LGPD Art. 46: cómo el pentest se convierte en evidencia de 'medidas de seguridad' ante la ANPD

Categoría: Cumplimiento LGPD | Pentest | Seguridad de Datos Nivel: Intermedio Entorno: Laboratorio controlado — escenario totalmente anonimizado, sin datos reales de clientes

---

Introducción

La LGPD (Ley 13.709/2018) no exige un estándar cerrado de seguridad — exige medidas de seguridad, técnicas y administrativas aptas para proteger datos personales. Esa redacción abierta del Art. 46 es, al mismo tiempo, la mayor oportunidad y la mayor trampa de la ley para las empresas brasileñas: ¿cómo se demuestra, ante un cuestionamiento de la ANPD o de un cliente que exige garantías, que las medidas son "aptas"?

En la práctica, la respuesta que la autoridad y el mercado aceptan tiene un formato muy específico: evidencia técnica reproducible de que los controles fueron probados. Y eso es exactamente lo que produce un pentest — realizado con metodología, alcance definido e informe estructurado.

Este material es preventivo y describe, en un escenario de laboratorio anonimizado, cómo una empresa de telemedicina convirtió el resultado de una prueba de intrusión en un expediente de cumplimiento ante un cuestionamiento de la ANPD — y lo que cualquier organización puede copiar de ese flujo.

---

1. Qué exige el Art. 46 (y qué NO exige)

El texto del caput es corto y deliberadamente abierto:

"Los agentes de tratamiento deben adoptar medidas de seguridad, técnicas y administrativas aptas para proteger los datos personales de accesos no autorizados y de situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado o ilícito."

Tres lecturas prácticas de este dispositivo:

1. "Aptas" es la palabra clave. La ley no define el firewall X ni el cifrado Y. La ANPD evalúa si las medidas son proporcionales al riesgo — tamaño de la empresa, volumen y sensibilidad de los datos tratados. Lo que es apto para una papelería no es apto para una plataforma de telemedicina.
2. Cubre accesos no autorizados E incidentes. No se trata solo de "no dejar que invadan". También se trata de detectar, contener y notificar cuando algo sale mal — de ahí el vínculo directo con el Art. 48 (comunicación a la ANPD y a los titulares en caso de incidente).
3. La rendición de cuentas (Art. 6, X) obliga a demostrar eficacia. ¿La medida existe en papel? ¿Funciona de verdad? Por el principio de rendición de cuentas (accountability), el controlador debe poder demostrar que adoptó y evaluó las medidas — lo que, en la práctica, significa probar periódicamente y documentar el resultado. El §1 del Art. 46, a su vez, autoriza a la ANPD a fijar estándares técnicos mínimos de seguridad — lo que refuerza la importancia de contar con evidencia técnica estandarizada.

Y ahí es donde el pentest gana estatus de evidencia: una prueba de intrusión es, literalmente, una evaluación documentada de la eficacia de los controles de seguridad.

Lo que la ANPD ya publicó sobre el tema

La ANPD publicó la Guía Orientativa para Agentes de Tratamiento de Pequeño Porte (2021), acompañada de un checklist de medidas de seguridad — el documento más concreto de la autoridad sobre lo que espera ver en el día a día: control de acceso, gestión de vulnerabilidades, pruebas de seguridad, monitoreo y respuesta a incidentes. La guía no inventa requisitos — organiza lo que el Art. 46 ya exige. Y la gestión de vulnerabilidades con pruebas periódicas está explícitamente entre las medidas esperadas.

---

2. El escenario de laboratorio: la clínica "VitaCare"

Para mostrar el flujo completo, usamos un escenario ficticio de laboratorio: VitaCare, plataforma de telemedicina con 60 mil pacientes activos, que procesa historias clínicas electrónicas, recetas y datos de salud — es decir, datos sensibles según la definición del Art. 5, II de la LGPD (datos sobre salud), sujetos a protección reforzada.

VitaCare recibió un cuestionamiento de la ANPD a partir de una petición de titular (Art. 18, §1 — petición ante la autoridad nacional). Plazo de respuesta: 15 días. La dirección pidió al DPO un expediente que respondiera dos preguntas:

1. ¿Qué medidas de seguridad adopta la empresa (Art. 46 caput)?
2. ¿Cómo sabemos que funcionan (rendición de cuentas — Art. 6, X)?

El DPO contrató una prueba de intrusión con alcance web + API + infraestructura, con la siguiente orientación: cada hallazgo debe mapearse a un artículo de la LGPD y al control correspondiente del marco de gestión (ISO/IEC 27001:2022 como referencia). El resultado: siete hallazgos, todos con reproducción, todos con mapeo legal.

---

3. Los hallazgos y el mapeo legal

Hallazgo 1 — [CRÍTICO] Acceso no autorizado a historias clínicas de otros pacientes (IDOR/BOLA)

En la API de historias clínicas, el identificador del paciente venía de la URL (/api/v1/records/1042), y la autorización solo verificaba si el usuario estaba autenticado — no si la historia le pertenecía. Cualquier profesional con sesión iniciada podía leer las historias de cualquier paciente cambiando un número en la URL.

• Por qué el escáner no lo vio: la falla está en la lógica de negocio (autorización por objeto), invisible para escaneos automatizados que no conocen el flujo de la aplicación. Solo una prueba manual, guiada por razonamiento adversarial, encuentra este patrón.
• Impacto LGPD: acceso no autorizado masivo a datos sensibles de salud — el núcleo exacto del caput del Art. 46. La exposición de PII de salud eleva el riesgo regulatorio y el daño al titular.
• Mapeo: Art. 46 caput (accesos no autorizados); Art. 6, caput (buena fe) y VII (seguridad); ISO 27001:2022 Anexo A 5.15 (control de acceso) y 8.2 (derechos de acceso).

Hallazgo 2 — [ALTO] Datos sensibles sin cifrado en reposo en la base de datos

Las historias clínicas se almacenaban en texto plano en la base de datos de producción, incluido el campo de diagnóstico. El cifrado existía solo en tránsito (TLS).

• Impacto LGPD: el Art. 46 no enumera el "cifrado" como obligación — pero la ANPD espera protección en reposo proporcional a la sensibilidad. Para datos de salud, la ausencia de cifrado en reposo es difícil de justificar como medida "apta".
• Mapeo: Art. 46 caput; ISO 27001:2022 Anexo A 8.24 (cifrado) y 8.12 (prevención de fuga de datos).

Hallazgo 3 — [ALTO] Sin trazabilidad: ausencia de registros de acceso

La aplicación no registraba quién accedió a qué historia clínica, ni a qué hora. La auditoría de acceso era imposible.

• Impacto LGPD: sin registro de operaciones, el controlador no puede (a) detectar accesos indebidos, (b) dimensionar un incidente para la notificación del Art. 48, ni (c) responder a la petición del titular con evidencia. La trazabilidad es requisito previo para demostrar la eficacia de las medidas (accountability, Art. 6, X).
• Mapeo: Art. 6, X (rendición de cuentas — demostrar eficacia de las medidas); ISO 27001:2022 Anexo A 8.15 (registro de eventos) y 8.16 (monitoreo); Art. 37 (registro de las operaciones de tratamiento, como apoyo).

Hallazgo 4 — [MEDIO] Copias de seguridad fuera de la política de retención

Se conservaban copias de 14 meses de antigüedad indefinidamente, incluso de cuentas de pacientes inactivos desde hacía años.

• Impacto LGPD: la retención más allá de lo necesario entra en conflicto con el Art. 16 (eliminación tras el término del tratamiento) y aumenta la superficie de exposición sin beneficio.
• Mapeo: Art. 15 y 16 (eliminación); ISO 27001:2022 Anexo A 8.13 (copia de seguridad) y 8.10 (destrucción de información).

Hallazgo 5 — [INFO] Flujo de notificación de incidentes inexistente en la práctica

El plan de respuesta a incidentes existía en papel, pero no había runbook operativo: sin lista de contactos de la ANPD, sin plantilla de comunicación al titular, sin definición de quién decide la notificación dentro del plazo del Art. 48.

• Impacto LGPD: el Art. 48 impone la comunicación en plazo razonable a la ANPD y al titular cuando el incidente pueda acarrear riesgo o daño relevante. Sin un flujo probado, el controlador tiende a notificar demasiado tarde — y la demora se convierte en agravante.
• Mapeo: Art. 48; ISO 27001:2022 Anexo A 5.24/5.25 (planificación y respuesta a incidentes).

Hallazgo 6 — [ALTO] Delegado (DPO) no designado formalmente ni comunicado a la ANPD

VitaCare tenía la figura del "DPO" solo de manera informal — una analista de cumplimiento que acumulaba la función sin designación formal, sin canal público de comunicación con los titulares y sin el registro de comunicación a la ANPD.

• Impacto LGPD: el Art. 41 exige que el controlador designe un delegado (DPO), con identidad y contacto divulgados públicamente (§1), y la ANPD mantiene un registro de delegados en su portal. Sin designación formal, la empresa falla en un requisito estructural de gobernanza — y el cuestionamiento de la ANPD (petición Art. 18, §1) no tenía un canal oficial de respuesta.
• Mapeo: Art. 41 (delegado); ISO 27001:2022 Anexo A 5.1 (políticas), 5.34 (privacidad y protección de PII).

Hallazgo 7 — [MEDIO] EIPD no realizado para el tratamiento de datos sensibles a gran escala

La plataforma procesaba datos de salud de 60 mil pacientes — tratamiento a gran escala de datos sensibles — sin Evaluación de Impacto de Protección de Datos (EIPD).

• Impacto LGPD: el Art. 38 autoriza a la ANPD a determinar que el controlador elabore una EIPD cuando el tratamiento pueda acarrear riesgos a las libertades civiles y a los derechos fundamentales — y el Art. 55-J, IV permite a la autoridad solicitar información sobre las operaciones de tratamiento en cualquier momento. El pentest, con su mapeo de la superficie de datos sensibles y de los flujos de tratamiento, es insumo directo para la EIPD (inventario, riesgos y controles).
• Mapeo: Art. 38 (EIPD); Art. 5, II (datos sensibles) y 5, X (tratamiento a gran escala); ISO 27001:2022 Anexo A 5.34 (privacidad y protección de PII).

---

4. Por qué "medidas documentadas" no bastan (la lógica de la accountability)

Antes de la prueba, VitaCare tenía un acervo razonable de políticas: política de seguridad, política de contraseñas, matriz de accesos. En papel, parecía al día. El cuestionamiento de la ANPD, sin embargo, no pregunta "¿tiene política?" — pregunta "¿cómo sabe que funciona?".

El contraste entre las dos respuestas:

El pentest no "prueba que la empresa es segura" — prueba que la empresa sabe lo que no sabe, que es el requisito real de la rendición de cuentas (Art. 6, X): documentar la evaluación de eficacia, incluso (y sobre todo) cuando encuentra fallas. Para la ANPD, una empresa que prueba, encuentra y remedia es cualitativamente diferente de una que nunca probó.

---

5. El informe de pentest como expediente de cumplimiento

El informe que VitaCare adjuntó a su respuesta a la ANPD tenía una estructura específica — la misma que recomendamos a cualquier organización que quiera usar el pentest como evidencia:

1. Alcance y autorización: dominios, IPs, APIs y períodos probados; confirmación de que la prueba fue autorizada por escrito. Esto delimita lo que cubre la evidencia.
2. Metodología: estándar PTES/OWASP WSTG, fases ejecutadas, herramientas y trabajo manual. La ANPD no exige una metodología específica, pero la ausencia de método debilita la evidencia.
3. Hallazgos con reproducción: cada vulnerabilidad con paso a paso de reproducción, impacto comprobado y severidad. Un hallazgo sin reproducción no es evidencia — es opinión.
4. Mapeo normativo: cada hallazgo vinculado al artículo de la LGPD y al control ISO 27001 correspondiente. Esa columna es la que convierte un informe técnico en documento de cumplimiento.
5. Plan de remediación con plazos: correcciones priorizadas por riesgo, con responsable y fecha.
6. Re-prueba: reevaluación después de la remediación, documentando que el hallazgo fue cerrado. El ciclo prueba → corrección → re-prueba es lo que demuestra la "evaluación de eficacia" continuada que exige la rendición de cuentas (Art. 6, X).

Ese mismo informe atiende a tres públicos a la vez: la ANPD (cuestionamiento), el DPO (evidencia para el informe de impacto) y los clientes B2B que exigen garantías contractuales de seguridad en el tratamiento de datos.

---

6. LGPD, PCI-DSS e ISO 27001: dónde encaja el pentest

Las empresas que operan con tarjetas (PCI) o con certificación ISO ya necesitan pruebas periódicas — el mismo informe sirve de evidencia para las tres frentes. No es un costo triplicado; es la misma evidencia aprovechada en tres auditorías.

---

7. Checklist para el DPO: usar el pentest como evidencia LGPD

• El alcance cubre lo que la LGPD protege: incluir APIs, sistemas legados y flujos con datos sensibles en el alcance de la prueba — no solo el sitio institucional
• Autorización formal por escrito antes de cualquier prueba (regla de oro del Art. 46 y de la propia ley penal)
• Metodología documentada (PTES/OWASP WSTG) y trabajo manual más allá de los escáneres
• Cada hallazgo con reproducción e impacto comprobado
• Mapeo normativo: hallazgo → artículo LGPD → control ISO 27001 (incluir Art. 41 — delegado — y Art. 38 — EIPD — cuando corresponda)
• Delegado (DPO) designado formalmente (Art. 41): verificar que el canal de respuesta a titulares y a la autoridad exista en la práctica
• EIPD para tratamiento de riesgo (Art. 38): evaluar si el tratamiento de datos sensibles a gran escala exige una evaluación de impacto — y usar el inventario del pentest como insumo
• Plan de remediación con plazos y responsables
• Re-prueba documentada después de las correcciones
• Guardarlo todo: informe, evidencias de reproducción, comprobante de re-prueba — durante al menos el ciclo de retención definido en la política
• Revisar el flujo del Art. 48: si ocurre un incidente mañana, ¿quién notifica a la ANPD, en cuánto tiempo y con qué información?
• Repetir con periodicidad definida — la evaluación de eficacia de la accountability (Art. 6, X) es continua, no un evento único

---

Este artículo describe un escenario de laboratorio totalmente ficticio, construido con fines educativos. No se utilizó ningún dato real de clientes. La explotación de vulnerabilidades en sistemas sin autorización explícita es ilegal.

¿Quiere saber si sus medidas de seguridad pasarían un cuestionamiento de la ANPD? El servicio de intrus.io combina pentest (web, API y red) con el add-on Intrus Conformidade — un informe con mapeo por artículo de la LGPD y control ISO 27001, listo para el DPO y para la autoridad. Estamos a su disposición.