LGPD Art. 46: come il pentest diventa prova delle 'misure di sicurezza' per l'ANPD

Categoria: Conformità LGPD | Pentest | Sicurezza dei Dati Livello: Intermedio Ambiente: Laboratorio controllato — scenario totalmente anonimizzato, senza dati reali di clienti

---

Introduzione

La LGPD (Legge 13.709/2018) non richiede uno standard di sicurezza chiuso — richiede misure di sicurezza, tecniche e amministrative idonee a proteggere i dati personali. Questa formulazione aperta dell'Art. 46 è, allo stesso tempo, la più grande opportunità e la più grande trappola della legge per le aziende brasiliane: come dimostri, davanti a una richiesta dell'ANPD o a un cliente che esige garanzie, che le tue misure sono "idonee"?

In pratica, la risposta che l'autorità e il mercato accettano ha un formato molto specifico: evidenza tecnica riproducibile che i controlli sono stati testati. Ed è esattamente ciò che produce un pentest — condotto con metodologia, perimetro definito e report strutturato.

Questo materiale è preventivo e descrive, in uno scenario di laboratorio anonimizzato, come un'azienda di telemedicina ha trasformato il risultato di un test di intrusione in un dossier di conformità in risposta a una richiesta dell'ANPD — e cosa qualsiasi organizzazione può copiare da questo flusso.

---

1. Cosa richiede l'Art. 46 (e cosa NON richiede)

Il testo del caput è breve e volutamente aperto:

"I titolari del trattamento devono adottare misure di sicurezza, tecniche e amministrative idonee a proteggere i dati personali da accessi non autorizzati e da situazioni accidentali o illecite di distruzione, perdita, alterazione, comunicazione o qualsiasi forma di trattamento inadeguato o illecito."

Tre letture pratiche di questa disposizione:

1. "Idonee" è la parola chiave. La legge non definisce il firewall X o la crittografia Y. L'ANPD valuta se le misure sono proporzionate al rischio — dimensione dell'azienda, volume e sensibilità dei dati trattati. Ciò che è idoneo per una cartoleria non è idoneo per una piattaforma di telemedicina.
2. Copre gli accessi non autorizzati E gli incidenti. Non si tratta solo di "non far entrare gli attaccanti". Si tratta anche di rilevare, contenere e notificare quando qualcosa va storto — da qui il legame diretto con l'Art. 48 (comunicazione all'ANPD e agli interessati in caso di incidente).
3. L'accountability (Art. 6, X) impone di dimostrare l'efficacia. La misura esiste sulla carta? Funziona davvero? In base al principio di responsabilizzazione e rendiconto (accountability), il titolare deve essere in grado di dimostrare di aver adottato e valutato le misure — il che, in pratica, significa testare periodicamente e documentare il risultato. Il §1 dell'Art. 46, a sua volta, autorizza l'ANPD a fissare standard tecnici minimi di sicurezza — il che rafforza l'importanza di disporre di evidenza tecnica standardizzata.

Ed è qui che il pentest acquisisce lo status di prova: un test di intrusione è, letteralmente, una valutazione documentata dell'efficacia dei controlli di sicurezza.

Cosa ha già pubblicato l'ANPD sul tema

L'ANPD ha pubblicato la Guida Orientativa per i Titolari del Trattamento di Piccole Dimensioni (2021), accompagnata da una checklist delle misure di sicurezza — il documento più concreto dell'autorità su cosa si aspetta di vedere nella pratica quotidiana: controllo degli accessi, gestione delle vulnerabilità, test di sicurezza, monitoraggio e risposta agli incidenti. La guida non inventa requisiti — organizza ciò che l'Art. 46 già richiede. E la gestione delle vulnerabilità con test periodici è esplicitamente tra le misure attese.

---

2. Lo scenario di laboratorio: la clinica "VitaCare"

Per mostrare il flusso completo, abbiamo usato uno scenario fittizio di laboratorio: VitaCare, piattaforma di telemedicina con 60.000 pazienti attivi, che tratta cartelle cliniche elettroniche, ricette e dati sanitari — cioè dati sensibili secondo la definizione dell'Art. 5, II della LGPD (dati sulla salute), soggetti a protezione rafforzata.

VitaCare ha ricevuto una richiesta dell'ANPD a seguito di una petizione di un interessato (Art. 18, §1 — petizione dinanzi all'autorità nazionale). Termine di risposta: 15 giorni. La direzione ha chiesto al DPO un dossier che rispondesse a due domande:

1. Quali misure di sicurezza adotta l'azienda (Art. 46 caput)?
2. Come sappiamo che funzionano (accountability — Art. 6, X)?

Il DPO ha commissionato un test di intrusione con perimetro web + API + infrastruttura, con la seguente indicazione: ogni finding deve essere mappato su un articolo della LGPD e sul controllo corrispondente del framework di gestione (ISO/IEC 27001:2022 come riferimento). Il risultato: sette finding, tutti con riproduzione, tutti con mappatura legale.

---

3. I finding e la mappatura legale

Finding 1 — [CRITICO] Accesso non autorizzato alle cartelle cliniche di altri pazienti (IDOR/BOLA)

Nell'API delle cartelle cliniche, l'identificativo del paziente proveniva dall'URL (/api/v1/records/1042) e l'autorizzazione verificava solo se l'utente era autenticato — non se la cartella gli appartenesse. Qualsiasi professionista con accesso poteva leggere le cartelle di qualsiasi paziente modificando un numero nell'URL.

• Perché lo scanner non lo ha visto: il difetto sta nella logica di business (autorizzazione a livello di oggetto), invisibile alle scansioni automatizzate che non conoscono il flusso dell'applicazione. Solo un test manuale, guidato da ragionamento avversariale, trova questo pattern.
• Impatto LGPD: accesso non autorizzato di massa a dati sensibili sanitari — il nucleo esatto del caput dell'Art. 46. L'esposizione di PII sanitarie aumenta il rischio normativo e il danno all'interessato.
• Mappatura: Art. 46 caput (accessi non autorizzati); Art. 6, caput (buona fede) e VII (sicurezza); ISO 27001:2022 Allegato A 5.15 (controllo degli accessi) e 8.2 (diritti di accesso).

Finding 2 — [ALTO] Dati sensibili senza crittografia a riposo nel database

Le cartelle cliniche erano memorizzate in chiaro nel database di produzione, incluso il campo della diagnosi. La crittografia esisteva solo in transito (TLS).

• Impatto LGPD: l'Art. 46 non elenca la "crittografia" come obbligo — ma l'ANPD si aspetta una protezione a riposo proporzionata alla sensibilità. Per i dati sanitari, l'assenza di crittografia a riposo è difficile da giustificare come misura "idonea".
• Mappatura: Art. 46 caput; ISO 27001:2022 Allegato A 8.24 (crittografia) e 8.12 (prevenzione della fuga di dati).

Finding 3 — [ALTO] Nessuna tracciabilità: log di accesso assenti

L'applicazione non registrava chi aveva accesso a quale cartella clinica, né a che ora. L'audit degli accessi era impossibile.

• Impatto LGPD: senza registro delle operazioni, il titolare non può (a) rilevare accessi indebiti, (b) dimensionare un incidente per la notifica dell'Art. 48, né (c) rispondere alla petizione dell'interessato con evidenza. La tracciabilità è prerequisito per dimostrare l'efficacia delle misure (accountability, Art. 6, X).
• Mappatura: Art. 6, X (responsabilizzazione — dimostrare l'efficacia delle misure); ISO 27001:2022 Allegato A 8.15 (logging) e 8.16 (monitoraggio); Art. 37 (registro delle operazioni di trattamento, a supporto).

Finding 4 — [MEDIO] Backup fuori dalla politica di conservazione

Backup di 14 mesi venivano conservati a tempo indeterminato, inclusi quelli di account di pazienti inattivi da anni.

• Impatto LGPD: la conservazione oltre il necessario è in conflitto con l'Art. 16 (eliminazione dopo il termine del trattamento) e aumenta la superficie di esposizione senza beneficio.
• Mappatura: Art. 15 e 16 (eliminazione); ISO 27001:2022 Allegato A 8.13 (backup) e 8.10 (distruzione delle informazioni).

Finding 5 — [INFO] Flusso di notifica degli incidenti inesistente nella pratica

Il piano di risposta agli incidenti esisteva sulla carta, ma non c'era un runbook operativo: nessuna lista di contatti dell'ANPD, nessun modello di comunicazione all'interessato, nessuna definizione di chi decide la notifica entro il termine dell'Art. 48.

• Impatto LGPD: l'Art. 48 impone la comunicazione entro un termine ragionevole all'ANPD e agli interessati quando l'incidente possa comportare rischio o danno rilevante. Senza un flusso testato, il titolare tende a notificare troppo tardi — e il ritardo diventa un'aggravante.
• Mappatura: Art. 48; ISO 27001:2022 Allegato A 5.24/5.25 (pianificazione e risposta agli incidenti).

Finding 6 — [ALTO] Responsabile (DPO) non nominato formalmente né comunicato all'ANPD

VitaCare aveva la figura del "DPO" solo informalmente — un'analista di compliance che accumulava il ruolo senza nomina formale, senza canale pubblico di comunicazione con gli interessati e senza la registrazione della comunicazione all'ANPD.

• Impatto LGPD: l'Art. 41 richiede che il titolare nomini un responsabile (DPO), con identità e contatti divulgati pubblicamente (§1), e l'ANPD mantiene un registro dei responsabili sul proprio portale. Senza nomina formale, l'azienda fallisce un requisito strutturale di governance — e la richiesta dell'ANPD (petizione Art. 18, §1) non aveva un canale ufficiale di risposta.
• Mappatura: Art. 41 (responsabile); ISO 27001:2022 Allegato A 5.1 (politiche), 5.34 (privacy e protezione delle PII).

Finding 7 — [MEDIO] DPIA non effettuata per il trattamento di dati sensibili su larga scala

La piattaforma trattava dati sanitari di 60.000 pazienti — trattamento su larga scala di dati sensibili — senza Valutazione d'Impatto sulla Protezione dei Dati (DPIA).

• Impatto LGPD: l'Art. 38 autorizza l'ANPD a richiedere al titolare una DPIA quando il trattamento possa comportare rischi per le libertà civili e i diritti fondamentali — e l'Art. 55-J, IV consente all'autorità di richiedere informazioni sulle operazioni di trattamento in qualsiasi momento. Il pentest, con la sua mappatura della superficie dei dati sensibili e dei flussi di trattamento, è input diretto per la DPIA (inventario, rischi e controlli).
• Mappatura: Art. 38 (DPIA); Art. 5, II (dati sensibili) e 5, X (trattamento su larga scala); ISO 27001:2022 Allegato A 5.34 (privacy e protezione delle PII).

---

4. Perché le "misure documentate" non bastano (la logica dell'accountability)

Prima del test, VitaCare aveva un patrimonio ragionevole di policy: policy di sicurezza, policy sulle password, matrice degli accessi. Sulla carta sembrava a posto. La richiesta dell'ANPD, però, non chiede "hai una policy?" — chiede "come fai a sapere che funziona?".

Il contrasto tra le due risposte:

Il pentest non "dimostra che l'azienda è sicura" — dimostra che l'azienda sa ciò che non sa, che è il vero requisito della responsabilizzazione (Art. 6, X): documentare la valutazione dell'efficacia, anche (e soprattutto) quando trova difetti. Per l'ANPD, un'azienda che testa, trova e rimedia è qualitativamente diversa da una che non ha mai testato.

---

5. Il report di pentest come dossier di conformità

Il report che VitaCare ha allegato alla risposta all'ANPD aveva una struttura specifica — la stessa che raccomandiamo a qualsiasi organizzazione che voglia usare il pentest come evidenza:

1. Perimetro e autorizzazione: domini, IP, API e periodi testati; conferma che il test è stato autorizzato per iscritto. Questo delimita ciò che l'evidenza copre.
2. Metodologia: standard PTES/OWASP WSTG, fasi eseguite, strumenti e lavoro manuale. L'ANPD non richiede una metodologia specifica, ma l'assenza di metodo indebolisce l'evidenza.
3. Finding con riproduzione: ogni vulnerabilità con procedura di riproduzione passo-passo, impatto dimostrato e severità. Un finding senza riproduzione non è evidenza — è opinione.
4. Mappatura normativa: ogni finding collegato all'articolo della LGPD e al controllo ISO 27001 corrispondente. È questa colonna che trasforma un report tecnico in un documento di conformità.
5. Piano di remediation con scadenze: correzioni prioritarizzate per rischio, con proprietario e data.
6. Retest: rivalutazione dopo la remediation, documentando la chiusura del finding. Il ciclo test → correzione → retest è ciò che dimostra la "valutazione dell'efficacia" continuativa richiesta dall'accountability (Art. 6, X).

Questo stesso report serve tre interlocutori contemporaneamente: l'ANPD (richiesta), il DPO (evidenza per la valutazione d'impatto) e i clienti B2B che pretendono garanzie contrattuali di sicurezza nel trattamento dei dati.

---

6. LGPD, PCI-DSS e ISO 27001: dove si colloca il pentest

Le aziende che operano con carte (PCI) o con certificazione ISO hanno già bisogno di test periodici — lo stesso report vale come evidenza per tutti e tre i fronti. Non è un costo triplicato; è la stessa evidenza sfruttata in tre audit.

---

7. Checklist per il DPO: usare il pentest come evidenza LGPD

• Il perimetro copre ciò che la LGPD protegge: includere API, sistemi legacy e flussi con dati sensibili nel perimetro del test — non solo il sito istituzionale
• Autorizzazione formale per iscritto prima di qualsiasi test (regola d'oro dell'Art. 46 e della stessa legge penale)
• Metodologia documentata (PTES/OWASP WSTG) e lavoro manuale oltre gli scanner
• Ogni finding con riproduzione e impatto dimostrato
• Mappatura normativa: finding → articolo LGPD → controllo ISO 27001 (includere Art. 41 — DPO — e Art. 38 — DPIA — quando applicabile)
• DPO nominato formalmente (Art. 41): verificare che il canale di risposta a interessati e autorità esista nella pratica
• DPIA per trattamenti a rischio (Art. 38): valutare se il trattamento di dati sensibili su larga scala richiede una valutazione d'impatto — e usare l'inventario del pentest come input
• Piano di remediation con scadenze e responsabili
• Retest documentato dopo le correzioni
• Conservare tutto: report, evidenze di riproduzione, prova del retest — per almeno il ciclo di conservazione definito nella policy
• Rivedere il flusso dell'Art. 48: se domani accade un incidente, chi notifica l'ANPD, entro quanto tempo e con quali informazioni?
• Ripetere con cadenza definita — la valutazione dell'efficacia dell'accountability (Art. 6, X) è continuativa, non un evento unico

---

Questo articolo descrive uno scenario di laboratorio totalmente fittizio, costruito a scopo educativo. Nessun dato reale di clienti è stato utilizzato. Lo sfruttamento di vulnerabilità in sistemi senza autorizzazione esplicita è illegale.

Vuoi sapere se le tue misure di sicurezza supererebbero una richiesta dell'ANPD? Il servizio di intrus.io combina pentest (web, API e rete) con l'add-on Intrus Conformidade — un report con mappatura per articolo LGPD e controllo ISO 27001, pronto per il DPO e per l'autorità. Siamo a disposizione.