O Superior Tribunal de Justiça (STJ) publicou uma nova norma interna para padronizar a resposta a incidentes que envolvam dados pessoais, em um movimento que reforça a aplicação prática da LGPD dentro do Judiciário.
A Instrução Normativa STJ/GDG nº 20, de 04/09/2026, cria procedimentos complementares para a gestão e a comunicação de incidentes de segurança no tribunal, com impacto direto em rotinas de TI e governança.
A medida foi listada no boletim de atos do próprio STJ e aparece no clipping institucional de setembro, sinalizando prioridade para protocolos, fluxos de decisão e comunicação em situações de risco.
O que este artigo aborda:
- O que muda com a Instrução Normativa STJ/GDG nº 20
- Conexão direta com a LGPD e com exigências de comunicação
- Por que o tema ganha força em 2026
O que muda com a Instrução Normativa STJ/GDG nº 20
A norma disciplina como o STJ deve atuar quando houver evento que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais sob sua guarda.
O texto é um reforço de compliance diante do aumento de ataques e vazamentos reportados em diferentes órgãos públicos nos últimos anos, com pressão adicional por transparência.
No clipping oficial, o tribunal descreve que a Instrução Normativa disciplina procedimentos complementares para a gestão e a comunicação de incidentes de segurança envolvendo dados pessoais.
Na prática, áreas administrativas e técnicas passam a ter uma trilha mais clara para classificar incidentes, acionar responsáveis e registrar evidências para auditoria.
- Padronização de fluxos internos para resposta a incidentes.
- Ritos mínimos para registro, triagem e encaminhamento.
- Melhoria de rastreabilidade e prestação de contas.
Conexão direta com a LGPD e com exigências de comunicação
A LGPD exige medidas de segurança e governança proporcionais ao risco do tratamento, além de reforçar responsabilização e prestação de contas em incidentes relevantes.
No setor público, a lógica é semelhante: a comunicação do incidente e a coordenação com encarregados ganham peso, especialmente quando há risco ao titular.
Regras federais recentes já amarram esse dever à regulação da ANPD. Um exemplo é a previsão de que órgãos comuniquem incidente conforme a Portaria Normativa AGU nº 226, de 15/06/2026, que menciona prazos e procedimentos definidos pela ANPD.
Ao criar um rito interno, o STJ reduz improvisos em crises e melhora a consistência de decisões sobre quando notificar, que dados apresentar e como mitigar danos.
- Identificar e conter o incidente com evidências preservadas.
- Avaliar impacto e risco para titulares de dados.
- Deliberar sobre comunicações e medidas corretivas.
Por que o tema ganha força em 2026
A pressão regulatória segue crescente: a ANPD tem ampliado fiscalização e sanções, inclusive em casos de alto impacto e grande visibilidade pública.
Em agosto, por exemplo, a autoridade anunciou a multa de R$ 153,7 milhões aplicada ao TikTok, citando falhas no tratamento de dados de crianças e adolescentes.
Embora o caso seja do setor privado, ele funciona como sinal de que a régua subiu: órgãos públicos e tribunais também precisam demonstrar maturidade de resposta, documentação e governança.
Com a IN STJ/GDG nº 20, o STJ tenta institucionalizar essa maturidade — e, ao mesmo tempo, criar um padrão que pode influenciar outros tribunais na adoção de rotinas alinhadas à LGPD.
Aviso Editorial
Este conteúdo foi estruturado com o auxílio de Inteligência Artificial e submetido a rigorosa curadoria, checagem de fatos e revisão final pelo editor-chefe Redação Canal ERP. O Canal ERP reafirma seu compromisso com a ética jornalística, garantindo que o julgamento editorial e a validação das informações são de inteira responsabilidade humana, do editor.
Sobre o Autor:
Editor: Redação Canal ERP
Transparência: Política Editorial | Política de Uso de IA | Política de Correções | Contato