Adequação técnica à LGPD

Não. O jurídico define bases legais, prazos de retenção e políticas. Nós transformamos essas decisões em comportamento do sistema e fornecemos ao encarregado as informações técnicas de que ele precisa para responder a titulares, clientes e à ANPD.

A lei não cita o pentest pelo nome. O art. 46 exige medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais, e o § 2º do mesmo artigo pede que essas medidas existam desde a concepção do produto. Um pentest com relatório e reteste é uma das formas mais objetivas de demonstrar que essas medidas foram verificadas, e clientes corporativos pedem esse documento com frequência.

A Resolução CD/ANPD nº 15/2024 fixa três dias úteis, contados do momento em que o controlador sabe que o incidente afetou dados pessoais. Agentes de tratamento de pequeno porte têm o prazo em dobro. Os titulares afetados também devem ser comunicados no mesmo prazo, em linguagem simples.

Não. A comunicação é obrigatória quando o incidente pode causar risco ou dano relevante aos titulares, o que envolve, entre outros critérios, dado sensível, dado de criança, adolescente ou idoso, dado financeiro, credencial de acesso, dado protegido por sigilo ou grande número de titulares. Mesmo o incidente não comunicado precisa ficar registrado por no mínimo cinco anos.

O art. 19 da LGPD prevê a confirmação de existência ou o acesso aos dados em formato simplificado, de imediato, ou por declaração completa em até 15 dias contados do pedido. A declaração completa informa a origem dos dados, os critérios usados e a finalidade do tratamento. Sem funções no sistema para localizar e exportar os dados de uma pessoa, esse prazo costuma estourar em consulta manual ao banco.

Sim. Nesse caso a empresa atua como operadora, e o art. 46 vale para todos os agentes de tratamento. Pelo art. 42, o operador responde solidariamente pelos danos quando descumpre a lei ou as instruções lícitas do controlador. Na prática, os clientes corporativos repassam essas exigências em contrato e em questionários de segurança.

O art. 52 da LGPD prevê advertência, publicização da infração, bloqueio ou eliminação dos dados, suspensão do banco de dados ou da atividade de tratamento e multa de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. O titular ainda pode buscar reparação na Justiça, e o dano de reputação de um vazamento costuma pesar mais que a multa.

A LGPD vale para qualquer porte, mas a Resolução CD/ANPD nº 2/2022 simplificou algumas obrigações para agentes de pequeno porte: dispensa de indicar encarregado, desde que haja um canal de comunicação com o titular, política de segurança simplificada e alguns prazos em dobro. Não se enquadra quem faz tratamento de alto risco, ultrapassa o limite de faturamento ou pertence a grupo econômico maior.

Ajuda de forma concreta. O art. 48, § 3º, da LGPD manda considerar, na avaliação da gravidade de um incidente, se os dados estavam protegidos por medidas técnicas que os tornassem ininteligíveis para quem não tinha autorização. Criptografia de dado sensível e de backups, com as chaves guardadas fora do mesmo servidor, pesa a favor da empresa nessa análise.