Resposta rápida: que segurança a LGPD exige?
O Art. 46 exige que os agentes de tratamento adotem medidas de segurança técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado ou ilícito.
A lei não apresenta um checklist único de tecnologias obrigatórias para toda empresa. A adequação das medidas depende de natureza da informação, características do tratamento, estado da tecnologia e risco aos titulares.
Principais conclusões
- Segurança na LGPD é baseada em risco.
- Art. 46 alcança controlador e operador.
- Segurança deve existir desde concepção do produto/serviço até execução.
- Criptografia e MFA não são mandatos universais escritos para todo sistema, mas são controles recomendados pela ANPD em contextos relevantes.
- ISO 27001, SOC 2 e pentest não são requisitos universais da LGPD.
- Fornecedores e cloud fazem parte da análise de segurança.
- Segurança inclui capacidade de detectar e responder incidentes.
O que dizem os Arts. 46–49?
Art. 46
Impõe medidas técnicas e administrativas capazes de proteger dados contra eventos não autorizados, acidentais ou ilícitos. A ANPD pode estabelecer padrões técnicos mínimos considerando natureza da informação, tratamento, estado da tecnologia e outros fatores.
O §2º determina que as medidas sejam observadas desde a fase de concepção do produto ou serviço até sua execução — base clara para security by design.
Art. 47
Quem intervém em uma das fases do tratamento deve garantir segurança da informação em relação aos dados pessoais mesmo após o término.
Art. 48
Trata da comunicação de incidente de segurança com possível risco ou dano relevante, hoje regulamentada pela Resolução 15/2024.
Art. 49
Sistemas utilizados para tratamento devem ser estruturados para atender requisitos de segurança, boas práticas, governança e princípios da LGPD.
A ANPD já publicou padrões mínimos obrigatórios universais?
Em agosto de 2026, a agenda regulatória da ANPD ainda indica em andamento o tema de medidas técnicas e administrativas de segurança, incluindo padrões técnicos mínimos. Isso significa que não se deve inventar uma lista universal definitiva dizendo “a ANPD exige exatamente estes 20 controles para toda empresa”.
A ANPD possui Guia Orientativo de Segurança da Informação para Agentes de Tratamento de Pequeno Porte. O guia é fonte útil de recomendações, mas declara não possuir efeito normativo vinculante.
O que significa segurança baseada em risco?
Uma planilha com e-mail de leads não exige a mesma arquitetura de uma plataforma que armazena milhões de registros biométricos.
Considere:
- tipo e sensibilidade dos dados;
- quantidade;
- número e vulnerabilidade dos titulares;
- finalidade;
- exposição à internet;
- acesso interno;
- fornecedores;
- transferência internacional;
- impacto de confidencialidade, integridade e disponibilidade;
- tecnologia e ameaças atuais.
15 áreas de controle para revisar
1. Política de Segurança da Informação
Defina responsabilidades, controles, incidentes, acesso, backups e revisão. A política deve refletir prática real.
2. Conscientização e treinamento
Treine phishing, senhas, compartilhamento, tela bloqueada, documentos físicos, incidentes e dados pessoais conforme função.
3. Gestão de identidade e acesso
Tenha autenticação, autorização, revisão de usuários e trilha de auditoria.
4. Menor privilégio
Cada pessoa deve ter apenas acesso necessário. Contas administrativas exigem atenção especial.
5. Senhas e autenticação
Evite senhas padrão e contas compartilhadas. Use controles compatíveis com risco.
6. Criptografia e pseudonimização
Podem reduzir impacto e exposição. Para dados sensíveis, considere técnicas que dificultem identificação e acesso indevido.
7. Minimização
A melhor forma de proteger um dado desnecessário pode ser não coletá-lo.
8. Backups e recuperação
Faça backups regulares, íntegros, seguros e separados do ambiente principal. Sincronização instantânea não substitui backup resiliente a ransomware.
9. Vulnerabilidades e patches
Mantenha sistemas atualizados, acompanhe vulnerabilidades e aplique correções conforme criticidade.
10. Segurança de rede e web
Firewalls, WAF quando aplicável, TLS/HTTPS, segmentação, proteção de e-mail e monitoramento.
11. Endpoints e dispositivos móveis
Atualização, antimalware quando pertinente, proteção de disco, remote wipe e separação entre uso pessoal/profissional quando viável.
12. Descarte seguro
Formate, destrua ou descarte mídias de forma segura e mantenha evidência quando apropriado.
13. Segurança de fornecedores e contratos
Inclua requisitos de segurança, confidencialidade, incidentes, suboperadores e evidência.
14. Cloud security
Revise responsabilidades compartilhadas, regiões, acesso, MFA, logs, chaves, backups e SLA.
15. Detecção e resposta a incidentes
Controle que não detecta falha não encerra a análise. Tenha alertas, triagem, preservação de evidências, contenção e escalonamento.
A LGPD exige criptografia?
Não existe comando universal “todo dado deve ser criptografado em qualquer contexto”. A criptografia é uma medida relevante e recomendada em vários cenários e pode ser necessária para atingir o nível de segurança adequado ao risco.
Evite dois extremos:
- “LGPD sempre exige criptografia de tudo”; e
- “como a palavra não aparece como obrigação universal, não precisamos criptografar”.
A decisão precisa ser justificável.
A LGPD exige MFA?
MFA também não é uma obrigação estatutária universal para todo login. A ANPD recomenda seu uso preferencial em sistemas e bases com dados pessoais e em ambientes cloud, especialmente em acessos de maior risco.
Para admin, dados sensíveis e sistemas críticos, ausência de MFA pode ser cada vez mais difícil de justificar operacionalmente.
ISO 27001, SOC 2 e pentest
Nenhum desses elementos é requisito universal expresso da LGPD para toda empresa.
Eles podem ajudar a demonstrar maturidade ou assurance. Um pentest pode ser apropriado para aplicações expostas e críticas, mas a frequência e escopo dependem do risco.
Fornecedores e cloud
O Art. 46 não termina na fronteira da empresa. Quando operador processa dados, sua segurança afeta o controlador.
Due diligence deve avaliar:
- arquitetura;
- certificações como evidência;
- acesso privilegiado;
- incident history;
- suboperadores;
- backup;
- retenção;
- regiões;
- resposta a incidentes.
Segurança também é prontidão para incidentes
A Resolução 15/2024 exige processo capaz de avaliar rapidamente reportabilidade. Treine:
- detecção;
- classificação;
- identificação de dados;
- análise de risco relevante;
- comunicação interna;
- contato com fornecedor;
- notificação a titulares;
- registro de cinco anos.
Pequenos agentes
A Resolução 2/2022 exige medidas administrativas e técnicas essenciais e necessárias com base em requisitos mínimos de segurança, riscos e realidade do agente. Agentes elegíveis podem adotar política simplificada considerando custos, estrutura, escala e volume.
Pequeno porte não significa ausência de segurança.
Security by design
Antes do lançamento de novo sistema:
- minimize dados;
- classifique sensibilidade;
- defina acessos;
- escolha retenção;
- modele ameaças principais;
- proteja segredos;
- valide fornecedores;
- configure logs;
- planeje incidentes;
- teste exclusão e direitos.
Evidências de segurança
Uma empresa deve conseguir mostrar:
- políticas atuais;
- inventário de sistemas;
- controles de acesso;
- treinamentos;
- patch/vulnerability process;
- backups testados;
- avaliações de fornecedor;
- incident logs;
- revisões de arquitetura;
- remediações concluídas.
Erros comuns
“LGPD exige criptografia em qualquer situação.”
Excesso de simplificação.
“MFA é opcional porque não está escrito no Art. 46.”
A adequação é baseada em risco; controles modernos podem ser necessários para cumprir o resultado esperado.
“Nosso cloud provider é seguro; terminamos.”
Configuração e responsabilidade do cliente continuam relevantes.
“Segurança é assunto apenas de TI.”
Contratos, treinamento, retenção e processos administrativos também importam.
“Temos política, então Art. 46 está cumprido.”
Documento sem execução não basta.
“Somos pequenos, então estamos dispensados.”
Não.
Checklist de 25 pontos
- Política.
- Owners.
- Inventário.
- Classificação de dados.
- IAM.
- Least privilege.
- MFA crítico.
- Senhas.
- Criptografia adequada.
- TLS.
- Segredos/chaves.
- Patches.
- Vulnerabilidades.
- EDR/antimalware conforme contexto.
- Backups.
- Teste de restore.
- Rede/WAF.
- Logs.
- Alertas.
- Mobile/endpoints.
- Fornecedores.
- Cloud.
- Descarte.
- Incident response.
- Evidências e revisão.
Perguntas frequentes
A ANPD tem checklist obrigatório para todas as empresas?
Não em agosto de 2026. Existem orientações e regulamentação em desenvolvimento.
SOC 2 garante LGPD?
Não. É evidência útil, não certificação de conformidade LGPD.
Preciso de pentest anual?
Não existe regra universal anual na LGPD. A frequência deve ser definida pelo risco e contexto.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil