LGPD na prática: 7 passos para adequar a TI e proteger dados

Para adequar a TI à LGPD na prática, você precisa executar um roteiro objetivo: inventário de dados pessoais, controle de acessos, backup protegido e registro de incidentes. A Simples Solução TI, com sede no Rio de Janeiro e atuação em São Paulo desde 2008, aplica esse roteiro em empresas B2B de 10 a 50 funcionários. Cada etapa reduz o risco de sanção e de vazamento; nenhuma deve ser comprada antes de um diagnóstico.

• Resumo (TL;DR): inventário de dados pessoais vem antes de qualquer ferramenta de segurança.
• Acessos com privilégio mínimo e MFA reduzem o impacto de uma senha roubada.
• Backup criptografado, com retenção definida e testes trimestrais, garante recuperação.
• Registre incidentes e revise contratos de fornecedores para demonstrar diligência à ANPD.

Qual é o primeiro passo para adequar a TI da empresa à LGPD?

Comece pelo inventário de dados pessoais que a empresa coleta, armazena e compartilha. Esse mapa mostra as bases legais e indica onde priorizar controles técnicos, evitando gasto com ferramenta que protege o ativo errado.

Em uma empresa de 10 a 50 funcionários, os dados pessoais estão em cadastros de RH, contratos, planilhas comerciais e sistemas de contabilidade. Liste cada sistema, o tipo de dado, a finalidade, a base legal e o prazo de retenção. Sem essa documentação, qualquer política de privacidade fica só no papel.

Quais controles técnicos a LGPD cobra na prática?

A LGPD não impõe uma marca de antivírus ou firewall; o Art. 46 da lei exige medidas de segurança proporcionais ao risco. Na prática, proteja perímetro, endpoints e acesso de usuários com a realidade da sua operação.

• Firewall corporativo: atualizado, com regras de saída e logs ativos. Sem ele, você não enxerga dados pessoais saindo da rede.
• Antivírus ou EDR: instalado em servidores e estações. O EDR cobre técnicas que um antivírus tradicional não detecta.
• Autenticação multifator (MFA): habilitada em e-mail, VPN e sistemas administrativos. É o controle mais efetivo contra senha vazada.
• Patch management: atualize sistemas críticos em até 30 dias. Vulnerabilidades conhecidas são o atalho preferido de atacantes.

Essa camada de proteção pode ser executada por um provedor de Segurança de Dados que monitore a infraestrutura e responda a alertas. A Simples Solução TI atende empresas no Rio de Janeiro e em São Paulo com esse modelo, inclusive de forma remota.

Como a gestão de acessos ficou mais crítica depois da LGPD?

Na LGPD, o que importa é o menor privilégio possível, não apenas criar usuários novos. Cada perfil de acesso precisa refletir a função da pessoa e a base legal que autoriza o tratamento daquele dado.

Revise acessos a cada mudança de cargo e cancele contas de ex-funcionário no último dia. Uma conta inativa com privilégio administrativo é uma das formas mais comuns de vazamento silencioso em empresas pequenas.

O que a LGPD muda no backup e na recuperação de dados?

O backup garante a disponibilidade dos dados pessoais e encurta a resposta a incidentes. A LGPD não fixa prazos de retenção, mas proíbe guardar dados além da finalidade; por isso, a política de backup precisa definir retenção e descarte.

• Criptografia em repouso: impede que uma mídia perdida vire vazamento de dados pessoais.
• Retenção definida: guarde pelo período previsto em contrato, norma ou decisão judicial; depois, elimine de forma segura.
• Teste de restauração: agende ao menos uma validação trimestral e meça o tempo de recuperação. Backup sem teste é só espaço ocupado.

Um serviço de backup gerenciado cobre essa rotina com monitoramento e testes. A Simples Solução TI opera essa solução na página de Backup e Recuperação para clientes no Rio de Janeiro e em São Paulo, com contrato definindo papéis e SLA.

Como registrar incidentes de segurança de dados?

Registre todo incidente que envolva dados pessoais, mesmo sem confirmação de vazamento. O log interno é o ponto de partida para responder à ANPD e para decidir se a comunicação é necessária.

A comunicação pode ser obrigatória quando o incidente gera risco ou dano relevante. O Art. 48 da LGPD exige aviso à ANPD em prazo razoável. O registro precisa conter data, hora, sistemas afetados, tipos de dados e medidas de resposta.

A título de exemplo, um ransomware que criptografa o servidor de uma empresa contábil é um incidente de disponibilidade envolvendo dados pessoais. Ele deve ser documentado e avaliado mesmo que não ocorra exfiltração de informações.

DPO interno ou terceirizado: o que escolher para uma empresa de 10 a 50 funcionários?

Indicar um encarregado é obrigatório; a lei não exige que ele seja CLT nem que tenha certificação específica. Para uma empresa sem área de compliance, um encarregado terceirizado costuma ter mais repertório do que um funcionário que acumula o papel com outras tarefas.

Como revisar contratos e fornecedores de TI para a LGPD?

Provedor de nuvem, empresa de suporte, serviço de backup e help desk atuam como operadores de dados pessoais. O contrato precisa separar o que o operador pode fazer e o que somente você, como controlador, decide.

Inclua cláusulas de finalidade restrita, confidencialidade, subprocessadores, notificação de incidentes e exclusão de dados ao fim do contrato. Sem essas cláusulas, um operador pode alegar liberdade para reter cópias ou não avisar vazamentos.

Na Simples Solução TI, a Consultoria de TI revisa esses fluxos como parte do diagnóstico de conformidade. Atendemos empresas do Rio de Janeiro e de São Paulo e clientes em todo o Brasil de forma remota; o contrato define papéis e SLAs antes do início da operação.

Quanto custa adequar a TI da empresa à LGPD?

O valor depende do escopo: número de usuários, volume de dados, quantidade de sistemas e SLA de suporte. Não existe preço fechado em tabela genérica; a Simples Solução TI realiza o diagnóstico e então envia orçamento sob medida para a realidade da empresa.

Evite comprar controle antes do mapa de dados. O custo de uma ferramenta robusta sem necessidade real é maior do que o de uma adequação bem priorizada, tanto no Rio de Janeiro quanto em São Paulo.

Perguntas frequentes

O que é preciso fazer para adequar a TI da empresa à LGPD?

O essencial é criar um inventário dos dados pessoais tratados, com base legal e fluxo definido. Depois, aplicar controles técnicos proporcionais ao risco: gestão de acessos, MFA, firewall, backup testado e registro de incidentes.

A LGPD se aplica a empresas com 10 funcionários?

Sim. A LGPD não exige porte mínimo; basta tratar dados pessoais para que as obrigações existam. Elas podem ser proporcionais ao risco, mas mapeamento, segurança e canal de comunicação com o titular continuam valendo.

Quais são as sanções previstas na LGPD?

A ANPD pode aplicar advertência, multa simples de até 2% do faturamento no Brasil do último exercício, limitada a R$ 50 milhões por infração, além de bloqueio e eliminação de dados pessoais. A dosimetria considera gravidade, boa-fé e reincidência, conforme o Art. 52 da LGPD.

Preciso contratar um DPO mesmo tendo poucos funcionários?

Sim. O controlador deve indicar um encarregado, que pode ser funcionário ou terceirizado. A lei não exige certificação específica, mas o canal de comunicação com titulares e com a ANPD precisa funcionar na prática.

A ISO 27001 é obrigatória para cumprir a LGPD?

Não. A LGPD exige medidas de segurança proporcionais, sem certificação obrigatória. ISO 27001 é um bom critério para avaliar fornecedores, mas não substitui inventário, backup testado e registro de incidentes.

O que a empresa deve fazer depois de um vazamento de dados?

Conter o incidente, registrar horário, sistemas e dados atingidos, e avaliar o risco aos titulares. Se houver risco relevante, comunique a ANPD em prazo razoável e informe os titulares quando necessário, preservando toda a documentação.

Quem responde por um vazamento: a empresa de TI contratada ou a minha empresa?

Depende do papel na LGPD. Sua empresa é controladora quando define finalidades; a empresa de TI é operadora quando executa instruções. O operador responde se descumprir o contrato, não notificar incidentes ou agir fora das instruções.