ANPD e LGPD: medidas de segurança para pequenas empresas
A segurança da informação na LGPD deixou de ser recomendação técnica para virar obrigação com número de artigo, agente fiscalizador e multa. O artigo 46 da Lei nº 13.709/2018 determina que o agente de tratamento adote medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda ou alteração. Para a ANPD, a autarquia que fiscaliza a norma no Brasil, o tamanho da empresa muda o custo da adequação, mas não elimina o dever de proteger dados de clientes, funcionários e fornecedores.
Na prática, a exigência se divide em duas frentes complementares: controles técnicos, que agem sobre sistemas, redes e dados, e medidas administrativas, que organizam pessoas, processos e decisões. A separação importa na hora de planejar: técnica se compra e se configura, administrativa se escreve e se cumpre. Uma PME que já usa senhas fortes e cópias de segurança cobre parte da frente técnica; o que costuma faltar é a política escrita, o treinamento da equipe e um plano de reação a incidentes.
Este guia traduz o artigo 46 em um roteiro executável, com tabela de controles técnicos, checklist administrativo e procedimento de resposta a incidentes. A leitura leva dez minutos e evita as interpretações mais caras da norma.
Medidas técnicas essenciais
Medida técnica é qualquer controle aplicado sobre sistemas, redes e dados para reduzir a chance de acesso indevido. A referência nacional mais acessível vem do CERT.br, centro de resposta a incidentes mantido pelo NIC.br, que lembra que a autenticação protege o acesso às contas e envolve, além das senhas, uma segunda etapa de verificação. É o controle com melhor relação custo-benefício para pequenas equipes: o guia de MFA para pequenas equipes mostra como implantá-lo nos e-mails corporativos e nos acessos administrativos sem dor de cabeça.
| Medida técnica | O que faz | Prioridade na PME |
|---|---|---|
| Autenticação multifator | Bloqueia a invasão mesmo quando a senha vaza | Alta |
| Controle de acesso por perfil | Cada pessoa vê apenas o necessário para trabalhar | Alta |
| Backup separado e testado | Restaura dados após ataque ou erro humano | Alta |
| Atualização de software | Fecha falhas conhecidas de sistemas e aplicativos | Média |
| Criptografia em trânsito e em repouso | Protege dados mesmo em caso de interceptação | Média |
| Registro de eventos (logs) | Permite investigar o que aconteceu e quando | Média |
Nenhuma dessas medidas exige laboratório próprio: gestores de senha gratuitos, verificação em duas etapas nativa dos provedores de e-mail e regras de backup automáticas em nuvem já atendem o essencial. O critério legal não é ter a melhor tecnologia do mercado, e sim adotar salvaguardas proporcionais ao volume, à natureza e à sensibilidade dos dados tratados. Dados sensíveis, como os de saúde e os biométricos, elevam o patamar esperado de proteção.
Backups merecem atenção especial: a cópia precisa ficar separada do ambiente principal e ser testada periodicamente, porque backup que nunca foi restaurado é esperança, não controle. Ransomware explora exatamente a empresa que não consegue recuperar seus dados por conta própria.
Medidas administrativas que sustentam
Se os controles técnicos protegem as máquinas, as medidas administrativas protegem o processo. São regras escritas, papéis definidos e hábitos revisados com frequência — exatamente a parte que um auditor e a própria ANPD pedem para ver em uma fiscalização. Sem evidência documentada, nem o melhor firewall conta como medida administrativa.
- Política de segurança da informação escrita e assinada pela diretoria
- Inventário de dados pessoais: o que a empresa guarda, onde e por quê
- Nomeação do encarregado de dados e canal de contato dos titulares
- Treinamento periódico da equipe contra phishing e engenharia social
- Contratos com fornecedores que tratam dados em nome da empresa
- Revisão anual das medidas e registro do que foi ajustado
O documento não precisa ser um tratado: cinco a dez páginas claras valem mais do que cem páginas genéricas baixadas da internet. A ANPD prevê regras simplificadas para agentes de pequeno porte, o que reduz burocracia, mas não dispensa a política escrita. Quem já mantém rotina estruturada de monitoramento encontra no guia de operações de SOC em 2026 para PMEs um modelo de como transformar tarefas soltas em processo contínuo.
A ponte entre os dois grupos de medidas é o princípio da responsabilização: a empresa precisa conseguir demonstrar, com registros datados, que as salvaguardas existem, funcionam e são verificadas periodicamente. Essa demonstração vale tanto para uma fiscalização quanto para a confiança de clientes que perguntam como seus dados são tratados.
Plano de resposta a incidentes
Nenhum conjunto de medidas elimina o risco zero. Por isso, o plano escrito de resposta a incidentes é a medida administrativa que amarra tudo: define quem faz o quê, em que ordem e com quais registros. A própria LGPD trata do tema — incidentes de segurança que possam acarretar risco relevante aos titulares devem ser comunicados à ANPD, e quem responde rápido e documentado reduz danos e sanções.
- Detectar e registrar sintomas, horário e sistemas afetados
- Conter o problema isolando contas e máquinas comprometidas
- Avaliar quais dados pessoais foram expostos, alterados ou perdidos
- Notificar a ANPD quando houver risco relevante e avisar os titulares afetados
- Recuperar o ambiente a partir dos backups e trocar credenciais
- Registrar as lições e atualizar as medidas de segurança
Vale ainda definir previamente quem fala com clientes e fornecedores afetados, quais evidências devem ser preservadas antes da contenção e quando acionar apoio jurídico. Cada item resolvido em tempos de calma economiza horas decisivas durante a crise.
Com essa sequência guardada em uma página interna, com nomes e telefones de quem acionar, a empresa transforma decisão sob pressão em lista de tarefas. É a diferença entre resposta planejada e improviso — e o backup testado é o que garante que a etapa de recuperação exista de fato.
O que diz a CISA
A exigência brasileira conversa com o que autoridades de outros países recomendam para pequenos negócios. A agência federal americana CISA mantém o programa Secure Our World, que recomenda ações simples e diárias para empresas conectadas, partindo do princípio de que a maioria das invasões explora falhas básicas, não técnicas sofisticadas.
Traduzido para a rotina de uma PME lusófona, essa filosofia cabe em hábitos que já aparecem nas seções anteriores: usar gerenciador de senhas, ligar a verificação em duas etapas em todas as contas de trabalho, atualizar sistemas com rapidez e desconfiar de mensagens que pedem dados ou pressionam por urgência. Nada disso substitui as medidas do artigo 46 — complementa, porque reduz a chance de o incidente acontecer e facilita a resposta quando ele acontece.
Para quem opera no Brasil, o valor é duplo: campanhas internacionais de conscientização oferecem material pronto para adaptar ao time, enquanto o artigo 46 define o piso legal que precisa estar coberto de qualquer forma.
Fontes
As informações deste artigo têm base em documentos oficiais: