Quais Medidas de TI São Obrigatórias pela LGPD em 2026?

Muitas empresas ainda tratam a LGPD como uma questão exclusivamente jurídica: contratam um advogado, assinam um termo de privacidade e acreditam que estão cobertas. Esse raciocínio tem um defeito grave. A lei cria obrigações técnicas reais, que dependem de infraestrutura de TI para serem cumpridas. Entender quais medidas de TI LGPD são obrigatórias é o primeiro passo para sair da zona de risco, e a maioria das empresas brasileiras ainda não tem essa clareza.

O Art. 46 da Lei 13.709/2018 determina que controladores e operadores devem adotar “medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais”. O problema está no adjetivo “aptas”: a lei não entrega uma lista de tecnologias. Ela coloca sobre a empresa a responsabilidade de definir, implementar e comprovar que os controles escolhidos são proporcionais ao risco. Quem não fizer isso está exposto a multas de até R$ 50 milhões por infração. Este artigo destrincha o que a ANPD e as melhores práticas reconhecem como essencial.

Somos uma empresa especializada em Tecnologia da Informação, Microsoft 365 Suporte no Brasil e Instalação de Wifi 7. Atendemos presencialmente as cidades de Belo Horizonte e região metropolitana, e oferecemos atendimento remoto para Rio de Janeiro, São Paulo, Salvador, Brasília, Vitória, Goiânia e Porto Alegre. Atuamos com soluções e serviços de TI personalizados (outsourcing) e disponibilizamos profissionais capacitados para atuar in loco. Para demais localidades, consulte a viabilidade através do e-mail [email protected].

O que a lei diz, e o que ela não diz, sobre segurança de TI

O Art. 46 é o dispositivo central da obrigação de segurança. Ele cobre cinco cenários que a empresa precisa prevenir: acessos não autorizados, destruição, perda, alteração e tratamento ilícito de dados pessoais. A exigência vale tanto para controladores quanto para operadores, ou seja, quem define o uso dos dados e quem executa o tratamento compartilham essa responsabilidade.

O que o Art. 46 não faz é especificar quais tecnologias usar. A lei menciona o “estado da técnica” como parâmetro, o que significa que as medidas precisam acompanhar a evolução do mercado. O que era considerado suficiente em 2020 pode não ser mais adequado em 2026. Essa exigência dinâmica é o que torna a conformidade um processo contínuo, não um projeto com data de entrega.

O Art. 50 completa o quadro com o conceito de accountability: não basta implementar medidas, é preciso demonstrar que elas existem e funcionam. A ausência de evidências documentadas é, por si só, uma falha de conformidade, independentemente de ter ocorrido qualquer vazamento. Na prática, a falta de documentação dificulta a defesa da empresa em uma investigação e pode resultar em sanções, a aplicação depende do contexto do caso, mas a orientação da ANPD sobre o princípio da accountability (Art. 50) é clara ao exigir a capacidade de demonstrar as medidas adotadas. Esse ponto surpreende a maioria dos gestores quando é explicado pela primeira vez.

Quais medidas de TI LGPD são obrigatórias: criptografia e controle de acesso

Criptografia em repouso, em trânsito e o papel da pseudonimização

Dados pessoais existem em dois estados dentro de uma empresa: armazenados (em servidores, bancos de dados, discos) e em movimento (trafegando pela rede, sendo enviados por e-mail ou acessados remotamente). Os dois estados precisam de proteção criptográfica. Banco de dados sem criptografia em repouso, acesso remoto sem VPN e sistemas sem HTTPS são vulnerabilidades diretas ao Art. 46.

A pseudonimização e a anonimização funcionam como camadas adicionais de controle: reduzem o risco de identificação direta em caso de vazamento. Um banco de dados que substitui nomes por códigos internos ainda contém dados pessoais, mas o impacto de um incidente é significativamente menor. Em cenários de alto risco, a ANPD reconhece essas técnicas como medidas que podem reduzir a necessidade de notificação pública de incidentes, o que as torna relevantes tanto para a proteção quanto para a gestão de consequências regulatórias.

Controles de segurança de TI: menor privilégio e autenticação multifator

O princípio do menor privilégio é direto: cada colaborador acessa apenas os dados de que realmente precisa para executar o seu trabalho. Um analista financeiro não precisa ver prontuários de clientes. Um vendedor não precisa acessar a folha de pagamento. Quando as permissões são amplas demais, um único acesso comprometido expõe toda a base de dados.

A autenticação multifator (MFA) é o complemento indispensável, especialmente para sistemas com dados sensíveis e acessos remotos. Revisão periódica de permissões e revogação imediata de acesso quando um colaborador sai da empresa completam esse controle. Manter esse processo ativo de forma consistente exige uma gestão de TI estruturada, e muitas PMEs têm dificuldade exatamente nesse ponto, seja por falta de equipe especializada ou de rotinas definidas.

Firewall, monitoramento de rede e registros de auditoria

Firewall como barreira ativa contra acessos não autorizados

O Art. 46 fala em proteção contra “acessos não autorizados”. Um firewall bem configurado é a tradução técnica direta dessa exigência. Para orientações práticas sobre como configurar um firewall, existem guias de boas práticas que detalham políticas de negação por padrão, segmentação e regras específicas de tráfego. Simplesmente “ter um firewall” não é suficiente: ele precisa ser configurado com política de negação por padrão, segmentação interna de rede e regras específicas para cada tipo de tráfego.

O firewall de borda bloqueia ameaças externas. A segmentação interna impede que uma invasão em um setor da rede se propague para os sistemas que contêm dados pessoais. Filtros de e-mail e antivírus integrados são camadas complementares que figuram entre as recomendações de boas práticas de segurança alinhadas à LGPD. Um firewall desatualizado ou mal configurado oferece a falsa sensação de proteção e não sustenta nenhuma evidência de conformidade.

Logs de auditoria: quem acessou o quê e quando

Logs de auditoria são a memória do sistema. Eles permitem rastrear comportamentos anômalos, identificar o ponto de entrada de um ataque e demonstrar para a ANPD que os controles estavam ativos no momento de um incidente. Um log eficaz precisa registrar o usuário, o horário, a ação realizada e o sistema acessado.

Sem logs estruturados, a empresa não consegue nem confirmar se sofreu um vazamento, muito menos provar o contrário para o regulador. Como orientação de boas práticas alinhada à LGPD, recomenda-se a conservação dos registros por um a dois anos, com revisão periódica por um responsável de segurança. Logs protegidos contra manipulação e acesso indevido fazem parte da exigência: o registro de auditoria precisa ser confiável para ter valor probatório.

Backup corporativo e plano de resposta a incidentes

Estratégia de backup que vai além de “fazer uma cópia”

O Art. 46 protege dados pessoais contra “destruição, perda e alteração”. O backup é a medida técnica direta para esses três cenários. Mas backup não é apenas guardar uma cópia: a estratégia precisa garantir que o backup funciona, que pode ser restaurado dentro do tempo necessário e que está armazenado em local separado do ambiente principal.

A regra 3-2-1 é o padrão de mercado reconhecido: três cópias dos dados, em duas mídias diferentes, sendo uma fora do ambiente principal (offsite ou em nuvem). Para orientações práticas sobre estratégias e normas de backup adequadas à LGPD, consulte um guia de backup para LGPD. Testes periódicos de restauração, mensalmente é a frequência recomendada pelo mercado, são igualmente essenciais. Um backup que nunca foi testado pode falhar exatamente no momento em que a empresa mais precisa dele, transformando uma crise gerenciável em perda irreversível de dados.

Plano de resposta a incidentes e o prazo de notificação à ANPD

A LGPD exige notificação à ANPD e aos titulares afetados em caso de incidente com risco relevante. Como referência prática adotada pelo mercado, e influenciada pelo modelo do GDPR europeu, , 72 horas é o prazo geralmente utilizado para estruturar o processo de notificação. Sem um plano documentado, a empresa improvisa durante a crise: sem saber quem deve ser notificado, quais dados foram afetados ou qual a extensão do incidente.

O plano de resposta a incidentes define o que fazer nas primeiras horas após um vazamento: quem lidera a resposta, como isolar os sistemas comprometidos, como comunicar interna e externamente, e como preservar as evidências. Esse documento transforma uma situação de pânico em um processo gerenciável. A ANPD avalia a existência e a adequação desse plano como parte do julgamento de conformidade.

Documentar é tão obrigatório quanto implementar

Política de segurança, DPIA, encarregado (DPO) e inventário de dados

A ANPD não quer apenas saber se a empresa tem firewall. Ela quer a evidência de que o firewall está configurado, atualizado e monitorado. Conformidade com a LGPD não é um projeto de TI com início, meio e fim: é uma prática contínua de gestão com evidências acumuladas ao longo do tempo.

Os documentos essenciais que a ANPD espera encontrar incluem: Como implementar uma Política de TI (mesmo que simplificada para PMEs), inventário de dados pessoais tratados pela empresa, a Avaliação de Impacto à Proteção de Dados (DPIA) para tratamentos de alto risco e a designação formal do encarregado (DPO), que integra a governança de dados exigida pelo Art. 41 da LGPD. Esses documentos precisam ser atualizados continuamente. Uma política criada em 2022 e nunca revisada não demonstra conformidade: demonstra negligência.

O que a falta de evidências pode custar

O quadro sancionatório da LGPD prevê: advertência com prazo para correção, multa simples de até 2% do faturamento limitada a R$ 50 milhões por infração, bloqueio de dados e até proibição das atividades de tratamento. A ANPD tem adotado postura predominantemente educativa desde que as sanções passaram a valer em agosto de 2021; a tendência, porém, é de maior atuação sancionadora à medida que o mercado amadurece e a autoridade consolida sua estrutura. Para entender recomendações práticas direcionadas a agentes de pequeno porte, veja um resumo das principais recomendações da ANPD para pequenos agentes.

O ponto que mais importa: a ausência de documentação pode ser tratada como falha de conformidade independente de qualquer vazamento real. A empresa pode nunca ter sido atacada e ainda assim ser autuada por não conseguir demonstrar que adotou as medidas exigidas. Implementar sem registrar, para fins de auditoria, equivale a não implementar.

Por que implementar tudo isso sozinho é mais difícil do que parece

Percorridos os cinco blocos de controles técnicos, o gestor já tem dimensão real do escopo: criptografia, controle de acesso com revisões periódicas, firewall configurado e monitorado, logs estruturados e auditados, backup testado regularmente, plano de resposta documentado e atualizado. Isso não é um projeto de fim de semana. É uma operação permanente que exige rotinas técnicas mantidas de forma consistente.

A realidade de muitas PMEs brasileiras é que elas entendem a necessidade de cada um desses controles, mas não têm equipe interna para configurar, monitorar e atualizar todos eles de forma contínua. Manter esses controles ativos não tem data de encerramento: acompanha o crescimento da empresa, as mudanças de sistema e a evolução das ameaças.

Para gestores que buscam entender mais sobre o tema, a visão sobre compliance em TI ajuda a dimensionar o que é papel da governança e o que é execução técnica.

É exatamente esse gap que a 4Infra Consultoria resolve para empresas em Belo Horizonte e região. Com mais de 10 anos de atuação em infraestrutura de TI para PMEs, a 4Infra implementa e mantém os controles que a LGPD exige. Entre os serviços oferecidos estão:

• Firewall empresarial configurado e monitorado;
• Backup em nuvem corporativo com testes de restauração;
• Controle de acesso e gestão de permissões;
• Registro e análise de logs de auditoria;
• Suporte técnico remoto e presencial.

O modelo funciona como um departamento interno de TI, sem os custos fixos de uma equipe própria, o caminho mais eficiente para empresas que precisam demonstrar conformidade técnica sem montar uma estrutura interna.

Conclusão: quais medidas de TI são obrigatórias pela LGPD e o que fazer agora

As medidas de TI obrigatórias pela LGPD se organizam em blocos concretos: criptografia de dados em repouso e em trânsito, controles de segurança de TI como o menor privilégio e o MFA, firewall configurado e monitorado ativamente, logs de auditoria estruturados, backup com testes de restauração periódicos e plano de resposta a incidentes documentado. Cada um desses controles tem respaldo direto no Art. 46 da LGPD e nas orientações publicadas pela ANPD.

O que separa empresas que estão em conformidade das que apenas acreditam estar é a documentação. Implementar sem registrar equivale a não implementar para fins de auditoria. As evidências precisam existir, precisam ser atualizadas e precisam estar acessíveis quando o regulador as solicitar.

Se a sua empresa ainda não sabe ao certo quais controles possui, quais faltam ou como documentar o que já existe, o momento de agir é antes de receber uma notificação da ANPD. Fale com a 4Infra Consultoria e mapeie agora quais controles faltam na sua infraestrutura. Saiba também sobre o papel do compliance na gestão dos negócios para integrar tecnologia e governança de forma eficaz.

Perguntas Frequentes (FAQs) – Quais Medidas de TI São Obrigatórias pela LGPD em 2026?