A LGPD não é um problema de TI — é um problema de negócio que TI precisa resolver na camada técnica. Organizações que tratam LGPD como “assunto do jurídico” ficam sem os controles técnicos que a lei exige, e quando a ANPD bate à porta, a desculpa “o contrato está OK” não resolve a ausência de logs de acesso e criptografia.
O que a LGPD exige da infraestrutura (não só de processos)
A maioria das empresas foca nos aspectos jurídicos da LGPD: bases legais, política de privacidade, termos de uso, consentimento. Esses são necessários mas insuficientes. A lei exige controles técnicos concretos que vivem na infraestrutura de TI.
O art. 46 da LGPD determina que controladores e operadores devem adotar “medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais”. O art. 49 especifica que sistemas de tratamento devem ser estruturados para cumprir os requisitos de segurança e proteção.
O que isso significa na prática: logs de acesso existindo e sendo retidos, criptografia implementada, controle de acesso configurado, capacidade de resposta a incidentes testada, e evidências documentadas de que tudo isso funciona.
Os 8 princípios da LGPD aplicados à infraestrutura cloud
1. Finalidade: os dados são coletados com propósito específico. Na infraestrutura, isso significa que os dados precisam estar em sistemas com acesso restrito à equipe que tem finalidade legítima. Um desenvolvedor não deve ter acesso de produção ao banco de dados de clientes — o controle de acesso RBAC implementa esse princípio.
2. Adequação: uso compatível com a finalidade. Na infra, significa que dados de clientes não devem ser copiados para ambientes de desenvolvimento sem anonimização. Muitas organizações violam esse princípio inconscientemente quando restauram dumps de produção em ambientes de dev.
3. Necessidade: coletar apenas o mínimo necessário. Na infra, isso se traduz em não armazenar logs com dados pessoais além do necessário, não replicar dados entre sistemas sem necessidade e não manter histórico indefinido de dados que têm prazo de uso.
4. Livre acesso: o titular pode acessar seus dados. Você precisa ter capacidade técnica de localizar e exportar todos os dados de uma pessoa específica — o chamado “Data Subject Access Request” (DSAR). Sem um mapa de onde cada tipo de dado está armazenado (ROPA — Records of Processing Activities), esse requisito é impossível de cumprir.
5. Qualidade dos dados: dados atualizados e precisos. Na infra, isso significa processos de atualização de cadastro e capacidade técnica de propagar correções por todos os sistemas onde o dado existe — não apenas no sistema principal.
6. Transparência: o titular sabe como seus dados são usados. Tecnicamente, isso exige que você saiba e documente onde cada categoria de dado está armazenada — incluindo sistemas cloud, integrações com terceiros e logs.
7. Segurança: medidas técnicas para proteger dados contra acesso não autorizado, perda ou alteração. Esse é o princípio com maior conteúdo técnico — criptografia, controle de acesso, logs, gestão de vulnerabilidades, backup.
8. Prevenção: adotar medidas para prevenir danos. Na prática: gestão de riscos de privacidade (RIPD — Relatório de Impacto à Proteção de Dados para operações de risco elevado) e privacidade por design em novos sistemas.
Controlador vs operador: você e seu provedor cloud
Controlador: toma as decisões sobre o tratamento de dados pessoais. É você — sua empresa. Você define quais dados coletar, para qual finalidade, por quanto tempo.
Operador: processa dados em nome do controlador. É o seu provedor cloud. Ele armazena, processa e transmite dados pessoais conforme as instruções do controlador.
A LGPD responsabiliza ambos, mas de formas diferentes. O controlador tem responsabilidade primária — é quem responde perante o titular e a ANPD. O operador responde apenas quando descumpre as instruções do controlador ou viola a lei.
O instrumento que define essa relação é o DPA (Data Processing Agreement) — obrigatório quando você contrata serviços cloud que processam dados pessoais. O DPA deve especificar:
- Quais dados são processados pelo operador
- Para quais finalidades
- Quais medidas de segurança o operador implementa
- Responsabilidades em caso de incidente
- Direito do controlador de auditar o operador
- O que acontece com os dados ao fim do contrato (exclusão, devolução)
Provedores de cloud sérios têm DPA padrão. Leia com atenção — especialmente as cláusulas de suboperadores (o provedor pode usar datacenters de terceiros?) e transferência internacional de dados.
Os controles técnicos obrigatórios
Criptografia em repouso: todos os dados pessoais armazenados devem estar criptografados. AES-256 é o padrão atual. Isso inclui bancos de dados, volumes de storage de VMs, backups, arquivos em object storage. Em cloud, verifique se a criptografia está ativada por padrão ou se precisa ser configurada.
Criptografia em trânsito: dados em movimento precisam de TLS. TLS 1.2 mínimo, TLS 1.3 recomendado. Isso inclui APIs, conexões de banco de dados, sincronizações de backup e qualquer comunicação que contenha dados pessoais. Protocolos antigos (SSL, TLS 1.0, TLS 1.1) devem ser desabilitados.
Controle de acesso (RBAC + MFA): acesso a dados pessoais precisa ser baseado em função (cada pessoa tem acesso apenas ao que precisa) e protegido por autenticação multifator. Contas compartilhadas não são aceitáveis — cada acesso precisa ser rastreável a uma pessoa específica.
Logs de auditoria imutáveis: toda operação relevante sobre dados pessoais deve ser registrada — quem acessou, quando, de onde, o que foi feito. Esses logs precisam ser imutáveis (não podem ser alterados nem deletados pelo mesmo usuário que realizou a operação), retidos pelo prazo definido e indexáveis para busca em investigações. Mínimo de 1 ano de retenção; 3 anos para compliance mais rigoroso.
Gestão de incidentes: a LGPD exige notificação à ANPD e aos titulares em caso de incidente de segurança que possa causar risco. O prazo é “em prazo razoável”, com orientação da ANPD de 72 horas para incidentes de alto risco. Você precisa ter um processo de detecção, análise e notificação operacional — não apenas documentado no papel.
Backup seguro: backup é obrigação implícita da LGPD — você precisa proteger dados contra perda acidental. Mas o backup em si precisa ter os mesmos controles de segurança dos dados primários: criptografia, controle de acesso, imutabilidade contra ransomware.
Direito de exclusão técnico: quando um titular solicita exclusão de seus dados, você precisa conseguir executar isso. Em sistemas com dados replicados em múltiplos places (banco de dados primário, replica de leitura, backup, data warehouse, logs, ambiente de dev) isso é mais complexo do que parece e requer mapeamento prévio.
Como escolher um provedor cloud compatível com LGPD
Checklist de avaliação de provedor:
- DPA disponível e assinável (sem DPA, não contrate)
- Dados armazenados no Brasil (ou país com proteção equivalente)
- Certificação ISO 27001 (mínimo) — idealmente também SOC 2 Tipo II
- Criptografia em repouso e em trânsito ativa por padrão
- Logs de acesso disponíveis para o cliente (você precisa ver os logs)
- Processo de notificação de incidentes definido no contrato
- Capacidade de exclusão de dados ao fim do contrato (com prazo)
- Suboperadores listados e cobertos pelo mesmo DPA
O que documentar: ROPA, RIPD, DPA e evidências técnicas
ROPA (Records of Processing Activities): mapa de todos os tratamentos de dados — o que é tratado, para qual finalidade, qual a base legal, quais sistemas, quais operadores terceiros. É o documento central da gestão de privacidade. Para cada cloud que você usa, precisa ter uma linha no ROPA.
RIPD (Relatório de Impacto à Proteção de Dados): obrigatório para tratamentos de alto risco (dados sensíveis, dados de crianças, decisões automatizadas com impacto significativo). Avalia os riscos e as medidas de mitigação.
DPA: contrato assinado com cada provedor cloud que processa dados pessoais.
Evidências técnicas: screenshots de configuração de criptografia, relatórios de logs, resultados de testes de restore, relatório de vulnerabilidades com evidência de remediação. Quando a ANPD fiscaliza, pede evidências — não só documentos.
O que a ANPD fiscaliza
A ANPD tem divulgado que prioriza fiscalizações com base em notificações de incidentes, reclamações de titulares e setores com alto volume de dados sensíveis (saúde, financeiro, educação). A fiscalização inclui:
- Verificação de documentação (DPA, ROPA, política de privacidade)
- Evidências de controles técnicos (logs, criptografia, acesso)
- Capacidade de demonstrar resposta a requisições de titulares
- Histórico de incidentes e notificações
Checklist de 15 pontos para auditoria de compliance cloud
- DPA assinado com o provedor cloud
- Dados no Brasil (ou país com proteção equivalente documentada)
- Provedor com ISO 27001 vigente
- Criptografia em repouso ativada (todos os volumes)
- Criptografia em trânsito ativada (TLS 1.2+)
- MFA habilitado para todos os acessos administrativos
- RBAC configurado — acesso por menor privilégio
- Logs de auditoria habilitados e retidos por mínimo 1 ano
- Logs imutáveis (proteção contra alteração)
- Processo de notificação de incidentes testado e documentado
- Backup com criptografia e imutabilidade
- Restore de backup testado nos últimos 90 dias
- ROPA atualizado incluindo o provedor cloud como operador
- Processo de atendimento a DSAR (Data Subject Access Request) operacional
- Processo de exclusão de dados ao fim do contrato documentado
Precisa de ajuda para adequar sua infraestrutura cloud à LGPD? A Adentro oferece ambientes com os controles técnicos necessários e suporte para documentação de compliance.