Normativas / LGPD
LGPD e CMN 4.893: o que sua infraestrutura precisa atender
A Lei Geral de Proteção de Dados (Lei 13.709/2018) impõe obrigações técnicas a qualquer empresa que trate dados pessoais no Brasil: segurança desde o design, comunicação de incidentes à ANPD em 3 dias úteis e registro de incidentes por no mínimo 5 anos. Para bancos, fintechs e instituições de pagamento, a Resolução CMN nº 4.893/2021 e a Resolução BCB nº 85/2021 acrescentam uma política de segurança cibernética, plano de resposta a incidentes e requisitos específicos para a contratação de serviços em nuvem.
O que a LGPD exige tecnicamente
A Lei 13.709/2018 se aplica a qualquer empresa que trate dados pessoais no Brasil, independentemente do setor. As obrigações técnicas estão principalmente no Capítulo VII da lei e nos regulamentos da ANPD.
O art. 46 obriga controladores e operadores a adotar medidas de segurança técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. O parágrafo segundo do mesmo artigo exige que essas medidas sejam observadas desde a fase de concepção do produto ou serviço. A ANPD pode definir padrões técnicos mínimos por regulamento.
Dever de segurança (art. 46)
Medidas técnicas e administrativas proporcionais ao risco: criptografia em repouso e em trânsito, controle de acesso com mínimo privilégio, autenticação multifator, gestão centralizada de segredos e aplicação periódica de patches. A obrigação recai sobre controladores e operadores.
Comunicação de incidentes (art. 48)
O controlador deve comunicar à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 define o prazo de 3 dias úteis, o conteúdo mínimo da comunicação e a obrigação de registro por no mínimo 5 anos.
Encarregado de dados (art. 41)
O controlador deve indicar um encarregado pelo tratamento de dados pessoais. A Resolução CD/ANPD nº 18/2024 regulamenta as atribuições, a publicação obrigatória do nome e contato, e os requisitos de atuação. Em dezembro de 2024, a ANPD iniciou fiscalização direcionada a empresas que não cumpriam o art. 41.
RIPD (art. 38)
A ANPD pode exigir um Relatório de Impacto à Proteção de Dados quando o tratamento for suscetível de gerar riscos às liberdades civis e direitos fundamentais. A boa prática é elaborá-lo preventivamente para tratamentos de alto risco, especialmente os que envolvem dados sensíveis em larga escala ou decisões automatizadas.
Comunicação de incidente: o que a Resolução CD/ANPD nº 15/2024 exige
O regulamento, aprovado em abril de 2024, preenche lacunas que a LGPD deixou em aberto e define prazos, conteúdo mínimo e obrigações de registro para o controlador.
Verificar se o incidente precisa ser comunicado
A comunicação é obrigatória quando o incidente possa afetar significativamente interesses e direitos dos titulares, em especial se envolver dados sensíveis, dados de crianças ou adolescentes, dados financeiros, credenciais de autenticação ou volume relevante de titulares. Um incidente em dados criptografados sem exposição da chave pode não atingir esse limiar.
Comunicar à ANPD em até 3 dias úteis
O prazo conta a partir do momento em que o controlador tem ciência de que dados pessoais foram afetados, não da data de descoberta do evento de segurança. A comunicação inicial pode ser incompleta: o regulamento permite um relatório complementar em até 20 dias úteis. Aguardar a conclusão da análise técnica antes de notificar configura descumprimento do prazo. Para agentes de pequeno porte, os prazos são contados em dobro (6 dias úteis).
Comunicar aos titulares no mesmo prazo
A comunicação deve ser feita de forma direta e individualizada, em linguagem simples, pelos canais disponíveis: telefone, e-mail, mensagem ou carta. Se o contato direto não for possível, a empresa deve publicar aviso em seus canais próprios por pelo menos 3 meses.
Manter registro por no mínimo 5 anos
O controlador deve manter o registro de todos os incidentes, inclusive os que não foram comunicados à ANPD, pelo prazo mínimo de 5 anos a partir da data do incidente. O registro deve conter a natureza dos dados, o número estimado de titulares, as medidas adotadas e, quando aplicável, o motivo da não comunicação.
De obrigação a controle técnico
Mapa das exigências da LGPD e dos regulamentos da ANPD traduzidas em controles de infraestrutura cloud e Kubernetes.
| Obrigação | Base legal | Controle técnico |
|---|---|---|
| Medidas de segurança técnicas e administrativas | Art. 46 LGPD | Criptografia em repouso e em trânsito (TLS 1.2+), rotação periódica de chaves, MFA em produção, controle de acesso com mínimo privilégio em cloud IAM e Kubernetes. |
| Segurança desde a concepção | Art. 46, §2º LGPD | Revisão de arquitetura antes de novos fluxos de dados pessoais, minimização de dados no design de APIs, segredos fora do código-fonte e gerenciados centralmente. |
| Obrigações do operador compatíveis com as do controlador | Art. 47 LGPD | Cláusulas de segurança nos contratos com provedores de nuvem e SaaS (DPA), com obrigação contratual de reportar incidentes ao controlador. |
| Detecção e comunicação de incidentes | Art. 48 LGPD, Res. CD/ANPD nº 15/2024 | Logging centralizado, alertas sobre acessos anômalos, runbooks de resposta a incidentes pré-aprovados com procedimento para comunicar à ANPD em 3 dias úteis. |
| Registro de incidentes por 5 anos | Res. CD/ANPD nº 15/2024, art. 10 | Log imutável de incidentes com retenção mínima de 5 anos: natureza dos dados, número de titulares, medidas adotadas, motivo de não comunicação quando aplicável. |
| Encarregado identificável | Art. 41 LGPD, Res. CD/ANPD nº 18/2024 | Canal dedicado para a ANPD e para titulares, nome e contato do encarregado publicados no site de forma acessível. |
| Transferências internacionais com garantias | LGPD, Res. CD/ANPD nº 19/2024 | Mapeamento das regiões de nuvem onde dados pessoais são processados; contratos com fornecedores estrangeiros utilizando as cláusulas-padrão contratuais aprovadas pela ANPD em agosto de 2024. |
CMN 4.893/2021 e BCB 85/2021: exigências para o setor financeiro
As obrigações da LGPD se somam a um conjunto específico para bancos, fintechs e instituições de pagamento reguladas pelo Banco Central do Brasil.
A Resolução CMN nº 4.893/2021 se aplica às instituições financeiras autorizadas pelo BCB, como bancos, cooperativas de crédito e financeiras. As instituições de pagamento, como emissores de cartão e credenciadoras, seguem a Resolução BCB nº 85/2021, que estabelece o mesmo framework adaptado ao perfil dessas entidades. Ambas as normas entraram em vigor em 1º de agosto de 2021. As duas normas já passaram por atualizações: confira sempre o texto vigente.
Política de segurança cibernética
A política deve garantir confidencialidade, integridade e disponibilidade dos dados e sistemas. Deve cobrir autenticação, criptografia, prevenção e detecção de intrusão, controle de acesso e proteção de rede. Precisa ser aprovada pelo conselho de administração, revisada ao menos anualmente e publicada em resumo no site da instituição.
Plano de ação e resposta a incidentes
As instituições devem ter um plano documentado com rotinas, controles e tecnologias para prevenção e resposta a incidentes, e um diretor formalmente responsável. Um relatório anual sobre a implementação do plano deve ser preparado com data-base de 31 de dezembro e apresentado ao conselho até 31 de março do ano seguinte.
Contratação de nuvem
Antes de contratar serviços relevantes de nuvem, a instituição deve verificar a capacidade do fornecedor de garantir confidencialidade, integridade, disponibilidade e recuperação dos dados. Os contratos devem especificar a localização geográfica do armazenamento, incluir cláusulas de acesso do BCB e obrigação de aviso prévio de 30 dias antes de qualquer interrupção do serviço.
Comunicação ao BCB
A contratação de novos serviços relevantes de nuvem ou processamento deve ser comunicada ao BCB em até 10 dias da assinatura. Para fornecedores estrangeiros sem acordo de supervisão bilateral, pode ser necessária autorização prévia do BCB com 60 dias de antecedência. Incidentes que configurem crise cibernética devem ser comunicados de forma tempestiva.
Sereno não é um escritório de advocacia. Trabalhamos junto ao assessor jurídico da empresa e cuidamos exclusivamente da parte técnica.
Checklist técnico para equipes de engenharia
Pontos mínimos para uma base de conformidade técnica sob a LGPD e as regulamentações do BCB.
- Inventário de dados pessoais: quais dados a empresa trata, em quais sistemas (bancos de dados, buckets, logs, backups), com qual finalidade e base legal.
- Criptografia em repouso e em trânsito habilitada em todos os ativos que contêm dados pessoais, com rotação periódica de chaves.
- Controles de acesso com mínimo privilégio em cloud IAM e Kubernetes, MFA em todos os acessos a dados de produção, eliminação de contas inativas.
- Logging centralizado com retenção adequada para suportar investigação de incidentes, e alertas configurados para acessos anômalos ou exportações em volume.
- Runbook de resposta a incidentes documentado e testado, com procedimento para comunicar à ANPD em 3 dias úteis e aos titulares no mesmo prazo.
- Registro interno de incidentes com retenção mínima de 5 anos, incluindo os que não foram comunicados à ANPD.
- Nome e contato do encarregado publicados e acessíveis no site, com canal funcional para comunicações da ANPD e dos titulares.
- Mapeamento das regiões de nuvem onde dados pessoais são processados; contratos com fornecedores estrangeiros com cláusulas-padrão contratuais aprovadas pela ANPD (Res. CD/ANPD nº 19/2024).
- Para instituições financeiras e de pagamento: política de segurança cibernética aprovada pelo conselho, revisada anualmente e publicada em resumo no site.
- Para instituições financeiras e de pagamento: novos contratos relevantes de nuvem comunicados ao BCB em até 10 dias da assinatura.
- Revisão periódica de configurações, permissões e vulnerabilidades na infraestrutura que processa dados pessoais.
Algumas obrigações de detalhe dependem de regulamentos que a ANPD venha a publicar ou atualizar. Consulte o assessor jurídico para a interpretação das obrigações legais aplicáveis ao seu caso.
Sanções administrativas
O art. 52 da LGPD prevê sanções escalonadas, aplicáveis desde 1º de agosto de 2021. A Resolução CD/ANPD nº 4/2023 regulamenta a metodologia de dosimetria.
| Sanção (art. 52) | Observação |
|---|---|
| Advertência | Com prazo para adoção de medidas corretivas |
| Multa simples | Até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração |
| Multa diária | Respeita o limite total de R$ 50 milhões da multa simples |
| Publicização da infração | Depois de apurada e confirmada a infração |
| Bloqueio dos dados | Até a regularização |
| Eliminação dos dados | Dos dados relacionados à infração |
A Resolução CD/ANPD nº 4/2023 classifica as infrações em leve, média e grave. Em qualquer caso, a multa simples não pode ultrapassar 2% do faturamento nem R$ 50 milhões por infração. Circunstâncias agravantes incluem reincidência, volume de titulares afetados e ausência de cooperação com a ANPD. Circunstâncias atenuantes incluem boa-fé, comunicação tempestiva e adoção rápida de medidas corretivas.
O que a Sereno implementa
Sereno não é um escritório de advocacia: trabalhamos junto ao assessor jurídico da empresa e cuidamos exclusivamente da parte técnica. Todos os engenheiros têm mais de 10 anos de experiência. Começamos com acesso somente de leitura, MFA, mínimo privilégio e NDA assinado. Relatórios podem ser entregues em inglês ou espanhol.
Auditoria de infraestrutura
Revisão em duas semanas da infraestrutura cloud, Kubernetes e postura de segurança: configurações de acesso, criptografia, logging e controles de rede. Levantamento de dados pessoais, mapa de controles existentes e relatório com recomendações priorizadas para conformidade com LGPD e CMN 4.893. A partir de USD 3.000. Ver detalhes.
Implementação técnica de conformidade
Medidas técnicas e organizativas para LGPD e regulamentos da ANPD: controles de acesso, criptografia, logging, runbooks de resposta a incidentes, registros de evidência e revisão técnica de contratos com fornecedores de nuvem. Projetos de conformidade são orçados por escopo. Ver controles SOC 2 e ISO 27001.
Equipe de plataforma e segurança 24/7
Equipe mensal com operações, on-call, aplicação de patches, CI/CD seguro, gestão de segredos, detecção SOC-lite com ferramentas open source, backups, DR e relatório mensal. A partir de USD 8.000/mês. Ver detalhes.
Perguntas frequentes
Qual é o prazo para comunicar um incidente de dados à ANPD?
Pela Resolução CD/ANPD nº 15/2024, o controlador tem 3 dias úteis a partir do momento em que toma ciência de que dados pessoais foram afetados. Não é necessário ter todas as informações disponíveis para cumprir o prazo: o regulamento permite um relatório complementar em até 20 dias úteis. Para agentes de pequeno porte, os prazos são contados em dobro (6 dias úteis). O registro interno de todos os incidentes, inclusive os não comunicados à ANPD, deve ser mantido por no mínimo 5 anos.
A Resolução CMN 4.893/2021 se aplica à minha empresa?
A Resolução CMN nº 4.893/2021 se aplica às instituições financeiras autorizadas pelo Banco Central do Brasil, como bancos múltiplos, comerciais, cooperativas de crédito e financeiras. As instituições de pagamento (emissores de cartão, credenciadoras, iniciadores de transação de pagamento) seguem a Resolução BCB nº 85/2021. Fintechs devem consultar o assessor jurídico para identificar a norma aplicável ao seu modelo de negócio e tipo de autorização específica.
O que é o RIPD e minha empresa precisa elaborar um?
O RIPD (Relatório de Impacto à Proteção de Dados Pessoais) é um documento que detalha os processos de tratamento de dados, os riscos envolvidos e as medidas de mitigação adotadas. O art. 38 da LGPD autoriza a ANPD a exigir o RIPD do controlador quando o tratamento for suscetível de gerar riscos às liberdades civis e aos direitos fundamentais. Diferente do GDPR europeu, a LGPD não impõe uma obrigação automática e universal para todos os tratamentos de alto risco: a ANPD pode solicitar o relatório a qualquer momento. A boa prática é elaborá-lo preventivamente para tratamentos de alto risco, especialmente os que envolvem dados sensíveis em larga escala.
Quais são as sanções da LGPD por descumprimento?
O art. 52 prevê multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração. A ANPD também pode aplicar advertência, multa diária, publicização da infração, bloqueio ou eliminação dos dados. A Resolução CD/ANPD nº 4/2023 regulamenta a dosimetria: as infrações são classificadas em leve, média e grave, e circunstâncias agravantes e atenuantes são consideradas no cálculo da multa.
Minha empresa usa regiões de nuvem fora do Brasil. Isso precisa de formalização?
Sim. As transferências internacionais de dados pessoais são regulamentadas pela LGPD e pela Resolução CD/ANPD nº 19/2024. Usar regiões de nuvem fora do Brasil para processar ou armazenar dados pessoais costuma configurar transferência internacional; confirme o enquadramento com o seu assessor jurídico. A Resolução CD/ANPD nº 19/2024, publicada em agosto de 2024, aprovou cláusulas-padrão contratuais que podem ser usadas como base para essas transferências, com prazo de adequação de 12 meses a partir da publicação.
O que o assessor jurídico cuida e o que a Sereno cuida?
O assessor jurídico cuida da interpretação das obrigações legais, da estratégia de conformidade e das relações com a ANPD. A Sereno implementa os controles técnicos: configurações de segurança em cloud e Kubernetes, criptografia, gestão de acesso e identidade, logging e alertas, runbooks de resposta a incidentes, registros de evidência e revisão técnica de contratos com fornecedores de nuvem. Trabalhamos em conjunto, cada um dentro da sua área de competência.
Fontes
Última revisão: 9 de novembro de 2026. As normas mudam: confira sempre o texto oficial vigente com o seu assessor jurídico.
Vamos conversar 20 minutos
Escolha um horário no calendário. É uma videochamada de 20 minutos pelo Google Meet, e nela só queremos entender o seu contexto. As reuniões são em inglês.
O escríbenos a hola@serenoops.com