LGPD não é só uma política de privacidade no rodapé do site. Quando seus dados estão na cloud, a lei exige controles técnicos concretos — criptografia, logs, controle de acesso, plano de resposta a incidentes. Empresas que tratam LGPD como exercício jurídico e ignoram a camada técnica estão expostas sem saber.
O que a LGPD exige da infraestrutura
A Lei Geral de Proteção de Dados (Lei 13.709/2018) não descreve tecnologias específicas, mas o artigo 46 é claro: controladores e operadores devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação.
Na prática de cloud, isso se traduz em cinco controles técnicos que toda empresa precisa ter:
Os 5 controles técnicos essenciais
1. Criptografia
Dados pessoais em cloud devem estar criptografados em trânsito (TLS 1.2 ou superior para toda comunicação) e em repouso (criptografia de volumes, buckets de storage e backups). O gerenciamento de chaves é parte crítica: de nada adianta criptografar se a chave está no mesmo servidor que os dados.
Boas práticas: use KMS (Key Management Service) do provedor ou HSM dedicado; mantenha as chaves sob controle da empresa (customer-managed keys), não do provedor.
2. Controle de acesso
Quem pode acessar dados pessoais — e por quê. Isso inclui:
- Identidade e autenticação (MFA obrigatório para acesso a dados sensíveis)
- Autorização baseada em função (RBAC) — só acessa quem precisa
- Princípio do menor privilégio — ninguém tem mais acesso do que o necessário para sua função
- Revisão periódica de acessos (contas obsoletas de ex-funcionários são um risco comum)
3. Logs de auditoria
Você precisa saber quem acessou o quê, quando e de onde. Logs de auditoria devem cobrir: autenticação (sucessos e falhas), acesso a dados, alterações de configuração e exportação ou download de dados pessoais. Os logs devem ter integridade garantida (não editáveis por operadores) e retenção mínima compatível com os requisitos de conformidade.
4. Backup e recuperação
A LGPD inclui a disponibilidade como requisito implícito — dados pessoais precisam estar disponíveis quando o titular exercer seus direitos. Backups regulares, testados e com RTO/RPO definidos são parte da conformidade. Atenção: os backups também precisam de criptografia e controle de acesso.
5. Gerenciamento de incidentes
O artigo 48 da LGPD exige notificação à ANPD e ao titular em caso de incidente de segurança que possa acarretar risco ou dano relevante. Para cumprir, você precisa:
- Plano de resposta a incidentes documentado
- Capacidade de detectar uma violação (SIEM, alertas)
- Processo para investigar, conter e notificar em tempo hábil (a ANPD não define prazo exato, mas o regulamento sugere até 72h para comunicação inicial)
DPA com o provedor cloud: obrigação, não opção
O artigo 39 da LGPD estabelece que o operador (quem trata dados a serviço do controlador) deve seguir as instruções do controlador. Para formalizar isso, é necessário um Data Processing Agreement (DPA) com o provedor de cloud.
O que o DPA deve cobrir:
- Quais dados são tratados e com qual finalidade
- Onde os dados são armazenados (região/país)
- Medidas de segurança do provedor
- Direito de auditoria do controlador
- Prazo e processo de deleção dos dados ao fim do contrato
- Procedimento de notificação em caso de incidente
AWS, Azure e GCP têm DPAs padrão — você assina no portal. Para provedores menores, pode ser necessário negociar. Provedores que se recusam a firmar DPA devem ser evitados para dados pessoais.
Onde os dados podem estar
A LGPD não proíbe que dados pessoais de brasileiros fiquem fora do Brasil, mas impõe condições para a transferência internacional (art. 33). As principais bases são:
- O país de destino tem proteção de dados equivalente (reconhecida pela ANPD — lista ainda limitada)
- O controlador oferece garantias suficientes (via cláusulas contratuais padrão, aprovadas pela ANPD)
- O titular consentiu expressamente com a transferência
Na prática, armazenar dados em servidores no Brasil é a forma mais simples de evidenciar conformidade — não precisa de justificativa adicional para a transferência. É o caminho de menor risco para auditoria.
Como documentar para auditoria
A ANPD pode solicitar evidências de conformidade. Tenha pronto:
Checklist de documentação:
- [ ] Mapeamento de dados (ROPA) — quais dados pessoais estão em cloud, onde, para qual finalidade
- [ ] DPAs assinados com todos os provedores que tratam dados pessoais
- [ ] Política de segurança da informação atualizada
- [ ] Evidência dos controles técnicos (relatórios de configuração de criptografia, políticas de acesso)
- [ ] Logs de auditoria com retenção adequada
- [ ] Plano de resposta a incidentes documentado e testado
- [ ] Evidência de treinamento da equipe
- [ ] RIPD (Relatório de Impacto à Proteção de Dados) para tratamentos de alto risco
A Adentro oferece infraestrutura cloud com controles técnicos de LGPD pré-configurados — criptografia, logs, acesso, backup e DPA incluso. Fale com um especialista em conformidade.