LGPD e segurança: o que todo software precisa ter

Por quase cinco anos, a Lei Geral de Proteção de Dados viveu uma carência informal: muita orientação, pouca multa. Esse tempo acabou. Com a ANPD transformada em agência reguladora, fiscalização setorial e o custo médio de um vazamento batendo R$ 7,19 milhões, conformidade deixou de ser um PDF na gaveta e virou arquitetura de software. Este é um guia — com dados e exigências concretas — do que toda aplicação precisa ter para não virar manchete.

O fim do período de carência

Durante anos, muita empresa pequena olhou para a Lei Geral de Proteção de Dados (LGPD) e pensou: “isso é problema do Facebook e do Itaú, não meu”. Era uma leitura compreensível. A LGPD entrou em vigor em setembro de 2020, e suas sanções administrativas só passaram a valer em agosto de 2021. Entre 2021 e 2024, a Autoridade Nacional de Proteção de Dados (ANPD) operou em modo predominantemente educativo: orientação, advertências, pouquíssimas multas efetivas.

Esse cenário virou, e virou de forma estrutural. Em julho de 2023, a ANPD aplicou sua primeira sanção pecuniária a uma empresa privada — a microempresa Telekall, no valor de R$ 14.400. O montante foi modesto, mas o recado, não: o porte não isenta ninguém. Em dezembro de 2024, a Autoridade notificou 20 grandes empresas — incluindo Uber, Serasa, Vivo, TikTok e X — por ausência de canal efetivo de comunicação com os titulares de dados. Em 2025, passou a fixar multas diárias por descumprimento de medidas cautelares, aplicando essa lógica concretamente contra uma empresa internacional que operava em desacordo com a lei.

A mudança mais profunda veio na virada de 2025 para 2026. A Medida Provisória nº 1.317/2025 foi convertida na Lei nº 15.352/2026, transformando a ANPD em Agência Nacional de Proteção de Dados. Não se trata apenas de um novo nome. Como agência reguladora, a ANPD passou a ter autonomia funcional, técnica, decisória, administrativa e financeira, carreira própria com 200 cargos de Especialista em Regulação e Fiscalização preenchidos por concurso, e uma estrutura de seis superintendências — entre elas uma Superintendência de Fiscalização dedicada e uma unidade de auditoria. Para as empresas, a implicação é direta e permanente: a capacidade operacional de fiscalização da ANPD aumentou em definitivo.

E essa fiscalização deixou de ser aleatória. Em dezembro de 2025, a Autoridade publicou o Mapa de Temas Prioritários para o biênio 2026-2027, definindo quatro eixos de atuação: direitos dos titulares, com foco especial em dados biométricos, de saúde e financeiros; proteção de crianças e adolescentes no ambiente digital; poder público; e inteligência artificial. Apenas no eixo de direitos dos titulares estão previstas 40 ações fiscalizatórias. Em novembro de 2025, a ANPD ainda lançou o Painel da Fiscalização, dando transparência pública aos processos em curso. A leitura combinada é inequívoca: a fiscalização agora é temática e setorial, não mais apenas reativa caso a caso. Quem está num setor priorizado entrou no radar, independentemente do tamanho.

Vale lembrar, ainda, que a proteção de dados deixou de ser matéria meramente legal para se tornar garantia constitucional: a Emenda Constitucional nº 115, de 2022, incluiu a proteção de dados pessoais no rol de direitos fundamentais do artigo 5º da Constituição.

Quanto custa errar

A pressão regulatória encontra um cenário de ameaças cada vez mais hostil. Em junho de 2025, veio a público um megavazamento que expôs cerca de 16 bilhões de credenciais reunidas de 30 bases de dados diferentes — um lembrete de que praticamente toda empresa já foi, está sendo ou será alvo de um ataque.

Os números do prejuízo são concretos. Segundo o relatório Cost of a Data Breach 2025, conduzido pelo Ponemon Institute e patrocinado pela IBM, o custo médio de uma violação de dados no Brasil atingiu R$ 7,19 milhões — alta de 6,5% sobre os R$ 6,75 milhões de 2024. Os setores mais castigados foram Saúde (R$ 11,43 milhões), Finanças (R$ 8,92 milhões) e Serviços (R$ 8,51 milhões). Quanto aos vetores de ataque, o phishing liderou, respondendo por 18% dos incidentes, seguido pelo comprometimento de terceiros e da cadeia de suprimentos (15%, com custo médio de R$ 8,98 milhões) e pela exploração de vulnerabilidades (13%). E há um dado que demora: o tempo médio para identificar e conter uma violação ficou em 241 dias, com as empresas que detectaram o problema internamente economizando cerca de US$ 900 mil em relação às que descobriram por terceiros.

Some-se a esse prejuízo operacional o risco jurídico, que vem em três camadas. A primeira é a sanção administrativa da ANPD, prevista no artigo 52 da LGPD: advertência; multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração; multa diária; publicização da infração; bloqueio ou eliminação dos dados; e, nos casos mais graves, suspensão parcial ou total da atividade de tratamento por até seis meses, prorrogáveis. O cálculo dessas penas segue o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023), que pondera a gravidade da infração, a vantagem auferida, a condição econômica do infrator, a reincidência e — como atenuantes — a adoção de boas práticas e a cooperação.

A segunda camada é a responsabilidade civil, que parte relevante da doutrina e da jurisprudência trata como objetiva, e que corre em paralelo — sem substituir — à esfera administrativa. Aqui um precedente recente eleva a temperatura: em setembro de 2025, a Terceira Turma do Superior Tribunal de Justiça decidiu que a disponibilização indevida de informações pessoais a terceiros, sem comunicação prévia e sem consentimento do titular, caracteriza violação aos direitos da personalidade e gera dano moral presumido — ou seja, sem necessidade de o titular provar prejuízo concreto. A terceira camada é reputacional, e costuma ser a mais cara das três no médio prazo.

Há ainda um detalhe estratégico que muitas empresas ignoram, registrado pela própria ANPD em nota técnica sobre o caso TikTok: não se pode escapar das obrigações alegando que se segue “a prática comum do mercado” quando o público em questão demanda proteção reforçada. O padrão do setor não é um escudo.

O coração da lei: o artigo 46

Toda a discussão sobre o que um software precisa ter desemboca em um único dispositivo. O artigo 46 da LGPD determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado. Os artigos seguintes complementam: o 47 impõe que a segurança perdure mesmo após o término do tratamento; o 49 exige que os próprios sistemas sejam estruturados para atender a requisitos de segurança e às boas práticas de governança.

Dois princípios traduzem esse comando em filosofia de projeto. O primeiro é a privacidade desde a concepção e por padrão (privacy by design e by default): a proteção de dados precisa estar embutida na arquitetura do software desde a primeira linha de código, e não ser uma camada remendada no fim, com as configurações mais protetivas vindo ativadas por padrão. O segundo é o princípio da necessidade, previsto no artigo 6º, inciso III, que limita a coleta ao mínimo indispensável para a finalidade declarada.

“O dado mais seguro é aquele que você nunca coletou.”

A coleta excessiva, hoje, é por si só considerada prática inadequada pela ANPD. E há um ponto tranquilizador, antes da lista: a LGPD não exige perfeição absoluta — exige proporcionalidade e efetividade. As medidas adequadas para uma fintech que trata dados financeiros em larga escala não são as mesmas exigidas de um pequeno escritório. Reconhecendo isso, a ANPD publicou em 2021 o Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte, acompanhado de um checklist prático, que serve hoje como patamar mínimo de referência para organizações de todos os portes.

O que todo software precisa ter

A seguir, o conjunto de controles que — combinando o artigo 46, o guia da ANPD e as boas práticas internacionais consolidadas — constitui o piso de qualquer aplicação que trate dados pessoais.

• Base legal e minimização desde o desenho. Antes de qualquer tela, a pergunta: qual a base legal de cada tratamento — consentimento, execução de contrato, legítimo interesse, obrigação legal? Cada dado coletado precisa de uma finalidade legítima e declarada, e o sistema deve ser projetado para coletar apenas o necessário. Campos opcionais, retenção por prazo definido e exclusão automática ao fim do ciclo são expressões técnicas do princípio da necessidade.
• Criptografia em repouso e em trânsito. Os dados precisam viajar protegidos (TLS para todo o tráfego) e descansar protegidos (criptografia da base e do armazenamento). Para dados pessoais sensíveis, a ANPD recomenda expressamente métodos que dificultem a identificação, como a criptografia, além de pseudonimização e anonimização sempre que possível. Pseudonimizar é separar o dado da identidade do titular; anonimizar, quando viável, retira o dado do alcance da própria lei.
• Controle de acesso rigoroso. Aqui mora boa parte das violações. O guia da ANPD é direto: proibir o compartilhamento de contas e senhas, aplicar o princípio do menor privilégio (cada usuário acessa apenas o que precisa para a sua função, o need to know), adotar controle de acesso baseado em papéis (RBAC) e exigir autenticação multifator (MFA) para sistemas e bancos de dados. Como credenciais comprometidas e phishing estão entre os principais vetores de ataque, o MFA deixou de ser luxo para virar requisito básico.
• Registro e auditoria (logs). O sistema deve registrar quem acessou o quê, quando e de onde. Trilhas de auditoria não apenas ajudam a detectar e investigar incidentes (lembre-se dos 241 dias médios para conter uma violação), como constituem a evidência documental que, numa fiscalização, demonstra a boa-fé e a diligência da empresa — fator que pesa como atenuante na dosimetria.
• Atendimento aos direitos dos titulares. A LGPD garante ao titular o direito de acessar, corrigir, portar e eliminar seus dados, além de revogar o consentimento. O software precisa de mecanismos para atender a esses pedidos, e a empresa, de um canal de comunicação efetivo. Não por acaso, foi justamente a ausência desse canal que motivou a notificação das 20 grandes empresas em 2024. Um canal estruturado, que registre cada solicitação com data e hora e controle de prazo, é hoje item de conformidade — não cortesia.
• Plano de resposta a incidentes. Não é questão de “se”, é questão de “quando” — e, quando acontece, o relógio começa a correr. Pela Resolução CD/ANPD nº 15/2024 (o Regulamento de Comunicação de Incidente de Segurança, RCIS), o controlador deve comunicar à ANPD e aos titulares, em três dias úteis a contar da ciência, todo incidente que possa acarretar risco ou dano relevante, com complementação em até vinte dias úteis. A obrigação se dispara, entre outros critérios, quando envolve dados sensíveis, de menores, financeiros, de autenticação ou tratados em larga escala. Ter um plano formal, com avaliação de risco e fluxos de notificação definidos, separa uma resposta organizada de um agravamento da sanção.
• Backups e continuidade. Cópias de segurança regulares e testadas protegem contra a perda e a indisponibilidade dos dados — dois dos cenários que o artigo 46 manda evitar — e são a principal linha de defesa contra ransomware. Backup que nunca foi testado em restauração é backup que não existe.
• Gestão de terceiros e da cadeia de fornecedores. Como 15% das violações nascem de comprometimento de terceiros, a segurança do seu software depende da segurança de quem você contrata. Isso exige avaliar provedores de nuvem quanto a requisitos de segurança, firmar contratos com nível de serviço compatível e cláusulas de proteção de dados, e ter clareza sobre os papéis: o operador que sofre um incidente deve informar o controlador sem demora injustificada, pois é o controlador quem responde perante a ANPD e os titulares.
• Segurança no ciclo de desenvolvimento. A proteção precisa entrar no processo de criação do software, não apenas no produto final: desenvolvimento seguro, testes de invasão (pentests) periódicos, revisão de código e atenção a vulnerabilidades conhecidas, como as catalogadas pelo OWASP. Esse ponto ganhou urgência redobrada com as ferramentas de IA que geram código: a velocidade de produzir software disparou, mas a qualidade e a segurança do código gerado por IA frequentemente exigem revisão e endurecimento antes de ir para produção. Acelerar a construção sem acelerar a revisão é multiplicar a superfície de ataque.
• Governança e cultura. No plano administrativo, o piso inclui uma Política de Segurança da Informação (PSI), inventário e mapeamento dos dados tratados (quem coleta, para quê, onde armazena, com quem compartilha e sob qual base legal), treinamento periódico das equipes e, conforme o caso, a designação de um Encarregado pelo Tratamento de Dados (o DPO) e Relatórios de Impacto à Proteção de Dados (RIPD) para tratamentos de maior risco. Segurança da informação é, no fim, tanto tecnologia quanto comportamento.

A nova fronteira: o fator inteligência artificial

Se há um capítulo que separa a conformidade de ontem da de amanhã, é a inteligência artificial — e os dados do relatório da IBM acendem um alerta. Em 2025, 13% das organizações relataram violações envolvendo modelos ou aplicações de IA e, entre as comprometidas, assustadores 97% admitiram não ter controles de acesso para essas ferramentas. No Brasil, 87% das organizações estudadas não possuíam qualquer política de governança de IA. Pior: 32% notaram violações ligadas à shadow AI — o uso de ferramentas de inteligência artificial não homologadas, adotadas por funcionários à revelia da área de tecnologia.

O risco é duplo. De um lado, colaboradores que despejam dados pessoais e confidenciais em plataformas de IA públicas, sem governança, criando vazamentos invisíveis. De outro, sistemas de IA incorporados ao próprio software que processam dados sem controles adequados. A própria ANPD elegeu a inteligência artificial como um dos quatro eixos prioritários de fiscalização para 2026-2027, o que torna a governança de IA não mais uma boa intenção, e sim uma exigência iminente.

A ironia, apontada pela IBM, é que a mesma tecnologia é parte da solução: empresas que adotam IA e automação de segurança de forma madura registraram custos de violação 26% menores — R$ 6,48 milhões contra R$ 8,78 milhões das que não usam essas ferramentas. A diferença entre os dois desfechos não está em usar ou não usar IA, mas em usá-la com controle de acesso, auditoria e governança — exatamente os mesmos princípios que valem para o resto do software.

O veredito

Por muito tempo, “estar em conformidade com a LGPD” significou, para muita gente, ter um documento de política de privacidade no rodapé do site e torcer para a fiscalização nunca chegar. Esse modelo morreu. A ANPD ganhou estrutura, dentes e um calendário de fiscalização; o STJ passou a reconhecer dano moral presumido em uso indevido de dados; e o custo de um vazamento — somando prejuízo operacional, multa de até R$ 50 milhões, responsabilidade civil e dano à reputação — transformou a segurança de uma despesa de TI em uma decisão de sobrevivência do negócio.

A lição técnica é que privacidade e segurança não são uma camada que se adiciona no fim, mas a fundação sobre a qual o software se ergue. É literalmente o que diz o conceito de privacy by design. Coletar menos, criptografar tudo, controlar quem acessa, registrar tudo, responder rápido e governar a IA não são itens de uma lista de pendências a cumprir sob pressão regulatória: são as características de um software bem construído, que respeita quem confiou seus dados a ele.

“O incidente mais barato continua sendo aquele que não acontece — e a melhor defesa, hoje, não é jurídica nem reativa: é arquitetural.”

Num mercado em que a confiança virou ativo escasso, a empresa que trata segurança como diferencial — e não como obrigação — sai na frente. As demais, mais cedo ou mais tarde, vão descobrir o preço de ter deixado para depois.

Fontes e referências

• LGPD — Lei nº 13.709/2018, artigos 6º, 46, 47, 48, 49, 50 e 52 (princípios, medidas de segurança, comunicação de incidentes e sanções).
• ANPD / Lei nº 15.352/2026 (conversão da MP 1.317/2025): transformação da ANPD em agência reguladora, autonomia, carreira própria e estrutura de superintendências.
• ANPD — Mapa de Temas Prioritários 2026-2027 e Painel da Fiscalização: eixos e ações de fiscalização.
• ANPD — Resolução CD/ANPD nº 4/2023 (Regulamento de Dosimetria e Aplicação de Sanções Administrativas).
• ANPD — Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança, RCIS): definições, critérios e prazos.
• ANPD — Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte (2021) e respectivo checklist; Nota Técnica nº 50/2024 (caso TikTok).
• Emenda Constitucional nº 115/2022: proteção de dados como direito fundamental.
• Superior Tribunal de Justiça, Terceira Turma (set/2025): dano moral presumido em disponibilização indevida de dados pessoais.
• IBM e Ponemon Institute — Cost of a Data Breach Report 2025: custo médio de violação no Brasil, setores, vetores de ataque, tempo de detecção e achados sobre IA.
• Coberturas e análises: Serpro e Agência Gov (incidentes e RCIS), TozziniFreire, Mattos Filho, Mayer Brown e ConJur (atuação e princípios da ANPD), TOTVS e Jusbrasil (dosimetria), além de veículos especializados em segurança da informação.

Dados compilados a partir de fontes públicas entre 2021 e 2026. Este material tem finalidade jornalística e informativa e não substitui consultoria jurídica individualizada; a aplicação concreta das sanções depende da dosimetria caso a caso pela ANPD.