LGPD e Backup: 5 Artigos da Lei que Exigem Proteção de Dados [Multas]

LGPD e Backup: Por Que Sua Estratégia Precisa de Atenção Imediata

Pontos-Chave

• A LGPD (Lei 13.709/2018) não cita a palavra "backup", mas o Art. 46 torna a proteção contra perda uma obrigação legal — veja o texto oficial no Planalto
• Multas podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração — já aplicadas pela ANPD
• Criptografia AES-256 é considerada expectativa básica pela autoridade, não diferencial
• O direito à eliminação (Art. 18) cria desafio técnico real para backups completos — existe abordagem aceita internacionalmente
• Transferência internacional de dados exige garantias específicas do Art. 33

LGPD e backup estão diretamente conectados: embora a Lei 13.709/2018 não cite a palavra "backup" explicitamente, seus artigos 46, 47 e 48 tornam obrigatória a adoção de medidas técnicas para proteger dados pessoais contra perda, destruição e acesso não autorizado. O backup corporativo é a principal medida técnica que atende a esse requisito. Empresas que sofrem perda de dados pessoais por falta de backup podem ser enquadradas no Art. 52, com multas de até 2% do faturamento (limitadas a R$ 50 milhões por infração).

A Lei Geral de Proteção de Dados transformou a forma como empresas brasileiras devem tratar dados pessoais. E o backup corporativo está no centro dessa transformação — mesmo sem ser mencionado diretamente na lei.

Por que isso importa? Porque uma única falha de backup que exponha ou perca dados pessoais pode configurar infração ao Art. 46, sujeitando a empresa a sanções que vão desde advertência até bloqueio da base de dados. E a ANPD já demonstrou, em decisões públicas, que não aceita desculpas técnicas para falhas preveníveis.

Neste guia, vamos detalhar cada ponto de intersecção entre a LGPD e o backup, com orientações práticas para garantir compliance.

Artigos da LGPD que Impactam o Backup

Artigo 46 — Segurança dos Dados

"Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito."

Este é o artigo mais direto. A empresa é obrigada a proteger dados pessoais contra perda e destruição. O backup é a medida técnica mais fundamental para cumprir esse requisito — ignorá-lo é, na prática, violar a lei.

Artigo 48 — Comunicação de Incidentes

Em caso de incidente de segurança que possa gerar risco ou dano aos titulares, o controlador deve comunicar à ANPD e aos titulares afetados em prazo razoável, conforme o regulamento da ANPD sobre comunicação de incidentes. A capacidade de identificar quais dados foram comprometidos — frequentemente através da análise de backups — é essencial.

Artigo 18 — Direitos dos Titulares

O titular tem direito à eliminação de dados pessoais (inciso VI). Isso cria um desafio técnico significativo para o backup, que discutiremos adiante.

Artigo 16 — Eliminação de Dados

Os dados pessoais devem ser eliminados após o término do tratamento, exceto em situações específicas (cumprimento de obrigação legal, transferência a terceiros autorizada, uso exclusivo pelo controlador anonimizado).

Requisitos Práticos para Backup em Conformidade com a LGPD

1. Criptografia obrigatória

Backups contendo dados pessoais devem ser criptografados tanto em trânsito quanto em repouso. O padrão mínimo recomendado é AES-256.

A criptografia não é apenas boa prática — é expectativa da ANPD. Em caso de incidente com dados criptografados, o impacto regulatório é significativamente menor, pois os dados são inacessíveis sem a chave. Quer saber mais sobre essa arquitetura? Confira o guia sobre backup nuvem vs local.

• Use criptografia AES-256 para todos os backups
• Gerencie chaves de criptografia separadamente dos dados
• Implemente rotação periódica de chaves
• Documente o processo de gestão de chaves

2. Controle de acesso rigoroso

O acesso aos backups deve ser restrito e auditado:

• Princípio do menor privilégio: apenas quem precisa tem acesso
• Autenticação multifator (MFA) para acesso ao sistema de backup
• Contas de serviço dedicadas (nunca contas pessoais)
• Logs de auditoria de todos os acessos e restaurações
• Revisão periódica dos acessos concedidos

3. Política de retenção alinhada à LGPD

A retenção de backups deve considerar dois princípios concorrentes:

• Necessidade de proteção: manter backups suficientes para recuperação
• Minimização de dados: não reter dados pessoais além do necessário

A política de backup deve equilibrar ambos, considerando:

• Obrigações legais de retenção (fiscal: 5 anos, trabalhista: até 30 anos)
• Necessidades operacionais de recovery
• Princípio da minimização da LGPD
• Custos de armazenamento

4. O desafio da exclusão de dados em backups

O maior desafio técnico da LGPD para o backup é o direito à eliminação. Quando um titular solicita a exclusão dos seus dados, como apagá-los dos backups já existentes?

A realidade técnica é dura: a exclusão cirúrgica de registros específicos dentro de backups completos é, na maioria dos casos, inviável sem comprometer a integridade do backup inteiro. Então, o que fazer?

Abordagem recomendada:

1. Registro de exclusões pendentes: mantenha log de todas as solicitações com data e dados afetados
2. Exclusão na restauração: se um backup precisar ser restaurado, aplique as exclusões pendentes imediatamente após
3. Retenção limitada: com retenção adequada (30-90 dias), os backups contendo os dados excluídos serão naturalmente eliminados pela rotação
4. Documentação: documente essa abordagem e seja transparente com titulares quando necessário

Essa abordagem está alinhada com orientações de autoridades europeias que enfrentaram o mesmo desafio com o GDPR, conforme diretrizes do EDPB.

5. Transferência internacional de dados

Se seus backups são armazenados em nuvem com datacenters fora do Brasil, a transferência internacional precisa atender ao Art. 33 da LGPD:

• O país de destino deve ter nível adequado de proteção (avaliado pela ANPD)
• Ou devem existir cláusulas contratuais padrão com o provedor
• Ou normas corporativas globais (para grupos multinacionais)
• Provedores como AWS, Azure e Google Cloud oferecem cláusulas padrão para adequação

6. Registro de operações de tratamento

A LGPD exige que controladores e operadores mantenham registro das operações de tratamento (Art. 37). O backup é uma operação de tratamento e deve constar nesse registro:

• Quais dados pessoais são incluídos no backup
• Finalidade (proteção e recuperação)
• Base legal (legítimo interesse, obrigação legal)
• Prazo de retenção
• Medidas de segurança aplicadas
• Eventuais compartilhamentos (provedor de nuvem, por exemplo)

Cloud Backup e LGPD: Requisitos Específicos para Backup em Nuvem

O cloud backup — ou backup em nuvem — levanta questões específicas de compliance com a LGPD que vão além do backup local. Quando os dados pessoais são armazenados em servidores de terceiros, a empresa continua sendo responsável pela proteção, mas precisa garantir que o provedor atende aos requisitos legais.

Checklist de LGPD para Cloud Backup

• Localização dos dados: o Art. 33 regula a transferência internacional. Data centers no Brasil eliminam essa preocupação — a DataBackup opera exclusivamente em data centers Tier III no Brasil
• Criptografia em trânsito e em repouso: o Art. 46 exige medidas técnicas adequadas. Criptografia AES-256 é o padrão mínimo esperado pela ANPD
• Contrato com cláusulas de proteção: o Art. 39 exige que o operador (provedor de cloud backup) trate dados apenas conforme instruções do controlador
• Controle de acesso e audit trail: registros de quem acessou, quando e quais dados — essenciais para demonstrar compliance em caso de fiscalização
• Política de retenção e exclusão: capacidade de eliminar dados pessoais dos backups quando exigido (dentro das limitações técnicas aceitáveis)
• Notificação de incidentes: o provedor deve notificar o controlador imediatamente sobre qualquer incidente que afete dados pessoais (Art. 48)

Para garantir compliance completa, escolha um provedor de cloud backup que ofereça contrato com cláusulas específicas de proteção de dados, data centers no Brasil e relatórios de auditoria periódicos. Veja nossos planos com compliance LGPD nativa.

Relatório de Impacto à Proteção de Dados (RIPD)

Para operações de backup que envolvam dados pessoais sensíveis ou grandes volumes, é recomendável elaborar um RIPD que avalie:

• Riscos do tratamento de dados pessoais nos backups
• Medidas de mitigação implementadas
• Necessidade e proporcionalidade do tratamento
• Avaliação de riscos residuais

Quer um modelo pronto? Nossa política de backup traz templates editáveis.

Checklist de Compliance LGPD para Backup

Use este checklist para verificar a conformidade:

1. Backups criptografados com AES-256 (trânsito e repouso)?
2. Acesso ao backup restrito e com MFA?
3. Logs de auditoria habilitados para todas as operações?
4. Política de retenção definida e documentada?
5. Processo para exclusão de dados pessoais em backups documentado?
6. Backup incluído no registro de operações de tratamento?
7. Transferência internacional (se aplicável) com garantias adequadas?
8. RIPD elaborado para dados sensíveis?
9. DPO envolvido na definição da estratégia?
10. Política de backup formalizada e aprovada?
11. Testes de restauração documentados?
12. Plano de resposta a incidentes integrado ao backup?

Artigos da LGPD que Impactam Diretamente o Backup: Tabela de Referência

A LGPD possui diversos artigos que, direta ou indiretamente, criam obrigações para a estratégia de backup da empresa. A tabela abaixo consolida todos os artigos relevantes, facilitando a consulta rápida por gestores de TI e DPOs.

Dica para gestores de TI: imprima esta tabela e use como checklist durante a revisão anual da sua estratégia de backup. Cada artigo deve ter uma resposta documentada na sua política de backup.

Casos Reais de Fiscalização da ANPD: O Que Podemos Aprender

A ANPD (Autoridade Nacional de Proteção de Dados) já aplicou diversas sanções desde que começou a atuar. Embora nem todas envolvam backup diretamente, os padrões de fiscalização revelam o que a autoridade espera das empresas.

Caso 1: Microempresa de telecomunicações (2023)

Uma microempresa do setor de telecomunicações foi a primeira a receber multa da ANPD, no valor de R$ 14.400, por:

• Ausência de medidas de segurança técnicas para proteção de dados pessoais
• Falta de DPO (Encarregado de Proteção de Dados)
• Não atendimento a determinação da ANPD

Lição para backup: a ANPD fiscaliza empresas de todos os portes, incluindo microempresas. A ausência de medidas básicas de segurança — como backup com criptografia — configura infração mesmo em empresas pequenas.

Caso 2: Órgão público — INSS (2024)

O INSS recebeu sanção por vazamento de dados de beneficiários. A ANPD identificou deficiências em controles de acesso e monitoramento. Embora o caso envolvesse acesso indevido (não falha de backup), a ausência de logs de auditoria dificultou a investigação.

Lição para backup: logs de auditoria das operações de backup são essenciais não apenas para compliance, mas para investigar incidentes. Quem acessou os dados? Quando? Qual backup foi restaurado? Sem logs, a empresa fica vulnerável em qualquer investigação.

Caso 3: Secretaria de Saúde estadual (2024)

Uma Secretaria de Saúde sofreu ataque ransomware que comprometeu dados de milhares de pacientes (dados sensíveis de saúde). A ANPD avaliou as medidas de segurança adotadas anteriormente ao incidente.

Lição para backup: a ANPD avalia não apenas se houve incidente, mas se a empresa tinha medidas preventivas adequadas. Ter backup imutável com criptografia, testes de restauração documentados e política de backup formalizada são fatores atenuantes em caso de sanção. A ausência desses controles é fator agravante.

Padrões que a ANPD espera

Com base nos casos já julgados e nas orientações publicadas pela autoridade, a ANPD espera, no mínimo:

1. Criptografia em repouso e em trânsito para dados pessoais (AES-256 é o padrão)
2. Controle de acesso com MFA para sistemas que tratam dados pessoais
3. Logs de auditoria de acessos e operações
4. Política de segurança documentada (inclui backup)
5. Plano de resposta a incidentes com capacidade de comunicar em prazo razoável
6. Medidas proporcionais ao risco — dados sensíveis (saúde, biométricos) exigem proteção reforçada

Direitos dos Titulares vs Retenção de Backup: Resolvendo o Conflito

Um dos maiores desafios práticos da LGPD para equipes de TI é conciliar os direitos dos titulares (especialmente o direito à eliminação) com a necessidade operacional de manter backups por períodos definidos.

O conflito

A solução aceita internacionalmente

A abordagem recomendada, alinhada com interpretações do EDPB (European Data Protection Board) para o GDPR — regulamento que serviu de base para a LGPD — envolve 5 etapas:

1. Exclusão imediata na produção: ao receber solicitação do titular, exclua os dados dos sistemas de produção imediatamente (ou dentro do prazo legal)
2. Registro de exclusão pendente: mantenha log documentado com: data da solicitação, dados afetados, sistemas/backups que ainda contêm os dados, data prevista de eliminação natural pela rotação
3. Exclusão na restauração (se necessária): caso um backup que contenha os dados do titular precise ser restaurado, aplique as exclusões pendentes imediatamente após a restauração, antes que o sistema entre em produção
4. Eliminação natural por rotação: com política de retenção adequada (30-90 dias para backups operacionais), os backups contendo os dados do titular serão naturalmente substituídos pela rotação
5. Comunicação transparente: informe ao titular que os dados foram excluídos dos sistemas de produção e que cópias residuais em backups serão eliminadas dentro do período de retenção. Documente essa comunicação

Exceções onde a exclusão NÃO é obrigatória

O Art. 16 da LGPD prevê situações onde a empresa pode manter os dados mesmo após solicitação de exclusão:

• Cumprimento de obrigação legal ou regulatória: dados fiscais (5 anos), trabalhistas (até 30 anos), saúde (20 anos)
• Exercício regular de direitos em processo: dados necessários para defesa em ações judiciais
• Interesse legítimo do controlador: desde que documentado e proporcional
• Proteção da vida ou incolumidade física: dados de saúde em emergências

Na prática, muitos dados em backups de empresas de contabilidade, saúde e setor financeiro têm obrigação legal de retenção que prevalece sobre o direito à eliminação. Documente claramente a base legal de retenção para cada categoria de dados.

Checklist LGPD para Gestores de TI: 20 Pontos de Verificação

Use este checklist completo para avaliar a conformidade da sua estratégia de backup com a LGPD. Ideal para revisões trimestrais ou preparação para auditorias.

Segurança Técnica

1. Todos os backups são criptografados com AES-256 em repouso e em trânsito?
2. As chaves de criptografia são gerenciadas separadamente dos dados (key management)?
3. Existe rotação periódica de chaves de criptografia documentada?
4. O acesso ao sistema de backup exige autenticação multifator (MFA)?
5. O princípio do menor privilégio é aplicado (apenas quem precisa tem acesso)?
6. Contas de serviço do backup são separadas das contas pessoais dos administradores?

Governança e Documentação

7. Existe política de backup formalizada, aprovada e atualizada?
8. O backup consta no ROPA (Registro de Operações de Tratamento de dados)?
9. Existe RIPD (Relatório de Impacto) para backups que incluem dados sensíveis?
10. O DPO (Encarregado) participou da definição da estratégia de backup?
11. Existe processo documentado para exclusão de dados pessoais em backups (direito à eliminação)?
12. Os contratos com provedores de backup/nuvem incluem cláusulas de proteção de dados?

Operação e Monitoramento

13. Logs de auditoria estão habilitados para todas as operações de backup e restauração?
14. Os logs de auditoria são retidos por período adequado (mínimo 1 ano)?
15. Testes de restauração são executados e documentados mensalmente?
16. Existe monitoramento automatizado do status dos jobs de backup?
17. Alertas de falha são enviados para a equipe responsável em tempo hábil?

Transferência e Armazenamento

18. Se o backup é armazenado fora do Brasil, existem garantias adequadas (Art. 33)?
19. A política de retenção equilibra necessidade operacional com minimização de dados?
20. Existe backup imutável para proteção contra ransomware (impossibilidade de alteração/exclusão durante período de retenção)?

Como pontuar: cada item respondido com "sim" vale 1 ponto. Empresas com pontuação abaixo de 15 têm gaps significativos de conformidade e devem priorizar a adequação. Pontuação de 15-18 indica conformidade parcial. Pontuação de 19-20 indica maturidade elevada.

A DataBackup atende nativamente a 16 dos 20 itens deste checklist (os 4 restantes dependem de processos internos da empresa, como ROPA e RIPD). Nossos planos incluem criptografia AES-256, MFA, logs de auditoria, monitoramento 24/7, imutabilidade e suporte para testes de restauração. Fale com um especialista para uma avaliação gratuita de conformidade.

Penalidades por Não Conformidade

As sanções da LGPD são severas e já aplicadas pela ANPD, conforme decisões publicadas pela autoridade:

• Advertência: com prazo para adoção de medidas corretivas
• Multa simples: até 2% do faturamento, limitada a R$ 50 milhões por infração
• Multa diária: para forçar cumprimento
• Publicização da infração: dano reputacional significativo
• Bloqueio dos dados: impossibilidade de utilizar os dados até regularização
• Eliminação dos dados: obrigação de apagar os dados relacionados à infração

Uma falha de backup que resulte em perda irreversível de dados pessoais pode configurar infração ao Art. 46, sujeitando a empresa a todas essas penalidades. Segundo o IBM Cost of a Data Breach Report, o custo médio global de um vazamento ultrapassa US$ 4,8 milhões — e isso antes das multas regulatórias.

LGPD e Proteção Contra Ransomware

O ransomware é uma das maiores ameaças à conformidade com a LGPD. Um ataque que comprometa dados pessoais exige notificação à ANPD e aos titulares. Backups adequados, especialmente imutáveis, permitem restaurar os dados sem ceder ao resgate, minimizando o impacto regulatório.

Saiba mais sobre o cenário de ransomware no Brasil e como recuperar dados após um ataque.

Como a LGPD se Conecta a Outros Frameworks

Muitas empresas brasileiras precisam atender a múltiplos padrões regulatórios simultaneamente. A boa notícia é que os controles se sobrepõem significativamente:

• Compliance BACEN: instituições financeiras precisam atender LGPD + Resolução BCB 4.893/2021
• ISO 27001: fornece framework técnico que facilita compliance LGPD
• PCI DSS: obrigatório para quem processa cartões, sobreposto à LGPD

Próximos Passos

Garantir compliance LGPD no backup é um processo contínuo. Para avançar:

• Crie uma política de backup que inclua todos os requisitos da LGPD
• Implemente a regra 3-2-1-1-0 com criptografia em todas as camadas
• Defina RTO e RPO considerando obrigações regulatórias
• Revise o guia completo de compliance LGPD da DataBackup
• Se sua empresa é do setor financeiro, conheça os requisitos de compliance do BACEN para backup
• Busca certificação internacional? Veja como a ISO 27001 complementa a LGPD no contexto de backup
• Processa dados de cartão? Entenda as exigências do PCI DSS para backup de dados de pagamento

Precisa de ajuda para adequar seu backup à LGPD? Fale com os especialistas da DataBackup via WhatsApp ou conheça nossos planos com consultoria em compliance e soluções de backup com criptografia, auditoria e governança integradas.