A Agência não quer mais ver apenas o incidente; quer ver a estrutura que deveria tê-lo evitado. Entenda o que isso cobra da sua governança.

O processo silencioso que ninguém vê

Existe uma categoria de falha que não aparece em relatório de incidente, não gera manchete e não dispara alarme algum. Ela vive na distância entre o que a organização afirma que faz e aquilo que consegue provar que fez.

O comitê de privacidade se reúne, mas a ata fica no e-mail de quem organizou a pauta. O canal de denúncias existe, porém ninguém sabe dizer quantas manifestações entraram no último trimestre nem quanto tempo levaram para ser tratadas. A política de retenção foi aprovada há dois anos e nunca mais revisada. A equipe de tecnologia implementou controles reais, só que não há registro de quem aprovou, quando e com base em qual avaliação de risco.

Nada disso interrompe a operação. É justamente esse o ponto: o processo silencioso não dói enquanto ninguém pergunta. A dor chega em um instante único, quando um ofício aterrissa na caixa de entrada com prazo de dez dias úteis e um verbo que não admite improviso: demonstre.

Nesse momento, a organização descobre que governança dispersa em planilhas, apresentações e caixas de e-mail não é governança; é memória individual. Quando a pessoa que sabia sai de férias, muda de área ou deixa a empresa, a prova sai junto. E a diferença entre um programa de privacidade maduro e um conjunto de boas intenções passa a ser medida por terceiros, em prazo contado em dias.

Por que isso é mais grave do que parece

A mudança de patamar da fiscalização brasileira tornou esse cenário insustentável. Com os Decretos nº 12.975/2026 e nº 12.976/2026, ambos de 20 de maio de 2026, a ANPD recebeu competências de regulação, fiscalização e apuração de infrações relacionadas aos deveres dos provedores de aplicações de internet. Mais relevante do que a ampliação de escopo, porém, é o método que a própria Agência anunciou: a atuação terá caráter sistêmico.

A ANPD explicitou que não analisará conteúdos ou episódios isoladamente. Avaliará se os agentes adotam mecanismos, processos, estruturas de governança, canais de denúncia e medidas técnicas e organizacionais adequadas ao cumprimento das obrigações. O objeto da fiscalização deixa de ser o evento e passa a ser a estrutura que deveria tê-lo prevenido. Esse desenho não é uma peculiaridade do ambiente das plataformas digitais; ele apenas torna explícita a lógica de accountability que a LGPD já impunha a todo controlador.

A base normativa é anterior e permanece intacta. O art. 6º, inciso X, da Lei nº 13.709/2018 estabelece a responsabilização e a prestação de contas como princípio, exigindo do agente a demonstração da adoção de medidas eficazes. O art. 50 trata das regras de boas práticas e de governança e, em seu § 2º, inciso I, detalha o que se espera de um programa: condições de organização, políticas, processos, planos de resposta a incidentes, supervisão interna e mecanismos de mitigação de risco. O art. 41 fixa a figura do encarregado como canal de comunicação com titulares e com a autoridade, cuja atuação é detalhada pela Resolução CD/ANPD nº 18/2024. A Resolução CD/ANPD nº 15/2024 disciplina a comunicação de incidentes de segurança, e a Resolução CD/ANPD nº 4/2023 orienta a dosimetria, considerando expressamente a existência de política de boas práticas e governança na definição da sanção aplicável.

O recado prático já foi dado. Em junho de 2026, ao concluir um ciclo de monitoramento sobre indicação de encarregado e disponibilização de canal de atendimento, a ANPD verificou 56 agentes de tratamento. Vinte e sete atenderam integralmente, oito ficaram com pendências sujeitas a prazo de dez dias úteis e 21 entidades foram encaminhadas à Coordenação-Geral de Sanção por simplesmente não terem respondido. O gatilho não foi um vazamento espetacular: foi a incapacidade de responder, com evidência, dentro do prazo.

Como o módulo Governança do PROTEGON resolve

O módulo Governança do PROTEGON existe para eliminar a distância entre o que a organização faz e o que ela consegue provar. Ele converte o programa de privacidade em uma estrutura viva, com responsáveis, ritos e evidências rastreáveis, no lugar de um conjunto de documentos estáticos espalhados por pastas.

• Estrutura formal de comitês e instâncias de decisão, com composição, papéis, periodicidade e registro das deliberações, de modo que cada decisão de privacidade tenha autor, data e fundamento recuperáveis.
• Indicadores de conformidade consolidados em painel único, cobrindo prazos de atendimento a titulares, tratamento de denúncias, andamento de planos de ação e maturidade por área.
• Vinculação das decisões de governança aos demais módulos da plataforma, de forma que uma deliberação do comitê se converta em tarefa com responsável e prazo, e não em uma linha de ata sem desdobramento.
• Trilha de evidências auditável, com histórico de versões de políticas, aprovações e revisões, pronta para exportação quando a autoridade solicitar demonstração.
• Acompanhamento do ciclo de revisão periódica, sinalizando políticas vencidas, avaliações desatualizadas e controles que perderam efetividade antes que a fiscalização o faça.
• Visão consolidada por unidade, empresa ou setor, essencial para grupos e estruturas descentralizadas, nas quais a governança costuma se fragmentar sem que ninguém perceba.

Dois módulos complementam essa base. O módulo Gestão de Riscos sustenta a demonstração de que os controles decorrem de avaliação estruturada, e não de intuição. O módulo Canal de Denúncias assegura que as manifestações recebidas tenham prazo, tratamento e desfecho registrados, exatamente o tipo de evidência que uma fiscalização sistêmica procura.

Do improviso à previsibilidade

O efeito prático não é estético. Organizações que centralizam a governança em uma única plataforma deixam de tratar o ofício regulatório como crise e passam a tratá-lo como consulta.

A pergunta “quem aprovou esta política e quando” deixa de exigir uma investigação interna de vários dias e passa a ser respondida em minutos. O relatório de indicadores que antes era montado às pressas na véspera da reunião do comitê passa a existir de forma contínua, alimentado pela própria operação. Em programas maduros, é razoável estimar que mais de 60% do tempo gasto em uma resposta à autoridade seja consumido não na análise da questão, mas na busca e na reconstituição de evidências dispersas. É exatamente esse tempo que a centralização devolve.

Há ainda um efeito menos visível e mais valioso. Quando a governança é rastreável, a rotatividade de pessoas deixa de ser um risco de conformidade. O conhecimento sai da cabeça do encarregado e passa a residir na estrutura, o que sustenta o programa em fusões, trocas de gestão, auditorias de clientes e ciclos de crescimento acelerado.

Próximo passo

A tomada de subsídios da ANPD sobre o Marco Civil da Internet recebe contribuições até 17 de agosto de 2026, e o que se constrói ali é o detalhamento de como a Agência avaliará estruturas, e não episódios isolados. A janela para organizar a casa é agora, antes que a demonstração seja exigida com prazo em curso.

Vale um exercício honesto de autodiagnóstico antes que a pergunta venha de fora: liste as três últimas decisões relevantes do seu comitê de privacidade e tente localizar, em menos de dez minutos, a ata, o responsável designado e a evidência de execução de cada uma.