Adequação jurídica de LGPD não é suficiente: o que SaaS, app e plataforma precisam

Você pagou advogado bom. Política de privacidade está redigida. Termo de uso atualizado. Cookie banner implementado. Diretor jurídico assinou um parecer de adequação à LGPD. Você acha que está adequado.

Está adequado a metade da LGPD.

Esse artigo explica em detalhes por que adequação jurídica de LGPD não é suficiente para SaaS, app, plataforma digital ou qualquer negócio que processa dado pessoal por meio de software — e o que falta. Se você é founder, CEO, CTO ou diretor de negócio digital, leia até o fim.

A LGPD tem dois eixos. Ninguém te disse isso.

A maioria das empresas brasileiras trata LGPD como problema jurídico. Faz sentido — foi assim que o mercado vendeu “adequação à LGPD”. Escritórios de advocacia, DPO terceirizados, consultoria de governança. Todos vendem o mesmo pacote: política, contratos, treinamento, parecer.

Mas a lei tem dois eixos:

• Eixo jurídico/administrativo — Art. 6 (princípios), Art. 7 e 11 (bases legais), Art. 8 (consentimento), Art. 9 (informação ao titular), Art. 18 (direitos do titular). Cobre o que você fala ao usuário e como você se organiza internamente. Política, contrato, registro de tratamento, DPO. Advogado resolve.
• Eixo técnico — Art. 46 (segurança), Art. 47 (boas práticas), Art. 48 (comunicação de incidente), Art. 49 (vazamento). Cobre o que o sistema faz, não o que você diz que ele faz. Engenheiro de segurança resolve.

Se você fez só o eixo jurídico, sua adequação é pela metade. Vou explicar o que falta.

O que o Art. 46 realmente exige

“Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.”

O termo crítico é “técnicas e administrativas”. Não é uma coisa só. São duas dimensões. Política de privacidade é administrativa. Pentest é técnico. A lei exige as duas.

Quando ANPD investiga vazamento, vai pedir evidência das duas dimensões. Quando cliente enterprise faz due diligence, vai pedir as duas. Quando seguro cyber é acionado, a seguradora vai pedir as duas.

Sem evidência técnica, você tem metade.

Por que política de privacidade não protege seu SaaS

Vamos por exemplos concretos. Sua política de privacidade diz:

“Implementamos medidas de segurança apropriadas para proteger seus dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição.”

Pergunta: como você sabe que implementou?

Se eu pedir evidência:

• Relatório de pentest dos últimos 12 meses
• Plano de resposta a incidente documentado
• Inventário de quem tem acesso a base de dados de produção
• Logs de auditoria de quem acessou dado pessoal de cliente nos últimos 90 dias
• Política de rotação de credenciais e segredos
• Inventário de subprocessadores (terceiros que recebem dado pessoal seu)
• Mapeamento de retenção e descarte por categoria de dado

...você consegue mostrar?

Se não consegue mostrar, sua afirmação na política de privacidade é literalmente falsa por não-evidência. Em fiscalização, isso é agravante. Não é “descumprimento por desconhecimento”. É “declaração sem lastro”.

Caso real: Telekall (R$ 14.400) e a era pós-fase educativa

Em 2023, a ANPD aplicou sua primeira multa do setor privado: R$ 14.400 contra a Telekall Infoservice. Valor baixo, sim. Mas o sinal foi claro: a fase educativa terminou. O regulador começou a aplicar penalidade efetiva.

Em 2025 e 2026, a ANPD vem ampliando capacidade fiscalizatória. Empresas que ainda operam sob a premissa de “ANPD não fiscaliza” estão lendo dado de 2021. A realidade de 2026 é outra.

Para SaaS, app e plataforma digital, o risco é maior porque:

• O dado pessoal está em sistema acessível pela internet — superfície de ataque
• Volume de tratamento é maior (multi-tenant, escalável)
• Velocidade de release alta — bugs entram em produção rapidamente
• Dependência de terceiros (subprocessadores, APIs externas) cria propagação

O custo de adequação jurídica isolada (matemática real)

Empresas pagam tipicamente:

• Adequação jurídica completa — R$ 15.000 a R$ 60.000 (dependendo do escritório e porte)
• DPO terceirizado mensal — R$ 1.500 a R$ 8.000/mês
• Treinamento e governança — R$ 5.000 a R$ 20.000

Total ano 1: R$ 38.000 a R$ 176.000.

Quanto disso protege contra vazamento técnico (BOLA, OAuth ATO, SSRF, race condition, SQL injection)? Nada.

Pentest pontual em SaaS: R$ 6.000 a R$ 18.000. Pentest recorrente: R$ 3.500/mês a R$ 6.000/mês. Custo equivalente — proteção complementar e não-redundante.

Empresa que faz só jurídico está pagando metade do custo, recebendo metade da proteção, e exposta ao risco real de vazamento técnico onde nem o jurídico te ajuda — porque quando o vazamento sai, juíz pergunta se você tinha controles técnicos adequados, e você não tem.

O que falta no eixo técnico (checklist)

Para complementar adequação jurídica e satisfazer Art. 46, 47, 48 da LGPD, você precisa de evidência técnica em 7 áreas:

1. Pentest documentado

Auditoria de segurança em janela definida, com pesquisador qualificado (não scanner), com relatório formatado contendo metodologia, achados, severidade e plano de remediação. Mínimo: anual.

2. Controle de acesso testado

Quem tem acesso a quê? MFA obrigatório? Princípio do menor privilégio aplicado e validado? Onboarding e offboarding documentados? Rotação de credenciais e segredos?

3. Logs de auditoria

Quem acessou dado pessoal de cliente, quando, por qual motivo, com qual autenticação? Por quanto tempo o log é retido? Como é protegido contra adulteração?

4. Plano de resposta a incidente

Documentado. Testado. Com gatilhos claros (volume, severidade, categoria de dado). Com timeline de comunicação à ANPD (Art. 48) e aos titulares (Art. 48 §1).

5. Gestão de subprocessadores

Inventário de terceiros que recebem dado pessoal seu (cloud, analytics, monitoramento, comunicação, billing). Cada um com DPA assinado e validação periódica.

6. Criptografia

Em trânsito (TLS 1.2+, idealmente 1.3). Em repouso (KMS, envelope encryption). Para dado sensível (Art. 11 — saúde, biométrico, criança), camada adicional. Mascaramento de dado em logs e ambientes não-produção.

7. Treinamento de equipe

Não treinamento jurídico genérico. Security mindset técnico: phishing, gestão de credencial, código seguro, OWASP, princípios de menor privilégio. Time de engenharia precisa entender, não só time de jurídico.

Como apresentar isso ao seu time jurídico/diretoria

Se você é CTO/founder/CEO técnico tentando convencer diretoria jurídica ou board que precisa de pentest além de adequação jurídica, frase que funciona:

“Adequação jurídica protege contra processo por descumprimento documental. Adequação técnica protege contra vazamento real. A ANPD considera as duas em fiscalização. Se temos só uma, estamos cobertos contra metade do risco — e aquela metade que paga mais caro quando sai errado.”

Outra forma:

“Política de privacidade é como aviso na entrada do estacionamento dizendo ‘não nos responsabilizamos por roubo’. Não impede roubo. Impede só processo. Quando vaza dado real, o aviso não te salva — câmera, alarme e cadeado salvam. LGPD funciona igual.”

O que fazer hoje

1. Audite sua adequação atual. Liste o que você fez no eixo jurídico e o que fez no eixo técnico. Se o segundo está vazio, você sabe onde focar.
2. Solicite pentest. Mesmo que blackbox simples (R$ 3k–R$ 12k), já dá baseline e relatório formatado para LGPD Art. 46. Ver /pentest-lgpd.
3. Implemente as 7 áreas em sequência (pentest → controle acesso → logs → plano incidente → subprocessadores → criptografia → treinamento). Plano de 90 dias é factível.
4. Documente. Sem evidência, qualquer controle implementado é invisível para ANPD ou cliente enterprise. Crie a paper trail.

Conclusão

LGPD não foi escrita para advogados. Foi escrita para empresas que processam dado pessoal — e processamento moderno é técnico. Se sua adequação parou no parecer jurídico, você cobriu apenas a metade que protege contra processo documental, deixando descoberta a metade que protege contra vazamento real.

Em 2026, com ANPD cada vez mais ativa e cliente enterprise cada vez mais rigoroso em due diligence, a metade técnica deixou de ser opcional. Pagar dois consultores jurídicos não substitui um pesquisador de segurança fazendo pentest no seu sistema.

Comece em /pentest-lgpd para escopo formatado para LGPD, ou em /seguranca-saas para roadmap geral de segurança em SaaS. Para entender o que pentest cobre tecnicamente, veja LGPD Art. 46 — 7 medidas técnicas.