LGPD Art. 46 e Pentest: a evidência técnica que a ANPD espera

Categoria: Conformidade LGPD | Pentest | Segurança de Dados Nível: Intermediário Ambiente: Laboratório controlado — cenário totalmente anonimizado, sem dados reais de clientes

---

Introdução

A LGPD (Lei 13.709/2018) não exige um padrão fechado de segurança — ela exige medidas de segurança, técnicas e administrativas aptas a proteger dados pessoais. Essa redação aberta do Art. 46 é, ao mesmo tempo, a maior oportunidade e a maior armadilha da lei para empresas brasileiras: como você prova, diante de um questionamento da ANPD ou de um cliente que te cobra garantias, que as suas medidas são "aptas"?

Na prática, a resposta que a autoridade e o mercado aceitam tem um formato muito específico: evidência técnica reproduzível de que os controles foram testados. E é exatamente isso que um pentest — feito com metodologia, escopo definido e relatório estruturado — produz.

Este material é preventivo e descreve, em cenário de laboratório anonimizado, como uma empresa de telemedicina transformou o resultado de um teste de invasão em um dossiê de conformidade diante de um questionamento da ANPD — e o que qualquer organização pode copiar desse fluxo.

---

1. O que o Art. 46 exige (e o que ele NÃO exige)

O texto do caput é curto e propositalmente aberto:

"Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito."

Três leituras práticas desse dispositivo:

1. "Aptas" é a palavra-chave. A lei não define firewall X ou criptografia Y. A ANPD avalia se as medidas são proporcionais ao risco — porte da empresa, volume e sensibilidade dos dados tratados. O que é apto para uma papelaria não é apto para uma plataforma de telemedicina.
2. Abrange acessos não autorizados E incidentes. Não é só "não deixar invadir". É também detectar, conter e notificar quando algo der errado — daí a ligação direta com o Art. 48 (comunicação à ANPD e aos titulares em caso de incidente).
3. A responsabilização (Art. 6º, X) obriga a demonstrar eficácia. A medida existe no papel? Ela funciona de verdade? Pelo princípio da responsabilização e prestação de contas (accountability), o controlador deve ser capaz de demonstrar que adotou e avaliou as medidas — o que, na prática, significa testar periodicamente e documentar o resultado. O §1º do Art. 46, por sua vez, autoriza a ANPD a fixar padrões técnicos mínimos de segurança — o que reforça a importância de ter evidência técnica padronizada.

E é aí que o pentest ganha status de evidência: um teste de invasão é, literalmente, uma avaliação documentada de eficácia dos controles de segurança.

O que a ANPD já publicou sobre o tema

A ANPD publicou o Guia Orientativo para Agentes de Tratamento de Pequeno Porte (2021), acompanhado de um checklist de medidas de segurança — o documento mais concreto da autoridade sobre o que espera ver no dia a dia: controle de acesso, gestão de vulnerabilidades, testes de segurança, monitoramento e resposta a incidentes. O guia não inventa requisitos — ele organiza o que o Art. 46 já exige. E gestão de vulnerabilidades com testes periódicos está explicitamente entre as medidas esperadas.

---

2. O cenário de laboratório: a clínica "VitaCare"

Para mostrar o fluxo completo, usamos um cenário fictício de laboratório: a VitaCare, plataforma de telemedicina com 60 mil pacientes ativos, processando prontuários eletrônicos, receitas e dados de saúde — ou seja, dados sensíveis na definição do Art. 5º, II da LGPD (dados sobre saúde), sujeitos a proteção reforçada.

A VitaCare recebeu um questionamento da ANPD a partir de uma petição de titular (Art. 18, §1º — petição perante a autoridade nacional). O prazo para resposta: 15 dias. A diretoria pediu ao DPO um dossiê que respondesse duas perguntas:

1. Quais medidas de segurança a empresa adota (Art. 46 caput)?
2. Como sabemos que elas funcionam (responsabilização — Art. 6º, X)?

O DPO contratou um teste de invasão com escopo web + API + infraestrutura, com a seguinte orientação: cada achado deve ser mapeado para um artigo da LGPD e para o controle correspondente do framework de gestão (ISO/IEC 27001:2022 como referência). O resultado: sete findings, todos com reprodução, todos com mapeamento legal.

---

3. Os findings e o mapeamento legal

Finding 1 — [CRÍTICO] Acesso não autorizado a prontuários de outros pacientes (IDOR/BOLA)

Na API de prontuários, o identificador do paciente vinha da URL (/api/v1/records/1042), e a autorização verificava apenas se o usuário estava autenticado — não se o prontuário pertencia a ele. Qualquer profissional logado conseguia ler prontuários de qualquer paciente alterando um número na URL.

• Por que o scanner não viu: a falha está na lógica de negócio (autorização por objeto), invisível para varreduras automatizadas que não conhecem o fluxo da aplicação. Só um teste manual, guiado por raciocínio adversarial, encontra esse padrão.
• Impacto LGPD: acesso não autorizado a dados sensíveis de saúde em massa — o núcleo exato do caput do Art. 46. Exposição de PII de saúde eleva o risco regulatório e o dano ao titular.
• Mapeamento: Art. 46 caput (acessos não autorizados); Art. 6º, caput (boa-fé) e VII (segurança); ISO 27001:2022 Anexo A 5.15 (controle de acesso) e 8.2 (direitos de acesso).

Finding 2 — [ALTO] Dados sensíveis sem criptografia em repouso no banco

Os prontuários eram armazenados em texto plano no banco de produção, incluindo o campo de diagnóstico. A criptografia existia apenas em trânsito (TLS).

• Impacto LGPD: o Art. 46 não lista "criptografia" como obrigação — mas a ANPD espera proteção em repouso proporcional à sensibilidade. Para dados de saúde, a ausência de criptografia em repouso é difícil de justificar como medida "apta".
• Mapeamento: Art. 46 caput; ISO 27001:2022 Anexo A 8.24 (criptografia) e 8.12 (prevenção de vazamento de dados).

Finding 3 — [ALTO] Sem rastreabilidade: logs de acesso ausentes

A aplicação não registrava quem acessou qual prontuário, nem em que horário. Auditoria de acesso era impossível.

• Impacto LGPD: sem registro de operações, o controlador não consegue (a) detectar acessos indevidos, (b) dimensionar um incidente para a notificação do Art. 48, nem (c) responder à petição do titular com evidência. A rastreabilidade é pré-requisito para demonstrar a eficácia das medidas (accountability, Art. 6º, X).
• Mapeamento: Art. 6º, X (responsabilização — demonstrar eficácia das medidas); ISO 27001:2022 Anexo A 8.15 (logging) e 8.16 (monitoramento); Art. 37 (registro das operações de tratamento, como apoio).

Finding 4 — [MÉDIO] Backups fora da política de retenção

Backups de 14 meses eram mantidos indefinidamente, inclusive de contas de pacientes inativos há anos.

• Impacto LGPD: retenção além do necessário conflita com o Art. 16 (eliminação após o término do tratamento) e aumenta a superfície de exposição sem benefício.
• Mapeamento: Art. 15 e 16 (eliminação); ISO 27001:2022 Anexo A 8.13 (backup) e 8.10 (destruição de informações).

Finding 5 — [INFO] Fluxo de notificação de incidente inexistente na prática

O plano de resposta a incidentes existia no papel, mas não havia runbook operacional: sem lista de contatos da ANPD, sem modelo de comunicação ao titular, sem definição de quem decide pela notificação no prazo do Art. 48.

• Impacto LGPD: o Art. 48 impõe comunicação em prazo razoável à ANPD e ao titular quando o incidente puder acarretar risco ou dano relevante. Sem fluxo testado, o controlador tende a notificar tarde demais — e o atraso vira agravante.
• Mapeamento: Art. 48; ISO 27001:2022 Anexo A 5.24/5.25 (planejamento e resposta a incidentes).

Finding 6 — [ALTO] Encarregado (DPO) não designado formalmente nem comunicado à ANPD

A VitaCare tinha a figura do "DPO" apenas informalmente — uma analista de compliance acumulando a função sem designação formal, sem canal público de comunicação com titulares e sem o registro de comunicação à ANPD.

• Impacto LGPD: o Art. 41 exige que o controlador indique encarregado (DPO), com identidade e contato divulgados publicamente (§1º), e a ANPD mantém registro de encarregados em seu portal. Sem designação formal, a empresa falha em um requisito estrutural de governança — e o questionamento da ANPD (petição Art. 18, §1º) não tinha um canal oficial de resposta.
• Mapeamento: Art. 41 (encarregado); ISO 27001:2022 Anexo A 5.1 (políticas), 5.34 (privacidade e proteção de PII).

Finding 7 — [MÉDIO] RIPD não realizado para tratamento de dados sensíveis em larga escala

A plataforma processava dados de saúde de 60 mil pacientes — tratamento em larga escala de dados sensíveis — sem Relatório de Impacto à Proteção de Dados (RIPD).

• Impacto LGPD: o Art. 38 autoriza a ANPD a determinar que o controlador elabore RIPD quando o tratamento puder acarretar riscos às liberdades civis e aos direitos fundamentais — e o Art. 55-J, IV permite à autoridade requisitar informações sobre as operações de tratamento a qualquer momento. O pentest, com seu mapeamento de superfície de dados sensíveis e fluxos de tratamento, é insumo direto para o RIPD (inventário, riscos e controles).
• Mapeamento: Art. 38 (RIPD); Art. 5º, II (dados sensíveis) e 5º, X (tratamento em larga escala); ISO 27001:2022 Anexo A 5.34 (privacidade e proteção de PII).

---

4. Por que "medidas documentadas" não bastam (a lógica da accountability)

Antes do teste, a VitaCare tinha um acervo razoável de políticas: política de segurança, política de senhas, matriz de acessos. No papel, parecia em dia. O questionamento da ANPD, porém, não pergunta "você tem política?" — pergunta "como você sabe que funciona?".

O contraste entre as duas respostas:

O pentest não "prova que a empresa é segura" — ele prova que a empresa sabe o que não sabe, o que é o requisito real da responsabilização (Art. 6º, X): documentar a avaliação de eficácia, inclusive (e principalmente) quando ela encontra falhas. Para a ANPD, uma empresa que testa, encontra e remedia é qualitativamente diferente de uma que nunca testou.

---

5. O relatório de pentest como dossiê de conformidade

O relatório que a VitaCare anexou à resposta à ANPD tinha uma estrutura específica — a mesma que recomendamos a qualquer organização que queira usar pentest como evidência:

1. Escopo e autorização: domínios, IPs, APIs e períodos testados; confirmação de que o teste foi autorizado por escrito. Isso delimita o que a evidência cobre.
2. Metodologia: padrão PTES/OWASP WSTG, fases executadas, ferramentas e trabalho manual. A ANPD não exige metodologia específica, mas a ausência de método enfraquece a evidência.
3. Findings com reprodução: cada vulnerabilidade com passo a passo de reprodução, impacto comprovado e severidade. Finding sem reprodução não é evidência — é opinião.
4. Mapeamento normativo: cada finding ligado ao artigo LGPD e ao controle ISO 27001 correspondente. É essa coluna que transforma um relatório técnico em documento de conformidade.
5. Plano de remediação com prazos: correções priorizadas por risco, com dono e data.
6. Reteste: reavaliação após a remediação, documentando que o finding foi fechado. O ciclo teste → correção → reteste é o que demonstra a "avaliação de eficácia" continuada exigida pela accountability (Art. 6º, X).

Esse mesmo relatório atende a três públicos de uma vez: a ANPD (questionamento), o DPO (evidência para o relatório de impacto), e os clientes B2B que exigem garantias contratuais de segurança no tratamento de dados.

---

6. LGPD, PCI-DSS e ISO 27001: onde o pentest se encaixa

Empresas que operam com cartões (PCI) ou com certificação ISO já precisam de testes periódicos — o mesmo relatório serve de evidência para as três frentes. Não é custo triplicado; é a mesma evidência aproveitada em três auditorias.

---

7. Checklist para o DPO: usar pentest como evidência LGPD

• Escopo cobre o que a LGPD protege: incluir APIs, sistemas legados e fluxos com dados sensíveis no escopo do teste — não só o site institucional
• Autorização formal por escrito antes de qualquer teste (regra de ouro do Art. 46 e da própria lei penal)
• Metodologia documentada (PTES/OWASP WSTG) e trabalho manual além de scanners
• Cada finding com reprodução e impacto comprovado
• Mapeamento normativo: finding → artigo LGPD → controle ISO 27001 (incluir Art. 41 — encarregado — e Art. 38 — RIPD — quando aplicável)
• Encarregado (DPO) indicado formalmente (Art. 41): verificar se o canal de resposta a titulares e à autoridade existe na prática
• RIPD para tratamento de risco (Art. 38): avaliar se o tratamento de dados sensíveis em larga escala exige relatório de impacto — e usar o inventário do pentest como insumo
• Plano de remediação com prazos e donos
• Reteste documentado após as correções
• Guardar tudo: relatório, evidências de reprodução, comprovante de reteste — por pelo menos o ciclo de retenção definido na política
• Revisar o fluxo do Art. 48: se um incidente acontecer amanhã, quem notifica a ANPD, em quanto tempo, e com que informação?
• Repetir com periodicidade definida — a avaliação de eficácia da accountability (Art. 6º, X) é continuada, não um evento único

---

Este artigo descreve um cenário de laboratório totalmente fictício, construído para fins educacionais. Nenhum dado real de cliente foi utilizado. A exploração de vulnerabilidades em sistemas sem autorização explícita é ilegal.

Quer saber se as suas medidas de segurança passariam em um questionamento da ANPD? O serviço da intrus.io combina pentest (web, API e rede) com o add-on Intrus Conformidade — relatório com mapeamento por artigo LGPD e controle ISO 27001, pronto para o DPO e para a autoridade. Estamos à disposição.