A LGPD (Lei 13.709/2018) está em vigor desde 2020, mas a fiscalização da ANPD se tornou bem mais ativa nos últimos anos. Multas administrativas já são realidade — e em alguns casos chegam ao teto de 2% do faturamento anual, limitado a R$ 50 milhões por infração.
O lado técnico da LGPD está concentrado em dois artigos:
- Art. 46: obriga adotar medidas de segurança "técnicas e administrativas aptas a proteger os dados pessoais".
- Art. 50: incentiva controladores a adotar boas práticas e governança — pentest entra aqui.
Na prática, a ANPD avalia se as medidas são proporcionais ao risco. Quanto mais sensível ou volumoso o dado, mais robustos os controles esperados.
Os 7 grupos de controle
Inventário e classificação de dados
Você só pode proteger o que conhece. O ponto de partida é mapear:
- Quais dados pessoais sua empresa coleta (nome, CPF, email, biometria, geolocalização, etc.)
- Onde estão armazenados (banco principal, backup, planilha, ferramenta SaaS, e-mail dos times)
- Por quem são acessados (sistemas, integrações, funcionários, terceiros)
- Por quanto tempo são mantidos (política de retenção e descarte)
- Classificação por sensibilidade: dado pessoal vs dado pessoal sensível (Art. 5º, II)
Controle de acesso e autenticação
"Quem pode acessar o quê" é o controle mais cobrado em fiscalização. Mínimo esperado:
- Princípio do menor privilégio: usuário só vê o que precisa
- MFA obrigatório para usuários com acesso a dados pessoais sensíveis ou administrativos
- Política de senhas forte (12+ caracteres, sem padrões comuns)
- Revisão periódica de acessos (trimestral, no mínimo)
- Desativação imediata de acessos quando alguém sai
- Logs de acesso retidos pelo prazo legal
Criptografia em trânsito e em repouso
Criptografia é exigência implícita do Art. 46. Em casos de incidente, ANPD pergunta logo:
- TLS 1.2+ em todos os endpoints (HTTPS obrigatório, com HSTS)
- Criptografia de banco de dados que contém dados pessoais
- Criptografia de backups (em S3, fitas, off-site)
- Senhas com hash forte (bcrypt, argon2 — nunca MD5 ou SHA1)
- Gestão segura de chaves: KMS, Vault, HSM (chaves nunca em código)
Logging, monitoramento e detecção
Sem log, não há resposta a incidente nem evidência forense. ANPD pergunta:
- Logs de acesso a dados pessoais (quem viu, quando, de onde)
- Logs de operações administrativas (alterações, exclusões, exports)
- Alertas para eventos críticos (acesso massivo, falhas em sequência, login de IP estrangeiro)
- Centralização (SIEM ou equivalente) com retenção mínima de 6 meses, idealmente 12
- Integridade dos logs: append-only, segregação de quem pode apagar
Backup, recuperação e continuidade
O Art. 46 inclui "técnicas aptas a proteger". Em incidentes (ransomware, falha em massa), o backup é o que salva:
- Backup automático, frequência proporcional à criticidade
- Backup off-site (regra 3-2-1: três cópias, duas mídias, uma off-site)
- Teste periódico de restore (não basta ter backup — tem que conseguir restaurar)
- Backup criptografado e protegido contra alteração (object lock, immutability)
- RTO/RPO definidos e ensaiados
Resposta a incidentes e comunicação
O Art. 48 obriga comunicar a ANPD e os titulares "em prazo razoável" após incidente de segurança que possa acarretar risco ou dano. A ANPD, na Resolução CD/ANPD 15/2024, fixou esse prazo em 3 dias úteis:
- Plano de resposta a incidentes documentado e ensaiado
- Papéis definidos: DPO, líder técnico, comunicação, jurídico
- Templates de comunicação para ANPD e titulares
- Procedimento de coleta de evidência forense (não destruir logs!)
- Contatos de fornecedores de resposta a incidentes pré-definidos
Avaliação de segurança contínua: pentest e análise de vulnerabilidades
O Art. 50 incentiva controladores a adotar "regras de boas práticas e de governança" que demonstrem segurança contínua. Isso significa:
- Pentest periódico (mínimo anual, ou após mudanças significativas)
- Análise de vulnerabilidades trimestral em ativos críticos
- Scanner contínuo de superfície de ataque externa
- Programa de gestão de patches/atualizações
- Revisão de código (SAST) e dependências (SCA) no pipeline
- Treinamento de segurança da equipe (anti-phishing, no mínimo)
O que a ANPD pede em uma fiscalização
Em fiscalizações reais conduzidas pela ANPD desde 2022, os pedidos mais comuns são:
- RIPD (Relatório de Impacto à Proteção de Dados) — quando há tratamento de alto risco
- Inventário de dados e mapeamento de fluxos
- Política de Privacidade publicada e atualizada
- Política de Segurança da Informação aprovada pela diretoria
- Evidências de treinamento da equipe
- Relatórios de pentest e análise de vulnerabilidades recentes
- Plano de resposta a incidentes
- Evidências de comunicação aos titulares em incidentes anteriores
Empresas que apresentam pentest anual + plano de resposta + RIPD documentado costumam sair de fiscalizações com advertência simples. As que não têm evidência de programa de segurança recebem sanções pesadas.
Priorização sugerida (90 dias)
Se você está começando, faça nessa ordem:
- Mês 1: Inventário de dados, MFA para administradores, política de senhas.
- Mês 2: Logs centralizados, criptografia em trânsito (HTTPS em tudo), revisão de acessos.
- Mês 3: Pentest de aplicação principal, teste de restore de backup, plano de resposta a incidentes documentado.
Em 90 dias você sai do "vulnerável" para "razoável" — base mínima para responder a um questionamento da ANPD sem pânico.
Conclusão
A LGPD não exige a tecnologia mais cara — ela exige medidas proporcionais ao risco, documentadas e ensaiadas. A maioria das sanções aplicadas até hoje vem de empresas que tinham zero evidência de programa estruturado. Cumprir o checklist acima já te tira do grupo de maior risco.
Quer um diagnóstico inicial gratuito?
Baixe nosso relatório de exemplo e veja como mapeamos riscos LGPD em projetos reais — sem custo, sem compromisso.