LGPD na prática: qual evidência técnica sua PME consegue apresentar hoje?

Se pedirem hoje, qual registro técnico sua PME consegue apresentar?

Imagine o seguinte cenário operacional: a empresa recebe um questionário de segurança enviado por um cliente corporativo relevante ou uma notificação formal solicitando explicações sobre como o acesso a um banco de dados de clientes é controlado. Ter apenas intenções declaradas em documentos de texto dificilmente responde à pergunta.

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) estabelece no seu Art. 6º, inciso X, o princípio da prestação de contas e responsabilização. O dispositivo exige a demonstração da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados e, inclusive, a eficácia dessas medidas.

É importante ressaltar que "evidência técnica" é um conceito operacional da área de TI e cibersegurança — não um vocábulo jurídico da lei. Na prática, é o registro, relatório, log ou documento que ajuda a demonstrar que determinado controle está ativo e funcionando na rotina da empresa.

O que a LGPD determina e o que ela deixa em aberto

A legislação brasileira estabelece obrigações gerais de proteção, mas não prescreve uma lista de ferramentas tecnológicas específicas:

• Art. 37: Determina que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem.
• Art. 46: Exige a adoção de medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. A lei não lista marcas de software ou fabricantes.
• Art. 48: Estabelece o dever de comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
• Art. 52, § 1º: Fixa os critérios considerados na aplicação de sanções pela ANPD (incisos I a XI). Destacam-se a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano (inciso VIII), a política de boas práticas e governança (inciso IX) e a pronta adoção de medidas corretivas (inciso X). Trata-se de critérios de dosimetria examinados no caso concreto, sem garantir isenção automática de penalidades.

Tabela de evidências técnicas para PMEs: adaptação da Oryxon

A ANPD publicou o Guia Orientativo de Segurança da Informação para Agentes de Tratamento de Pequeno Porte (ATPP) (v1.0, out/2021). Trata-se de um documento de caráter orientativo e não vinculante.

Com base nessas recomendações e na experiência prática de gerenciamento de infraestrutura, a Oryxon Systems elaborou a tabela abaixo. Trata-se de uma adaptação e consolidação operacional própria da Oryxon — e não de um rol de exigências legais diretas da LGPD:

Incidentes: o prazo de três dias úteis e o registro exigido

A gestão de incidentes de segurança é o momento em que a falta de logs e registros técnicos causa maior fragilidade. A Resolução CD/ANPD nº 15/2024 regulamentou a comunicação de incidentes de segurança e estabeleceu prazos:

• Prazo de três dias úteis: quando o incidente puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e aos titulares em três dias úteis (arts. 6º e 9º). Os prazos à ANPD e aos titulares são contados do conhecimento pelo controlador de que o incidente afetou dados pessoais. Para agentes de pequeno porte, os prazos são contados em dobro (art. 6º, §8º, e art. 9º, §6º), observadas as exceções da Resolução CD/ANPD nº 2/2022, art. 14.
• Registro por no mínimo cinco anos: o controlador deve manter o registro do incidente, inclusive daquele não comunicado à ANPD e aos titulares, contado da data do registro, salvo obrigação que exija prazo maior (art. 10). O registro inclui, entre outros itens, a avaliação de risco, as medidas de correção e a forma e o conteúdo da comunicação, quando houver.
• Relatório solicitado pela ANPD: o art. 8º prevê que a ANPD pode solicitar a qualquer tempo informações complementares, incluindo o relatório de tratamento do incidente. Sem registros de acesso e de rede, tende a ser mais difícil demonstrar o alcance do incidente.

Agentes de pequeno porte: tratamento simplificado não é isenção

A Resolução CD/ANPD nº 2/2022 estabeleceu regulamentação flexibilizada para Agentes de Tratamento de Pequeno Porte (ATPP). No entanto, flexibilização não é isenção de segurança:

O regulamento concede facilidades como: permissão para registro simplificado das operações (art. 9º), dispensa de indicar DPO, exigindo canal aos titulares (art. 11), política simplificada (art. 13) e prazos em dobro para certas obrigações, inclusive a comunicação de incidente, com exceção de casos que envolvam risco à integridade física ou moral dos titulares ou à segurança nacional (art. 14).

Roteiro Oryxon: como estruturar suas primeiras evidências técnicas em uma semana

Para empresas que ainda não possuem controles de TI documentados, a Oryxon Systems sugere um roteiro inicial pragmático em quatro etapas operacionais: