Em 9 de setembro de 2026 a Autoridade Nacional de Proteção de Dados abriu consulta pública para atualizar o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador (Resolução CD/ANPD nº 1/2021), com audiência pública marcada para 24 de setembro e prazo de contribuições até 26 de outubro. A minuta acompanha as novas atribuições da agência, cria critérios próprios para a fiscalização de plataformas digitais, amplia poderes de investigação e disciplina a adoção de medidas cautelares, com previsão de multa diária por descumprimento limitada a R$ 50 milhões. O mérito regulatório está sob consulta e comporta posições legítimas em mais de uma direção; não é disso que se trata aqui. Interessa a consequência técnica de um traço do desenho — a compressão do tempo de resposta —, que se verifica independentemente de como o texto final venha a ser redigido.
Toda demonstração técnica depende de um dado que exista, esteja íntegro e seja verificável de forma independente. Essas três condições se formam no momento do fato, não no momento da exigência. Um registro de acesso existe porque o sistema foi configurado para gerá-lo e porque a política de retenção o preservou pelo período necessário. Sua integridade depende de controles aplicados desde a origem — restrição de alteração, marcação temporal confiável, eventualmente resumo criptográfico. Sua verificabilidade depende de o registro poder ser conferido por terceiro, a partir da fonte, sem depender da palavra de quem o apresenta.
Nenhuma dessas três condições é reconstituível depois. É possível, depois do fato, produzir um relatório, uma planilha consolidada, um memorando explicativo. O que não é possível é produzir o registro que não foi gerado, recuperar o que a política de retenção apagou, ou conferir integridade a um dado que nunca teve controle de alteração. O documento feito depois descreve; ele não demonstra.
O efeito prático da medida cautelar, em qualquer regime que a preveja, é deslocar a defesa do campo da construção para o campo da apresentação. Em procedimento ordinário há tempo para levantar, organizar, complementar e, quando necessário, produzir prova nova. Em prazo de dias, há tempo apenas para localizar, extrair e apresentar o que já está em casa.
Isso muda o que uma organização precisa ter, e o inventário é razoavelmente objetivo. Registros de acesso e de aplicação, com política de retenção efetivamente aplicada — e não apenas descrita em documento de governança, distinção que a verificação técnica revela em minutos. Inventário e mapeamento de tratamento que correspondam ao que os sistemas de fato executam, e não ao que se pretendia que executassem. Trilha de base legal ou de consentimento, com marcação temporal e vinculação inequívoca ao titular. Registro de resposta a incidente com o marco do conhecimento datado — elemento decisivo, porque é dele que se contam os prazos de comunicação. E evidência de que os controles declarados estavam operando no período examinado, o que é diferente de evidência de que foram implantados algum dia.
A dupla leitura é o que torna esse inventário útil. A pergunta técnica — o dado existe, está íntegro, é verificável? — não basta sozinha: um registro tecnicamente impecável sobre o objeto errado não sustenta defesa alguma. A pergunta jurídica — esse elemento demonstra o que a norma exige demonstrar? — também não basta sozinha: uma tese bem construída sem lastro em registro verificável é retórica. Quem trabalha nas duas frentes desenha o registro a partir da pergunta que será feita, e não da capacidade técnica de gerar logs.
Cabe registrar o limite desta análise. Não se está afirmando que ausência de registro equivale a irregularidade. Ausência de registro é ausência de demonstração — que é coisa distinta, e cuja consequência depende de como a norma distribui o ônus em cada hipótese. Tampouco se está sugerindo retenção indiscriminada: guardar tudo indefinidamente é, em si, risco de conformidade, porque conflita com os princípios da necessidade e da finalidade. O ponto é de desenho: definir, antes, quais demonstrações serão exigíveis, e reter o mínimo que as sustente, pelo tempo necessário.
Para o departamento jurídico, o exercício útil é uma simulação: escolher um ponto sensível de tratamento e verificar o que a organização conseguiria apresentar em cinco dias. O resultado costuma ser mais informativo do que uma auditoria documental, porque testa a capacidade real de demonstração, não a existência de políticas. Para o advogado que assume a defesa já instaurado o procedimento, a primeira diligência é levantar o que existe e com qual prazo de retenção — antes de construir qualquer tese, porque a tese que não puder ser lastreada não se sustenta. Para o perito ou assistente técnico, o trabalho começa na fase preventiva: desenhar a evidência que a organização precisará ter, e não apenas examinar a que sobrou.
Conformidade é tratada, com frequência, como produção de documentos. Do ponto de vista probatório, conformidade é capacidade de demonstrar, no momento em que for exigido, aquilo que se afirma fazer. Quando o prazo é longo, a diferença entre as duas concepções fica disfarçada. Quando o prazo encurta, ela aparece inteira — e não há redação de peça que compense um registro que não foi guardado.
8 min de leitura