O que a LGPD exige da TI da sua empresa e como saber se você está em conformidade
A Lei Geral de Proteção de Dados (LGPD) completou seus primeiros anos de vigência com enforcement ativo, empresas já receberam multas, advertências e determinações de adequação pela ANPD (Autoridade Nacional de Proteção de Dados). Para a área de TI, a LGPD não é apenas um tema jurídico: impõe requisitos técnicos concretos sobre como dados pessoais são coletados, armazenados, processados e protegidos. Na Altcom, implementamos adequação LGPD como parte estrutural dos ambientes que gerenciamos, e identificamos os mesmos gaps recorrentes na maioria das empresas que ainda não se adequaram.
O que a LGPD exige tecnicamente da TI
- Inventário de dados: Saber quais dados pessoais a empresa coleta, onde estão armazenados, por quanto tempo e quem tem acesso, incluindo dados de navegação coletados via cookies, como detalhado na política de cookies do site.
- Controle de acesso: Garantir que apenas pessoas autorizadas acessem dados pessoais, com autenticação robusta (MFA) e permissões por perfil de função.
- Criptografia: Dados pessoais sensíveis devem ser criptografados em trânsito e em repouso, especialmente em ambientes de nuvem ou e-mail.
- Logs de auditoria: Registrar quem acessou, modificou ou excluiu dados pessoais, com retenção dos logs por período adequado para responder a incidentes e auditorias.
- Gestão de incidentes: Ter processo definido para detectar, reportar e responder a vazamentos de dados, incluindo notificação à ANPD em até 72 horas em casos graves, um risco que cresce com o avanço dos ciberataques que já usam inteligência artificial.
- Descarte seguro de dados: Dados pessoais que não são mais necessários devem ser eliminados de forma segura. Não apenas deletados da lixeira, mas sobrescritos ou destruídos fisicamente no caso de mídias físicas.
Os gaps mais comuns encontrados nos diagnósticos
Nos diagnósticos que realizamos, identificamos padrões recorrentes: dados pessoais de clientes em planilhas compartilhadas sem controle de acesso, backups sem criptografia, colaboradores com acesso a dados que vão além do necessário para suas funções, ausência de logs de auditoria em sistemas críticos e nenhum processo definido para o caso de vazamento. Cada um desses pontos representa não apenas um risco de multa, mas uma vulnerabilidade real de segurança.
LGPD e ambientes em nuvem
O uso de nuvem não isenta a empresa de suas obrigações sob a LGPD, pelo contrário, exige atenção adicional. A empresa continua sendo responsável pelos dados mesmo quando armazenados em servidores de terceiros. É preciso verificar se o provedor de nuvem tem certificações adequadas, se os dados de brasileiros ficam em servidores com jurisdição compatível, quais são as políticas de segurança e como o provedor notifica sobre incidentes. Microsoft Azure e Google Cloud têm os instrumentos necessários, mas a configuração correta é responsabilidade do contratante.
Como realizar um assessment de conformidade LGPD
O assessment começa pelo mapeamento: quais dados pessoais a empresa trata, com qual base legal, por quanto tempo e com quais proteções. A partir desse mapa, avalia-se cada requisito técnico, controle de acesso, criptografia, logs, backups, processos de resposta a incidentes. O resultado é um gap analysis com as ações necessárias priorizadas por risco. Empresas que nunca fizeram esse levantamento costumam se surpreender com a quantidade de pontos críticos descobertos.
Empresa não conformante versus empresa adequada à LGPD com Altcom 365
| Critério | Sem adequação LGPD | Com Altcom 365 |
|---|---|---|
| Inventário de dados | Desconhecido: ninguém sabe o que existe | Mapeado, documentado e revisado periodicamente |
| Controle de acesso | Amplo demais: todos acessam tudo | Por perfil de função, com MFA obrigatório |
| Criptografia | Ausente em dados sensíveis | Em trânsito e em repouso nos dados críticos |
| Logs de auditoria | Inexistentes ou não retidos | Ativos, retidos e consultáveis para auditorias |
| Resposta a incidentes | Sem processo: improviso na crise | Protocolo documentado, testado e com SLA |
| Descarte de dados | Simples exclusão sem garantia | Descarte seguro e documentado |
| Risco de multa ANPD | Alto: vulnerabilidades expostas | Baixo: conformidade documentada e auditável |
Conclusão
A LGPD não é uma obrigação a ser ignorada até receber uma notificação. É um conjunto de boas práticas que, quando implementadas corretamente, também fortalecem a segurança geral do ambiente. Empresas adequadas não são apenas menos expostas a multas: são mais seguras, mais confiáveis para clientes e mais resilientes a incidentes. Solicite um diagnóstico gratuito com a Altcom e descubra onde sua empresa está e o que precisa fazer para estar em conformidade.
Perguntas frequentes sobre LGPD e TI
O que é a LGPD e quem precisa cumpri-la?
A LGPD (Lei nº 13.709/2018) regula o tratamento de dados pessoais por empresas e organizações no Brasil. Toda empresa que coleta, armazena, processa ou compartilha dados de pessoas físicas, independente do tamanho ou setor, está sujeita à lei. Isso inclui desde grandes corporações até microempresas que têm cadastro de clientes, colaboradores ou fornecedores.
Quais são as penalidades por descumprimento da LGPD?
A ANPD pode aplicar advertência, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio ou eliminação dos dados e suspensão parcial ou total das atividades de tratamento de dados. As sanções são cumulativas e consideram a gravidade da infração, a boa-fé do responsável e a adoção de medidas de segurança.
Como a LGPD afeta o backup e o armazenamento de dados?
Backups que contêm dados pessoais estão sujeitos à LGPD tanto quanto os sistemas de produção. Isso significa que as cópias de segurança devem ser criptografadas, com acesso controlado e log de quem acessa. Além disso, quando um titular solicita a exclusão de seus dados, é necessário garantir que a eliminação ocorra também nas cópias de backup, o que exige processos específicos de gestão.
Precisamos de um DPO (Encarregado de Dados) para cumprir a LGPD?
A LGPD exige que as empresas indiquem um DPO (Data Protection Officer / Encarregado de Dados), que pode ser uma pessoa interna ou um serviço externo contratado. O DPO é o ponto de contato com a ANPD e com os titulares de dados, responsável por orientar sobre boas práticas e receber reclamações. Para PMEs, a contratação de um DPO externo é uma solução econômica e válida legalmente.
Como a TI gerenciada ajuda na conformidade com a LGPD?
Um provedor de TI gerenciada como a Altcom implementa e mantém os controles técnicos exigidos pela LGPD: controle de acesso com MFA, criptografia de dados, logs de auditoria, backup seguro e processos de resposta a incidentes. Além disso, monitora o ambiente continuamente para detectar desvios e garante que atualizações de segurança sejam aplicadas antes que vulnerabilidades sejam exploradas.
Quando a empresa deve notificar a ANPD sobre um incidente de dados?
A LGPD exige que a ANPD seja notificada em prazo razoável sempre que ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A regulamentação da ANPD estabelece o prazo de 3 dias úteis a partir do conhecimento do incidente para a notificação inicial. Por isso, é fundamental ter um processo de detecção e resposta a incidentes bem definido, o relógio começa a correr a partir do momento que a empresa toma conhecimento.
O uso de WhatsApp e e-mail pessoal para dados de clientes viola a LGPD?
Pode violar, especialmente quando envolve dados pessoais sensíveis ou quando esses canais não oferecem as garantias de segurança e rastreabilidade exigidas. O WhatsApp pessoal não tem controle corporativo de acesso, não gera logs auditáveis e os dados ficam em dispositivos sem gestão da empresa. Para escritórios contábeis e jurídicos que trafegam dados financeiros de clientes, o uso de canais corporativos (e-mail empresarial, Teams, SharePoint) não é apenas uma boa prática. É parte da adequação LGPD.
Empresa adequada à LGPD tem vantagem competitiva?
Sim, cada vez mais. Clientes corporativos, especialmente grandes empresas e órgãos públicos, estão incluindo requisitos de conformidade LGPD em seus processos de contratação. Ter um programa de adequação documentado e auditável é um diferencial real na prospecção de contratos. Além disso, a conformidade LGPD transmite confiança e profissionalismo, o que fortalece o relacionamento com clientes existentes, especialmente relevante para escritórios contábeis que lidam com informações financeiras confidenciais.
