Na Lei Geral de Proteção de Dados (Lei nº 13.709/2018), estar em conformidade é apenas metade da obrigação. A outra metade é conseguir demonstrar essa conformidade, com documentos e registros capazes de resistir ao escrutínio da Agência Nacional de Proteção de Dados (ANPD), convertida em agência reguladora pela Lei nº 15.352/2026, do Poder Judiciário, do Ministério Público, dos Procons e dos próprios titulares. Para quem trabalha com tecnologia, isso muda a natureza do trabalho: o controle de acesso bem configurado, a criptografia aplicada corretamente e o pipeline que anonimiza dados antes de chegarem ao ambiente analítico só têm valor jurídico se deixarem rastro verificável. Uma medida de segurança sem evidência é, para efeitos de fiscalização e de litígio, uma medida que não aconteceu.
Parto de uma premissa simples. O engenheiro, o arquiteto de soluções, o analista de segurança e o gestor de TI são, na prática, os principais produtores da prova de conformidade de uma organização, e entender o que o Direito espera dessa prova é o que separa um programa de privacidade real de um programa apenas declarado.
O fundamento dessa exigência está no art. 6º, inciso X, da LGPD, que consagra o princípio da responsabilização e prestação de contas. Por ele, o agente de tratamento deve demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados, inclusive quanto à eficácia dessas medidas. O verbo central é demonstrar, e ele inverte a lógica a que muitos profissionais de tecnologia estão habituados: não cabe à ANPD provar que a empresa descumpriu a lei, mas à empresa, quando questionada, apresentar elementos que evidenciem o cumprimento. A mesma orientação aparece no art. 8º, § 2º, que atribui ao controlador o ônus de provar que o consentimento foi obtido de acordo com a lei, e no art. 42, § 2º, que autoriza o juiz a inverter o ônus da prova em favor do titular.
O texto legal exige, ainda, demonstrar a eficácia das medidas, e não apenas sua existência. Uma política de senhas publicada na intranet prova que a política existe; somente os logs de configuração do provedor de identidade, os relatórios de conformidade e os registros de exceção provam que ela é efetivamente aplicada.
A própria LGPD nomeia alguns documentos obrigatórios, e a regulamentação da ANPD acrescentou outros. O primeiro deles é o registro das operações de tratamento, previsto no art. 37, que descreve quais dados são tratados, com que finalidade, sob qual base legal, com quem são compartilhados e por quanto tempo são mantidos. Ao lado dele está o Relatório de Impacto à Proteção de Dados, disciplinado nos arts. 5º, XVII, 10, § 3º, e 38, que documenta a análise de riscos e as medidas de mitigação nos tratamentos de maior risco e pode ser exigido pela ANPD a qualquer tempo, o que significa que precisa estar pronto antes da solicitação, e não ser redigido depois dela. Vale lembrar que a Resolução CD/ANPD nº 2/2022 permite aos agentes de pequeno porte manter um registro simplificado de operações, mas não os dispensa de mantê-lo.
O restante do acervo probatório nasce das operações diárias de tecnologia. Os registros de consentimento e de sua revogação demonstram que a manifestação do titular foi livre, informada, inequívoca e vinculada à finalidade, como exigem os arts. 8º e 18, IX. Os logs de acesso e de alteração de dados pessoais mostram quem acessou o quê, quando e com qual autorização, dando concretude aos deveres de segurança dos arts. 6º, VII, 46 e 49. Os contratos com operadores provam que estes seguem instruções lícitas do controlador, nos termos dos arts. 39 e 42. Somam-se a isso as evidências de atendimento às requisições dos titulares (arts. 18 e 19), o registro de incidentes de segurança exigido pelo art. 48 e pela Resolução CD/ANPD nº 15/2024, os comprovantes de treinamento e de ciência das políticas internas e os relatórios de testes de segurança e de gestão de vulnerabilidades, que atendem aos arts. 46 e 50.
Ter o registro, porém, não basta; é preciso que ele seja confiável aos olhos de quem vai julgá-lo. O Código de Processo Civil admite todos os meios de prova legais e moralmente legítimos (art. 369) e reconhece o documento eletrônico (arts. 439 a 441), mas condiciona sua força à verificação de autenticidade e integridade. Um log que qualquer administrador pode editar sem deixar vestígio tem valor probatório frágil, e a parte contrária saberá explorar essa fragilidade.
O ordenamento oferece referências claras para fortalecer a prova digital. A MP nº 2.200-2/2001 presume verdadeiros os documentos assinados com certificado ICP-Brasil e admite outros meios de comprovação de autoria e integridade aceitos pelas partes, enquanto a Lei nº 14.063/2020 disciplina os níveis de assinatura eletrônica. Os arts. 158-A a 158-F do Código de Processo Penal, incluídos pela Lei nº 13.964/2019, descrevem as etapas da cadeia de custódia e, embora voltados ao processo penal, servem de parâmetro técnico também em disputas cíveis e administrativas. No plano normativo técnico, a ABNT NBR ISO/IEC 27037 orienta a identificação, coleta, aquisição e preservação de evidência digital, e as normas ISO/IEC 27001 e 27701 estruturam a gestão da segurança e da privacidade.
Traduzidos para a engenharia, esses parâmetros se convertem em práticas concretas: o cálculo e a guarda de hash dos artefatos relevantes, o carimbo do tempo confiável, a sincronização de relógios por NTP em todos os sistemas, o armazenamento imutável das trilhas de auditoria, a segregação entre quem opera o sistema e quem administra os logs e o registro de quem coletou, transferiu e analisou cada evidência.
A gestão documental de privacidade deve ser desenhada como qualquer outro sistema crítico, com requisitos, responsáveis, versionamento e ciclo de vida definidos. Documentos soltos em pastas compartilhadas, sem data, autor ou versão, dificilmente sobrevivem a uma fiscalização. Todo documento de conformidade deve nascer com autor, data, finalidade, nível de sigilo e vínculo com o tratamento a que se refere, e deve ser versionado, porque políticas, relatórios de impacto e registros de operações mudam ao longo do tempo e a organização precisa provar qual regra estava vigente na data de um fato, e não apenas qual regra vale hoje. Repositórios Git e práticas de docs as code resolvem bem essa necessidade.
A própria evidência contém dados pessoais e informações sensíveis de segurança, de modo que também precisa de controle de acesso, criptografia e trilha de consulta. Cada tipo de evidência deve ter prazo de retenção definido e justificado: o Marco Civil da Internet impõe a guarda dos registros de acesso a aplicações por seis meses (art. 15), e a Resolução CD/ANPD nº 15/2024 exige manter o registro de incidentes por, no mínimo, cinco anos. Encerrada a finalidade, os dados devem ser eliminados, conforme os arts. 15 e 16 da LGPD, e o próprio descarte gera evidência, pois é preciso provar que a eliminação ocorreu, em que data e por qual método. Existe aqui uma tensão legítima entre o princípio da necessidade (art. 6º, III) e o dever de guardar provas, que se resolve com critério, e não com acumulação: guarda-se o mínimo suficiente para demonstrar conformidade, pelo prazo justificado, e documenta-se essa decisão na tabela de temporalidade.
É no incidente de segurança, contudo, que a qualidade da evidência realmente aparece. A Resolução CD/ANPD nº 15/2024 determina que o incidente capaz de acarretar risco ou dano relevante aos titulares seja comunicado à ANPD e aos titulares em até três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, e obriga o controlador a registrar todos os incidentes, inclusive os não comunicados. Como o prazo corre a partir do conhecimento, a empresa que não dispõe de registros confiáveis sobre quando o alerta disparou, quem o triou e quando se confirmou o envolvimento de dados pessoais não consegue demonstrar que o cumpriu.
Da mesma forma, se a organização concluir que o incidente não gera risco relevante e decidir não comunicá-lo, precisa registrar os critérios e as razões dessa avaliação, sob pena de vê-la reavaliada com a vantagem da retrospectiva. A pressa em restaurar o serviço também não pode destruir os vestígios: snapshots, cópias forenses e preservação de logs devem anteceder, sempre que possível, a reconstrução dos ambientes afetados. Por fim, informar quantos titulares e quais categorias de dados foram atingidos exige inventário atualizado e logs suficientes para delimitar o alcance do acesso indevido. Organizações que não conseguem delimitar o incidente costumam ser obrigadas a presumir o pior cenário, comunicando mais titulares e assumindo exposição maior do que a real.
A evidência não serve apenas para evitar a sanção; ela influencia diretamente seu tamanho. O art. 52, § 1º, da LGPD lista os critérios de dosimetria das penalidades, que podem chegar a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, e entre eles estão a boa-fé do infrator, a cooperação, a adoção reiterada e demonstrada de mecanismos internos capazes de minimizar o dano, a adoção de política de boas práticas e governança e a pronta adoção de medidas corretivas. A palavra "demonstrada" reaparece, e não por acaso: o Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4/2023) considera a implementação de programa de governança e a adoção de medidas corretivas como fatores que podem reduzir a sanção, sempre condicionados à comprovação.
No Judiciário, a lógica é semelhante. O art. 43 da LGPD permite ao agente afastar sua responsabilidade se provar que não realizou o tratamento, que não houve violação à lei ou que o dano decorre de culpa exclusiva do titular ou de terceiro, e o art. 44 considera irregular o tratamento que não oferece a segurança que o titular pode esperar. Todas essas defesas dependem de prova, e, sem documentação, a empresa fica sem argumento justamente onde a lei lhe oferece proteção.
Transformar esse dever jurídico em rotina de engenharia não exige grandes investimentos, mas exige disciplina e um responsável definido. O ponto de partida é tratar a evidência como requisito, incluindo nos critérios de aceite das funcionalidades o que precisa ser registrado, onde, por quanto tempo e quem pode consultar. As trilhas de auditoria devem ser enviadas a repositório separado dos sistemas de origem, com retenção definida, armazenamento imutável e acesso restrito e auditado, e os relógios de todos os sistemas precisam estar sincronizados, pois horários divergentes enfraquecem a linha do tempo e abrem espaço para contestação.
O consentimento deve ser registrado como evento, com a versão do texto apresentado, o momento, o canal, o identificador do titular e cada alteração posterior, inclusive a revogação. O registro de operações precisa estar conectado ao catálogo de dados e aos fluxos reais de integração, porque um inventário que não reflete os sistemas em produção acaba sendo evidência contra a própria empresa. Políticas e relatórios de impacto devem ser versionados com autor, data, motivo e aprovação, e o plano de resposta a incidentes deve definir previamente quem preserva a evidência, como se calcula o prazo de três dias úteis e onde se registra a decisão sobre comunicar ou não. Também o descarte precisa gerar comprovante, com data e método, inclusive para o expurgo de backups.
Completam esse quadro as auditorias periódicas, que verificam se as evidências existem, se estão íntegras e se podem ser recuperadas em prazo compatível com uma requisição da ANPD ou uma ordem judicial, e a aproximação entre tecnologia, segurança e jurídico. O encarregado precisa saber quais evidências a tecnologia produz, e a tecnologia precisa saber quais evidências o encarregado vai precisar apresentar.
A LGPD não premia intenções; premia o que se consegue demonstrar. O princípio da responsabilização e prestação de contas faz da evidência o centro de qualquer programa sério de proteção de dados, e a gestão documental é a disciplina que garante que essa evidência exista, seja íntegra e esteja disponível quando for necessária.
Para os profissionais de tecnologia, isso representa uma mudança de papel. Além de construir sistemas seguros, eles passam a construir a prova de que esses sistemas são seguros. Quando essa prova é pensada desde o desenho, com o mesmo cuidado dedicado à disponibilidade e ao desempenho, a conformidade deixa de ser uma declaração e passa a ser um fato verificável.
Publicado originalmente em TI Inside, em 28 de setembro de 2026.
Walter Calza Neto
Fundador da VORIK LABS. Encarregado de dados (DPO) e Compliance Officer em organizações dos setores esportivo, financeiro, de saúde suplementar e público, perito judicial no TJSP e colunista de cibersegurança e proteção de dados da TI Inside.