Prestação de contas exige documentação e medidas eficazes
Relevância 4/5
Norma predominante: LGPD
Agentes de tratamento e fornecedores sujeitos aos regimes examinados devem documentar medidas de conformidade, demonstrar sua eficácia e acompanhar continuamente sua efetividade.
Exigência de responsabilização e prestação de contas na LGPD, retomada para fornecedores abrangidos pelo ECA Digital no guia aprovado em 2026. A diretriz proposta à Administração Pública Federal na PNPD de 2026 reitera o núcleo documental, sem instituir a política nacional; cada regime conserva seus pressupostos próprios.
Como esta relevância foi calculada
- Pontuação
- 79/100 · relevância 4/5
- Impacto para os regulados (80%)
- 85/100
- Alcance · intensidade · aplicabilidade
- 4/4 · 3/4 · 3/4
- Recorrência em votos distintos (20%)
- 53/100 · 3 votos
A prestação de contas orienta agentes a documentar medidas, evidenciar eficácia e acompanhar resultados continuamente. A interpretação consolidada em guia interfere na organização da conformidade, preservando os pressupostos de cada regime.
Redações literais (4 referências em 3 circuitos)
4.8. Essa concepção não só é compatível com a LGPD como assegura a materialização de diversos princípios e regras previstos na Lei. A título de exemplo, vale destacar o princípio da responsabilização e prestação de contas, que impõe aos agentes de tratamento o dever de atuar em conformidade com a legislação e de comprovar a adoção de medidas eficazes para tanto. Essa ênfase no papel dos agentes de tratamento é reforçada pelo art. 50, que incentiva a adoção de boas práticas e regras de governança, em especial mediante a implementação de programa de governança em privacidade, o qual pressupõe o compromisso da organização em respeitar a legislação de proteção de dados pessoais e construir uma relação de confiança com os titulares. O art. 50, § 2º, II, é expresso quanto à possibilidade de a autoridade nacional solicitar ao agente de tratamento que demonstre a efetividade de seu programa de governança em privacidade, o que sinaliza que a atuação da ANPD também passa pela orientação e criação de incentivos para a adoção de boas práticas.
- CD nº 15/2021, p. 3 · Relatoria: Miriam WimmerRegulamento do processo de fiscalização e do processo administrativo sancionador
Responsabilização e prestação de contas, com documentação, controles e evidências de conformidade;
- CD nº 19/2026, p. 11 · Relatoria: Lorena Giuberti CoutinhoDiretrizes para a Política Nacional de Proteção de Dados e da Privacidade
4.3.13. Em segundo lugar, identifiquei a necessidade de explicitar o dever dos fornecedores de documentar as medidas adotadas e sua eficácia. Deveres de documentação e demonstração de conformidade, ou da eficácia das medidas adotadas a fim de cumprir obrigação regulatória, são comumente oriundos da exigência ou imperativo jurídico de accountability. Apesar de o ECA Digital não prever expressamente o preceito que impõe a responsabilização e prestação de contas, tal como fez a LGPD, a evidente escolha legislativa por uma abordagem baseada no risco atrai a aplicabilidade desse preceito, que é [1] indissociável dessa abordagem regulatória .
- CD nº 30/2026, p. 16 · Relatoria: Lorena Giuberti CoutinhoGuia sobre o escopo e as obrigações gerais dos fornecedores no ECA Digital
4.3.21. Com relação ao exemplo referente ao dever de prevenção em sentido estrito, sugiro que ele faça referência à demonstração da eficácia das medidas adotadas pelo fornecedor. O ECA Digital e seu decreto regulamentador exigem a implementação de medidas eficazes para prevenir riscos e o acompanhamento contínuo de sua efetividade (ECA Digital, arts. 9º, caput, e 32, caput e § 3º; Decreto nº 12.880/2026, arts. 14, III; 15, II; 18; 26, § 3º; 41, parágrafo único; 47 e 49). Assim, o exemplo deve prever que a eficácia das medidas deve estar respaldada em evidências documentadas pelos agentes regulados.
- CD nº 30/2026, p. 18 · Relatoria: Lorena Giuberti CoutinhoGuia sobre o escopo e as obrigações gerais dos fornecedores no ECA Digital
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
(...)
X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.
§ 1º Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.
§ 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poderá:
I - implementar programa de governança em privacidade que, no mínimo:
a) demonstre o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;
b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta;
c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados;
d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;
e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular;
f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão internos e externos;
g) conte com planos de resposta a incidentes e remediação; e
h) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas;
II - demonstrar a efetividade de seu programa de governança em privacidade quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento desta Lei.
§ 3º As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e poderão ser reconhecidas e divulgadas pela autoridade nacional.