A LGPD não diz qual tecnologia usar. Ela diz o que precisa estar protegido.

O que o art. 46 pede, e o que ele não pede

A LGPD trata de segurança em quatro artigos, do 46 ao 49, e nenhum deles nomeia produto, marca ou certificação. O caput do art. 46 pede medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

“Aptas a proteger” é um padrão de resultado, não uma lista de compras. Quem escolhe como cumprir é o escritório — e é ele quem terá de demonstrar que a escolha era razoável para o volume e o risco do que trata.

Três recortes do texto que costumam passar despercebidos:

• Começa antes do sistema existir. O § 2º do art. 46 manda observar as medidas desde a fase de concepção do produto ou do serviço até a sua execução.
• Não acaba quando o caso acaba. O art. 47 obriga os agentes — e qualquer pessoa que intervenha numa fase do tratamento — a garantir a segurança mesmo após o seu término.
• Alcança o sistema, não só a conduta. O art. 49 diz que os sistemas usados para tratar dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança e aos padrões de boas práticas e governança.

O que a ANPD listou

A ANPD publicou um guia de segurança da informação para agentes de tratamento de pequeno porte, endereçado justamente a quem não tem gente especializada no quadro. Ele separa as medidas em duas famílias — e a divisão abaixo é a do próprio guia.

Fora dessas duas colunas o guia trata ainda de dois assuntos em seção própria, e os dois importam para escritório: dispositivos móveis — o celular em que a equipe lê o WhatsApp do escritório — e serviço em nuvem.

Esse guia obriga?

Não, e é o próprio guia que diz, no item 72:

“[…] este documento não tem efeito normativo vinculante e deve ser entendido como um guia de boas práticas, que poderá ser atualizado e aperfeiçoado sempre que necessário.”

A distinção importa, e nas duas direções. Não existe multa por deixar de seguir um item do guia — mas também não existe defesa em ter seguido o guia inteiro se o dado vazou por uma porta que ele não previa. O que obriga é o art. 46; o guia é a leitura que a própria autoridade fez dele, o que o torna o melhor mapa disponível de como ela avalia.

O mesmo raciocínio aparece dentro do guia. Sobre a política de segurança da informação, ele registra que ela não é obrigatória — e sugere adotá-la assim mesmo, porque evidencia boa-fé e diligência. Numa fiscalização, essa é a diferença entre não ter feito e não ter conseguido.

As quatro que pegam escritório pequeno

O guia é longo. Estas quatro medidas são as que, na prática, separam o escritório organizado do escritório exposto — e nenhuma delas custa dinheiro:

1. Ninguém compartilha login. O guia trata o compartilhamento de contas e senhas entre funcionários como vetor crítico, e manda aplicar o princípio do menor privilégio: cada pessoa com o menor acesso necessário para o que faz. Sem isso, a auditoria não serve para nada — o registro mostra o usuário, não a pessoa.
2. Segundo fator onde há dado pessoal. A recomendação é usar autenticação multifator para acessar sistemas e bases com dados pessoais, inclusive nos serviços em nuvem.
3. Backup que não é espelho. As cópias devem ser regulares, completas e guardadas em local distinto — e o guia é explícito em dizer que não devem ser sincronizadas em tempo real, porque cópia espelhada é cópia que o ransomware criptografa junto.
4. Papel na gaveta, tela bloqueada. Estão na mesma lista do guia, junto com não clicar em link de e-mail desconhecido. Segurança de escritório de advocacia falha na recepção com a mesma facilidade com que falha na rede.

O que pedir de quem hospeda o seu acervo

O guia dedica uma seção ao serviço em nuvem e ela é curta e direta. Sugere contrato com acordo de nível de serviço que contemple a segurança dos dados armazenados; que o escritório defina os seus requisitos de segurança e avalie se o serviço oferecido os atende — nessa ordem, e não o contrário; e que o acesso a cada serviço use autenticação multifator.

Na parte de gerenciamento de contratos, o guia sugere que os instrumentos com fornecedores tragam cláusulas sobre regras para fornecedores e parceiros, regras de compartilhamento, a relação entre controlador e operador e a vedação a tratamentos incompatíveis com as orientações do controlador.

Vale reler essa última linha com atenção: ela pressupõe que as orientações são suas. Contratar bem não muda de lado o dever — o motivo está em Seu escritório é o controlador.

E quando falha assim mesmo

Falha. Segurança não é promessa de que nada acontece, é a diferença entre um incidente contido e um acervo inteiro na rua. O que a lei cobra depois está em outro lugar: a comunicação do art. 48, regulada pela Resolução CD/ANPD nº 15/2024, com prazo em dias úteis contado de quando o escritório soube — e ele é mais curto do que parece. O relógio está aberto em Vazou um dado do seu cliente.

Em uma frase

A LGPD não vai dizer qual software comprar, e ninguém pode prometer conformidade em nome do seu escritório. O que se pode fazer é escolher com quem, verificar o que foi combinado e conseguir provar as duas coisas — que é exatamente o que os arts. 46 e 49 pedem.