A LGPD (Lei nº 13.709/2018) cria obrigações diretas para empresas que perdem acesso a dados pessoais. Por isso, falha técnica, ransomware ou desastre de TI não são apenas problemas de infraestrutura — são potenciais incidentes regulatórios. Por isso, um servidor RAID com dados de clientes que para não é apenas problema de TI. É um potencial incidente regulatório com prazo de notificação à ANPD de 72 horas.
A Crowdertech recupera os dados e documenta o processo com laudo técnico forense compatível com as exigências da LGPD. Acione agora: (11) 99630-0675 · (11) 4863-3636.
O que é a LGPD e o que ela regula
A LGPD regula o tratamento de dados pessoais no Brasil — coleta, armazenamento, processamento e compartilhamento de informações que identificam ou tornam identificável uma pessoa física. Por isso, qualquer empresa que armazena cadastros de clientes, dados de funcionários ou informações de pacientes está sujeita à lei, independente do porte ou do setor.
Dados pessoais e dados sensíveis
A LGPD distingue dois tipos de dados. Os dados pessoais incluem nome, CPF, email, endereço e qualquer informação que identifique uma pessoa. Além disso, dados sensíveis — origem étnica, dado genético, biométrico ou de saúde — têm proteção mais rigorosa. As sanções por vazamento desse tipo de dado são mais severas.
Por isso, empresas de saúde, RH e serviços financeiros que armazenam dados sensíveis têm obrigações mais amplas de proteção e maior exposição a multas em caso de incidente.
Quem responde pela LGPD na empresa
A LGPD define papéis claros. O controlador é quem decide como e por que a empresa trata os dados — geralmente a própria empresa. Além disso, o operador executa o tratamento com autorização do controlador — pode ser um fornecedor de TI ou sistema de nuvem. Por fim, o encarregado (DPO) é o canal entre a empresa, os titulares dos dados e a ANPD.
Portanto, quando um servidor com dados pessoais falha, o controlador é responsável pelo incidente — mesmo que a falha seja do equipamento ou do fornecedor de infraestrutura.
LGPD e incidentes de dados: as obrigações após uma falha técnica
O que configura incidente de dados sob a LGPD
A LGPD considera incidente de dados qualquer evento que resulte em acesso não autorizado, destruição, perda, alteração ou vazamento de dados pessoais. Por isso, um ataque de ransomware que criptografa dados de clientes é claramente um incidente. Contudo, uma falha de RAID também se enquadra como incidente. Isso ocorre especialmente quando os dados ficam expostos durante o processo de recuperação.
Prazo de 72 horas para notificação à ANPD
O artigo 48 da LGPD determina que o controlador comunique à ANPD qualquer incidente que possa causar risco ou dano relevante. Além disso, os titulares afetados também devem ser informados. Além disso, a Resolução CD/ANPD nº 15/2024 define o prazo de 72 horas para notificação preliminar após a ciência do incidente.
Por isso, o prazo começa a contar quando a empresa toma conhecimento do incidente — não da resolução técnica. Portanto, acionar recuperação imediatamente é parte do protocolo de conformidade. Portanto, acionar especialistas em recuperação imediatamente é parte do protocolo de conformidade, não apenas de recuperação técnica.
Multas e sanções previstas
O artigo 52 da LGPD prevê sanções progressivas. Além da advertência, a ANPD pode aplicar multa de até 2% da receita bruta anual — limitada a R$ 50 milhões por infração. Contudo, a publicação do incidente como sanção — prevista no mesmo artigo — frequentemente causa dano reputacional maior que a multa financeira. Por isso, a resposta rápida e documentada ao incidente é o que demonstra boa-fé regulatória.
Como a recuperação de dados se integra à conformidade LGPD
O laudo técnico forense como evidência regulatória
O laudo técnico de recuperação de dados documenta o que aconteceu com os dados, quem teve acesso durante o processo de recuperação e qual o estado de cada arquivo recuperado. Por isso, o laudo é a evidência que demonstra à ANPD que o tratamento dos dados durante a recuperação seguiu os princípios da LGPD — finalidade, adequação e segurança.
Além disso, a Crowdertech inclui no laudo o hash SHA-256 de cada arquivo — garantindo a integridade dos dados entregues e criando uma cadeia de custódia auditável.
Confidencialidade durante a recuperação
A LGPD exige que operadores que tratam dados pessoais — e uma empresa de recuperação de dados é tecnicamente um operador — adotem medidas de segurança adequadas. Por isso, a Crowdertech opera com: contrato de confidencialidade antes do início do serviço, estações offline sem internet durante a análise e controle de acesso restrito aos arquivos.
Contudo, ao escolher qualquer laboratório de recuperação de dados, exija o termo de confidencialidade e pergunte sobre o protocolo de segurança durante o processo. Além disso, verifique se a empresa tem CNPJ ativo e endereço físico verificável — isso é parte da due diligence exigida pela LGPD na seleção de operadores.
Ransomware, LGPD e a obrigação de notificação
O ransomware é o cenário de maior risco regulatório sob a LGPD porque combina dois elementos: indisponibilidade dos dados e potencial exfiltração. Por isso, grupos como LockBit 5.0 e Akira frequentemente publicam dados exfiltrados em sites dark web — o que configura vazamento e aciona imediatamente a obrigação de notificação.
Portanto, a recuperação forense após ransomware inclui identificação do vetor de entrada e verificação de exfiltração. Essas informações são essenciais para o relatório à ANPD.
Direitos dos titulares dos dados pessoais
A LGPD garante ao titular dos dados um conjunto de direitos que o titular pode exercer a qualquer momento. Empresas precisam responder a essas solicitações a qualquer momento. Os direitos do titular incluem:
- Confirmação da existência de tratamento dos dados
- Acesso aos dados armazenados
- Correção de dados incompletos ou incorretos
- Anonimização ou eliminação de dados desnecessários
- Portabilidade dos dados para outro fornecedor
- Revogação do consentimento anteriormente dado
- Revisão de decisões tomadas por processos automatizados
Contudo, responder a essas solicitações durante um incidente ativo exige que os dados estejam recuperados e acessíveis. Por isso, a velocidade da recuperação técnica impacta diretamente a capacidade de conformidade regulatória.
Perguntas frequentes
RAID sem exposição precisa ser notificado?
Uma falha de RAID que não expõe dados precisa de notificação à ANPD? Depende. Se a falha resultar apenas em indisponibilidade temporária sem acesso por terceiros, geralmente não há obrigação de notificação. Contudo, se houver evidência de acesso não autorizado durante a falha — como em casos de ransomware — a notificação é obrigatória. Por isso, o laudo forense da Crowdertech documenta exatamente o que ocorreu, apoiando a decisão da empresa sobre notificação.
Qual o prazo para notificar a ANPD?
Qual é o prazo para notificar a ANPD após um ataque de ransomware? 72 horas a partir da ciência do incidente, conforme a Resolução CD/ANPD nº 15/2024. Além disso, dentro de 30 dias a empresa deve enviar o relatório complementar com detalhes técnicos do incidente. Por isso, iniciar a recuperação forense imediatamente é parte do protocolo de conformidade — não apenas de recuperação técnica.
Empresa pode ser multada sem vazamento confirmado?
A ANPD pode multar a empresa mesmo sem vazamento externo confirmado? Sim. A LGPD também sanciona falhas de segurança que colocam dados pessoais em risco, mesmo sem confirmação de acesso externo. Contudo, demonstrar que a empresa adotou medidas adequadas de segurança e respondeu prontamente ao incidente é fator relevante na dosimetria da sanção pela ANPD.
O que é o encarregado (DPO)?
O que é o encarregado (DPO) e toda empresa precisa ter um? O encarregado de dados (Data Protection Officer) é o canal entre a empresa, os titulares e a ANPD. Contudo, a ANPD reconhece que micro e pequenas empresas podem ter regimes simplificados. Por isso, consulte o guia de agentes de tratamento de pequeno porte disponível no site da ANPD para verificar as obrigações específicas ao porte da sua empresa.
A Crowdertech recupera dados com laudo técnico compatível com LGPD e cadeia de custódia completa — diagnóstico gratuito 24 horas: (11) 99630-0675 · (11) 4863-3636.
Fontes: LGPD — Lei nº 13.709/2018 · ANPD — Autoridade Nacional de Proteção de Dados · Resolução CD/ANPD nº 15/2024.