Artigo 46 da LGPD: as medidas de segurança que a ANPD cobra e como prová-las

O artigo 46 da LGPD é o único dispositivo da lei brasileira que exige um resultado e não um documento, e é justamente o que a maioria das empresas trata como uma lista de compras de ferramentas. O texto não traz catálogo de produtos: traz um dever de adequação ao risco, um padrão técnico que a ANPD pode detalhar, uma obrigação que começa na concepção do produto e sobrevive ao fim do tratamento. Em volta dele existem três camadas que decidem o que acontece na prática: o artigo 48 e o Regulamento de Comunicação de Incidente, que fixam três dias úteis para comunicar; o Regulamento de Dosimetria, que transforma gravidade em valor de multa; e o histórico de sanções da ANPD, que hoje é feito mais de advertências e medidas corretivas do que de multas milionárias. Este guia percorre o que o artigo 46 exige de verdade, o que a ANPD tem decidido com nome e número de processo, quais provas uma fiscalização pede e a sua empresa provavelmente não consegue produzir hoje, e como montar o pacote de evidências antes que ele seja pedido.

O que o artigo 46 exige, antes de qualquer paráfrase

O caput determina que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Quatro palavras sustentam a obrigação inteira. Aptas significa que cada medida é medida contra o risco daquele tratamento, não contra um catálogo. Técnicas e administrativas significa que política, treinamento e contrato contam tanto quanto criptografia. Acessos não autorizados inclui o funcionário curioso e o administrador com privilégio excessivo, não apenas o atacante externo. E a lista de eventos indesejados inclui a perda acidental e a alteração indevida, ou seja, a tabela sobrescrita por um script de migração entra pelo mesmo artigo que o ransomware.

O parágrafo primeiro dá à ANPD o poder de dispor sobre padrões técnicos mínimos, considerados a natureza das informações tratadas, as características específicas do tratamento e o estado atual da tecnologia, especialmente no caso de dados sensíveis. É uma competência já em uso: a Autoridade publicou regulamentos sobre comunicação de incidentes, sobre o encarregado e sobre o processo de fiscalização, e mantém consulta pública para revisão da dosimetria. Para o gestor, isso significa que a referência deixa de ser apenas a lei e passa a incluir norma da agência, com prazo de vigência próprio.

O parágrafo segundo é o que mais frequentemente é ignorado: as medidas devem ser observadas desde a fase de concepção do produto ou do serviço até a sua execução. Não existe conformidade conquistada no fim do projeto, com um pentest contratado na véspera do lançamento. O mesmo raciocínio aparece no artigo 6º, inciso VIII, que trata da segurança como princípio, e no artigo 47, que estende a obrigação de garantir a segurança da informação a qualquer pessoa que intervenha em uma das fases do tratamento, e mesmo após o seu término.

Duas consequências práticas caem daí. A primeira: encerrar um contrato com um fornecedor não encerra a obrigação de segurança sobre os dados que ele tratou, o que obriga a prever devolução e eliminação comprovadas, com evidência documental. A segunda: a responsabilidade civil do artigo 42 alcança controlador e operador que causarem dano patrimonial, moral, individual ou coletivo em violação à legislação, e o artigo 43 só afasta a responsabilização quando o agente não realizou o tratamento, quando não houve violação, ou quando a culpa é exclusiva do titular ou de terceiro. Na prática, quem chega a um litígio sem inventário, sem registro de operações e sem prova de que a medida existia no dia do incidente tem dificuldade de demonstrar qualquer dessas hipóteses.

As três normas que transformam o artigo 46 em checklist

A LGPD sozinha não responde à pergunta operacional: o que exatamente eu preciso ter. Três resoluções da ANPD respondem, e cada uma cobre uma fase diferente do problema.

A Resolução CD/ANPD nº 1, de 28 de outubro de 2021, aprova o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador. Ela define como a ANPD monitora, orienta, previne e reprime, como se instaura o processo, quais são as etapas de instrução e quais garantias o fiscalizado tem. É o documento que diz o que vai acontecer com a sua empresa e em que ordem. Duas premissas importam para o planejamento: a fiscalização é organizada em ciclos de monitoramento anuais e em temas prioritários definidos por período, e a atividade tem finalidade orientativa e preventiva antes de ser repressiva. O pedido de informação que chega não é um processo sancionador, é a etapa anterior, e responder bem nele costuma ser a diferença entre encerrar ali e instaurar processo.

A Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, aprova o Regulamento de Dosimetria e Aplicação de Sanções Administrativas. É aqui que gravidade vira número. O regulamento classifica infrações, define o valor-base da multa a partir do faturamento e da classificação, e aplica agravantes e atenuantes numa fórmula multiplicativa: o valor da multa simples é o valor-base multiplicado por um mais os agravantes, e o resultado multiplicado por um menos os atenuantes. Atenuantes típicas incluem a adoção de mecanismos e procedimentos internos capazes de minimizar o dano, a política de boas práticas e governança e a pronta adoção de medidas corretivas. Traduzindo: o que você fez antes do incidente e a velocidade com que reagiu depois entram na conta, para baixo.

A Resolução CD/ANPD nº 15, de 24 de abril de 2024, aprova o Regulamento de Comunicação de Incidente de Segurança, o RCIS. É a norma que mais muda o desenho técnico, porque fixa prazo curtíssimo e define quando a comunicação é devida. O artigo 6º exige que o controlador comunique o incidente à ANPD em até três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, ressalvado prazo previsto em legislação específica; o artigo 9º fixa o mesmo prazo para a comunicação aos titulares. Quando as informações ainda não estão completas, o regulamento admite comunicação preliminar com complementação posterior, em prazo próprio, o que na prática cria duas entregas: uma na primeira semana e outra semanas depois. E o registro do incidente precisa ser mantido pela organização por período plurianual, o que transforma memória de incidente em documento auditável.

A diferença que mais custa: três dias úteis, não setenta e duas horas

Quem importa manual de conformidade europeu erra aqui. O RGPD trabalha com setenta e duas horas corridas a partir do conhecimento da violação. O regime brasileiro trabalha com três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. Contar em dias úteis parece folga e não é: um incidente detectado na sexta à noite depois de um feriado consome quase toda a janela antes de a equipe estar completa, e a contagem não começa quando o relatório pós-incidente fica pronto, começa quando a empresa sabe que houve dados pessoais afetados.

Três consequências operacionais caem diretamente sobre a arquitetura, e cada uma é verificável por um fiscal.

Há ainda uma armadilha de escopo. O dever de comunicar não se aplica a todo evento: aplica-se ao incidente que possa acarretar risco ou dano relevante aos titulares, e o RCIS detalha critérios para essa avaliação, com atenção especial a dados sensíveis, dados de crianças e adolescentes, dados financeiros e de autenticação, tratamento em grande escala e potencial de dano reputacional. Mas a decisão de não comunicar precisa ser documentada com o mesmo rigor da decisão de comunicar, porque é ela que será examinada depois. Um memorando interno de duas linhas dizendo que o caso não é relevante não sustenta uma posição em processo administrativo.

Advertência não é arquivamento: o que a ANPD tem decidido

O histórico sancionador da ANPD é menor e mais cauteloso do que a imprensa sugere, e isso tem consequência prática para quem planeja orçamento de segurança com base em medo de multa. As sanções publicadas pela Autoridade são majoritariamente advertências acompanhadas de medidas corretivas e de cronograma de implementação, inclusive em casos de vazamento com dados sensíveis. O ponto central para o gestor é que advertência com medida corretiva é obrigação com prazo, monitorada, e não um encerramento confortável.

Processo nº 00261.001882/2022-73, Ministério da Saúde. O Relatório de Instrução nº 4/2024/FIS/CGF, de 7 de agosto de 2024, concluiu pela autoria e materialidade das infrações descritas no Auto de Infração, e o Despacho Decisório nº 19/2024/FIS/CGF aplicou duas sanções de advertência cumuladas com medidas corretivas. O recurso administrativo foi julgado em 2025: as advertências e as medidas corretivas foram mantidas, com parte do cronograma ainda pendente e prazo final fixado. Duas lições. A primeira: o processo durou de 2022 a 2025, a ANPD não tem prazo curto, e a empresa vive o processo por anos. A segunda: o recurso não suspende a execução das medidas corretivas, quem recorre e não implementa acumula pendência.

O caso da Secretaria de Educação do Distrito Federal mostra o outro lado. Quatro advertências foram aplicadas em primeira instância, e o Conselho Diretor, ao julgar o recurso, reconheceu que três delas descreviam conduta infratora única e substituiu o conjunto por uma única advertência. Mas a conduta que sobreviveu não era técnica: era o não atendimento, no prazo e nas condições estabelecidas, das determinações da ANPD para apresentar documentação comprobatória das medidas de prevenção e segurança adotadas, o que configura óbice à atividade de fiscalização. O raciocínio é o mais importante deste guia: quem não produz evidência não é tratado como quem não tem problema, é tratado como quem obstrui. E obstruir tem sanção própria, independente de a medida de segurança existir ou não.

Terceiro exemplo, com dado sensível: a ANPD determinou medidas corretivas à Prefeitura de Feira de Santana após vazamento de dados médicos de aproximadamente 1.200 pessoas. O caso não terminou em multa, terminou em obrigação de fazer com prazo. Para o setor público e para os fornecedores que atendem o setor público, esse é o formato esperado: a Autoridade impõe o que precisa ser feito e acompanha.

A leitura correta desse conjunto não é que a ANPD é branda. É que a Autoridade tem usado a fase de instrução para obter o que quer, e que a multa é o instrumento reservado para o descumprimento, para a reincidência e para a conduta que se recusa a colaborar. Existe alternativa pior que a multa: suspensão parcial do funcionamento do banco de dados e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados, previstas no artigo 52 e aplicáveis depois de ao menos uma sanção anterior no mesmo caso concreto. Nenhuma dessas sanções cabe em um planejamento de continuidade de negócio.

A aritmética do artigo 52 e o que muda com o ECA Digital

O artigo 52 lista as sanções aplicáveis pela ANPD: advertência com prazo para medidas corretivas, multa simples de até dois por cento do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada no total a cinquenta milhões de reais por infração, multa diária, publicização da infração, bloqueio dos dados, eliminação dos dados, suspensão do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. O parágrafo primeiro obriga a aplicação gradativa, isolada ou cumulativa, considerando gravidade, boa-fé, vantagem auferida, condição econômica, reincidência, grau do dano, cooperação, adoção de mecanismos internos de mitigação, política de boas práticas e governança, pronta adoção de medidas corretivas e proporcionalidade.

Dois detalhes que costumam ser mal lidos. Primeiro, o teto de dois por cento incide sobre faturamento no Brasil, e o limite de cinquenta milhões é por infração, não por processo, o que permite somar em casos com múltiplas infrações. Segundo, o artigo 52, parágrafo sétimo, permite conciliação direta entre controlador e titular nos vazamentos individuais, e se não houver acordo o controlador fica sujeito às penalidades. Conciliação não é caminho para escapar da ANPD, é caminho para reduzir litígio civil.

O cenário regulatório mudou em 2025 e isso afeta o planejamento de quem trata dados de crianças e adolescentes. O Decreto nº 12.622, de 17 de setembro de 2025, conferiu à ANPD a competência para zelar pela aplicação da lei que instituiu o Estatuto Digital da Criança e do Adolescente, regulamentar parte de seus dispositivos e fiscalizar o seu cumprimento em território nacional, e a Medida Provisória nº 1.317, de 17 de setembro de 2025, transformou a Autoridade em agência reguladora. A revisão do Regulamento de Dosimetria, em consulta pública, incorpora essa competência e prevê teto próprio para infrações a essa lei e ao Marco Civil da Internet, distinto do teto de dois por cento aplicável à LGPD. Quem opera produto com usuários menores de idade passa a ter dois regimes de sanção possíveis sobre o mesmo fato, e o planejamento de segurança precisa refletir isso.

O encarregado não é um cargo decorativo

O artigo 41 obriga o controlador a indicar encarregado pelo tratamento de dados pessoais, com identidade e contato divulgados publicamente, e a Resolução CD/ANPD nº 18, de 2024, detalha o papel, os requisitos de indicação e a forma de publicidade. Na fiscalização, o encarregado aparece em três momentos: é ele quem recebe o primeiro contato da Autoridade, quem assina as respostas e quem responde pela coerência entre o que a empresa declara e o que o sistema mostra. Um encarregado acumulando funções de jurídico, segurança e operações sem tempo alocado produz respostas lentas e inconsistentes, e a lentidão na fase de instrução é interpretada como óbice à fiscalização, exatamente como no caso da Secretaria de Educação do Distrito Federal.

Existe regime diferenciado para agentes de pequeno porte, previsto na Resolução CD/ANPD nº 2, de 2022, que flexibiliza obrigações como a indicação formal de encarregado e a estrutura do registro de operações, mantendo o dever de segurança. Pequeno porte não é dispensa de segurança, é simplificação de forma, e é comum encontrar micro e pequenas empresas que leram a resolução como anistia e não fizeram nada.

O inventário é a primeira medida de segurança técnica

Nenhuma medida de segurança pode ser avaliada sem saber o que está sendo protegido. O artigo 37 exige o registro das operações de tratamento, e na prática ele é o documento que permite responder, em horas e não em semanas, a quatro perguntas que uma fiscalização faz de imediato: quais dados pessoais tratamos, onde eles estão, quem acessa e por qual finalidade. Sem isso, o resto é opinião.

O registro mínimo que sobrevive a uma inspeção não é um documento jurídico de trinta páginas. É um inventário de sistemas com campos operacionais: sistema, fornecedor, base legal, categorias de dados, se há dado sensível, titular afetado, local de armazenamento, região, responsável interno, tempo de retenção e mecanismo de eliminação. A partir dele derivam as decisões técnicas que importam. Um campo de dado sensível numa tabela sem criptografia é um achado que se encontra em minutos quando o inventário existe, e em meses quando não existe.

Dois erros comuns. O primeiro é confundir inventário com política: política descreve intenção, inventário descreve fato, e a fiscalização pergunta por fato. O segundo é inventariar apenas o sistema principal e esquecer planilha compartilhada, pasta de rede, disco de backup e cópia em ambiente de teste, que é onde vazamento costuma nascer.

Criptografia: onde a discussão realmente acontece

Dizer que os dados são criptografados é o começo da conversa, não o fim. A ANPD e qualquer auditor competente vão perguntar três coisas: o que está criptografado, com que algoritmo e, principalmente, onde estão as chaves. Um banco criptografado em repouso cuja chave está na mesma conta de nuvem, com permissão ampla para qualquer administrador, oferece muito menos proteção do que o relatório de conformidade sugere.

O mínimo defensável para dados sensíveis: criptografia em repouso no volume e na coluna, quando o banco permite, TLS obrigatório em trânsito com versões antigas desabilitadas, chaves gerenciadas em serviço dedicado com rotação documentada, separação entre quem opera o dado e quem administra a chave, e registro de uso de chave que permita provar quem descriptografou o quê e quando. Esse último item é o que a maioria não tem, e é o primeiro que se pede quando o incidente envolve acesso interno.

Atenção ao que não conta como criptografia: hash de senha não é criptografia de dado pessoal, mascaramento em tela não protege o banco, e anonimização só é anonimização quando o dado não pode ser reidentificado por nenhum meio razoável. Pseudonimização continua sendo dado pessoal para a LGPD e continua dentro do escopo do artigo 46.

Quem acessa: o ponto em que quase todo expediente começa

A maioria dos vazamentos investigados começa com credencial legítima usada de forma indevida, não com exploração remota. Por isso, o desenho de acesso é a medida que mais frequentemente falta quando a ANPD pede prova. Quatro controles sustentam esse desenho.

Para dados sensíveis, o acesso deveria ser exceção registrada, não padrão. O modelo mais defensável combina permissão temporária, com justificativa, aprovada por quem não é o solicitante, e expiração automática. É desconfortável na operação e é o que sobrevive à pergunta quem podia ver este dado em 12 de março.

Fornecedores: a medida que a empresa delega e a obrigação que ela não delega

Os artigos 39 e 40 tratam do operador: o controlador deve avaliar se o fornecedor oferece garantias para aplicar medidas de segurança adequadas, e o contrato precisa prever as condições de tratamento. A cláusula que a maioria assina é genérica, e cláusula genérica não é evidência. O que a fiscalização quer ver é a avaliação de fornecedor que existia antes da contratação, o anexo técnico com medidas concretas, e a prova de acompanhamento.

Um anexo técnico útil responde a perguntas fechadas: onde os dados ficam armazenados e em que região, quem do fornecedor pode acessar, com que prazo ele notifica incidente, qual o prazo de devolução e eliminação ao término, e como ele comprova as medidas. O item de notificação é crítico no Brasil por causa da conta de três dias úteis: se o fornecedor tem obrigação contratual de avisar em trinta dias, o controlador perde o prazo antes de saber do incidente. Prazo contratual de notificação precisa ser de horas, não de semanas.

Não confunda certificado com garantia. Um selo de sistema de gestão de segurança atesta que existe processo, não que a medida concreta é adequada àquele tratamento nem que ela estava funcionando no dia do incidente. Na avaliação, certificado entra como um dos elementos, ao lado de relatório de teste, histórico de incidentes e evidência de acompanhamento.

Backup sem teste de restauração não é medida, é intenção

A LGPD não usa a palavra backup, mas o artigo 46 alcança situações de destruição e perda, e o dever de disponibilidade aparece no princípio da segurança. O teste que a fiscalização faz é simples e quase ninguém passa: quando foi a última restauração real, qual o tempo até o serviço voltar, e onde está o registro desse teste.

Três requisitos mínimos: cópia isolada da rede de produção, para que ransomware não alcance o backup; imutabilidade por janela de retenção, para que credencial comprometida não apague o histórico; e teste de restauração com registro de data, escopo, tempo gasto e responsável. Uma política de backup que nunca foi restaurada é a mesma coisa que nenhum backup, com custo maior.

Há um detalhe que conecta backup ao prazo de comunicação. Se a restauração leva cinco dias, o incidente de disponibilidade vai consumir a janela de três dias úteis antes de a empresa saber o que perdeu. Tempo de restauração é, na prática, tempo de decisão sobre comunicar.

Minimização e retenção: encolher o alcance do incidente

A medida de segurança mais barata é não ter o dado. O artigo 6º, inciso III, fixa a necessidade como princípio, e os artigos 15 e 16 tratam do término do tratamento e da conservação. Na prática, quase toda empresa descobre, ao fazer o inventário, que guarda dado que não usa, em ambiente que não precisava, por prazo que ninguém definiu.

O exercício que rende mais resultado em menos tempo tem três passos. Primeiro, listar tabelas e campos com dado pessoal e marcar quais não são lidos por nenhuma funcionalidade há doze meses. Segundo, definir prazo de retenção por categoria, com base em obrigação legal ou em necessidade real, e automatizar a eliminação. Terceiro, reduzir precisão: data de nascimento completa para faixa etária quando a regra de negócio permite, documento completo para identificador interno quando o número não é necessário, endereço completo para cidade quando a entrega não é feita.

Cada redução dessas diminui o número de titulares afetados em um incidente, e o número de titulares afetados é o que escala a gravidade na dosimetria e o que define se a comunicação aos titulares é devida. Minimizar dado é, literalmente, reduzir a multa possível.

Privacidade desde a concepção e o relatório de impacto

O artigo 46, parágrafo segundo, exige que as medidas sejam observadas desde a fase de concepção do produto ou serviço até a sua execução. O instrumento que torna isso verificável é o relatório de impacto à proteção de dados pessoais, previsto no artigo 38, que deve descrever os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, as medidas, salvaguardas e mecanismos de mitigação adotados.

O relatório tem dois usos. O primeiro é interno: obriga a equipe de produto a declarar o risco antes de construir. O segundo é probatório: quando a ANPD pede evidência de que a empresa avaliou risco, o relatório de impacto é a resposta, e a ausência dele em um tratamento de dado sensível é uma constatação fácil de registrar. Um relatório de duas páginas escritas antes do lançamento vale mais que trinta páginas escritas depois do incidente, porque a data é a prova.

Três situações pedem relatório, mesmo sem obrigação formal de fazê-lo em todo caso: tratamento de dado sensível em escala, tratamento de dado de criança e adolescente, e decisão automatizada que afete interesse do titular. Nas três, o custo de não ter o documento aparece exatamente no momento em que a empresa está mais vulnerável.

Teste de intrusão e gestão de vulnerabilidade: o que serve de prova

Contratar um pentest e arquivar o PDF é o padrão de mercado, e é justamente o padrão que não serve. O que se examina não é a existência do relatório, é a relação entre o que foi encontrado e o que foi corrigido.

Um dossiê defensável tem cinco partes: escopo declarado, com o que ficou fora e por quê; metodologia e data de execução; achados com severidade e evidência reprodutível; plano de correção com responsável e prazo por achado; e comprovação de fechamento, com novo teste ou evidência técnica da correção. A quinta parte é a que falta em quase todos os casos, e é a única que responde à pergunta o problema apontado em 2024 ainda existe hoje.

Complementarmente, a gestão contínua precisa de regra escrita e cumprida: prazo máximo de correção por faixa de severidade, exceção formal para o que não será corrigido, e relatório periódico de vulnerabilidades abertas por idade. Vulnerabilidade crítica aberta há duzentos dias com prazo declarado de trinta é pior que vulnerabilidade desconhecida, porque documenta a falta de diligência.

O pentest também tem limite que a empresa precisa saber: ele fotografa um instante e um recorte. Não substitui inventário, não substitui revisão de acesso e não cobre processo administrativo, que é onde a maior parte dos incidentes reais nasce. Um teste bem feito em aplicação sem controle de acesso revisado produz um relatório tranquilizador sobre o lugar errado.

O plano de três dias úteis, hora por hora

Como o prazo é contado do conhecimento, o relógio começa antes de qualquer reunião de crise, e o plano precisa existir antes também. A sequência que funciona é a seguinte.

1. Hora 0 a 4, contenção e registro. Isolar o ambiente afetado, preservar evidência antes de desligar máquina, abrir o registro do incidente com data e hora de conhecimento. A partir daqui o prazo está correndo.
2. Hora 4 a 24, escopo de dados. Identificar categorias de dados e volume aproximado de titulares, com base em log e inventário. É a etapa que define se há risco ou dano relevante e, portanto, se a comunicação é devida.
3. Hora 24 a 48, decisão documentada. Reunir encarregado, segurança, jurídico e negócio, decidir com base em critério escrito e registrar a decisão com justificativa. Se a decisão for comunicar, iniciar a comunicação preliminar.
4. Hora 48 a 72, comunicações. Enviar a comunicação à ANPD pelo canal eletrônico e, quando devido, aos titulares, com descrição, dados afetados, riscos, medidas adotadas e ponto de contato.
5. Depois, complementação. Usar o prazo de complementação previsto no regulamento para detalhar o que faltava, mantendo o mesmo identificador de processo e registrando cada entrega.
6. Encerramento, sem prazo único. Relatório final com causa raiz, medidas corretivas e prazo, e guarda do registro pelo período exigido, porque é ele que será pedido meses depois.

Dois erros custam caro. O primeiro é esperar o relatório forense completo para comunicar, o que quase sempre estoura o prazo e transforma um incidente comunicado em incidente ocultado. O segundo é comunicar sem registro interno da decisão, o que impede demonstrar que a empresa agiu com diligência e cooperação, atenuantes expressas na dosimetria.

O pacote de evidências que responde a uma fiscalização

Quando o pedido de informação chega, a empresa tem prazo curto e precisa entregar documento, não narrativa. Estes são os oito itens que cobrem a maior parte das perguntas do artigo 46, na ordem em que costumam ser pedidos.

Se algum desses itens não existe, o caminho mais seguro na fase de instrução é declarar a ausência e apresentar o plano com prazo, e não produzir documento retroativo. Documento criado para responder à fiscalização tem data inconsistente com log, com ata e com e-mail, e a inconsistência é o achado que transforma uma discussão técnica em discussão de credibilidade.

Checklist por tamanho de empresa

O erro mais comum na adequação é começar pelo item mais caro. A ordem correta começa pelo que reduz exposição imediata e custa pouco.

Perguntas frequentes

O que fazer nas próximas duas semanas

Conformidade com o artigo 46 não se compra, se documenta. A sequência que produz resultado auditável em duas semanas é esta: levantar o inventário de sistemas e planilhas com dado pessoal; verificar MFA e privilégios administrativos; medir a retenção de log contra o tempo real de detecção; testar uma restauração de backup e registrar o resultado; revisar os contratos de fornecedor que acessam dado pessoal, com foco no prazo de notificação de incidente; e escrever o plano de três dias úteis com papéis nomeados. Cada um desses itens gera um documento datado, e é o conjunto desses documentos que responde a uma fiscalização sem improviso.

Se a sua organização precisa de apoio técnico para produzir essa evidência, com escopo declarado, metodologia definida e comprovação de fechamento, é possível contratar avaliação de segurança e teste de intrusão com relatório auditável, sempre mediante autorização escrita do responsável pelo ambiente avaliado. Testar sistema sem autorização é crime, e nenhuma conformidade se constrói assim.