LGPD Art. 46 para SaaS e fintech: 7 medidas que a ANPD cobra em 2026

O Art. 46 da LGPD exige “medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais”. A lei não diz quais. A ANPD não publicou checklist. E ainda assim, em fiscalizações concretas de 2024 a 2026, um padrão claro emergiu: existem 7 medidas técnicas que a fiscalização cobra com regularidade. Sem elas, sua defesa cai. Com elas, severidade da sanção reduz drasticamente.

Este artigo lista as 7, com referência ao texto legal e ao que precisa ser provado em cada uma.

Por que isso importa: os números de 2025

A ANPD aplicou em 2024–2025 sanções administrativas que vão de advertência a multa de 2% do faturamento (limitada a R$ 50 milhões por infração). Casos públicos relevantes:

• Multa de R$ 14 milhões a uma operadora de saúde por vazamento de dados
• Multa de R$ 7 milhões a um marketplace por compartilhamento sem base legal
• Múltiplas advertências e correção forçada para empresas de médio porte

Em todos os casos, a ANPD pediu a mesma coisa antes de aplicar a sanção: evidência documental das medidas técnicas adotadas. Quem tinha, recebeu sanção mais branda. Quem não tinha, foi tratado como negligente.

1. Pentest documentado e recente

O que é: teste de invasão executado por terceiro técnico independente, com relatório formal, dentro dos últimos 12 meses.

Por que a fiscalização cobra: é a única forma concreta de demonstrar que a empresa efetivamente testou a segurança dos sistemas que tratam dados pessoais — e não apenas declarou ter testado.

O que precisa ter no relatório:

• Escopo claro (quais sistemas, quais endpoints)
• Metodologia aplicada
• Lista de findings com severidade e impacto
• Plano de remediação
• Statement formal de conformidade alinhado ao Art. 46
• Re-test após correção (fortalece a evidência)

2. Inventário de dados pessoais

O que é: mapeamento de quais dados pessoais a empresa coleta, onde armazena, como compartilha, com qual base legal, e por quanto tempo retém.

Referência legal: Art. 37 (registro de operações de tratamento) + Art. 7 (bases legais).

Como provar: documento formal (planilha, sistema próprio, ferramenta especializada) com colunas mínimas:

• Tipo de dado (CPF, email, geolocalização, etc.)
• Categoria (cadastrais, comportamentais, sensíveis)
• Origem (formulário, API, parceiro)
• Sistema de armazenamento (banco X, sistema Y)
• Base legal (Art. 7º, Art. 11º)
• Compartilhamento com operadores
• Tempo de retenção

3. Política de privacidade clara e atualizada

O que é: documento público, na linguagem do titular, descrevendo como a empresa trata dados pessoais.

Referência legal: Art. 9º (princípio do livre acesso à informação) + Art. 18 (direitos do titular).

Erros comuns que a fiscalização aponta:

• Política copiada de outro país (LGPD ≠ GDPR ≠ CCPA)
• Última atualização datada de 2018 ou anterior
• Uso de termos vagos como “legítimo interesse” sem fundamentação
• Falta de canal claro para exercer direitos
• Falta do nome do encarregado (DPO) ou contato

4. Encarregado de Dados (DPO) designado e atuante

O que é: pessoa física ou jurídica designada formalmente como ponto de contato entre empresa, ANPD e titulares (Art. 41).

Como provar:

• Designação formal documentada (carta, contrato, ata)
• Nome publicado na política de privacidade
• Email funcional dedicado (geralmente [email protected])
• Registro de atendimentos a titulares (mesmo que vazios, comprova canal aberto)

Empresas pequenas (porte simplificado) podem dispensar DPO formal, mas precisam justificar.

5. Controle de acesso documentado e auditável

O que é: evidência de que apenas pessoas autorizadas acessam dados pessoais, com trilha de auditoria.

Como provar:

• RBAC ou ABAC implementado nos sistemas que tratam dados pessoais
• MFA obrigatório em painéis administrativos
• Logs de acesso retidos por mínimo 6 meses
• Política formal de gestão de acessos (criação, revisão trimestral, remoção)
• Princípio do menor privilégio aplicado

Em pentest, isso vira cobertura de BOLA, BFLA e BOPLA — falhas de autorização que permitem acesso indevido a dados pessoais.

6. Plano de resposta a incidentes

O que é: documento e processo treinado para responder a incidente de segurança, com obrigação de comunicar ANPD em prazo razoável (Art. 48).

Como provar:

• Plano formal de resposta (playbook, runbook)
• Tabela de classificação de severidade
• Fluxo de comunicação interno + externo (ANPD, titulares)
• Modelo de notificação preenchível
• Evidência de simulação ou treinamento (pelo menos 1 por ano)
• Contratos com fornecedores especializados em forense (se aplicável)

7. Segurança da informação na cadeia (operadores)

O que é: contratos com operadores (provedores de cloud, processadores de pagamento, ferramentas SaaS) que estabelecem responsabilidades e auditoria.

Referência legal: Art. 39 (responsabilidade do controlador) + Art. 42 (responsabilidade solidária com operador).

Como provar:

• DPA (Data Processing Agreement) com cada operador relevante
• Inventário de operadores e dados compartilhados
• Verificação anual da postura de segurança dos operadores (questionário, evidência de SOC 2 Type II quando disponível)
• Cláusula contratual de notificação em caso de incidente do lado do operador

Checklist rápido: você tem todas as 7?

Custo realista de adequação

Para empresa pequena/média:

• Pentest documentado: R$ 8.000 a R$ 18.000 (a parte mais cara)
• Inventário + política + DPA: R$ 3.000 a R$ 10.000 (jurídica)
• DPO terceirizado: R$ 1.500 a R$ 4.000/mês
• Implementação técnica de RBAC/MFA/logs: já incluído no time interno

Total adequação inicial: R$ 15.000 a R$ 35.000. Manutenção anual: ~R$ 20.000–40.000.

Compare com a multa máxima: 2% do faturamento, até R$ 50 milhões. Para qualquer empresa acima de R$ 1 milhão de faturamento, ROI é trivial.

O ponto cego que toda empresa esquece

A LGPD não exige só que você tenha as medidas. Exige que você prove que as tem, com data, e que sejam efetivas. Documento é a moeda da fiscalização.

Empresa que tem RBAC implementado mas sem documento descrevendo a política, tem MFA ativado mas sem registro da decisão, tem pentest feito mas sem relatório arquivado — em fiscalização, é tratada como se não tivesse nada.

Documente tudo. E mantenha pentest atualizado anualmente.