O artigo 46 da LGPD obriga toda empresa que trata dado pessoal a adotar "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão". A lei não lista essas medidas uma por uma, e essa ausência de lista gera a dúvida mais comum de quem está implementando conformidade: quais controles, exatamente, contam como suficientes?

Esse artigo detalha o que a LGPD exige, artigo por artigo, e o que a experiência de mercado já consolidou como resposta prática à falta de uma lista fechada, incluindo o que muda quando o dado é sensível, o que fazer em caso de incidente e como o tamanho da empresa entra na conta.

A diferença entre esse tema e a privacidade de dados em si está detalhada em outro artigo deste hub; aqui o foco é exclusivamente na camada técnica e administrativa da segurança.

A decisão de não fechar uma lista técnica dentro do texto da lei foi deliberada. Tecnologia de segurança da informação muda em ciclos de meses, criptografia considerada robusta hoje pode ser obsoleta em poucos anos, e uma lei que travasse um padrão técnico específico ficaria desatualizada rapidamente.

Por isso, o parágrafo 1º do artigo 46 delega à Autoridade Nacional de Proteção de Dados (ANPD) o poder de "dispor sobre padrões técnicos mínimos" considerando a natureza das informações tratadas, as características específicas do tratamento e o estado atual da tecnologia.

Até a publicação deste artigo, a ANPD ainda não emitiu um regulamento técnico fechado e específico definindo esses padrões mínimos de forma detalhada, o que deixa a avaliação de adequação sendo feita caso a caso, por proporcionalidade entre o risco do dado e a robustez do controle.

Isso não significa vácuo normativo. Significa que a régua de exigência varia: uma clínica que trata dado de saúde (dado sensível pelo artigo 5º, inciso II) precisa de controles mais rígidos do que uma newsletter que trata apenas nome e e-mail.

Medida técnica é todo controle implementado na própria infraestrutura de tecnologia da empresa, sem depender de decisão humana no momento do uso. Seis categorias aparecem com mais frequência nas implementações consideradas adequadas pelo mercado.

Dado em trânsito é o que se move entre sistemas, por exemplo entre o navegador do cliente e o servidor da empresa. Dado em repouso é o que fica armazenado em um banco de dados ou arquivo.

Os dois precisam de criptografia: conexões HTTPS cobrem o primeiro caso, e algoritmos como AES-256 aplicados ao banco de dados cobrem o segundo. Um erro comum é criptografar apenas o tráfego (o "cadeado" do navegador) e deixar o banco de dados de produção acessível em texto puro para quem tiver a credencial certa.

Nem todo funcionário precisa ver todo dado. Controle de acesso por função (o inglês costuma chamar de role-based access control) significa que o time de atendimento vê o histórico de compra do cliente, mas não vê, por exemplo, dado bancário completo, que fica restrito ao time financeiro. Esse controle reduz drasticamente o dano de um incidente: um funcionário mal-intencionado, ou uma credencial roubada, só expõe o dado ao qual aquela pessoa tinha acesso legítimo.

Senha sozinha é considerada insuficiente para sistemas que armazenam dado pessoal em volume relevante. Autenticação de dois fatores (2FA), exigindo um segundo elemento além da senha (um código enviado ao celular, por exemplo), é hoje o piso mínimo esperado para acesso administrativo a qualquer sistema que trate dado pessoal.

O artigo 46 fala em proteger contra "perda" e "destruição" do dado, não apenas contra acesso indevido. Um backup regular, testado periodicamente (não apenas configurado e esquecido), garante que um ataque de ransomware ou uma falha de hardware não vire perda permanente de informação, o que por si só já configuraria uma violação do artigo.

Sistemas que registram e alertam sobre comportamento fora do padrão, como um número incomum de tentativas de login ou uma exportação de dado em volume atípico, permitem que a empresa descubra um incidente em horas, e não em meses. O tempo entre a ocorrência de um vazamento e sua descoberta é, historicamente, um dos fatores que mais agravam o dano final, porque cada dia adicional é tempo a mais de exposição do dado.

O parágrafo 1º do artigo 46 menciona "o estado da técnica" como parâmetro. Na prática, isso se traduz em testar os controles periodicamente, seja através de auditoria interna, seja contratando testes de invasão (pentest) externos, para verificar se o que foi implementado continua funcionando conforme o esperado à medida que o sistema evolui.

Medida administrativa é o controle que depende de processo organizacional e comportamento humano, não apenas de configuração de sistema. Quatro frentes aparecem como as mais relevantes.

Um documento formal, aprovado pela liderança da empresa, que define regras claras: quem pode acessar qual sistema, como uma senha deve ser criada, o que fazer ao identificar uma tentativa de phishing, como um dispositivo pessoal pode (ou não) ser usado para acessar dado da empresa. Sem esse documento, cada funcionário aplica seu próprio critério, o que gera inconsistência exatamente no ponto mais sensível da operação.

A maior parte dos incidentes de segurança no mundo real não começa com um ataque técnico sofisticado, começa com um funcionário clicando em um link malicioso ou compartilhando uma senha por engano. Treinamento recorrente, não apenas no onboarding, reduz esse vetor de forma mensurável.

Quando a empresa contrata um fornecedor que vai processar dado pessoal em nome dela (um serviço de e-mail marketing, uma plataforma de atendimento, uma CMP), a LGPD trata esse fornecedor como operador, e a responsabilidade pela segurança do dado não desaparece só porque ele está com um terceiro. Contratos com cláusulas específicas de segurança e um processo de avaliação de fornecedor antes da contratação fazem parte da medida administrativa exigida.

O modelo de responsabilidade compartilhada, comum em contratos de nuvem e software como serviço, ajuda a visualizar essa divisão: o fornecedor de infraestrutura (um provedor de nuvem, por exemplo) normalmente responde pela segurança física dos servidores, da rede e da camada de virtualização.

A empresa contratante continua responsável pela configuração da própria aplicação, pelo controle de quem acessa o quê dentro do sistema, e pela política de retenção do dado armazenado. Terceirizar a infraestrutura não terceiriza essa segunda camada de responsabilidade, e é exatamente nesse ponto que fica a maior parte das falhas: não no provedor de nuvem, mas na configuração que a própria empresa faz em cima dele.

Antes de contratar qualquer fornecedor que vá tratar dado pessoal em nome da empresa, três perguntas ajudam a avaliar o risco: o fornecedor tem alguma certificação de segurança reconhecida ou relatório de auditoria disponível? O contrato define claramente o que acontece em caso de incidente do lado do fornecedor, incluindo prazo de notificação para a empresa contratante? Existe cláusula que garanta a eliminação do dado ao final do contrato, e não apenas a interrupção do acesso?

O encarregado de dados é a peça central da medida administrativa: é essa pessoa (ou função) que garante que a política de segurança existe, é seguida, e é atualizada quando o risco muda. Sem um responsável claro, políticas de segurança tendem a ficar desatualizadas silenciosamente.

Um ponto frequentemente esquecido é o artigo 47 da LGPD, que estende a obrigação de segurança da informação para além do momento em que o dado deixa de ser ativamente usado. Backup antigo, cópia de sistema legado, planilha exportada há dois anos e esquecida em uma pasta compartilhada, tudo isso continua sob a mesma obrigação de proteção do artigo 46, mesmo que ninguém mais use esse dado no dia a dia.

Isso conecta diretamente com uma prática de privacidade: definir prazo de retenção e efetivamente eliminar dado que não tem mais finalidade ativa reduz, ao mesmo tempo, o volume de dado que precisa ser protegido para sempre. Dado eliminado corretamente não pode vazar depois.

Mesmo com controles adequados, incidentes acontecem. O artigo 48 da LGPD exige que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar "risco ou dano relevante", em prazo razoável, definido pela autoridade.

O parágrafo 1º detalha o conteúdo mínimo dessa comunicação:

1. Descrição da natureza dos dados pessoais afetados.
2. Informação sobre os titulares envolvidos.
3. Indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial.
4. Os riscos relacionados ao incidente.
5. Os motivos da eventual demora na comunicação, quando aplicável.
6. As medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

O parágrafo 3º do mesmo artigo acrescenta um detalhe prático relevante: se o dado afetado estava protegido por medida técnica (criptografia, por exemplo) que o tornava ininteligível para quem não tinha autorização de acesso, isso pode reduzir a gravidade do incidente na avaliação da autoridade. É um dos poucos pontos em que a lei recompensa diretamente, e de forma explícita, o investimento prévio em segurança técnica.

O termo "vazamento de dados" virou popular na imprensa para descrever qualquer evento de exposição indevida de informação, mas juridicamente a LGPD trabalha com o conceito mais amplo de "incidente de segurança", que cobre quatro cenários distintos: acesso não autorizado, destruição, perda e alteração indevida do dado.

Um vazamento (o dado sendo exposto ou copiado por quem não deveria) é apenas um desses quatro cenários. Um ataque de ransomware que criptografa e torna o dado inacessível para a própria empresa, sem necessariamente copiá-lo para fora, também é incidente de segurança sob o artigo 48, mesmo sem "vazamento" no sentido popular do termo.

Da mesma forma, uma falha de sistema que corrompe um banco de dados, tornando a informação de titulares inutilizável, se enquadra como "alteração" ou "destruição" acidental, ainda que nenhum dado tenha saído da empresa.

Essa distinção importa na prática porque muitas empresas só ativam o protocolo de comunicação do artigo 48 quando pensam ter sofrido um "vazamento" no sentido estrito, deixando de comunicar cenários de perda ou corrupção de dado que tecnicamente já ativam a mesma obrigação legal.

A lei não define uma métrica fechada. Na prática, considera-se a sensibilidade do dado (dado de saúde ou financeiro pesa mais que um cadastro simples de nome e e-mail), o volume de titulares afetados, e a probabilidade real de dano concreto (um vazamento de senha já trocada tem impacto diferente de um vazamento de CPF ativo).

Essa avaliação normalmente é conduzida pelo encarregado de dados junto com o time de segurança técnica, e documentar o raciocínio da decisão, mesmo quando a conclusão é não comunicar, é parte recomendada do processo.

O artigo 52 da LGPD lista as sanções administrativas aplicáveis por infração à lei, incluindo falhas de segurança. A Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, aprovou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, detalhando como a autoridade calcula a gravidade e o valor de cada penalidade.

As sanções previstas vão além da multa simples e incluem: advertência, multa diária, publicização da infração, bloqueio dos dados pessoais, eliminação dos dados pessoais, suspensão parcial do funcionamento do banco de dados por até seis meses, suspensão do exercício da atividade de tratamento por até seis meses, e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

A multa simples, especificamente, pode chegar a 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, conforme o próprio artigo 52.

A dosimetria (o cálculo de qual sanção e qual valor se aplicam) considera fatores como a gravidade e a natureza das infrações, a boa-fé do infrator, a vantagem obtida (ou pretendida), a condição econômica da empresa, a reincidência e o grau de dano. O detalhamento completo de valores e casos já aplicados está em Multas na LGPD, incluindo o histórico de decisões da ANPD até o momento.

O artigo 5º, inciso II, da LGPD define como dado sensível aquele sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. O artigo 11 estabelece regras mais rígidas para o tratamento desse tipo de dado, e essa régua mais alta se estende diretamente para a segurança.

Na prática, dado sensível costuma exigir, além de tudo já listado nas medidas técnicas e administrativas:

• Segregação física ou lógica do restante da base de dados, para que um vazamento em outro sistema não exponha automaticamente o dado sensível junto.
• Log de acesso mais granular, registrando não apenas quem acessou o sistema, mas quem visualizou o registro específico daquele titular.
• Minimização mais agressiva, coletando apenas o campo estritamente necessário. Um formulário de cadastro de plano de saúde, por exemplo, não precisa perguntar detalhe de diagnóstico que não seja relevante para a finalidade declarada.
• Revisão de acesso mais frequente, removendo permissão de funcionários que mudaram de função e não precisam mais daquele nível de visibilidade.

Uma empresa que trata volume relevante de dado sensível (uma clínica, um plano de saúde, uma plataforma de RH que lida com dado de saúde ocupacional) deveria tratar a segurança desse dado como um projeto separado, com dono e orçamento próprios, e não apenas como uma extensão do controle de acesso genérico já existente.

A ausência de um regulamento técnico fechado da ANPD não significa que o mercado brasileiro parte do zero. Frameworks internacionais consolidados servem como referência prática para o que conta como "estado da técnica", ainda que nenhum deles seja exigência legal direta da LGPD.

A norma ISO/IEC 27001 é a referência internacional mais reconhecida para sistema de gestão de segurança da informação, cobrindo desde política documentada até controle técnico e resposta a incidente. Empresas que buscam certificação nessa norma tendem a atender, quase como efeito colateral, a maior parte do que um fiscal da ANPD esperaria encontrar numa auditoria de segurança.

O framework NIST Cybersecurity Framework, do instituto de padrões técnicos dos Estados Unidos, organiza a segurança em cinco funções (identificar, proteger, detectar, responder, recuperar) e é frequentemente usado por empresas de tecnologia como estrutura de referência interna, mesmo sem buscar certificação formal.

Para uma empresa que já atende clientes fora do Brasil, alinhar a segurança interna a um desses padrões internacionais, mesmo de forma informal, reduz o retrabalho de ter que justificar controles separados para cada regime legal (LGPD no Brasil, GDPR na Europa, e assim por diante), porque a base técnica de segurança tende a ser a mesma, independentemente de qual lei está sendo avaliada.

Um erro comum é achar que a LGPD exige o mesmo nível de investimento técnico de uma pequena empresa e de uma multinacional. A lei fala em medidas "aptas a proteger" considerando a natureza do dado e o risco envolvido, o que abre espaço para proporcionalidade, mas não para ausência de controle.

Uma microempresa que trata apenas nome, e-mail e telefone de clientes para envio de nota fiscal não precisa do mesmo aparato de segurança de um banco. Ainda assim, ela precisa de controle de acesso básico, backup funcional, e um mínimo de higiene de senha, exatamente porque o artigo 46 não estabelece piso zero para nenhum tratamento de dado pessoal.

Já uma empresa que trata dado sensível (saúde, biometria, dado de criança) em volume, independentemente do porte, enfrenta uma régua de exigência mais alta, porque o risco por titular afetado é maior.

O artigo 50 da LGPD incentiva os agentes de tratamento a formularem um "programa de governança em privacidade", que demonstre o comprometimento da empresa com a proteção de dados de forma verificável e não apenas declarativa. A segurança da informação é uma das peças centrais desse programa, junto com a política de privacidade e o mapeamento de bases legais.

Um programa de governança maduro conecta os pontos que este artigo detalhou de forma isolada: o inventário de dado alimenta o controle de acesso, a política de retenção alimenta o volume de dado que precisa de backup e criptografia, o plano de resposta a incidente se conecta diretamente com o texto do artigo 48.

Empresas que tratam esses elementos como parte de um único programa, com dono, orçamento e revisão periódica, tendem a demonstrar de forma mais convincente perante a ANPD que a segurança não é um esforço isolado e reativo, mas parte da cultura operacional da empresa, o que o próprio artigo 50 elenca como um dos parâmetros considerados na aplicação de sanções.

A adoção ampla de trabalho remoto mudou o perímetro de segurança de muitas empresas. Antes, o dado ficava dentro de uma rede corporativa fechada; hoje, ele é acessado de casa, de coworking, por notebook pessoal em alguns casos, e por conexão de internet que a empresa não controla.

Isso não muda a obrigação do artigo 46, apenas muda onde os controles precisam ser aplicados. Três ajustes costumam ser necessários quando parte relevante do time trabalha remotamente:

• VPN ou acesso segmentado para qualquer sistema que armazene dado pessoal, em vez de exposição direta à internet.
• Gestão de dispositivo, garantindo que notebooks usados para acessar dado da empresa tenham antivírus atualizado, disco criptografado e trava de tela automática, seja o equipamento fornecido pela empresa ou, quando permitido, pessoal.
• Revisão da política de uso aceitável, cobrindo explicitamente cenários como uso de rede Wi-Fi pública, compartilhamento de computador com outros membros da família, e uso de aplicativo pessoal de armazenamento em nuvem para arquivo de trabalho.

Empresas que migraram para modelo remoto ou híbrido sem revisar esses três pontos tendem a manter uma política de segurança desenhada para um perímetro de rede que já não existe mais na prática.

Uma lista de verificação direta ajuda a traduzir o texto da lei em ação concreta:

• Existe inventário de onde cada tipo de dado pessoal está armazenado?
• O acesso a dado sensível é restrito por função, e não aberto a toda a equipe?
• Sistemas administrativos exigem autenticação de dois fatores?
• Existe rotina de backup testada, não apenas configurada?
• Existe monitoramento ativo de acesso anômalo aos sistemas que guardam dado pessoal?
• Existe política de segurança da informação formal, aprovada pela liderança?
• Fornecedores que processam dado pessoal em nome da empresa têm cláusula contratual de segurança?
• Existe plano de resposta a incidente, com responsável definido, testado ao menos uma vez?
• Dado sem finalidade ativa é efetivamente eliminado, e não apenas arquivado indefinidamente?

Marcar "não" em qualquer item acima é um indicativo direto de exposição ao artigo 46 da LGPD.

Ignorar o texto oficial da lei e confiar apenas em resumos de terceiros. O texto integral da LGPD está disponível no site do Planalto, e vale consultar diretamente os artigos 46 a 52 antes de tomar qualquer decisão baseada apenas em interpretação de terceiros, incluindo este próprio artigo.

Confundir conformidade documental com conformidade técnica real. Ter uma política de segurança da informação impressa na gaveta não substitui o controle de acesso efetivamente configurado no sistema. A ANPD, numa fiscalização, avalia o que o sistema realmente faz, não apenas o que o documento descreve.

Achar que segurança é investimento único. Configurar um controle uma vez e nunca revisar é o mesmo que não ter controle nenhum depois de alguns anos, porque ameaças e tecnologia mudam continuamente, e o parágrafo 1º do artigo 46 fala explicitamente em considerar "o estado da técnica" como parâmetro contínuo, não fixo.

Ignorar a segurança do consentimento de cookies como parte da mesma obrigação. O aviso de cookies do site também trata dado pessoal (identificadores de navegador, comportamento de navegação), e a integridade técnica desse fluxo, do clique do usuário até a ativação em ferramentas como Google e Meta, está sujeita à mesma régua de segurança do artigo 46. Esse ponto específico é detalhado em Segurança de Dados no Consentimento.

Nem toda empresa consegue implementar as nove categorias de controle listadas neste artigo de uma vez, e tentar fazer tudo ao mesmo tempo costuma resultar em nada bem-feito. Uma ordem de prioridade prática, baseada no impacto por real investido, costuma seguir esta sequência:

1. Controle de acesso e autenticação forte primeiro, porque é o controle mais barato de implementar e o que mais reduz a superfície de risco de imediato, especialmente contra o vetor mais comum de incidente: credencial comprometida.
2. Backup testado em segundo lugar, porque protege contra o cenário de maior dano irreversível (perda definitiva de dado), com custo de implementação relativamente baixo.
3. Criptografia de dado em repouso para as bases que armazenam dado sensível ou financeiro, priorizando pelo risco do dado, não pelo sistema mais fácil de criptografar.
4. Política documentada e treinamento, que tem custo baixo e efeito direto na redução do erro humano, o vetor de incidente mais comum no mercado.
5. Monitoramento e plano de resposta a incidente por último nessa ordem de prioridade inicial, não porque seja menos importante, mas porque só faz sentido pleno depois que os controles anteriores já reduziram o volume de eventos a monitorar.

Essa priorização não substitui o objetivo final de cobrir todas as frentes, mas evita que uma empresa com recurso limitado gaste tudo num único controle sofisticado enquanto deixa brechas básicas abertas em outro lugar.

Não em número de dias fixo no texto da lei. O artigo 48 fala em "prazo razoável", a ser definido pela ANPD conforme a situação. Na prática, o mercado trata como boa prática comunicar assim que a gravidade do incidente for avaliada e confirmada, evitando atraso injustificado que, por si só, já pode ser considerado uma falha adicional.

A LGPD prevê tratamento diferenciado para pequenas empresas e startups em outros pontos da lei (como prazos processuais), mas o dever de segurança do artigo 46 se aplica a qualquer agente de tratamento, sem isenção de porte. O que varia é a proporcionalidade da medida ao risco, não a existência da obrigação.

Não existe uma lista fechada e oficial até a publicação deste artigo. A avaliação considera se a medida era adequada ao risco e à sensibilidade do dado tratado, com base no estado da técnica disponível no momento do tratamento. Documentar as medidas adotadas e a justificativa para cada escolha ajuda a demonstrar boa-fé e adequação numa eventual fiscalização.

Não sozinho. Um fornecedor de infraestrutura em nuvem confiável cobre parte da segurança física e de rede, mas a empresa contratante continua responsável pelo controle de acesso, pela política de retenção e pela resposta a incidente dentro da própria aplicação. A LGPD trata a responsabilidade como compartilhada entre controlador e operador, nunca inteiramente transferida.

Não existe certificação que, por si só, garanta conformidade legal automática. Certificações reconhecidas internacionalmente, como a ISO/IEC 27001, ajudam a demonstrar maturidade em segurança da informação e podem ser usadas como evidência de boa prática, mas a avaliação final de adequação ao artigo 46 da LGPD é feita pela ANPD considerando o caso concreto, não pela existência isolada de um certificado.

Sim. O artigo 46 exige que a empresa adote medidas de segurança, o que inclui prevenir e mitigar risco de erro humano interno, não apenas ataque externo. Uma falha de segurança causada por um funcionário que clicou em um link malicioso, compartilhou senha indevidamente ou configurou incorretamente um sistema não isenta a empresa da responsabilidade pelo incidente, especialmente se não havia treinamento, política ou controle técnico (como autenticação de dois fatores) que pudesse ter mitigado esse risco específico.

O aviso de cookies do seu site trata dado pessoal como qualquer outro sistema, e precisa da mesma atenção do artigo 46. Comece grátis com a AdOpt e organize o registro de consentimento com o mesmo rigor técnico que você já aplica ao resto da operação.

• Privacidade e Segurança de Dados: Qual a Diferença
• Segurança de Dados no Consentimento: Como Proteger os Dados do Usuário da Coleta até a Ativação