Guia de segurança da informação é a orientação prática da ANPD para adoção de medidas técnicas e administrativas de proteção de dados, nos termos do art. 46 da LGPD (Lei 13.709/2018). Na prática, ele ajuda empresas e escritórios a reduzir riscos, documentar controles e demonstrar boa-fé regulatória.
A Autoridade Nacional de Proteção de Dados publicou o guia orientativo para apoiar agentes de tratamento, especialmente os de pequeno porte, na organização de rotinas mínimas de segurança. Embora o documento tenha caráter orientativo, ele conversa diretamente com os arts. 46, 47, 48 e 49 da LGPD, que tratam de segurança, sigilo, comunicação de incidentes e boas práticas.
Desde a publicação original, a ANPD também consolidou normas relevantes. A Resolução CD/ANPD 2/2022 regulamentou a aplicação da LGPD para agentes de tratamento de pequeno porte. A Resolução CD/ANPD 4/2023 disciplinou a dosimetria das sanções administrativas. A Resolução CD/ANPD 15/2024 regulamentou a comunicação de incidentes de segurança.
Quais medidas administrativas o guia de segurança da informação recomenda?
As medidas administrativas organizam responsabilidades, políticas internas, treinamentos e contratos. Elas criam evidências de governança, reduzem falhas humanas e mostram que o agente de tratamento adotou providências proporcionais ao risco, conforme o art. 46 da LGPD (Lei 13.709/2018).
Entre as medidas administrativas, o guia de segurança da informação recomenda política de segurança da informação, conscientização da equipe, treinamento periódico e gerenciamento contratual. Essas ações não dependem apenas de tecnologia. Elas exigem decisão de gestão, registro documental e acompanhamento contínuo por quem responde pelo tratamento dos dados pessoais.
A política de segurança da informação, conhecida como PSI, deve definir regras sobre coleta, acesso, uso, compartilhamento, armazenamento, retenção e descarte de dados. Em escritórios de advocacia, por exemplo, a PSI pode disciplinar quem acessa processos estratégicos, documentos de clientes, dados trabalhistas, informações financeiras e dados sensíveis de partes.
O treinamento reduz incidentes simples, como envio de documentos ao destinatário errado, clique em links maliciosos, uso de senha fraca e armazenamento indevido de arquivos em pastas pessoais. A empresa também deve registrar presença, conteúdo ministrado e datas, pois esses elementos ajudam a comprovar diligência perante clientes, parceiros e autoridade reguladora.
No gerenciamento de contratos, o guia recomenda cláusulas de segurança da informação, confidencialidade, regras para fornecedores, limites de compartilhamento e deveres entre controlador e operador. Também orienta que funcionários e prestadores assinem termos de confidencialidade (non-disclosure agreement– NDA), especialmente quando acessam dados pessoais ou informações estratégicas.
Quais medidas técnicas de segurança da informação a ANPD sugere?
As medidas técnicas protegem sistemas, dispositivos, comunicações e bases de dados contra acessos indevidos, perda, alteração, vazamento e destruição. Elas incluem controle de acesso, senhas, autenticação multifator, backups, criptografia, antivírus, firewall, gestão de vulnerabilidades e cuidados com nuvem e dispositivos móveis.
O guia cita controle de acesso, segurança dos dados armazenados, transferências de informações, segurança das comunicações e cuidados com dispositivos móveis e serviços de nuvem. A lista não funciona como rol taxativo. A empresa deve adaptar os controles ao porte, à natureza dos dados, ao volume tratado e ao risco das atividades.
Como aplicar controle de acesso e menor privilégio?
O controle de acesso deve vincular cada usuário a credenciais individuais e a permissões compatíveis com sua função. O princípio do menor privilégio, também chamado de need to know, limita o acesso ao que a pessoa precisa para executar suas tarefas. Isso reduz danos quando ocorre erro humano, credencial comprometida ou desligamento de colaborador.
A organização deve proibir o compartilhamento de contas e senhas, revisar acessos periodicamente e retirar permissões quando houver mudança de função ou encerramento do vínculo. Para sistemas que armazenam dados sensíveis, dados financeiros ou informações de processos sigilosos, a autenticação multifator aumenta a proteção de forma relevante.
Como tratar senhas, backups e dados armazenados?
O gerenciamento de senhas deve evitar senhas padrão de fornecedores, combinações simples e reutilização em diferentes sistemas. A empresa pode adotar gerenciadores de senha, regras de complexidade, bloqueio por tentativas inválidas e autenticação multifator. O objetivo é dificultar ataques de força bruta, vazamentos por phishing e acessos oportunistas.
Quanto aos dados armazenados, a ANPD relaciona a segurança ao princípio da necessidade, previsto no art. 6º, III, da LGPD (Lei 13.709/2018). O agente deve limitar o tratamento ao mínimo necessário para a finalidade informada. Coletar documentos, cópias e dados além do necessário amplia a exposição jurídica e operacional.
Backups offline e periódicos ajudam a recuperar informações em caso de falha técnica, ransomware ou exclusão indevida. A empresa deve guardar mídias físicas em local seguro, inventariar dispositivos, cifrar arquivos e definir testes de restauração. Sem teste, o backup pode existir apenas formalmente e não servir no momento crítico.
Como proteger comunicações, dispositivos móveis e nuvem?
Nas comunicações, o guia recomenda conexões cifradas, como TLS e HTTPS, criptografia de ponta a ponta quando aplicável, firewall, filtros de e-mail, antivírus integrados, ferramentas anti-spam e monitoramento de ameaças. Também orienta remover dados pessoais expostos em redes públicas sem necessidade ou base adequada.
Dispositivos móveis exigem autenticação forte, bloqueio automático, atualização de sistemas, separação entre uso pessoal e institucional e possibilidade de remoção remota de dados. Nos serviços em nuvem, a organização deve avaliar requisitos de segurança, localização e acesso, além de contrato compatível com o nível de risco da atividade.
A quem se aplica o guia de segurança da informação da ANPD?
O guia se aplica principalmente a agentes de tratamento de pequeno porte, mas suas recomendações servem como referência para qualquer organização que trate dados pessoais. A ANPD direcionou o material a empresas com menos estrutura técnica, sem afastar a utilidade para escritórios, departamentos jurídicos e empresas maiores.
Na publicação orientativa, a ANPD considerou que muitos agentes de pequeno porte não possuem equipe especializada em segurança da informação. Ainda assim, esses agentes precisam cumprir a LGPD e adotar controles compatíveis com os arts. 46, 47, 48 e 49 da Lei 13.709/2018.
A Resolução CD/ANPD 2/2022 detalhou o regime de aplicação da LGPD para agentes de tratamento de pequeno porte. O grupo abrange microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado sem fins lucrativos, pessoas naturais e entes privados despersonalizados que realizem tratamento de dados pessoais, observados os limites e exceções da norma.
A resolução também impede a aplicação de flexibilizações quando o agente realiza tratamento de alto risco, aufere receita superior aos limites legais ou pertence a grupo econômico que ultrapassa esses parâmetros. Por isso, a classificação exige análise concreta, não apenas autodeclaração informal.
Mesmo quando a empresa não se enquadra como agente de pequeno porte, o checklist da LGPD pode servir como matriz inicial de conformidade. Ele ajuda a identificar lacunas, priorizar riscos e organizar um plano de ação com responsáveis, prazos, evidências e medidas corretivas.
Como usar o checklist da LGPD na rotina da empresa?
O checklist da LGPD transforma recomendações gerais em tarefas verificáveis. Ele permite avaliar políticas, treinamentos, contratos, acesso, senhas, armazenamento, backup, comunicações, vulnerabilidades, dispositivos móveis e nuvem. Para gerar valor jurídico, cada item deve produzir evidências documentais e revisão periódica.
A primeira etapa consiste em mapear quais dados pessoais a organização trata, quais sistemas utiliza, quem acessa as informações e por quanto tempo guarda documentos. Sem inventário, a empresa tende a proteger alguns ambientes e deixar outros desassistidos, como planilhas locais, e-mails antigos, pastas compartilhadas e aplicativos de mensagens.
Depois, a empresa deve classificar riscos. Dados sensíveis, previstos no art. 5º, II, da LGPD (Lei 13.709/2018), merecem proteção reforçada. Informações sobre saúde, biometria, origem racial, convicção religiosa, opinião política e vida sexual podem gerar impactos relevantes ao titular se ocorrer uso indevido ou exposição pública.
O checklist também deve indicar responsáveis. A ausência de dono para cada medida costuma atrasar a implementação. Uma boa prática consiste em vincular cada item a uma pessoa ou área, com prazo, status, evidência esperada e data de revisão. Essa organização facilita auditorias internas e resposta a clientes corporativos.
Outro ponto envolve a gestão de incidentes. O art. 48 da LGPD exige comunicação à ANPD e aos titulares em caso de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD 15/2024 regulamentou critérios, forma e prazos dessa comunicação, tornando o plano de resposta ainda mais relevante.
Na prática, a organização deve definir fluxo de identificação, contenção, investigação, preservação de evidências, comunicação interna, comunicação externa e medidas de remediação. O jurídico, a tecnologia da informação, a liderança e a comunicação institucional precisam atuar de forma coordenada quando ocorre vazamento, indisponibilidade ou acesso não autorizado.
Por que a segurança da informação importa para a LGPD?
A segurança da informação sustenta o cumprimento da LGPD porque protege os dados pessoais durante todo o ciclo de tratamento. Sem controles técnicos e administrativos, a empresa amplia riscos de incidentes, sanções, litígios, perda de confiança e descumprimento dos princípios previstos no art. 6º da Lei 13.709/2018.
A LGPD não exige perfeição absoluta nem elimina todos os riscos tecnológicos. Ela exige medidas de segurança, técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas. Essa obrigação aparece expressamente no art. 46 da Lei 13.709/2018.
Os arts. 52 a 54 da LGPD preveem sanções administrativas, como advertência, multa simples de até 2% do faturamento da pessoa jurídica de direito privado, limitada a R$ 50 milhões por infração, publicização da infração, bloqueio, eliminação dos dados e proibição parcial ou total de atividades relacionadas a tratamento.
A Resolução CD/ANPD 4/2023 definiu parâmetros de dosimetria e aplicação de sanções. Entre os elementos considerados, aparecem gravidade, boa-fé, vantagem auferida, condição econômica, reincidência, grau do dano, cooperação e adoção de política de boas práticas e governança. Controles documentados podem influenciar essa avaliação.
Na advocacia, a relação entre LGPD e segurança da informação fica ainda mais sensível. Escritórios tratam dados de clientes, partes, testemunhas, empregados, sócios, adversários, crianças, consumidores e titulares envolvidos em processos. Também guardam estratégias, provas, contratos, informações patrimoniais e documentos protegidos por sigilo profissional.
Por isso, escritórios que resistem à adequação à LGPD podem comprometer seus próprios riscos e os interesses dos clientes. A imagem negativa de um incidente pode vir acompanhada de questionamentos contratuais, responsabilidade civil, perda de confiança e apuração administrativa pela autoridade competente.
Quais melhores práticas de segurança da informação servem para escritórios de advocacia?
Escritórios de advocacia devem combinar governança, tecnologia e rotina operacional. As melhores práticas incluem responsável por privacidade, comitê interno, treinamento, controle de acesso, revisão de contratos, backup, atualização de sistemas, cuidado com e-mails, segregação de dados e plano de resposta a incidentes.
O primeiro passo consiste em nomear um responsável interno ou estruturar um comitê para coordenar privacidade, segurança e tratamento de dados. Conforme o porte e a complexidade da operação, o escritório também pode designar encarregado pelo tratamento de dados pessoais. Saiba mais sobre a figura do DPO.
Todos os setores devem participar. O financeiro trata dados bancários e fiscais. O administrativo lida com empregados e fornecedores. As áreas consultiva e contenciosa acessam documentos de clientes e terceiros. A recepção pode coletar identificação e contato. A tecnologia administra sistemas, permissões e logs.
Entre as práticas recomendadas, o escritório deve monitorar processos internos ligados à LGPD, atualizar políticas, registrar treinamentos, evitar e-mails suspeitos, orientar a equipe sobre phishing, criar padrões de senha, restringir compartilhamentos, manter computadores atualizados e revisar permissões em softwares jurídicos, armazenamento em nuvem e ferramentas de comunicação.
O uso de sistemas jurídicos com controle de acesso, trilhas de auditoria, centralização documental e gestão de permissões ajuda a reduzir dispersão de arquivos. Mesmo assim, a ferramenta não substitui governança. O escritório precisa definir regras de uso, responsáveis, prazos de retenção, backups e procedimentos em caso de incidente.
Também convém revisar contratos com fornecedores de tecnologia, correspondentes, consultores, contadores, empresas de digitalização, plataformas de assinatura eletrônica e provedores de nuvem. As cláusulas devem tratar de confidencialidade, segurança, suboperadores, comunicação de incidentes, devolução ou eliminação de dados e cooperação em solicitações de titulares.
Quer ficar por dentro de novidades sobre LGPD, gestão jurídica e segurança da informação? Faça seu cadastro e receba conteúdos no seu e-mail.
Perguntas frequentes sobre guia de segurança da informação
As dúvidas mais comuns envolvem obrigatoriedade, aplicação prática, pequenas empresas, escritórios de advocacia, checklist, sanções e comunicação de incidentes. As respostas abaixo sintetizam pontos jurídicos e operacionais que costumam aparecer em pesquisas sobre ANPD, LGPD e segurança da informação.
Guia de segurança da informação da ANPD tem caráter orientativo, mas se conecta ao art. 46 da LGPD (Lei 13.709/2018), que exige medidas técnicas e administrativas. Na prática, seguir o guia ajuda a demonstrar diligência, boa-fé e governança em auditorias, contratos e eventual fiscalização.
Guia de segurança da informação pode orientar microempresas, empresas de pequeno porte, startups, escritórios de advocacia, departamentos jurídicos e empresas maiores. O checklist ajuda qualquer agente de tratamento a verificar controles mínimos, priorizar riscos e registrar evidências de conformidade com a LGPD.
Guia de segurança da informação recomenda controle de acesso, senhas fortes, autenticação multifator, backups, criptografia, atualização de sistemas, antivírus, firewall, proteção de e-mail, gestão de vulnerabilidades e cuidados com nuvem. A escolha deve considerar porte, volume de dados, sensibilidade das informações e risco da atividade.
Guia de segurança da informação indica política de segurança, treinamentos, campanhas de conscientização, termos de confidencialidade, cláusulas contratuais, regras para fornecedores e definição de responsáveis. Documentar essas medidas ajuda a provar que a organização orientou pessoas, controlou acessos e estruturou governança de proteção de dados.
Guia de segurança da informação deve ser combinado com um plano de resposta a incidentes. A empresa precisa conter o evento, investigar causas, preservar evidências, avaliar risco ou dano relevante e observar o art. 48 da LGPD e a Resolução CD/ANPD 15/2024 sobre comunicação à ANPD e titulares.
Guia de segurança da informação é aplicável à rotina de escritórios porque a advocacia trata dados pessoais em contratos, processos, pareceres, documentos trabalhistas, informações financeiras e casos sigilosos. A LGPD se aplica quando há tratamento de dados pessoais, salvo hipóteses legais específicas de exclusão.
Como concluir a adequação com base no guia de segurança da informação?
A adequação começa por diagnóstico, passa por priorização de riscos e depende de execução documentada. O guia de segurança da informação oferece um caminho prático para transformar exigências legais em controles, políticas, contratos, treinamentos e respostas a incidentes compatíveis com a LGPD.
Empresas e escritórios devem evitar tratar o checklist como documento único de conformidade. Ele funciona melhor como ponto de partida para uma rotina permanente de proteção de dados. A revisão periódica permite ajustar controles a novos sistemas, novos fornecedores, mudanças de equipe e alterações normativas da ANPD.
Ao aplicar o guia de segurança da informação com evidências, responsáveis e prazos, a organização reduz riscos operacionais e melhora sua capacidade de demonstrar conformidade. Essa postura não elimina incidentes, mas aumenta a maturidade da gestão jurídica, tecnológica e administrativa diante das exigências da LGPD.
Leia também:
