LGPD Art. 46 para SaaS e fintech: 7 medidas que a ANPD cobra em 2026

O Art. 46 da LGPD exige “medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais”. A lei não lista quais medidas específicas — cada empresa define com base no risco do próprio tratamento. Com base nesse artigo e nos casos de fiscalização já conhecidos, dá para mapear 7 medidas técnicas que funcionam como evidência concreta de que a empresa levou a segurança a sério. Sem elas, sua defesa fica mais fraca. Com elas, você tem o que mostrar se a ANPD perguntar.

Este artigo lista as 7, com referência ao texto legal e ao que precisa ser provado em cada uma — como evidência de medida técnica adequada em eventual fiscalização, due diligence ou resposta a incidente, não como certificação da ANPD (que não certifica nem “aceita” relatórios de terceiros).

O que diz o Art. 46 da LGPD (texto da lei)

Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

§ 1º A autoridade nacional poderá dispor sobre padrões técnicos mínimos para tornar aplicável o disposto no caput deste artigo, considerados a natureza das informações tratadas, as características específicas do tratamento e o estado atual da tecnologia, especialmente no caso de dados pessoais sensíveis, assim como os princípios previstos no caput do art. 6º desta Lei.

§ 2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução.

Fonte: Lei nº 13.709/2018 (LGPD), texto oficial no Planalto. Na prática: o caput pede medidas técnicas (controle de acesso, criptografia, logs, testes de segurança) e administrativas (políticas, treinamento, plano de incidente); o § 2º é o que se costuma chamar de security by design — a segurança precisa existir desde o projeto do produto, não só depois do lançamento.

Por que isso importa: o que a fiscalização já mostrou

A LGPD permite sanções de advertência a multa de até 2% do faturamento (limitada a R$ 50 milhões por infração). Até agora a ANPD aplicou poucas multas, mas a fiscalização está crescendo:

• 2023: primeira multa a empresa privada — Telekall Infoservice, duas multas de R$ 7.200 (total R$ 14.400), por vender listas de contatos de WhatsApp para campanha eleitoral sem base legal ( fonte: ANPD)
• 2024: nenhuma multa a empresa privada — só sanções a órgãos públicos
• Dezembro de 2024: a ANPD abriu fiscalização contra 20 empresas de grande porte por falta de encarregado (DPO) e de canal com o titular — todas se adequaram até abril de 2025

Em todos os casos, a ANPD pediu a mesma coisa antes de aplicar a sanção ou encerrar o processo: evidência documental das medidas técnicas e organizacionais adotadas. Quem tinha, resolveu rápido. Quem não tinha, foi tratado como negligente.

1. Pentest documentado e recente

O que é: teste de invasão executado por terceiro técnico independente, com relatório formal, dentro dos últimos 12 meses.

Por que a fiscalização cobra: é a única forma concreta de demonstrar que a empresa efetivamente testou a segurança dos sistemas que tratam dados pessoais — e não apenas declarou ter testado.

O que precisa ter no relatório:

• Escopo claro (quais sistemas, quais endpoints)
• Metodologia aplicada
• Lista de findings com severidade e impacto
• Plano de remediação
• Statement formal de conformidade alinhado ao Art. 46
• Re-test após correção (fortalece a evidência)

2. Inventário de dados pessoais

O que é: mapeamento de quais dados pessoais a empresa coleta, onde armazena, como compartilha, com qual base legal, e por quanto tempo retém.

Referência legal: Art. 37 (registro de operações de tratamento) + Art. 7 (bases legais).

Como provar: documento formal (planilha, sistema próprio, ferramenta especializada) com colunas mínimas:

• Tipo de dado (CPF, email, geolocalização, etc.)
• Categoria (cadastrais, comportamentais, sensíveis)
• Origem (formulário, API, parceiro)
• Sistema de armazenamento (banco X, sistema Y)
• Base legal (Art. 7º, Art. 11º)
• Compartilhamento com operadores
• Tempo de retenção

3. Política de privacidade clara e atualizada

O que é: documento público, na linguagem do titular, descrevendo como a empresa trata dados pessoais.

Referência legal: Art. 9º (princípio do livre acesso à informação) + Art. 18 (direitos do titular).

Erros comuns que a fiscalização aponta:

• Política copiada de outro país (LGPD ≠ GDPR ≠ CCPA)
• Última atualização datada de 2018 ou anterior
• Uso de termos vagos como “legítimo interesse” sem fundamentação
• Falta de canal claro para exercer direitos
• Falta do nome do encarregado (DPO) ou contato

4. Encarregado de Dados (DPO) designado e atuante

O que é: pessoa física ou jurídica designada formalmente como ponto de contato entre empresa, ANPD e titulares (Art. 41).

Como provar:

• Designação formal documentada (carta, contrato, ata)
• Nome publicado na política de privacidade
• Email funcional dedicado (geralmente [email protected])
• Registro de atendimentos a titulares (mesmo que vazios, comprova canal aberto)

Empresas pequenas (porte simplificado) podem dispensar DPO formal, mas precisam justificar.

5. Controle de acesso documentado e auditável

O que é: evidência de que apenas pessoas autorizadas acessam dados pessoais, com trilha de auditoria.

Como provar:

• RBAC ou ABAC implementado nos sistemas que tratam dados pessoais
• MFA obrigatório em painéis administrativos
• Logs de acesso retidos por mínimo 6 meses
• Política formal de gestão de acessos (criação, revisão trimestral, remoção)
• Princípio do menor privilégio aplicado

Em pentest, isso vira cobertura de BOLA, BFLA e BOPLA — falhas de autorização que permitem acesso indevido a dados pessoais.

6. Plano de resposta a incidentes

O que é: documento e processo treinado para responder a incidente de segurança, com obrigação de comunicar ANPD em prazo razoável (Art. 48).

Como provar:

• Plano formal de resposta (playbook, runbook)
• Tabela de classificação de severidade
• Fluxo de comunicação interno + externo (ANPD, titulares)
• Modelo de notificação preenchível
• Evidência de simulação ou treinamento (pelo menos 1 por ano)
• Contratos com fornecedores especializados em forense (se aplicável)

7. Segurança da informação na cadeia (operadores)

O que é: contratos com operadores (provedores de cloud, processadores de pagamento, ferramentas SaaS) que estabelecem responsabilidades e auditoria.

Referência legal: Art. 39 (o operador segue as instruções do controlador) + Art. 42 (responsabilidade solidária com operador).

Como provar:

• DPA (Data Processing Agreement) com cada operador relevante
• Inventário de operadores e dados compartilhados
• Verificação anual da postura de segurança dos operadores (questionário, evidência de SOC 2 Type II quando disponível)
• Cláusula contratual de notificação em caso de incidente do lado do operador

Checklist rápido: você tem todas as 7?

Custo realista de adequação

Para empresa pequena/média:

• Pentest documentado: R$ 8.000 a R$ 18.000 (a parte mais cara)
• Inventário + política + DPA: R$ 3.000 a R$ 10.000 (jurídica)
• DPO terceirizado: R$ 1.500 a R$ 4.000/mês
• Implementação técnica de RBAC/MFA/logs: já incluído no time interno

Total adequação inicial: R$ 15.000 a R$ 35.000. Manutenção anual: ~R$ 20.000–40.000.

Compare com a multa máxima: 2% do faturamento, até R$ 50 milhões. Para qualquer empresa acima de R$ 1 milhão de faturamento, ROI é trivial.

O ponto cego que toda empresa esquece

A LGPD não exige só que você tenha as medidas. Exige que você prove que as tem, com data, e que sejam efetivas. Documento é a moeda da fiscalização.

Empresa que tem RBAC implementado mas sem documento descrevendo a política, tem MFA ativado mas sem registro da decisão, tem pentest feito mas sem relatório arquivado — em fiscalização, é tratada como se não tivesse nada.

Documente tudo. E mantenha pentest atualizado anualmente.

Não sabe por onde começar? Os 9 sinais de alerta de que a plataforma não está segura ajudam a priorizar.