Accountability na LGPD: a prova substitui o compliance de papel
Com a ANPD virada agência reguladora, a defesa das empresas passa a depender de evidência auditável, não de documento parado na gaveta.
A Agência Nacional de Proteção de Dados virou agência reguladora em 2026, com superintendência de fiscalização própria e agenda que prioriza inteligência artificial e direitos dos titulares. Nesse desenho, a accountability na LGPD deixou de ser ter documento e passou a ser provar que as medidas de segurança funcionavam no momento do incidente. A excludente do art. 43, II da LGPD depende de prova pré-constituída; o STJ reconhece dano moral presumido em vazamentos; e a supervisão humana sobre decisões automatizadas do art. 20 entra no centro da defesa. Para o controlador, o passivo migra do papel para a evidência auditável.
A Agência Nacional de Proteção de Dados começou 2026 com outra estatura. A Lei nº 15.352/2026 converteu a autarquia em agência reguladora, com autonomia funcional, técnica, decisória, administrativa e financeira, seis superintendências — entre elas uma dedicada à Fiscalização — e 200 cargos de especialista em regulação a serem preenchidos por concurso, segundo o comunicado da própria Agência.
No mesmo movimento, o Mapa de Temas Prioritários para o biênio 2026-2027 fixou quatro eixos de fiscalização: direitos dos titulares, proteção de crianças e adolescentes, tratamento de dados pelo poder público e inteligência artificial. A Agência deixou de atuar sobretudo como orientadora e assumiu um perfil repressor com estrutura para escalar as apurações.
É nesse desenho que a accountability na LGPD muda de natureza. O que a fiscalização passou a medir não é a existência de um documento, mas a prova de que as medidas descritas nele existiam e funcionavam quando o incidente aconteceu — a prestação de contas do art. 6º, X da LGPD lida como eficácia demonstrável, não como declaração.
A excludente que só a prova sustenta
A defesa de quem trata dados repousa num dispositivo específico: o art. 43, II da LGPD, que afasta a responsabilização quando o agente prova que, embora tenha realizado o tratamento, não houve violação à legislação de proteção de dados. É a leitura que aproxima o sistema de uma responsabilidade subjetiva, dependente de demonstração de que os padrões vigentes foram seguidos.
Na prática forense, essa prova não se produz depois do dano: ela precisa ser pré-constituída — registros datados, versionados e verificáveis do que estava implementado antes do incidente. Sem esse acervo, o agente entra em juízo ou na fiscalização sem lastro para invocar a excludente.
O peso disso cresce porque o Superior Tribunal de Justiça vem reconhecendo dano moral presumido em vazamentos de dados sensíveis, dispensando a vítima de comprovar prejuízo concreto em determinadas hipóteses. Quando o dano se presume, o ônus prático de demonstrar diligência recai sobre a empresa — e recai sobre o que ela consegue provar, não sobre o que afirma ter feito.
Dosimetria premia governança que se comprova
O Regulamento de Dosimetria e Aplicação das Sanções Administrativas — Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023 — estabelece os parâmetros de cálculo das multas, que chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração. Entre as circunstâncias atenuantes está a adoção comprovada de política de boas práticas e governança, o que dá valor econômico direto à evidência.
Essa evidência tem endereço técnico. O art. 46 da LGPD obriga medidas técnicas e administrativas de segurança, e o guia orientativo de segurança da informação da Agência traz um checklist de controles esperados. Na comunicação de um incidente, a Resolução CD/ANPD nº 15/2024 fixa prazo de três dias úteis e exige descrever as medidas adotadas antes e depois — ou seja, o registro do que já existia.
Documentos estáticos criados no início da adequação perdem serventia probatória se não houver rastro de atualização. Registro das operações de tratamento com versionamento, relatório de impacto à proteção de dados pessoais factual e trilhas de log protegidas por integridade são o que converte a política escrita em prova de que o mapeamento refletia a operação real.
Supervisão humana vira peça de defesa
À medida que algoritmos assumem triagem de crédito, recrutamento e antifraude, a prova de supervisão humana efetiva foi para o centro da defesa. O art. 20 da LGPD assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado — dispositivo cuja exigência de revisão "por pessoa natural" foi vetada em 2019, deixando em aberto se a reanálise precisa ser humana.
A Agência Nacional de Proteção de Dados divulgou em maio de 2026 os resultados da Tomada de Subsídios sobre inteligência artificial e revisão de decisões automatizadas, com 124 contribuições, etapa da agenda regulatória que antecede a regulamentação do art. 20. A necessidade de revisão humana obrigatória foi justamente o ponto de maior dissenso.
Enquanto a norma não fecha, a defesa depende de documentar que um analista humano tem autoridade real para alterar, contestar ou validar a saída do sistema — e que a organização treina e fiscaliza a ponta, com registros de conclusão de treinamento e testes educativos de phishing. É o que separa a alegação de supervisão da supervisão que se prova.
Vazou no fornecedor, respondeu o controlador
Boa parte dos vazamentos nasce na cadeia de terceiros — provedores de software como serviço, nuvem e prestadores. A LGPD prevê responsabilidade solidária entre controlador e operador quando o operador descumpre a legislação ou desvia das instruções lícitas; e o art. 50, sobre boas práticas e governança, fala em monitoramento contínuo e avaliações periódicas, o que significa que escolher bem o fornecedor não encerra o dever de vigilância.
Provar essa vigilância é o que evita a imputação por omissão. Contratos de tratamento de dados com cláusulas de auditoria e notificação de incidentes, checklists de avaliação pré-contratual e relatórios de renovação anual de conformidade dos fornecedores são o acervo que demonstra ao juiz ou à Agência o exercício efetivo da fiscalização sobre o operador.
O ambiente de fiscalização não é hipotético: só em junho de 2026 a Agência abriu 19 novos processos sancionadores, e a decisão de comunicar ou não um incidente passou a ser tratada como o ponto jurídico mais sensível do pós-incidente, porque a comunicação — e o registro do que a antecedeu — vira parte do próprio julgamento da conduta.
O que a Agência sinaliza antes de obrigar
Os sinais de para onde a exigência caminha já estão publicados. Com inteligência artificial e direitos dos titulares entre os eixos prioritários de 2026-2027, e a regulamentação do art. 20 na fila da agenda regulatória, a accountability na LGPD tende a ganhar contornos mais objetivos sobre explicabilidade, revisão de decisões automatizadas e evidência de controle humano.
O reforço estrutural sustenta a expectativa de mais apurações: os 200 novos cargos de especialista e a superintendência de fiscalização dedicada apontam para volume crescente de processos em 2026 e 2027, num cenário em que a Agência migrou da orientação para a repressão.
Há controvérsia real no horizonte, e ela merece registro. Se de um lado o STJ firmou o dano moral presumido em vazamentos de dados sensíveis, de outro parte da jurisprudência recente passou a exigir maior demonstração do prejuízo concreto em certas hipóteses — divergência que mantém em aberto o alcance da responsabilização e reforça, para os dois lados, o valor da prova pré-constituída.
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 29 de agosto de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
