Personal data governance in municipal e-government information systems: an instrument for assessing observable compliance with the Brazilian LGPD and its application to public portals
DOI:
https://doi.org/10.5753/isys.2026.8971Keywords:
e-government, information systems governance, personal data protection, LGPD, compliance assessmentAbstract
[Context] The digitalization of municipal public services has turned institutional portals into the main information systems mediating the relationship between citizens and local government, intensifying the need to govern the personal data these systems process under the Brazilian General Data Protection Law (LGPD). [Objective] This study develops, validates, and applies an evaluation instrument, structured as a rubric-based compliance index, to assess the observable compliance of municipal e-government portals with the LGPD, that is, what can be verified through external inspection of the interface, across four sociotechnical dimensions: legal compliance and information governance, information security, usability, and digital accessibility. [Method] Through a structured development-and-validation process, we derived a rubric of thirteen scorable indicators through cross-mapping of legal, technical, accessibility, and human-computer interaction sources. The instrument was validated by an expert panel, reaching a Content Validity Index of 1.00, and independently applied by three evaluators to the portals of the six municipalities in Mato Grosso, Brazil, with more than 100,000 inhabitants; scores were consolidated by the median into a Compliance Index, whose robustness was examined through sensitivity analysis. [Results] The mean Compliance Index was 55.8%, indicating only partial observable compliance, with no portal reaching the maximum score and scores ranging from 30.8% in the state capital to 84.6%. Legal compliance and governance, at 51.4%, and accessibility, at 54.2%, scored lower than security and usability, and the ranking of portals held under alternative weighting schemes. Inter-rater agreement was limited (Fleiss’ kappa 0.260; ordinal Krippendorff’s alpha 0.427), and the analysis of disagreements identified specific points for refining the descriptors. [Conclusion/Contribution] The paper contributes a replicable instrument for the external assessment of data governance in e-government portals and evidence, limited to the sample analyzed, that scores are higher for visible technical controls than for requirements that depend on continuous governance routines.
Downloads
References
Abraham, R., Schneider, J., and vom Brocke, J. (2019). Data governance: A conceptual framework, structured review, and research agenda. International Journal of Information Management, 49:424–438. DOI: 10.1016/j.ijinfomgt.2019.07.008
Agência Nacional de Proteção de Dados (2021a). Guia orientativo de segurança da informação para agentes de tratamento de pequeno porte. Technical report, ANPD.
Agência Nacional de Proteção de Dados (2021b). Guia orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado. Technical report, ANPD.
Agência Nacional de Proteção de Dados (2022a). Guia orientativo sobre cookies e proteção de dados pessoais. Technical report, ANPD.
Agência Nacional de Proteção de Dados (2022b). Guia orientativo: tratamento de dados pessoais pelo poder público. Technical report, ANPD.
Agência Nacional de Proteção de Dados (2022c). Resolução CD/ANPD nº 2, de 27 de janeiro de 2022: aprova o Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte. Diário Oficial da União.
Agência Nacional de Proteção de Dados (2024a). Resolução CD/ANPD nº 15, de 24 de abril de 2024: aprova o Regulamento de Comunicação de Incidente de Segurança (RCIS). Diário Oficial da União.
Agência Nacional de Proteção de Dados (2024b). Resolução CD/ANPD nº 18, de 16 de julho de 2024: aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais. Diário Oficial da União.
Alexandre, N. M. C. and Coluci, M. Z. O. (2011). Validade de conteúdo nos processos de construção e adaptação de instrumentos de medidas. Ciência & Saúde Coletiva, 16(7):3061–3068. DOI: 10.1590/S1413-81232011000800006
Andrade, H. G. (2005). Teaching with rubrics: The good, the bad, and the ugly. College Teaching, 53(1):27–31. DOI: 10.3200/CTCH.53.1.27-31
Araújo, E., Vilela, J., Silva, C., and Alves, C. (2021). Are my business process models compliant with LGPD? the LGPD4BP method to evaluate and to model LGPD aware business processes. In Anais do XVII Simpósio Brasileiro de Sistemas de Informação (SBSI). ACM. DOI: 10.1145/3466933.3466982
Araujo, R. M. d., Siqueira, S. W. M., Classe, T. M. d., Maciel, R. S. P., and Boscarioli, C. (2025). II GranDSI-BR: Grandes desafios de sistemas de informação no Brasil 2026–2036. Technical report, Sociedade Brasileira de Computação, Porto Alegre.
Associação Brasileira de Normas Técnicas (2022). ABNT NBR ISO/IEC 27002:2022 – segurança da informação, cibersegurança e proteção à privacidade: controles de segurança da informação. ABNT.
Barbosa, S. D. J. and Silva, B. S. (2010). Interação Humano-Computador. Elsevier.
Barros, P. V. d. S., Monteiro, J. M., and Machado, J. C. (2023). Estratégias para modelagem e avaliação da conformidade entre sistemas de informação e a Lei Geral de Proteção de Dados Pessoais – LGPD. In Tópicos Especiais em Sistemas de Informação: Minicursos SBSI 2023. Sociedade Brasileira de Computação. DOI: 10.5753/sbc.11837.0.2
Bélanger, F. and Crossler, R. E. (2011). Privacy in the digital age: A review of information privacy research in information systems. MIS Quarterly, 35(4):1017–1041. DOI: 10.2307/41409971
Brasil (2011). Lei nº 12.527, de 18 de novembro de 2011: Lei de Acesso à Informação. Presidência da República.
Brasil (2014). eMAG: Modelo de Acessibilidade em Governo Eletrônico, versão 3.1. Ministério do Planejamento, Orçamento e Gestão.
Brasil (2015). Lei nº 13.146, de 6 de julho de 2015: Estatuto da Pessoa com Deficiência. Presidência da República.
Brasil (2018). Lei nº 13.709, de 14 de agosto de 2018: Lei Geral de Proteção de Dados Pessoais (LGPD). Presidência da República.
Brasil (2024). Painel de Serviços Digitais. Ministério da Gestão e da Inovação em Serviços Públicos.
Brookhart, S. M. (2018). Appropriate criteria: Key to effective rubrics. Frontiers in Education, 3:22. DOI: 10.3389/feduc.2018.00022
Canedo, E. D. et al. (2021). Challenges regarding the compliance with the general data protection law by Brazilian organizations: A survey. In Computational Science and Its Applications – ICCSA 2021, volume 12951 of Lecture Notes in Computer Science. Springer. DOI: 10.1007/978-3-030-86970-0_31
Carturan, S. B. O. G., Matsui, B. M. A., and Goya, D. H. (2022). LGPD framework: An implementation and compliance guide for technology areas. In Anais do XLIX Seminário Integrado de Software e Hardware (SEMISH). Sociedade Brasileira de Computação. DOI: 10.5753/semish.2022.223289
Castro, E. T. V., Silva, G. R. S., and Canedo, E. D. (2022). Ensuring privacy in the application of the Brazilian General Data Protection Law (LGPD). In Proceedings of the 37th ACM/SIGAPP Symposium on Applied Computing (SAC). ACM. DOI: 10.1145/3477314.3507023
Cerqueira, D. A., Mello, R. M. d., and Travassos, G. H. (2023). Um checklist para inspeção de privacidade e proteção de dados pessoais em artefatos de software. In Anais do XXVI Congresso Ibero-Americano em Engenharia de Software (CIbSE), pages 206–213. Sociedade Brasileira de Computação. DOI: 10.5753/cibse.2023.24704
Chalhoub, G. and Flechais, I. (2022). Data protection at a discount: Investigating the UX of data protection from user, designer, and business leader perspectives. Proceedings of the ACM on Human-Computer Interaction, 6(CSCW2). DOI: 10.1145/3555537
Chaves, S. A. d. and Benitti, F. B. V. (2025). User-centred privacy and data protection: An overview of current research trends and challenges for the human–computer interaction field. ACM Computing Surveys. DOI: 10.1145/3715903
Comitê Gestor da Internet no Brasil (2024). Pesquisa TIC Domicílios 2023: indicadores de acesso e uso da Internet no Brasil. Technical report, Cetic.br/NIC.br.
Cybis, W. A., Betiol, A. H., and Faust, R. (2007). Ergonomia e usabilidade: conhecimentos, métodos e aplicações. Novatec.
Degeling, M., Utz, C., Lentzsch, C., Hosseini, H., Schaub, F., and Holz, T. (2019). We value your privacy ... now take some cookies: Measuring the GDPR’s impact on web privacy. In Proceedings of the Network and Distributed System Security Symposium (NDSS). Internet Society. DOI: 10.14722/ndss.2019.23378
Dinev, T. and Hart, P. (2006). An extended privacy calculus model for e-commerce transactions. Information Systems Research, 17(1):61–80. DOI: 10.1287/isre.1060.0080
Gil, A. C. (2008). Métodos e técnicas de pesquisa social. Atlas, 6 edition.
Gil-Garcia, J. R., Dawes, S. S., and Pardo, T. A. (2018). Digital government and public management research: Finding the crossroads. Public Management Review, 20(5):633–646. DOI: 10.1080/14719037.2017.1327181
Hayes, A. F. and Krippendorff, K. (2007). Answering the call for a standard reliability measure for coding data. Communication Methods and Measures, 1(1):77–89. DOI: 10.1080/19312450709336664
Instituto Brasileiro de Geografia e Estatística (2024). Pesquisa nacional por amostra de domicílios contínua: Tecnologia da informação e comunicação 2023. Technical report, IBGE.
International Organization for Standardization (2018). ISO 9241-11:2018 – ergonomics of human-system interaction. part 11: Usability: Definitions and concepts. ISO.
Krippendorff, K. (2018). Content Analysis: An Introduction to Its Methodology. SAGE, Thousand Oaks, 4 edition.
Lakatos, E. M. and Marconi, M. d. A. (2017). Fundamentos de metodologia científica. Atlas, 8 edition.
Landis, J. R. and Koch, G. G. (1977). The measurement of observer agreement for categorical data. Biometrics, 33(1):159–174. DOI: 10.2307/2529310
Linden, T., Khandelwal, R., Harkous, H., and Fawaz, K. (2020). The privacy policy landscape after the GDPR. Proceedings on Privacy Enhancing Technologies, 2020(1):47–64. DOI: 10.2478/popets-2020-0004
Lynn, M. R. (1986). Determination and quantification of content validity. Nursing Research, 35(6):382–386. DOI: 10.1097/00006199-198611000-00017
Matte, C., Bielova, N., and Santos, C. (2020). Do cookie banners respect my choice? measuring legal compliance of banners from IAB Europe’s transparency and consent framework. In 2020 IEEE Symposium on Security and Privacy (SP), pages 791–809. IEEE. DOI: 10.1109/SP40000.2020.00076
Mendes, J., Viana, D., and Rivero, L. (2021). Developing an inspection checklist for the adequacy assessment of software systems to quality attributes of the Brazilian General Data Protection Law: An initial proposal. In Anais do XXXV Simpósio Brasileiro de Engenharia de Software (SBES). ACM. DOI: 10.1145/3474624.3477069
Mendonça, A. P. B. and Pereira Neto, A. (2015). Critérios de avaliação da qualidade da informação em sites de saúde: uma proposta. Revista Eletrônica de Comunicação, Informação e Inovação em Saúde, 9(1). DOI: 10.29397/reciis.v9i1.930
Moreira, C. V., Seabra, R. D., and Garcés, L. (2024). Modelo web para exibição de termos de uso e políticas de privacidade com foco na LGPD e em práticas de design de experiência do usuário. In Anais do XXXV Simpósio Brasileiro de Informática na Educação (SBIE). Sociedade Brasileira de Computação. DOI: 10.5753/sbie.2024.239998
Neitzke, C. A. et al. (2023). Enhancing LGPD compliance: Evaluating a checklist for LGPD quality attributes within a government office. In Proceedings of the XXII Brazilian Symposium on Software Quality (SBQS). ACM. DOI: 10.1145/3629479.3629497
Nielsen, J. (1994). Usability Engineering. Morgan Kaufmann.
Nielsen, J. and Loranger, H. (2007). Prioritizing Web Usability. New Riders.
Norman, D. A. (2013). O design do dia a dia. Rocco.
OECD and European Commission Joint Research Centre (2008). Handbook on Constructing Composite Indicators: Methodology and User Guide. OECD Publishing, Paris.
Preece, J., Rogers, Y., and Sharp, H. (2015). Interaction Design: Beyond Human-Computer Interaction. Wiley, 4 edition.
Rocha, L. D., Silva, G. R. S., and Canedo, E. D. (2023). Privacy compliance in software development: A guide to implementing the LGPD principles. In Proceedings of the 38th ACM/SIGAPP Symposium on Applied Computing (SAC), pages 1352–1361. ACM. DOI: 10.1145/3555776.3577615
Rosson, M. B. and Carroll, J. M. (2002). Usability Engineering: Scenario-Based Development of Human-Computer Interaction. Morgan Kaufmann.
Rubin, J. and Chisnell, D. (2008). Handbook of Usability Testing: How to Plan, Design, and Conduct Effective Tests. Wiley, 2 edition.
Rubio, D. M., Berg-Weger, M., Tebb, S. S., Lee, E. S., and Rauch, S. (2003). Objectifying content validity: Conducting a content validity study in social work research. Social Work Research, 27(2):94–104. DOI: 10.1093/swr/27.2.94
Shneiderman, B., Plaisant, C., Cohen, M., Jacobs, S., and Elmqvist, N. (2018). Designing the User Interface: Strategies for Effective Human-Computer Interaction. Pearson, 6 edition.
Silva, E. R. G. d. and Rover, A. J. (2010). O governo eletrônico no suporte às políticas públicas com ações participativas. Revista Democracia Digital e Governo Eletrônico, 1(3).
Smith, H. J., Dinev, T., and Xu, H. (2011). Information privacy research: An interdisciplinary review. MIS Quarterly, 35(4):989–1015. DOI: 10.2307/41409970
Stevens, D. D. and Levi, A. J. (2013). Introduction to Rubrics: An Assessment Tool to Save Grading Time, Convey Effective Feedback, and Promote Student Learning. Stylus Publishing, 2 edition.
Tallon, P. P., Ramirez, R. V., and Short, J. E. (2013). The information artifact in IT governance: Toward a theory of information governance. Journal of Management Information Systems, 30(3):141–178. DOI: 10.2753/MIS0742-1222300306
Twizeyimana, J. D. and Andersson, A. (2019). The public value of e-government – a literature review. Government Information Quarterly, 36(2):167–178. DOI: 10.1016/j.giq.2019.01.001
União Europeia (2016). Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho: Regulamento Geral sobre a Proteção de Dados (RGPD). Jornal Oficial da União Europeia.
World Bank (2022). GovTech maturity index 2022: Trends in public sector digital transformation. Technical report, World Bank Group.
World Wide Web Consortium (2023). Web content accessibility guidelines (WCAG) 2.2. W3C Recommendation.
Downloads
Published
How to Cite
Issue
Section
License
Copyright (c) 2026 iSys - Journal of Information Systems
This work is licensed under a Creative Commons Attribution 4.0 International License.
