A LGPD exige que empresas façam backup dos dados pessoais?

A LGPD não exige explicitamente a realização de backup, mas determina que empresas adotem medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados, destruição, perda, alteração e qualquer forma de tratamento inadequado. O backup é uma das medidas técnicas mais fundamentais para atender a essa exigência, especialmente para garantir a disponibilidade e integridade dos dados.

Por quanto tempo devo reter backups com dados pessoais?

A LGPD determina que dados pessoais devem ser mantidos apenas pelo tempo necessário para cumprir a finalidade para a qual foram coletados. Após o término do tratamento, os dados devem ser eliminados, salvo para cumprimento de obrigação legal, uso em pesquisa (anonimizados), ou transferência a terceiro autorizado. As políticas de retenção de backup devem refletir essas regras.

O que acontece se um backup for comprometido em um ataque?

Se um incidente de segurança comprometer backups contendo dados pessoais, a empresa deve comunicar à ANPD e aos titulares dos dados afetados em prazo razoável, especialmente se o incidente puder causar risco ou dano relevante. A empresa deve demonstrar que tinha medidas de proteção implementadas. Criptografia nos backups é fundamental para mitigar o impacto.

Quais são as penalidades da LGPD?

As sanções previstas na LGPD incluem: advertência, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio dos dados pessoais, eliminação dos dados, suspensão parcial ou total do funcionamento do banco de dados, e proibição parcial ou total do exercício da atividade de tratamento.

Preciso criptografar meus backups para cumprir a LGPD?

A LGPD não especifica tecnologias obrigatórias, mas exige medidas técnicas adequadas de proteção. A criptografia é amplamente reconhecida como medida essencial e sua ausência pode ser considerada negligência pela ANPD. Recomenda-se criptografia AES-256 tanto em trânsito (durante a transferência) quanto em repouso (nos dados armazenados). Além disso, a criptografia pode ser fator atenuante em caso de incidente.

Como atender ao direito de exclusão de dados nos backups?

O direito de exclusão (eliminação) é um dos pontos mais complexos em relação a backups. Excluir dados específicos de backups existentes pode ser tecnicamente inviável sem comprometer a integridade. A abordagem recomendada é manter um registro de solicitações de exclusão e garantir que, quando o backup for eventualmente restaurado, esses dados sejam excluídos antes de serem colocados em produção novamente.

Compliance LGPD e Backup: Guia para Empresas

Como adequar sua estratégia de backup à LGPD. Retenção de dados, criptografia, trilhas de auditoria, penalidades da ANPD e proteção de dados pessoais.

A LGPD e Seu Impacto na Estratégia de Backup

A Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) transformou a forma como empresas brasileiras devem tratar dados pessoais. Embora muitas organizações foquem sua adequação em políticas de privacidade e consentimento, a infraestrutura de backup e recuperação de dados é um componente crítico — e frequentemente negligenciado — da conformidade com a LGPD.

Backups contêm cópias de dados pessoais de clientes, colaboradores, fornecedores e parceiros. Isso significa que estão sujeitos a todas as obrigações da LGPD: proteção contra acesso não autorizado, retenção limitada à finalidade, possibilidade de exclusão, e comunicação em caso de incidentes. Uma estratégia de backup que não considere a LGPD pode expor a empresa a multas de até R$ 50 milhões e danos reputacionais significativos.

A ANPD (Autoridade Nacional de Proteção de Dados) tem intensificado sua atuação fiscalizadora, e empresas que não demonstrarem medidas técnicas adequadas de proteção de dados — incluindo backup e recuperação — estarão em posição vulnerável em caso de incidente.

Requisitos da LGPD Aplicáveis ao Backup

Segurança e Sigilo (Art. 46)

A LGPD exige que agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. No contexto de backup, isso se traduz em:

Criptografia: dados de backup devem ser criptografados em trânsito e em repouso
Controle de acesso: apenas pessoal autorizado deve ter acesso aos backups
Integridade: mecanismos para verificar que os backups não foram alterados ou corrompidos
Disponibilidade: capacidade de restaurar dados quando necessário para continuidade do tratamento

Comunicação de Incidentes (Art. 48)

O controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Isso inclui ataques de ransomware que comprometam backups contendo dados pessoais, vazamentos de dados de backup, e perda não autorizada de mídias de backup.

A comunicação deve ser feita em prazo razoável e incluir: descrição da natureza dos dados pessoais afetados, informações sobre os titulares envolvidos, medidas técnicas de segurança utilizadas, riscos relacionados ao incidente, e medidas adotadas para reverter ou mitigar os efeitos.

Término do Tratamento e Eliminação (Art. 15 e 16)

Dados pessoais devem ser eliminados após o término do tratamento, ressalvadas as hipóteses legais de conservação. Isso tem implicações diretas na política de retenção de backup: não é adequado manter backups com dados pessoais por tempo indeterminado. A empresa deve definir períodos de retenção alinhados com a finalidade do tratamento e as obrigações legais de guarda.

Registro de Operações (Art. 37)

O controlador e o operador devem manter registro das operações de tratamento de dados pessoais. Operações de backup e restauração envolvendo dados pessoais devem ser registradas em trilhas de auditoria que documentem quem realizou a operação, quando, quais dados foram envolvidos e com que finalidade.

Políticas de Retenção de Dados em Backup

Uma das áreas mais complexas da conformidade LGPD no backup é a definição de políticas de retenção que equilibrem proteção de dados, requisitos legais e necessidades operacionais.

Princípios para Definir Retenção

Necessidade: retenha apenas pelo tempo necessário para a finalidade do backup
Obrigações legais: considere prazos legais de guarda (trabalhista: 5 anos; tributário: 5 anos; civil: 10 anos; saúde: 20 anos; etc.)
Proporcionalidade: o período de retenção deve ser proporcional ao risco e à necessidade
Documentação: justifique e documente as decisões de retenção para cada tipo de dado

Tabela de Retenção por Tipo de Dado

Recomenda-se criar uma tabela de temporalidade que classifique os dados por tipo e defina o período de retenção em backup para cada categoria:

Dados trabalhistas: 5 anos após encerramento do contrato (CLT)
Dados fiscais e tributários: 5 anos (CTN)
Dados de saúde: 20 anos (CFM)
Dados de clientes (contratos): duração do contrato + prazo prescricional aplicável
Dados de marketing (consentimento): até revogação do consentimento + prazo para eliminação
Dados operacionais sem dados pessoais: conforme necessidade técnica

Eliminação Segura

Quando o período de retenção expira, os dados devem ser eliminados de forma segura e irreversível. Para mídias físicas (discos, fitas), isso pode envolver degaussing, destruição física ou sobrescrita segura. Para backups em nuvem, a exclusão deve ser verificada e documentada, incluindo a eliminação de dados em réplicas e caches.

Criptografia de Backup para Conformidade

A criptografia é uma das medidas técnicas mais importantes para conformidade com a LGPD e deve ser aplicada em múltiplas camadas:

Criptografia em Trânsito

Todos os dados transferidos durante operações de backup devem ser protegidos por criptografia em trânsito (TLS 1.2 ou superior). Isso é especialmente importante para backup na nuvem, onde os dados trafegam pela internet, e para replicação entre sites.

Criptografia em Repouso

Os dados armazenados nos repositórios de backup devem ser criptografados com algoritmos fortes (AES-256 é o padrão recomendado). Isso garante que, mesmo em caso de acesso não autorizado ao storage físico, os dados permaneçam ilegíveis.

Gerenciamento de Chaves

A segurança da criptografia depende da proteção das chaves. Implemente gerenciamento de chaves robusto com rotação periódica, armazenamento seguro (preferencialmente em HSM — Hardware Security Module), separação de responsabilidades entre quem gerencia os backups e quem gerencia as chaves, e procedimentos documentados para recuperação de chaves em caso de desastre.

Trilhas de Auditoria e Monitoramento

A capacidade de demonstrar conformidade depende de trilhas de auditoria completas e confiáveis. Para operações de backup, os registros devem incluir:

Execução de backups: data, hora, sistemas protegidos, volume de dados, sucesso ou falha
Operações de restauração: quem solicitou, qual dado foi restaurado, finalidade, aprovação
Acesso ao console de backup: logins, tentativas de acesso, alterações de configuração
Exclusão de dados: quando dados foram eliminados, quem autorizou, método utilizado
Testes de restauração: data, escopo, resultados, tempo de recuperação
Incidentes: falhas de backup, tentativas de acesso não autorizado, anomalias detectadas

Esses registros devem ser mantidos por período adequado (recomenda-se pelo menos 5 anos) e protegidos contra alteração, preferencialmente em formato imutável.

Direito de Exclusão e Backups: O Desafio Técnico

O direito de exclusão (eliminação) previsto no Art. 18 da LGPD é um dos maiores desafios técnicos para a estratégia de backup. Quando um titular solicita a exclusão de seus dados pessoais, como isso se aplica aos backups existentes?

A Complexidade do Problema

Backups tradicionais são conjuntos monolíticos de dados — não é possível excluir um registro específico de um backup sem comprometer sua integridade ou refazê-lo completamente. Isso é especialmente verdadeiro para backups de imagem de servidor e backups de banco de dados.

Abordagem Recomendada

Exclusão imediata nos sistemas de produção: atenda a solicitação excluindo os dados dos sistemas ativos
Registro da solicitação: mantenha um log de exclusões solicitadas com identificação dos dados
Expiração natural do backup: permita que os backups contendo os dados expirem conforme a política de retenção
Procedimento de restauração: em caso de restauração de backup, aplique as exclusões registradas antes de disponibilizar os dados em produção
Documentação: registre todo o processo para demonstrar diligência à ANPD

Essa abordagem é aceita pela maioria dos especialistas e reguladores, pois equilibra o direito do titular com a viabilidade técnica, desde que o período de retenção dos backups seja razoável e documentado.

Penalidades da ANPD e Como se Proteger

A ANPD pode aplicar sanções administrativas em caso de infrações à LGPD. As penalidades previstas são progressivas:

Advertência: com prazo para adoção de medidas corretivas
Multa simples: até 2% do faturamento no último exercício, limitada a R$ 50 milhões por infração
Multa diária: para forçar o cumprimento de obrigação específica
Publicização da infração: dano reputacional significativo
Bloqueio ou eliminação dos dados: pode paralisar operações
Suspensão ou proibição do tratamento: impacto operacional severo

Fatores Atenuantes

A ANPD considera fatores atenuantes na dosimetria das sanções. Para a estratégia de backup, os seguintes pontos podem reduzir a severidade de penalidades:

Demonstrar implementação de medidas técnicas de proteção (criptografia, controle de acesso, backup imutável)
Ter um plano de resposta a incidentes documentado e testado
Manter programa de governança em privacidade com políticas de backup alinhadas à LGPD
Comunicar incidentes proativamente à ANPD e aos titulares
Demonstrar boa-fé e cooperação na apuração de incidentes

Transferência Internacional de Dados em Backup

Quando o backup é armazenado em data centers fora do Brasil — comum em soluções de backup na nuvem — configura-se transferência internacional de dados pessoais, regulada pelo Art. 33 da LGPD. As hipóteses permitidas incluem:

Países ou organismos internacionais com nível adequado de proteção
Cláusulas contratuais específicas ou cláusulas-padrão
Normas corporativas globais
Consentimento específico e em destaque do titular

Para empresas que utilizam provedores de nuvem globais, é essencial verificar onde os dados de backup serão armazenados e garantir que a transferência esteja amparada por uma das hipóteses legais. Muitos provedores já oferecem opção de residência de dados no Brasil.

Checklist de Conformidade LGPD para Backup

Mapear quais dados pessoais estão presentes nos backups
Definir e documentar política de retenção alinhada à LGPD
Implementar criptografia AES-256 em trânsito e em repouso
Configurar controle de acesso com autenticação multifator
Manter trilhas de auditoria completas de operações de backup
Criar procedimento para atender solicitações de exclusão
Documentar plano de resposta a incidentes envolvendo backup
Verificar conformidade na transferência internacional de dados
Nomear DPO (Encarregado de Proteção de Dados) com visibilidade sobre backup
Realizar avaliação de impacto (RIPD) para operações de backup de alto risco
Treinar equipe de TI sobre obrigações da LGPD no contexto de backup
Revisar contratos com provedores de backup para incluir cláusulas de proteção de dados

Como a DataBackup Garante Conformidade com a LGPD

A DataBackup oferece soluções de backup corporativo projetadas para conformidade com a LGPD desde a concepção. Nossas soluções incluem criptografia AES-256 em todas as camadas, data centers no Brasil, trilhas de auditoria completas, políticas de retenção configuráveis, controle de acesso granular com MFA, e suporte para atendimento a direitos dos titulares. Fale com nossos especialistas para uma avaliação de conformidade da sua infraestrutura de backup.