Backup 3-2-1-1-0 explicado para PMEs (com checklist)
Categoria: Infraestrutura, redes e continuidade
Resposta curta: a LGPD vale para pequenas empresas, e a parte técnica cabe em 20 controles de TI que uma empresa de 5 a 50 pessoas consegue implantar em cerca de três meses. A Resolução CD/ANPD nº 2/2022 flexibiliza algumas obrigações para microempresas e empresas de pequeno porte, mas mantém a exigência de medidas de segurança. Este artigo trata da parte técnica. Bases legais, política de privacidade e contratos são trabalho de assessoria jurídica, e este texto não substitui essa orientação.
O que a LGPD exige da TI #
A LGPD exige que a empresa adote medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados e de perda, alteração ou vazamento (art. 46), que registre as operações de tratamento (art. 37) e que comunique incidentes relevantes à ANPD e aos titulares (art. 48). Na prática: acesso, backup, criptografia, registros e plano de resposta.
| Obrigação | Onde está | O que significa para a TI |
|---|---|---|
| Medidas de segurança técnicas e administrativas | LGPD, art. 46 | Controles de acesso, backup, criptografia, atualização, firewall |
| Registro das operações de tratamento | LGPD, art. 37 | Saber quais sistemas guardam quais dados, de quem e por quê |
| Comunicação de incidente | LGPD, art. 48, e Resolução CD/ANPD nº 15/2024 | Detectar, avaliar, registrar e comunicar dentro do prazo |
| Boas práticas e governança | LGPD, art. 50 e art. 52, § 1º | Política escrita e controles comprovados contam a favor em caso de fiscalização |
O último ponto pesa. O art. 52 prevê, entre outras sanções, multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, e manda considerar na dosimetria a adoção de medidas de segurança e de boas práticas. Para uma pequena empresa, ter os controles escritos e funcionando é a melhor defesa.
Quem é agente de pequeno porte #
Agentes de tratamento de pequeno porte são microempresas, empresas de pequeno porte, startups, MEI, pessoas jurídicas sem fins lucrativos e pessoas naturais que tratam dados como controlador ou operador (Resolução CD/ANPD nº 2/2022, art. 2º). Ficam fora do regime simplificado quem faz tratamento de alto risco, quem passa do limite de receita ou quem pertence a grupo econômico grande.
| Situação | Tem o regime simplificado? | Base |
|---|---|---|
| ME, EPP ou MEI com receita bruta anual até R$ 4,8 milhões | Sim, se não fizer tratamento de alto risco | Res. 2/2022, art. 2º, I e II; LC 123/2006, art. 3º |
| Startup nos critérios da LC 182/2021 | Sim, se não fizer tratamento de alto risco | Res. 2/2022, art. 2º, III |
| Receita acima do limite da EPP | Não | Res. 2/2022, art. 3º, II |
| Parte de grupo econômico cuja receita somada passa do limite | Não | Res. 2/2022, art. 3º, III |
| Tratamento de alto risco | Não (com uma exceção sobre mediação de reclamações) | Res. 2/2022, art. 3º, I, e art. 8º |
O tratamento é de alto risco quando reúne, ao mesmo tempo, pelo menos um critério geral e um específico (art. 4º):
| Critérios gerais (um deles) | Critérios específicos (um deles) |
|---|---|
| Dados pessoais em larga escala | Uso de tecnologias emergentes ou inovadoras |
| Tratamento que possa afetar significativamente direitos e interesses fundamentais dos titulares | Vigilância ou controle de zonas acessíveis ao público |
| Decisões tomadas só com base em tratamento automatizado, inclusive perfil de crédito, consumo ou saúde | |
| Dados sensíveis ou de crianças, adolescentes e idosos |
Exemplo para conferir com o seu advogado: uma clínica pequena trata dados de saúde (critério específico) que podem afetar significativamente os pacientes (critério geral). Ela pode estar fora do regime simplificado mesmo sendo microempresa.
O que muda para quem é de pequeno porte #
O regime simplificado dispensa a indicação de encarregado, permite registro e política de segurança simplificados e dá prazo em dobro para alguns atos, incluindo a comunicação de incidente. Ele não dispensa o resto da lei: bases legais, princípios, direitos dos titulares e medidas de segurança continuam valendo (art. 6º da Resolução CD/ANPD nº 2/2022).
| Obrigação | Regra geral | Agente de pequeno porte | Artigo da Res. 2/2022 |
|---|---|---|---|
| Encarregado (DPO) | Obrigatório | Dispensado, mas precisa de canal de comunicação com o titular | Art. 11 |
| Registro das operações de tratamento | Completo | Pode ser simplificado, com modelo da ANPD | Art. 9º |
| Política de segurança da informação | Conforme o porte e o risco | Pode ser simplificada, considerando custo e estrutura | Art. 13 |
| Medidas de segurança | Obrigatórias | Obrigatórias: “essenciais e necessárias”, com base em requisitos mínimos | Art. 12 |
| Prazos de atendimento ao titular e de comunicação de incidente | Prazo normal | Em dobro | Art. 14 (inciso II com redação da Res. 15/2024) |
| Declaração simplificada ao titular | Imediata | Até 15 dias | Art. 15 |
O art. 12 diz ainda que seguir as recomendações e os guias da ANPD conta como boa prática para fins de sanção. Por isso, os controles a seguir partem do checklist de segurança da ANPD para agentes de pequeno porte.
Os 20 controles de TI #
Os 20 controles abaixo cobrem as nove áreas do checklist da ANPD para agentes de pequeno porte e acrescentam três práticas que a SDI considera mínimas (marcadas com asterisco). Cada controle tem uma forma de verificar se está funcionando, porque política no papel sem evidência não protege ninguém.
| # | Controle | Como verificar | Área do checklist ANPD |
|---|---|---|---|
| 1 | Inventário de sistemas e mapa de onde estão os dados pessoais, coletando só o necessário | Planilha com sistema, dados, finalidade, quem acessa e onde fica | Segurança dos dados armazenados |
| 2 | Política de segurança simplificada, escrita e revisada todo ano | Documento com data de revisão e ciência dos funcionários | Política de segurança da informação |
| 3 | Uma conta por pessoa, sem logins compartilhados | Lista de contas sem usuários genéricos (“recepcao”, “financeiro”) | Controle de acesso |
| 4 | MFA no e-mail, na nuvem e nos sistemas com dados pessoais | Relatório do painel do e-mail/nuvem com MFA por usuário | Controle de acesso; serviços em nuvem |
| 5 | Gerenciador de senhas da empresa e troca de todas as senhas padrão | Cofre em uso; nenhuma senha de fábrica em roteador, câmera ou impressora | Controle de acesso |
| 6 | Menor privilégio, com revisão de acessos a cada trimestre | Registro da última revisão; ninguém administrador sem necessidade | Controle de acesso |
| 7 | Desligamento com bloqueio de acessos no mesmo dia | Checklist de desligamento assinado com data e hora | Controle de acesso |
| 8 | Atualizações de sistema operacional, aplicativos e firmware com rotina definida | Relatório de atualizações pendentes perto de zero | Gerenciamento de vulnerabilidades |
| 9 | Antivírus ou antimalware ativo e atualizado em estações e servidores | Console com todos os equipamentos e data da última varredura | Gerenciamento de vulnerabilidades |
| 10 | Firewall na borda, sem portas de administração ou RDP abertas para a internet; acesso remoto só por VPN | Varredura externa sem portas de administração expostas | Segurança das comunicações |
| 11 | Rede separada para convidados, câmeras e equipamentos de terceiros* | VLANs documentadas no diagrama de rede | — (recomendação SDI) |
| 12 | Criptografia de disco em notebooks e em mídias externas | BitLocker ou FileVault ativo; pen drives com dados cifrados ou proibidos | Segurança dos dados armazenados |
| 13 | Backup com cópia offline ou imutável e teste de restauração | Registro do último teste de restauração, com data e resultado | Segurança dos dados armazenados |
| 14 | Comunicações cifradas (HTTPS/TLS) e e-mail com antispam e SPF, DKIM e DMARC* | Sites e sistemas só em HTTPS; DMARC publicado no DNS | Segurança das comunicações |
| 15 | Registro de acessos (logs) aos sistemas com dados pessoais, guardado fora do equipamento* | Logs centralizados com prazo de retenção definido | — (recomendação SDI) |
| 16 | Dispositivos móveis com bloqueio de tela, MFA e apagamento remoto | Lista de celulares e notebooks gerenciados | Dispositivos móveis |
| 17 | Fornecedores e nuvem com contrato que trate de segurança e de proteção de dados, e com local dos dados conhecido | Contratos com cláusulas de operador; lista de onde cada serviço guarda os dados | Gerenciamento de contratos; serviços em nuvem |
| 18 | Descarte seguro de discos e mídias, com registro | Registro de formatação segura ou destruição, com data | Segurança dos dados armazenados |
| 19 | Conscientização: phishing, bloqueio de tela, documentos físicos, canal para avisar incidentes | Treinamento com lista de presença, ao menos uma vez por ano | Conscientização e treinamento |
| 20 | Plano de resposta a incidentes e registro de todos os incidentes | Plano escrito com responsáveis e contatos; registro mantido por 5 anos | — (Resolução CD/ANPD nº 15/2024, art. 10) |
* Controles 11, 15 e a parte de SPF, DKIM e DMARC do 14 não constam do checklist da ANPD. Entram aqui porque, sem eles, os outros controles ficam difíceis de comprovar ou fáceis de contornar.
O backup (controle 13) é o que mais falha na prática, porque costuma existir e nunca ser testado. O artigo sobre backup 3-2-1-1-0 para PMEs detalha a regra e o teste de restauração. Para o controle 10, a escolha do equipamento está em pfSense, OPNsense ou MikroTik.
Prazos quando acontece um incidente #
Quando um incidente de segurança pode causar risco ou dano relevante aos titulares, a empresa tem três dias úteis para comunicar a ANPD e os titulares, contados de quando soube que dados pessoais foram afetados. Para agentes de pequeno porte, o prazo é contado em dobro: seis dias úteis. Todo incidente, comunicado ou não, precisa ser registrado.
| Obrigação | Prazo geral | Agente de pequeno porte | Base na Resolução CD/ANPD nº 15/2024 |
|---|---|---|---|
| Comunicar a ANPD | 3 dias úteis, a partir do conhecimento de que o incidente afetou dados pessoais | 6 dias úteis | Art. 6º, caput, § 1º e § 8º |
| Complementar a comunicação à ANPD | 20 dias úteis, a partir da comunicação | 40 dias úteis | Art. 6º, § 3º e § 8º |
| Comunicar os titulares afetados | 3 dias úteis | 6 dias úteis | Art. 9º, caput e § 6º |
| Registrar o incidente, mesmo sem comunicar | Manter por no mínimo 5 anos | Igual | Art. 10 |
Texto consultado: Resolução CD/ANPD nº 15/2024, em 27/10/2026.
Dois cuidados. Primeiro, a redação original da Resolução CD/ANPD nº 2/2022 previa exceções ao prazo em dobro, mas a Resolução CD/ANPD nº 15/2024 (art. 2º) reescreveu o art. 14, II, que agora só remete ao regulamento de incidentes, sem exceção (texto compilado da Res. 2/2022 no site da ANPD). Mesmo com o prazo em dobro, comunique assim que tiver os fatos: o § 3º do art. 6º permite complementar depois. Segundo, o relógio corre em dias úteis, e poucos dias passam rápido: o plano de resposta (controle 20) precisa dizer quem decide, quem fala com a assessoria jurídica e onde ficam os registros, antes de acontecer.
O que o registro do incidente deve conter, no mínimo (art. 10, § 1º):
- Data em que a empresa tomou conhecimento do incidente.
- Descrição geral das circunstâncias em que ele ocorreu.
- Natureza e categoria dos dados afetados, e número de titulares afetados.
- Avaliação do risco e dos possíveis danos aos titulares.
- Medidas de correção e de mitigação, quando houver.
- Forma e conteúdo da comunicação, se houve, ou os motivos de não ter havido.
Por onde começar #
Comece pelo inventário (controle 1), porque não dá para proteger o que não se sabe que existe. Em seguida, MFA, backup testado e fechamento de acessos expostos (controles 4, 10 e 13), que reduzem a maior parte do risco com pouco custo. Os demais entram em um plano de 60 a 90 dias, com responsável e data.
| Fase | Controles | Por quê |
|---|---|---|
| Semana 1 e 2 | 1 (inventário), 4 (MFA), 10 (nada exposto), 13 (backup testado) | Maior redução de risco por hora de trabalho |
| Mês 1 | 3, 5, 6, 7, 8, 9 (acessos, senhas, atualizações, antivírus) | Fecham as portas de entrada mais comuns |
| Mês 2 | 11, 12, 14, 15, 16 (rede, criptografia, e-mail, logs, móveis) | Limitam o estrago quando algo der errado |
| Mês 3 | 2, 17, 18, 19, 20 (política, fornecedores, descarte, treinamento, plano de incidente) | Documentação e rotina que mantêm o resto funcionando |
Para cada controle, anote o responsável, a data e a evidência (print, relatório ou registro). Essa planilha simples é o que você vai mostrar se a ANPD, um cliente ou um parceiro perguntar.
O que a TI não resolve #
A adequação à LGPD tem uma parte técnica e uma parte jurídica, e elas não se substituem. A TI implanta e comprova os controles. Bases legais de cada tratamento, política de privacidade, contratos com cláusulas de proteção de dados, atendimento jurídico aos titulares e decisão sobre comunicar ou não um incidente são da assessoria jurídica.
| Tema | Responsável principal | Papel da TI |
|---|---|---|
| Bases legais e finalidades | Assessoria jurídica | Informar quais dados cada sistema coleta |
| Política de privacidade e avisos | Assessoria jurídica | Publicar e manter os textos nos sistemas e no site |
| Contratos com fornecedores (operadores) | Assessoria jurídica | Levantar quais fornecedores tratam dados e onde |
| Atendimento ao titular (acesso, correção, exclusão) | Encarregado ou canal da empresa, com apoio jurídico | Localizar, exportar ou excluir os dados nos sistemas |
| Decisão de comunicar um incidente | Direção, com assessoria jurídica | Fornecer os fatos técnicos, o registro e as evidências |
| Controles de segurança | TI | Implantar, documentar e comprovar |
A consultoria de LGPD técnica da SDI cobre a coluna da TI: inventário, implantação e documentação dos controles e plano de resposta a incidentes. A parte jurídica não está inclusa e deve ser feita por advogado. Projetos de LGPD técnica partem de R$ 6.000, e a hora de consultoria, de R$ 220 (valores de referência de outubro de 2026; o valor final consta na proposta). O escopo está na página de consultoria em TI. Se você ainda não tem inventário nem diagrama do ambiente, o diagnóstico de TI entrega os dois em 5 dias úteis, com os riscos priorizados.
Perguntas frequentes
A LGPD vale para pequenas empresas e MEI?
Vale. A Resolução CD/ANPD nº 2/2022 flexibiliza algumas obrigações para microempresas, empresas de pequeno porte, startups e MEI (agentes de tratamento de pequeno porte), mas não os dispensa da lei. Bases legais, princípios, direitos dos titulares e medidas de segurança continuam obrigatórios (art. 6º do regulamento).
Pequena empresa precisa ter encarregado (DPO)?
Não é obrigada, segundo o art. 11 da Resolução CD/ANPD nº 2/2022, desde que mantenha um canal de comunicação com os titulares. Indicar um encarregado mesmo assim conta como boa prática de governança, o que a ANPD pode considerar em caso de fiscalização.
Qual o prazo para comunicar um vazamento de dados à ANPD?
Três dias úteis a partir do momento em que a empresa sabe que o incidente afetou dados pessoais, quando ele puder causar risco ou dano relevante aos titulares (Resolução CD/ANPD nº 15/2024). Para agentes de pequeno porte, o prazo é contado em dobro: seis dias úteis. O mesmo vale para avisar os titulares.
Quais controles de TI a ANPD espera de uma pequena empresa?
O checklist da ANPD para agentes de pequeno porte cobre política de segurança simplificada, conscientização, contratos, controle de acesso com MFA, cópia de segurança offline, criptografia, firewall, atualizações, antivírus, dispositivos móveis e serviços em nuvem. Os 20 controles deste artigo seguem essa estrutura.
A TI resolve sozinha a adequação à LGPD?
Não. A TI cuida das medidas técnicas: acesso, backup, criptografia, registros e resposta a incidentes. Bases legais, política de privacidade, contratos com cláusulas de proteção de dados e atendimento jurídico aos titulares são trabalho de assessoria jurídica. As duas partes precisam andar juntas.