Atualizado em
Backup não garante conformidade com a LGPD por si só — mas integra a estratégia de proteção, disponibilidade e recuperação de dados pessoais que a lei exige. Esta página explica quais princípios da LGPD o backup endereça e como estruturar uma política adequada.
Qual é a relação entre backup e LGPD
A LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) não menciona backup explicitamente, mas exige que organizações adotem medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados, destruição, perda, alteração e vazamento (art. 46).
Backup é um controle técnico que endereça diretamente três das maiores ameaças à integridade e disponibilidade de dados pessoais:
- Perda acidental: falha de hardware, erro humano, corrupção de dados
- Destruição maliciosa: ransomware, sabotagem, exclusão intencional
- Indisponibilidade prolongada: desastre natural, falha de datacenter, incidente operacional
A diferença entre este artigo e um guia técnico de backup está no ângulo: aqui o foco é backup como controle de conformidade, não como procedimento técnico de TI. Para a implementação técnica, consulte o Guia Completo de Backup para Empresas.
Princípios da LGPD que o backup endereça
A LGPD estabelece dez princípios que devem nortear o tratamento de dados pessoais (art. 6). O backup apoia diretamente quatro deles:
| Princípio (art. 6) | O que exige | Como o backup contribui |
|---|---|---|
| Segurança | Medidas técnicas para proteger dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição | Cópia íntegra e recuperável dos dados pessoais, incluindo proteção do próprio backup |
| Prevenção | Adoção de medidas para prevenir danos decorrentes do tratamento | Backup imutável e offsite como controle preventivo contra ransomware e falha de hardware |
| Qualidade dos dados | Exatidão, clareza e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade | Backup garante que dados corretos podem ser recuperados após evento de corrupção ou perda |
| Responsabilização | Demonstração de medidas eficazes e adotadas para cumprir as normas de proteção | Registros de backup, testes de recuperação e políticas documentadas como evidência de accountability |
O que deve ser incluído na política de backup
Um erro comum é limitar o backup a apenas um tipo de dado ou sistema. Para fins de conformidade com a LGPD, o mapeamento deve cobrir todos os ambientes onde dados pessoais são tratados:
- Bancos de dados: ERP, CRM, sistemas de RH, financeiro, cadastros de clientes e fornecedores
- Servidores de arquivos: documentos, contratos, formulários com dados pessoais
- E-mail corporativo: caixas de e-mail frequentemente contêm dados pessoais sensíveis em comunicações e anexos
- Aplicações SaaS: Microsoft 365, Google Workspace, Salesforce, HubSpot — dados em nuvem de terceiros não são automaticamente protegidos pelo backup do provedor
- Endpoints: laptops e desktops de colaboradores que processam dados pessoais fora do servidor
- Sistemas de CFTV e acesso: quando armazenam imagens com identificação de pessoas (dados pessoais biométricos)
Retenção de dados: o que a LGPD indica (e o que não determina)
Um dos pontos de maior confusão na conformidade com a LGPD é o prazo de retenção. A lei não estabelece um prazo único de retenção de dados pessoais. O prazo correto depende da finalidade do tratamento, do tipo de dado e das obrigações legais aplicáveis ao setor.
Os critérios que determinam o prazo de retenção são:
- Cumprimento de obrigação legal: dados trabalhistas (CLT), fiscais (Receita Federal), previdenciários (INSS) têm prazos próprios definidos por legislação específica
- Execução de contrato: dados necessários para cumprir um contrato podem ser mantidos durante a vigência e pelo prazo prescricional aplicável
- Legítimo interesse ou exercício regular de direitos: dados para defesa em processo judicial podem ser mantidos pelo prazo prescricional da ação
- Consentimento: dados mantidos por consentimento devem ser excluídos quando o consentimento é revogado, salvo outra base legal
A política de retenção do backup deve estar alinhada ao mapa de dados pessoais da organização. Manter backups indefinidamente pode significar manter dados além do prazo legal — o que viola o princípio da necessidade. Eliminar backups antes do prazo pode impedir a recuperação de dados em cumprimento a uma obrigação legal. A política correta é definida caso a caso com o DPO, não por uma regra genérica.
Segurança do backup: controles que a LGPD exige indiretamente
O backup protege dados pessoais — mas o próprio backup precisa ser protegido. Uma cópia de segurança não criptografada e armazenada sem controle de acesso é um vetor de vazamento, não uma medida de proteção.
- Criptografia em trânsito e em repouso: dados pessoais em backup devem ser criptografados tanto durante a transferência quanto no armazenamento. AES-256 é o padrão atual.
- Controle de acesso: apenas pessoas autorizadas devem ter acesso às cópias de backup. Credenciais de backup não devem ser as mesmas do ambiente de produção.
- Imutabilidade: backup imutável (WORM — Write Once Read Many) impede que ransomware ou um operador malicioso sobrescreva ou elimine as cópias. É o controle mais importante para garantir recuperação após ataque.
- Cópia offsite: pelo menos uma cópia deve estar fisicamente separada do ambiente primário — em datacenter externo ou nuvem — para proteger contra desastre físico.
- Monitoramento de integridade: verificação periódica de que as cópias estão íntegras e recuperáveis. Backup sem teste de recuperação não é backup.
Ransomware, incidentes e a obrigação de notificar
A LGPD exige que a ANPD e os titulares afetados sejam notificados em caso de incidente de segurança que possa acarretar risco ou dano relevante (art. 48). Ransomware que criptografa dados pessoais configura esse tipo de incidente.
O backup imutável e offsite é o controle que determina a diferença entre:
- Dados pessoais destruídos ou nas mãos do atacante
- Recuperação impossível ou dependente de pagamento de resgate
- Notificação obrigatória à ANPD e potencialmente aos titulares
- Risco de multa e dano reputacional
- Evidência de ausência de medidas técnicas adequadas
- Recuperação a partir de cópia não afetada pelo ataque
- RTO e RPO conhecidos e testados previamente
- Capacidade de demonstrar medidas preventivas à ANPD
- Redução do impacto e do tempo de exposição
- Evidência de accountability e gestão de risco
Erros comuns de governança de backup sob a ótica da LGPD
| Erro | Risco sob a LGPD |
|---|---|
| Backup sem teste de recuperação | Incapacidade de recuperar dados pessoais quando necessário; ausência de evidência de medida eficaz |
| Mesma credencial para produção e backup | Ransomware que compromete a produção também elimina o backup; violação do controle de acesso |
| Backup apenas no mesmo ambiente físico | Incêndio, inundação ou falha do datacenter elimina produção e backup simultaneamente |
| SaaS não incluído na política de backup | Dados pessoais em Microsoft 365, Google Workspace ou CRM sem proteção de recuperação |
| Retenção indefinida ou sem critério | Manter dados além da finalidade viola os princípios de necessidade e finalidade da LGPD |
| Backup sem criptografia | Fita ou arquivo de backup roubado ou acessado indevidamente vira um vazamento de dados |
Checklist de conformidade: backup sob a ótica da LGPD
- ▢ Todos os sistemas com dados pessoais estão mapeados e incluídos na política de backup
- ▢ SaaS corporativo (Microsoft 365, Google Workspace, CRM) tem backup independente do provedor
- ▢ Backup é criptografado em trânsito e em repouso (AES-256 ou equivalente)
- ▢ Credenciais de backup são distintas das credenciais de produção
- ▢ Existe pelo menos uma cópia offsite (datacenter externo ou nuvem)
- ▢ Backup imutável implementado para proteção contra ransomware
- ▢ Testes de recuperação realizados periodicamente (mínimo trimestral) e documentados
- ▢ Política de retenção definida com base no mapa de dados e nas obrigações legais aplicáveis
- ▢ RTO e RPO definidos, documentados e validados por teste
- ▢ Plano de resposta a incidentes inclui procedimento de acionamento de backup e notificação à ANPD
- ▢ Acesso às cópias de backup é restrito e auditado
- ▢ Política de backup está documentada e aprovada pela liderança
Perguntas frequentes sobre backup e LGPD
A LGPD obriga as empresas a fazer backup?
A LGPD não menciona backup explicitamente, mas exige medidas técnicas e administrativas para proteger dados pessoais contra destruição, perda e vazamento (art. 46). Backup é reconhecido como uma das medidas técnicas adequadas para atender essa exigência. A ausência de backup pode ser interpretada como ausência de medida de segurança.
Por quanto tempo devo guardar os backups pela LGPD?
A LGPD não define um prazo único. O tempo de retenção deve ser alinhado à finalidade do tratamento e às obrigações legais aplicáveis (trabalhistas, fiscais, contratuais, etc.). Dados sem finalidade ativa ou obrigação legal devem ser eliminados, inclusive dos backups. Consulte seu DPO para definir a política de retenção correta para cada tipo de dado.
Dados em Microsoft 365 e Google Workspace são automaticamente protegidos?
Não no nível que a maioria das empresas pressupõe. Microsoft e Google mantêm redundância da infraestrutura, mas não protegem contra exclusão acidental, exclusão maliciosa ou retenção de longo prazo além das janelas padrão (geralmente 30 a 180 dias). Backup independente de SaaS é necessário para garantir recuperação granular e retenção adequada.
Ransomware é um incidente que precisa ser notificado à ANPD?
Se o ransomware atingiu sistemas com dados pessoais e o incidente pode acarretar risco ou dano relevante aos titulares, sim — a LGPD (art. 48) e a Resolução CD/ANPD 15/2024 exigem comunicação à ANPD. O prazo e os critérios de relevância são definidos na norma regulatória. Consulte seu DPO imediatamente após um incidente.
O que é backup imutável e por que ele é relevante para a LGPD?
Backup imutável (tecnologia WORM — Write Once Read Many) garante que as cópias não possam ser alteradas ou excluídas após a gravação, mesmo por um administrador ou por malware. É relevante para a LGPD porque garante que a empresa mantenha a capacidade de recuperar dados pessoais mesmo após um ataque, demonstrando adoção de medida técnica de prevenção e segurança. Saiba mais em backup imutável: o que é e como funciona.
Meu provedor de nuvem faz backup dos meus dados?
Provedores de IaaS (AWS, Azure, GCP) oferecem snapshots e backup como serviços adicionais, geralmente não ativados por padrão e com custo separado. A responsabilidade pelo backup dos dados é do cliente no modelo de responsabilidade compartilhada. Não assuma que os dados estão protegidos sem verificar a política do provedor e as configurações ativas na sua conta.
Com que frequência devo testar o backup?
A frequência depende do RPO e RTO definidos para cada sistema. Para sistemas críticos com dados pessoais, o mínimo recomendado é um teste completo de recuperação trimestral, com registro documentado do resultado. Backups nunca testados não oferecem garantia real de recuperação — e não constituem evidência de medida eficaz para fins de conformidade.
O que é RPO e RTO e como eles se relacionam com a LGPD?
RPO (Recovery Point Objective) é o volume máximo de dados que podem ser perdidos — em tempo — após um incidente. RTO (Recovery Time Objective) é o tempo máximo para restaurar os sistemas. Ambos são comprometimentos que a organização assume sobre a capacidade de recuperação. Para dados pessoais, RPO e RTO precisam ser definidos, documentados e testados como parte da política de gestão de risco e continuidade de negócios.
Backup em nuvem é suficiente para atender a LGPD?
Backup em nuvem pode ser parte de uma política adequada, mas não é suficiente por si só. Os controles de segurança do backup (criptografia, controle de acesso, imutabilidade) e a localização dos dados precisam ser avaliados. Dados em nuvem de provedores internacionais podem estar sujeitos a legislações estrangeiras — o que não viola automaticamente a LGPD, mas exige avaliação de transferência internacional de dados.
Quais são as penalidades por não proteger adequadamente os dados pessoais?
A LGPD prevê multas de até 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração (art. 52). Além das multas, a ANPD pode determinar bloqueio ou eliminação de dados, publicização da infração e proibição parcial ou total de atividades de tratamento. As penalidades mais severas tendem a recair sobre casos onde a ausência de medidas técnicas adequadas é evidente. Esta informação é de caráter geral — consulte um advogado especializado para orientação específica.
Use a Calculadora de Backup para dimensionar seu ambiente, ou fale com a equipe da Adentro para uma avaliação da sua política atual.
Você também pode se interessar:
