O que a LGPD exige da TI da sua empresa e como saber se você está em conformidade
A Lei Geral de Proteção de Dados (LGPD) completou seus primeiros anos de vigência com enforcement ativo — empresas já receberam multas, advertências e determinações de adequação pela ANPD (Autoridade Nacional de Proteção de Dados). Para a área de TI, a LGPD não é apenas um tema jurídico: impõe requisitos técnicos concretos sobre como dados pessoais são coletados, armazenados, processados e protegidos. Na Altcom, implementamos adequação LGPD como parte estrutural dos ambientes que gerenciamos, e identificamos os mesmos gaps recorrentes na maioria das empresas que ainda não se adequaram.
O que a LGPD exige tecnicamente da TI
- Inventário de dados: Saber quais dados pessoais a empresa coleta, onde estão armazenados, por quanto tempo e quem tem acesso.
- Controle de acesso: Garantir que apenas pessoas autorizadas acessem dados pessoais — com autenticação robusta (MFA) e permissões por perfil de função.
- Criptografia: Dados pessoais sensíveis devem ser criptografados em trânsito e em repouso, especialmente em ambientes de nuvem ou e-mail.
- Logs de auditoria: Registrar quem acessou, modificou ou excluiu dados pessoais — com retenção dos logs por período adequado para responder a incidentes e auditorias.
- Gestão de incidentes: Ter processo definido para detectar, reportar e responder a vazamentos de dados, incluindo notificação à ANPD em até 72 horas em casos graves.
- Descarte seguro de dados: Dados pessoais que não são mais necessários devem ser eliminados de forma segura — não apenas deletados da lixeira, mas sobrescritos ou destruídos fisicamente no caso de mídias físicas.
Os gaps mais comuns encontrados nos diagnósticos
Nos diagnósticos que realizamos, identificamos padrões recorrentes: dados pessoais de clientes em planilhas compartilhadas sem controle de acesso, backups sem criptografia, colaboradores com acesso a dados que vão além do necessário para suas funções, ausência de logs de auditoria em sistemas críticos e nenhum processo definido para o caso de vazamento. Cada um desses pontos representa não apenas um risco de multa, mas uma vulnerabilidade real de segurança.
LGPD e ambientes em nuvem
O uso de nuvem não isenta a empresa de suas obrigações sob a LGPD — pelo contrário, exige atenção adicional. A empresa continua sendo responsável pelos dados mesmo quando armazenados em servidores de terceiros. É preciso verificar se o provedor de nuvem tem certificações adequadas, se os dados de brasileiros ficam em servidores com jurisdição compatível, quais são as políticas de segurança e como o provedor notifica sobre incidentes. Microsoft Azure e Google Cloud têm os instrumentos necessários, mas a configuração correta é responsabilidade do contratante.
Como realizar um assessment de conformidade LGPD
O assessment começa pelo mapeamento: quais dados pessoais a empresa trata, com qual base legal, por quanto tempo e com quais proteções. A partir desse mapa, avalia-se cada requisito técnico — controle de acesso, criptografia, logs, backups, processos de resposta a incidentes. O resultado é um gap analysis com as ações necessárias priorizadas por risco. Empresas que nunca fizeram esse levantamento costumam se surpreender com a quantidade de pontos críticos descobertos.
Empresa não conformante versus empresa adequada à LGPD com Altcom 365
| Critério | Sem adequação LGPD | Com Altcom 365 |
|---|---|---|
| Inventário de dados | Desconhecido — ninguém sabe o que existe | Mapeado, documentado e revisado periodicamente |
| Controle de acesso | Amplo demais — todos acessam tudo | Por perfil de função, com MFA obrigatório |
| Criptografia | Ausente em dados sensíveis | Em trânsito e em repouso nos dados críticos |
| Logs de auditoria | Inexistentes ou não retidos | Ativos, retidos e consultáveis para auditorias |
| Resposta a incidentes | Sem processo — improviso na crise | Protocolo documentado, testado e com SLA |
| Descarte de dados | Simples exclusão sem garantia | Descarte seguro e documentado |
| Risco de multa ANPD | Alto — vulnerabilidades expostas | Baixo — conformidade documentada e auditável |
Conclusão
A LGPD não é uma obrigação a ser ignorada até receber uma notificação — é um conjunto de boas práticas que, quando implementadas corretamente, também fortalecem a segurança geral do ambiente. Empresas adequadas não são apenas menos expostas a multas: são mais seguras, mais confiáveis para clientes e mais resilientes a incidentes. Solicite um diagnóstico gratuito com a Altcom e descubra onde sua empresa está e o que precisa fazer para estar em conformidade.
Perguntas frequentes sobre LGPD e TI
O que é a LGPD e quem precisa cumpri-la?
A LGPD (Lei nº 13.709/2018) regula o tratamento de dados pessoais por empresas e organizações no Brasil. Toda empresa que coleta, armazena, processa ou compartilha dados de pessoas físicas — independente do tamanho ou setor — está sujeita à lei. Isso inclui desde grandes corporações até microempresas que têm cadastro de clientes, colaboradores ou fornecedores.
Quais são as penalidades por descumprimento da LGPD?
A ANPD pode aplicar advertência, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio ou eliminação dos dados e suspensão parcial ou total das atividades de tratamento de dados. As sanções são cumulativas e consideram a gravidade da infração, a boa-fé do responsável e a adoção de medidas de segurança.
Como a LGPD afeta o backup e o armazenamento de dados?
Backups que contêm dados pessoais estão sujeitos à LGPD tanto quanto os sistemas de produção. Isso significa que as cópias de segurança devem ser criptografadas, com acesso controlado e log de quem acessa. Além disso, quando um titular solicita a exclusão de seus dados, é necessário garantir que a eliminação ocorra também nas cópias de backup — o que exige processos específicos de gestão.
Precisamos de um DPO (Encarregado de Dados) para cumprir a LGPD?
A LGPD exige que as empresas indiquem um DPO (Data Protection Officer / Encarregado de Dados), que pode ser uma pessoa interna ou um serviço externo contratado. O DPO é o ponto de contato com a ANPD e com os titulares de dados, responsável por orientar sobre boas práticas e receber reclamações. Para PMEs, a contratação de um DPO externo é uma solução econômica e válida legalmente.
Como a TI gerenciada ajuda na conformidade com a LGPD?
Um provedor de TI gerenciada como a Altcom implementa e mantém os controles técnicos exigidos pela LGPD: controle de acesso com MFA, criptografia de dados, logs de auditoria, backup seguro e processos de resposta a incidentes. Além disso, monitora o ambiente continuamente para detectar desvios e garante que atualizações de segurança sejam aplicadas antes que vulnerabilidades sejam exploradas.
Quando a empresa deve notificar a ANPD sobre um incidente de dados?
A LGPD exige que a ANPD seja notificada em prazo razoável sempre que ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A regulamentação da ANPD estabelece o prazo de 3 dias úteis a partir do conhecimento do incidente para a notificação inicial. Por isso, é fundamental ter um processo de detecção e resposta a incidentes bem definido — o relógio começa a correr a partir do momento que a empresa toma conhecimento.
O uso de WhatsApp e e-mail pessoal para dados de clientes viola a LGPD?
Pode violar, especialmente quando envolve dados pessoais sensíveis ou quando esses canais não oferecem as garantias de segurança e rastreabilidade exigidas. O WhatsApp pessoal não tem controle corporativo de acesso, não gera logs auditáveis e os dados ficam em dispositivos sem gestão da empresa. Para escritórios contábeis e jurídicos que trafegam dados financeiros de clientes, o uso de canais corporativos (e-mail empresarial, Teams, SharePoint) não é apenas uma boa prática — é parte da adequação LGPD.
Empresa adequada à LGPD tem vantagem competitiva?
Sim, cada vez mais. Clientes corporativos, especialmente grandes empresas e órgãos públicos, estão incluindo requisitos de conformidade LGPD em seus processos de contratação. Ter um programa de adequação documentado e auditável é um diferencial real na prospecção de contratos. Além disso, a conformidade LGPD transmite confiança e profissionalismo, o que fortalece o relacionamento com clientes existentes — especialmente relevante para escritórios contábeis que lidam com informações financeiras confidenciais.
