Cibersegurança e LGPD: onde os dois assuntos se encontram

Muitas empresas trataram a adequação à LGPD como um projeto de documentos: política de privacidade, termos de consentimento, cláusulas contratuais. Tudo isso tem seu lugar, mas a lei também exige algo mais concreto: que os dados pessoais estejam protegidos contra acessos indevidos, perdas e vazamentos. É nesse ponto que LGPD e segurança da informação deixam de ser assuntos separados e passam a depender um do outro.

O que a LGPD diz sobre segurança

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) traz a segurança em vários pontos. Entre os princípios do art. 6º estão o da segurança, que pede medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas, e o da prevenção, que orienta a adoção de medidas para evitar danos.

O art. 46 transforma esses princípios em obrigação: os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, para proteger os dados pessoais de acessos não autorizados e de situações de destruição, perda, alteração, comunicação ou difusão indevida.

A lei não traz uma lista fechada de ferramentas nem exige tecnologias específicas. Isso dá flexibilidade, mas também deixa ao gestor a tarefa de decidir o que é adequado para o porte e o tipo de dado que a empresa trata.

Onde os dois assuntos se encontram na prática

Quase todo controle básico de cibersegurança tem reflexo direto na proteção de dados pessoais:

• Controle de acesso: limitar quem vê o cadastro de clientes ou a folha de pagamento reduz a chance de vazamento, intencional ou acidental.
• Atualizações de segurança: falhas conhecidas em sistemas desatualizados estão entre as portas de entrada mais comuns para invasões que acabam expondo dados.
• Proteção contra malware: ransomware e programas espiões podem copiar bases inteiras antes de serem percebidos.
• Firewall e configuração segura: reduzem os serviços expostos na internet e as configurações padrão que facilitam ataques.
• Backup: a perda de dados também é um incidente, e cópias confiáveis ajudam a garantir disponibilidade e integridade.

Esses pontos correspondem, em grande parte, aos controles propostos por esquemas de linha de base como o Cyber Essentials, apresentados no artigo sobre os cinco controles básicos de cibersegurança. Adotar uma referência reconhecida ajuda a organizar as medidas técnicas e a demonstrar que a empresa fez escolhas pensadas, e não improvisadas.

Incidentes com dados pessoais

O art. 48 da LGPD determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) detalha essa obrigação e estabelece, como regra geral, o prazo de três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais.

Na prática, esse prazo é curto para quem nunca pensou no assunto. Durante um incidente, a empresa precisa descobrir quais sistemas foram afetados, que tipos de dados estavam ali, quantos titulares podem ter sido atingidos e quais riscos isso representa. Sem inventário de dados, sem registros de acesso e sem um responsável definido, essas respostas demoram.

Algumas medidas preparatórias ajudam:

1. manter um mapeamento de onde estão os dados pessoais e quais sistemas os armazenam;
2. ativar e guardar registros (logs) de acesso nos sistemas principais;
3. definir quem avalia se um incidente envolve dados pessoais e quem decide sobre a comunicação;
4. ter à mão o contato do encarregado, da assessoria jurídica e do fornecedor de TI.

O roteiro dos primeiros 30 minutos de um incidente inclui a verificação de dados pessoais entre as ações iniciais justamente por causa desse prazo.

Governança e boas práticas

O art. 50 da LGPD prevê que controladores e operadores podem formular regras de boas práticas e de governança, incluindo programas que demonstrem o comprometimento com a proteção de dados. Para uma PME, isso não precisa significar uma estrutura complexa. Significa, por exemplo:

• ter políticas curtas e aplicáveis sobre senhas, uso de dispositivos e acesso a sistemas;
• treinar a equipe periodicamente, com exemplos do dia a dia;
• revisar contratos com fornecedores que tratam dados em nome da empresa;
• registrar as medidas adotadas e as revisões feitas ao longo do tempo.

Esse registro tem valor próprio. Diante de um incidente, poder mostrar o que foi feito, quando e por quê, é bem diferente de não ter nada a apresentar.

Um ponto de partida realista

Nenhum conjunto de medidas elimina o risco de incidentes, e a lei não exige isso. O que ela pede é que a empresa adote medidas adequadas e consiga responder quando algo acontecer. Para a maioria das PMEs, começar pelos controles técnicos básicos, mapear os dados pessoais mais sensíveis e preparar a resposta a incidentes já coloca a empresa em posição muito melhor.

Este texto tem caráter educativo e não substitui orientação jurídica. Cada empresa deve avaliar suas obrigações com apoio de profissionais qualificados.

Checklist de pontos em comum

• Os dados pessoais tratados pela empresa estão mapeados.
• O acesso a esses dados é restrito a quem precisa deles.
• Sistemas que armazenam dados pessoais recebem atualizações de segurança.
• Há backup testado das bases com dados pessoais.
• Registros de acesso estão ativos nos sistemas principais.
• Está definido quem avalia e comunica incidentes com dados pessoais.
• As medidas adotadas estão documentadas.