida a repensar todo o ecossistema digital a partir de categorias jurídicas cujo sentido e efeito precisam reverberar em como esse ambiente é desenhado e disponibilizado. E esse caminho entre a norma e o design precisa de uma visão multissetorial para ser trilhado adequadamente. A DPGC 2026 será espaço para aprofundar essas discussões e reunir diferentes perspectivas sobre os caminhos da proteção de crianças e adolescentes no ambiente digital. Participe.

O post Quase seis meses de ECA Digital apareceu primeiro em Data Privacy.

Mas por que ela tem ganhado visibilidade? Quais benefícios ela pode trazer para serviços públicos e privados? E quais riscos ela representa para a proteção da privacidade dos cidadãos?

Vamos tentar entender essas questões?

De onde vem a visibilidade da interoperabilidade?

A interoperabilidade de dados pode ser entendida como a capacidade de diferentes sistemas de trocar, integrar e usar dados de forma eficiente e coordenada, permitindo o compartilhamento contínuo de dados e melhorando a colaboração, a inovação e a tomada de decisões baseadas em dados. 

Ela descentraliza os dados, divididos entre diferentes sistemas, mas que podem ser acessados de forma rápida. A facilidade de acesso desses dados a partir de várias fontes simplifica o compartilhamento de informações, uma vez que os usuários podem acessar dados externos de forma rápida e prática. 

Por exemplo, imagine que você precisa realizar o pagamento de uma conta. Se você possui Open Banking, você pode realizá-lo com o saldo das contas conectadas, ao invés de ter que entrar em cada conta, separadamente, e verificar o montante de cada uma delas. A praticidade que a interoperabilidade oferece traz consigo desafios relacionados à privacidade, segurança e direitos fundamentais quando envolve dados pessoais.

Quais benefícios ela pode trazer aos serviços públicos e privados?

Em serviços públicos, a interoperabilidade vem se apresentando como uma alternativa à burocracia ao permitir a simplificação de processos, a economia de recursos e a agilidade no atendimento. 

No Brasil, o programa Conecta gov.br promove a troca de informações entre diferentes órgãos para que o cidadão não precise reapresentar informações que a administração pública já possua, evitando a duplicidade de dados, e já acumulou mais de R$16 bilhões em economia desde 2020. 

Outro caso emblemático foi o do processo de reestruturação do mercado de meios de pagamento pelo Banco Central, eliminando a exclusividade entre bandeiras e credenciadoras nas maquininhas de cartão, criando condições para a entrada de novos participantes nesse mercado.

Nesse caso, isso significou que as máquinas passaram a aceitar cartões de todas as bandeiras, tornando possível com que mais credenciadoras pudessem operar com diferentes bandeiras, ampliando as opções no mercado.

Se por um lado essa medida trouxe como benefícios mais concorrência, eficiência e inovação nesse mercado, por outro, isso também significou maior circulação de dados entre agentes, tornando mais provável a exposição de dados sensíveis sem uma governança clara. 

Isso trouxe à tona a imprescindibilidade de governança e regulação quanto ao uso de dados pessoais, aliando proteção de direitos à inovação: enquanto a LGPD (Lei nº 13.709/2018) exige princípios de finalidade, necessidade e segurança para o tratamento de dados pessoais, aplicáveis também ao setor de pagamentos, o Banco Central passou a exigir neutralidade e centralização da liquidação, visando reduzir riscos de uso indevido e garantir transparência. 

Nos serviços privados, para além disso, a integração de sistemas permite com que empresas conectem diferentes plataformas (como por exemplo financeiras, logísticas e de atendimento), além da personalização dos serviços oferecidos e a redução de custos operacionais por via de automação.

Cotidianamente, esse funcionamento pode servir tanto no varejo quanto no e-commerce, em que lojas virtuais conectam sistemas de estoque, logística e meios de pagamento para que o consumidor acompanhe em tempo real a situação da entrega. 

Ou ainda nos sistemas de justiça, ao coletar, organizar e transformar informações públicas de diversos diários oficiais e tribunais distribuídos no país em conteúdos de fácil acesso, possibilitando uma pesquisa e compreensão mais rápidas de jurisprudências e precedentes. 

E como a interoperabilidade pode afetar a proteção de dados pessoais?

A agilidade em serviços básicos do cotidiano tem pontos estruturais que, na ausência de legislação e fiscalização diligentes sobre eles, podem resultar em violações à proteção dos dados pessoais. 

Isso porque sistemas conectados entre si significam mais pontos vulneráveis a ataques ou vazamentos, exigindo tanto uma proteção reforçada quando se trata de dados sensíveis (como, por exemplo, informações de saúde, biometria ou finanças), quanto uma governança clara. 

Nesse sentido, a Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018) estabelece a aplicação dos princípios da finalidade, necessidade, transparência e segurança para qualquer compartilhamento de dados pessoais. Além disso, em seu art. 25, determina que dados públicos devem ser mantidos em formato interoperável e estruturado, em concordância com os direitos fundamentais.

Soma-se à essa competência fiscalizatória esancionatória, a garantia de que controladores documentem riscos e adotem medidas de mitigação por meio do Relatório de Impacto à Proteção de Dados (RIPD), conforme o inciso XVII do art. 5º da LGPD.

A nova estrutura da Agência Nacional de Proteção de Dados (ANPD) reforça o art. 40 da LGPD, que determina que a Agência pode dispor sobre padrões de interoperabilidade para fins de portabilidade, acesso e segurança de dados, sendo um dos temas prioritários na agenda da Agência no biênio de 2026-2027.

Importa lembrar também que a agenda do biênio de 2025-2026, ainda vigente, define como ponto prioritário o fornecimento de uma orientação clara das medidas de transparência a serem adotadas por atividades de agregadores de dados, bem como a definição dos limites ao uso de dados públicos e tornados manifestamente públicos. 

A transferência segura dos dados entre diferentes sistemas é um direito do titular garantido pela ANPD, mas exige regras claras. Por exemplo: na saúde, prontuários eletrônicos compartilhados entre hospitais podem melhorar a acuidade dos diagnósticos, mas exigem criptografia e controle de acesso; nas finanças, o Open Banking permite a integração de dados bancários, desde que haja o consentimento explícito do cliente; ou ainda no governo, em que plataformas, como o gov.br, reduzem burocracia, mas precisam garantir que os dados não sejam usados para além de sua finalidade legal.

O país possui alguns marcos regulatórios importantes na construção de um ecossistema informacional mais seguro. Um desses exemplos é a Lei nº 12.865/2013, que  passou a considerar a interoperabilidade como princípio do Sistema Brasileiro de Pagamentos, permitindo a exigência de critérios claros de acesso, integração tecnológica e homologação dos agentes desse mercado, reduzindo as tarifas e aumentando o dinamismo concorrencial.

Conclusão 

Para que a interoperabilidade seja mais do que somente formal e proporcione serviços de atendimento à sociedade em suas mais variadas formas, é necessário que ela proteja os dados pessoais, tendo como parâmetros os direitos fundamentais. 

Dessa forma, além de garantir o direito à informação transparente a respeito da finalidade do uso, e até mesmo do ciclo de vida dos dados, ou ainda à livre-concorrência, a interoperabilidade deve observar:

• A segurança da informação: quanto mais sistemas conectados, maior a necessidade de proteção contra vazamentos; e
• A conformidade legal: o uso de dados pessoais deve seguir a LGPD, garantindo consentimento e transparência.

Dessa forma, pensar em inovação é ir além da redução do risco: é a gestão que mobiliza as interfaces jurídica e tecnológica para pensar em governança de dados e diminuição de assimetrias e incertezas no ecossistema digital.

Se o tema te interessou, participe da DGPC – 2026!

Nos dias 7 e 8 de dezembro de 2026, São Paulo recebe a Data Privacy Global Conference (DPGC), o maior encontro sobre privacidade e proteção de dados no Brasil. O evento reunirá especialistas nacionais e internacionais para debater temas estratégicos como interoperabilidade, governança de dados, cibersegurança e inteligência artificial. A interoperabilidade será um dos temas discutidos de forma multissetorial,  abordada como um princípio essencial para garantir que diferentes sistemas e plataformas digitais possam operar de forma integrada, promovendo inclusão, inovação e eficiência no ecossistema de dados. Além disso, a DPGC é uma oportunidade única de networking e aprendizado para profissionais, gestores e pesquisadores que atuam na área de proteção de dados e segurança da informação. 

O post Interoperabilidade e uso compartilhado de dados pessoais apareceu primeiro em Data Privacy.

1. ALÉM DOS DOCUMENTOS: POR QUE POLÍTICAS DE IA NÃO GARANTEM SEGURANÇA SOZINHAS? 

A rápida corrida corporativa pela adoção de IA generativa avançou muito mais rápido do que a capacidade das organizações de supervisioná-la. Diante da pressão por uma postura institucional, muitas empresas optaram pelo caminho exclusivamente documental.Essa camada estratégica estabelece as “regras do jogo”, mas pode atuar apenas no plano da intenção.  Nesse contexto, a governança é tratada como um fim em si mesmo e não como um processo dinâmico. 

O problema é que esses documentos regulam a intenção de uso, não o comportamento efetivo do modelo. Por exemplo, uma política pode proibir que colaboradores insiram dados confidenciais em ferramentas de IA generativa, mas, se o acesso à ferramenta não tiver nenhuma trava técnica (como bloqueio de upload de determinados tipos de arquivo), a proibição pode não ser efetiva. Em outras palavras, o modelo continua aceitando qualquer entrada, já que ele não é guiado pelo manual de conduta da empresa. Ele apenas lê parâmetros de configuração, lista de permissões, regras de sistemas e camadas de moderação. 

Essa desconexão entre a norma escrita e o controle técnico é que o se chama de lacuna de implementação (implementation gap), onde o descompasso entre o avanço tecnológico e os métodos de gestão de risco pode ser catastrófico. Operar ferramentas de IA sem mecanismos técnicos de controle gera custos que vão além do financeiro, atingindo esferas reputacionais e estruturais de organizações. Como o comportamento de modelos generativos não é inteiramente previsível, a governança deve evoluir de documentos estáticos para um ecossistema contínuo, onde a tecnologia funcione conforme a regra escolhida . A segurança só emerge da convergência entre diretrizes e  políticas e a configuração adequada das ferramentas.

2. A GOVERNANÇA DE IA NA PRÁTICA: DO PLANO ESTRATÉGICO À CONFIGURAÇÃO TÉCNICA

A governança adequada exige que as “regras do jogo” definidas no nível estratégico (políticas e diretrizes) sejam traduzidas em controles operacionais no nível tecnológico (configurações de ferramentas). Ou seja, não basta um manual de conduta, é necessário um ecossistema multidisciplinar onde jurídico, segurança da informação e ciência de dados colaborem para monitorar o ciclo de vida completo de tecnologias de IA. Essa convergência garante que a tecnologia opere sob limites éticos e legais, transformando documentos em processos auditáveis, rastreáveis e contínuos.

Uma partedessa prática está na gestão técnica de ativos de informação que alimentam a inteligência artificial. Alguns exemplos essenciais para estruturar essa arquitetura incluem: 

• Classificação de Dados: rotular informações de acordo com sua sensibilidade e valor, permitindo a aplicação de políticas de proteção e controles de acesso diferenciados.

• Mapeamento e Linhagem (Data Lineage): rastrear o fluxo, a origem e as transformações dos dados para identificar vulnerabilidades e garantir que a “matéria-prima” seja íntegra e lícita. 

• Controles de Acesso Baseados em Funções (RBAC): garantir que apenas perfis autorizados (como desenvolvedores específicos ou analistas de riscos) acessem subconjuntos de dados sensíveis, mitigando riscos de vazamento.

• Utilização de Privacy Enhancing Technologies (PETs): aplicar o Privacy by Design através de técnicas como criptografia homomórfica ou dados sintéticos, permitindo o processamento de informações sem expor dados subjacentes.
• Validação Contínua em Tempo Real: estabelecer mecanismos de monitoramento constante para rastrear comportamentos imprevistos, alucinações ou desvios de valores (value drift) durante interações dinâmicas de GenAI.

Na camada de operação e segurança, a governança se materializa em travas sistêmicas para mitigar riscos. Isso envolve a adoção de Model Cards, que documentam de forma padronizada as capacidades, limitações e vieses dos modelos para usuários e auditores. Além disso, é indispensável realizar testes de prompt injection e implementar filtros de conteúdo para bloquear manipulações maliciosas e saídas inadequadas. Por fim, a supervisão humana (human-in-the-loop) em decisões de alto impacto assegura que a autonomia do sistema não elimine a responsabilidade final da organização sobre os resultados gerados.

3. O CUSTO DA NEGLIGÊNCIA: IMPACTOS FINANCEIROS, REPUTACIONAIS E ESTRUTURAIS

Operar sistemas de IA sem uma governança técnica adequada gera custos que transcendem o prejuízo imediato, atingindo a viabilidade a longo prazo da organização. Existem três categorias principais de custos, sendo eles: 

• Custos Financeiros: referem-se aos prejuízos monetários diretos, incluindo multas pesadas aplicadas por órgãos reguladores ou tribunais, custos elevados com litígios judiciais e a perda de ativos valiosos devido a fraudes ou falhas sistêmicas. Para mitigar, é necessário uma estratégia sólida de compliance e regulamentação com monitoramento contínuo da qualidade dos dados e a validação técnica dos modelos antes e durante a operação. Por exemplo, temos a multa de 84 mil reais aplicada pelo TRT-8 devido a um ataque de prompt injection que a governança puramente documental do tribunal não foi capaz de impedir técnica e preventivamente. 

• Custos Reputacionais: é o dano à imagem da instituição e a perda de confiança dos usuários e do mercado. Decisões automatizadas discriminatórias ou opacas destroem o valor da marca e podem levar a crises humanitárias e políticas. Para evitar, é preciso adotar práticas de transparência, como o uso de Model Cards) para documentar limitações e origens de dados. À título de exemplo, temos o caso do auxílio-creche  na Holanda, onde o uso de algoritmos para identificar fraudes resultou na acusação falsa de milhares de famílias a partir de seu perfil racial, gerando uma crise no governo holandês. 
• Custos Estruturais: envolve a criação de vulnerabilidades sistêmicas críticas, dívidas técnicas de alta manutenção e modelos ineficientes que operam fora do controle da organização. Manifesta-se também na perda de controle sobre o fluxo de informações e na exposição a ataques cibernéticos sofisticados. A implementação de controles de acesso baseados em funções (RBAC), mapeamento e linhagem dos dados e utilização de PETs são essenciais para a sua mitigação. Um exemplo pode ser visto no caso do vazamento de 150 GB de dados do governo mexicano. Na ocasião, um criminoso explorou o chatbot Claude para agir como um infiltrado nas redes governamentais e furtar registros de 195 milhões de contribuintes e credenciais de funcionários. 

4. MUDANÇA DE PARADIGMA: A GOVERNANÇA DE IA COMO UM ECOSSISTEMA CONTÍNUO

Os incidentes discutidos reforçam que a governança de IA não pode ser encarada como um projeto estático, mas sim como um ecossistema contínuo em que o monitoramento e a avaliação técnica evoluem junto com a tecnologia. Essa mudança de paradigma exige que a camada documental, onde se estabelecem as “regras do jogo”, e a configuração efetiva das ferramentas operem em convergência absoluta para evitar lacunas de segurança. 

Esse é justamente o debate que a Data Privacy Brasil leva à Data Privacy Global Conference (DPGC 2026): como aproximar, na prática, quem escreve a política de quem configura o sistema? E por que essa aproximação se tornou tão relevante?  Para quem quer aprofundar essa discussão, está convidado. Nos vemos na DPGC 2026!

O post O Custo de Documentar sem Configurar: Por Que a Ausência de Governança Técnica em IA Gera Riscos Reais? apareceu primeiro em Data Privacy.

A DPGC nasce em 2022 já com caráter internacional. A primeira edição reúne participantes de diversos países e conta com a presença de Waldemar Gonçalves e Miriam Wimmer, então diretores da Autoridade Nacional de Proteção de Dados (ANPD), que se estruturava naquele momento. Também participam Ana Brian Nougrère, relatora de Privacidade da Organização das Nações Unidas (ONU), e Tommaso Valletti, professor do Imperial College London. Desde então, a conferência se firma como um ambiente multissetorial, que conecta setor público, setor privado, academia e sociedade civil.

Em 2023, a regulação de inteligência artificial se consolida como eixo central do debate na DPGC, antes de o tema dominar a agenda pública brasileira. A edição recebe Anita Allen, professora da University of Pennsylvania, em sua primeira passagem pelo país. Em entrevista à Folha de S.Paulo durante o evento, Allen chama atenção para os erros de sistemas de reconhecimento facial e seus efeitos sobre pessoas negras.

Em 2024, no contexto da presidência brasileira do G20, a DPGC registrou mais de 400 participantes presenciais. A edição recebe Nicolas Robinson Andrade, então responsável por políticas públicas da OpenAI para a América Latina, Edilene Lôbo, ministra substituta do Tribunal Superior Eleitoral (TSE), e Diego Canabarro, Head de Políticas de Privacidade da Meta no Brasil.

Em 2025, o formato do evento se transforma: painéis pela manhã e workshops simultâneos à tarde ampliam as possibilidades de participação. O Estatuto da Criança e do Adolescente no Ambiente Digital (ECA Digital) ganha protagonismo na programação, com uma palestra principal conjunta de Iagê Miola e Lorena Coutinho, diretores da ANPD — que, entre uma edição e outra, deixa de ser Autoridade e passa a operar como Agência Nacional de Proteção de Dados, com estrutura e responsabilidades ampliadas.

Ao longo de suas cinco edições, a DPGC reúne mais de 1.100 participantes presenciais e online, mais de 300 painelistas nacionais e internacionais e mais de 200 organizações representadas, entre governos, autoridades regulatórias, academia, setor privado e sociedade civil. A conferência soma ainda 90 patrocinadores e parceiros ao longo de sua trajetória.

A programação da DPGC acompanha os temas que emergem e se desenvolvem no campo de dados e tecnologia: regulação e governança de inteligência artificial, infraestruturas públicas digitais, proteção de dados de crianças e adolescentes, integridade informacional, cibersegurança, enforcement regulatório e soberania digital. Esses temas estruturam a Teoria de Mudança da Data, organizada em torno do conceito de ecossistema informacional justo.

A edição de 2026 acontece em um momento de efervescência regulatória no Brasil, marcado pelos novos decretos do Marco Civil da Internet, pela implementação do ECA Digital e pelo fortalecimento da ANPD. Quando a Data Privacy Brasil nasce, em 2018, a LGPD ainda é projeto de lei. Em 2026, a proteção de dados pessoais já é parte consolidada da cultura regulatória brasileira. A trajetória da DPGC acompanha esse amadurecimento: de fórum emergente a espaço que reúne reguladores, mercado, academia e sociedade civil para qualificar essas disputas.

A DPGC 2026 acontece nos dias 7 e 8 de dezembro, no campus Álvaro Alvim da ESPM, em São Paulo.

O lote 1 de inscrições está aberto, com quantidade limitada. A programação segue em atualização constante no site oficial do evento: dpgconference.com.br.

O post DPGC chega à quinta edição como espaço de referência no Sul Global apareceu primeiro em Data Privacy.

A presença de Danilo é percebida em toda a parte em nossa comunidade. Seu nome está associado a cátedras de entidades de pesquisa (“Cátedra Danilo Doneda” do Instituto de Direito Público em parceria com o Comitê Gestor da Internet), premiações pela excelência de novos trabalhos pela Agência Nacional de Proteção de Dados Pessoais e até mesmo a instituição do Dia Nacional da Proteção de Dados Pessoais, que passa a ser comemorada no dia 17 de julho de 2026, de acordo com o calendário oficial de feriados organizados por leis federais.

Conforme anunciado pelo Ministério da Justiça e Segurança Pública, Danilo foi “um dos principais formuladores da Lei Geral de Proteção de Dados Pessoais (LGPD) e integrou a primeira composição do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade , contribuindo de forma decisiva para o desenvolvimento da agenda de direitos digitais no País”.

A presença de Danilo na vida da Data Privacy Brasil também é marcante.

Um dos primeiros projetos que realizamos, entre 2018 e 2019, foi a “Memória da Lei Geral de Proteção de Dados Pessoais”, um projeto realizado por Bruno Bioni, Mariana Rielli e João Paulo Vicente para a documentação do processo de construção da LGPD. Neste web-documentário, Danilo explica as origens da formulação do texto da lei no Grupo de Trabalho do Mercosul em 2005, as dificuldades de assegurar a importância ao tema dentro do governo federal e a delicada “conjunção astral” para que a LGPD fosse aprovada em 2018.

Depois, Danilo Doneda também foi pessoa-chave para nosso projeto “Plantando Sementes”, que buscou realizar uma história oral do papel do Seminário de Privacidade do Comitê Gestor da Internet. Com entrevistas conduzidas por Jaqueline Pigatto, Thaís Aguiar e Bruno Bioni, o projeto buscou sistematizar o papel do Seminário como locus privilegiado para discussões de fronteira. Em sua entrevista, disponível nas páginas 184 em diante, Danilo comentou sobre a centralidade das atuações conjuntas entre Ministério da Justiça e CGI no caso Phorm (2011-2014), o papel crucial do seminário como instrumento de nivelamento multissetorial e como que a ideia de uma legislação de proteção de dados pessoais era vista, dentro do próprio governo, como uma ideia excêntrica da área de defesa do consumidor. A entrevista também aborda como as empresas tornaram-se conscientes da questão de proteção de dados pessoais antes da sociedade civil e o modo como as entidades civis se apropriaram do tema com qualidade, passando a exercer um papel importante no processo de aprovação da LGPD.

Danilo também foi um dos participantes do projeto “Defendendo o Brasil contra o Tecnoautoritarismo”, realizado entre 2020 e 2022 pela Data Privacy Brasil em parceria com o LAUT e a Ordem dos Advogados do Brasil do Rio de Janeiro. Neste projeto, Danilo foi um dos participantes de um importante seminário de troca de experiências sobre litigância no Supremo Tribunal Federal em casos envolvendo usos abusivos de dados pessoais, softwares de vigilância e mecanismos ilegais de compartilhamento de dados. Danilo compartilhou a experiência de construção do litígio que resultou na ADI 6387, que reconheceu o caráter autônomo da proteção de dados pessoais pela primeira vez (que também foi tema de uma live com Danilo).

Atuando em parceria com o Conselho Federal da OAB, em parceria com Estela Aranha e Lucia Maria Teixeira, Danilo também foi um colaborador importante da Data na preparação da nossa contribuição como amicus curiae na ADI 6649, que tratou do caráter inconstitucional do decreto que instituiu o Cadastro Base Cidadão. Danilo realizou a sustentação oral pela OAB e nós sustentamos pela Data Privacy Brasil.

Um dos momentos que guardaremos com carinho em nossa vida institucional foi a realização de uma sessão fechada de discussão dos manuscritos da terceira edição do livro Da Privacidade à Proteção de Dados Pessoais, originalmente publicado em 2006 e republicado posteriormente. Neste encontro, lemos e discutimos com Danilo as melhorias feitas no texto e discutimos o último capítulo, que tratava de uma visão mais prospectiva para o Brasil. Danilo disse, nesse encontro, que a Data Privacy Brasil era uma “pequena universidade”, pois fazíamos pesquisa, ensino e extensão.

Danilo sempre foi solícito, disponível e generoso com a Data Privacy Brasil. Dizia estar feliz por existirem organizações civis dedicadas a um tema que ele lutou a vida inteira para que fosse uma realidade. Sua influência é enorme sobre nós e, por isso, celebramos a vida desde jurista e ativista que iluminou os caminhos dos direitos digitais, incluindo os temas de fronteira que se materializam em 2025, como o Estatuto Digital da Criança e do Adolescente e o Projeto de Lei de Inteligência Artificial.

O post Em memória de Danilo Doneda apareceu primeiro em Data Privacy.