LGPD e Backup
O que a lei exige, como demonstrar conformidade e qual o papel do backup na proteção de dados — da teoria à auditoria.
Nesta página
1. Fundamentos da LGPD
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) estabelece regras para qualquer operação de tratamento de dados pessoais, seja por meios físicos ou digitais. Seus princípios fundamentais (Art. 6º) formam a base interpretativa de toda a lei:
- Finalidade — tratar dados apenas para propósitos legítimos, específicos e informados.
- Adequação — compatibilidade do tratamento com as finalidades informadas.
- Necessidade — mínimo de dados necessários para atingir a finalidade.
- Transparência — informações claras e acessíveis sobre o tratamento.
- Segurança — medidas técnicas e administrativas para proteger os dados.
- Prevenção — medidas para evitar danos, inclusive perda ou destruição.
- Accountability (responsabilização) — obrigação de demonstrar a adoção de medidas eficazes.
É nesse último princípio que o backup testado se torna crucial: mais do que fazer, é preciso provar que fez.
2. Backup no ciclo de vida do dado pessoal
O tratamento de dados pessoais percorre um ciclo: coleta, armazenamento, processamento, compartilhamento e eliminação. O backup atua em duas frentes:
- Preservação — manter a integridade e disponibilidade dos dados durante a fase de retenção ativa (ex.: os 12 meses do Marco Civil).
- Restauração — o ato de restaurar também é tratamento, e precisa respeitar os mesmos princípios (ex.: não restaurar dados para finalidade diferente da original).
Isso significa que a política de backup deve estar alinhada com a política de retenção de dados: não se pode eliminar o dado original e manter cópias eternas sem justificativa legal — o princípio da necessidade também se aplica ao backup.
3. Artigos relevantes
Art. 5º, VII — definição de incidente de segurança
"vazamento acidental ou ilícito, destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito de dados pessoais."
Art. 46, caput
"Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito."
Art. 46, §1º
A ANPD poderá expedir normas técnicas complementares, considerando a natureza das informações e "o estado da técnica" disponível no momento.
Art. 48, caput
O controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável.
A palavra "backup" não aparece — mas "perda" e "destruição" (Art. 5º/46) são tão graves quanto vazamento. O backup não é opção: é a medida concreta que evita a perda.
4. Accountability — provar que fez
O Art. 6º, X, consagra o princípio da responsabilização e prestação de contas: o agente de tratamento deve demonstrar, com evidências objetivas, que adotou medidas eficazes. Em auditoria, isso se traduz em documentos como:
- Política de backup assinada pela diretoria.
- Logs de jobs de backup (últimos 90 dias, no mínimo).
- Relatórios de teste de restauração com resultado e data.
- Evidência de cópia imutável/air‑gapped (print de configuração, foto de fita).
- Registro de treinamento da equipe sobre proteção de dados.
Em termos normativos, a referência internacional mais aceita para demonstrar "estado da técnica" é a ABNT NBR ISO/IEC 27001:2013 (sistema de gestão de segurança da informação) e os controles da ISO/IEC 27002, além do NIST SP 800-53 (controles de contingência, família CP). Um ISP que alinha sua política de backup a esses frameworks tem defesa técnica sólida em caso de fiscalização.
5. Dados pessoais no ISP — o que está em jogo
Um provedor de internet típico coleta e armazena diferentes categorias de dados pessoais, cada uma com requisitos específicos de backup:
| Categoria | Exemplos | Requisito típico de backup |
|---|---|---|
| Cadastrais | CPF, RG, endereço, e‑mail, telefone | Criptografia em repouso, retenção alinhada ao contrato |
| Registros de conexão | IP, porta, MAC, timestamps, volume | Obrigação de guarda mínima de 1 ano (Marco Civil) |
| Financeiros | Faturas, boletos, dados de pagamento | Criptografia forte, isolamento de acesso |
Cada categoria pode exigir RTO/RPO diferentes. A página de RTO e RPO detalha como definir esses parâmetros.
6. Medidas técnicas obrigatórias (na prática)
Com base no "estado da técnica" (Art. 46, §1º), as medidas esperadas de um ISP incluem:
- Criptografia de dados em repouso (ex.: LUKS, S3 com chave KMS) e em trânsito (TLS 1.2+).
- Controle de acesso baseado em privilégio mínimo e autenticação multifator.
- Backup testado periodicamente — ver Regra 3‑2‑1‑1‑0.
- Cópia imutável/air‑gapped (ver Borg append‑only ou restic com S3 Object Lock).
- Logs de auditoria centralizados e protegidos contra adulteração.
- Plano de resposta a incidente documentado e testado.
7. Resposta a incidente — passo a passo
A comunicação de incidente (Art. 48) não pode ser improvisada. Um fluxo operacional típico:
- Detectar — ransomware, falha de disco, exclusão acidental.
- Avaliar — há dados pessoais envolvidos? Qual o volume e a sensibilidade?
- Restaurar — usar backup imutável/offline. Medir tempo e volume recuperado.
- Documentar — registrar restauração, causa raiz e medidas de contenção.
- Comunicar — preencher formulário da ANPD e notificar titulares afetados.
- Revisar — atualizar política de segurança com base na lição aprendida.
A rapidez e o sucesso da restauração reduzem o "risco ou dano relevante" — por isso RTO e RPO têm implicação jurídica direta.
8. Penalidades
- Advertência, com prazo para medidas corretivas.
- Multa de até 2% do faturamento da empresa/grupo no Brasil no último exercício, limitada a R$ 50 milhões por infração.
- Publicização da infração — dano reputacional frequentemente mais custoso que a multa.
- Bloqueio ou eliminação dos dados pessoais envolvidos, em casos graves.
9. Interseção com o Marco Civil da Internet
A Lei 12.965/2014 (Marco Civil da Internet), Art. 13, obriga provedores de conexão a guardar registros de conexão por 1 ano, sob sigilo e em ambiente controlado. Esses registros (IP, porta, timestamp) são dados pessoais — portanto, a perda desse banco é simultaneamente:
- Descumprimento do Marco Civil (obrigação de guarda).
- Incidente LGPD (perda de dados pessoais).
Consequência prática: a política de retenção do backup do banco RADIUS/AAA (ver Autenticação e Bilhetagem) deve cobrir pelo menos 1 ano completo. Apagar backups antes desse prazo pode ser tão problemático quanto não ter backup.
10. Métricas e evidências de auditoria
Em uma auditoria de conformidade, o avaliador espera ver:
| Evidência | Como gerar |
|---|---|
| Política de backup assinada | Documento formal, revisado anualmente |
| Logs de jobs (90 dias) | Saída de borg list, restic snapshots ou logs do Bacula |
| Teste de restauração | Relatório com data, arquivo restaurado e resultado do diff |
| Cópia imutável | Print do S3 Object Lock, foto de fita removida, config do append‑only |
| Treinamento da equipe | Lista de presença, certificados, conteúdo programático |
11. Checklist de conformidade prática
| Item | Referência legal | Status |
|---|---|---|
| Política de privacidade publicada | Art. 9º | ☐ |
| DPO (encarregado) nomeado | Art. 41 | ☐ |
| Base legal de tratamento identificada por finalidade | Art. 7º | ☐ |
| Backup testado nos últimos 90 dias | Art. 46 | ☐ |
| Cópia imutável/air-gapped existente | Art. 46 | ☐ |
| Plano de resposta a incidente documentado | Art. 48 | ☐ |
| Retenção de log de conexão ≥ 1 ano | Marco Civil, Art. 13 | ☐ |
12. Comparativo legal e panorama
A LGPD foi inspirada no GDPR europeu (Regulamento 2016/679), com diferenças: multas de até 4% do faturamento global (sem teto) na GDPR vs. R$ 50 milhões por infração na LGPD. Ambas compartilham o conceito de "medidas técnicas e organizacionais apropriadas" (Art. 32 GDPR).
No Brasil, o Marco Civil e a Lei do Cadastro Positivo (Lei 12.414/2011) também impõem obrigações de tratamento de dados. Em breve, a regulação de inteligência artificial (PL 2338/2023) pode adicionar novas camadas. Manter uma política de backup sólida é a base comum que atende a múltiplas exigências.
13. Ferramentas e páginas relacionadas
14. Glossário jurídico‑técnico
15. Referências
- Lei nº 13.709/2018 (LGPD) — Art. 5º, 6º, 7º, 9º, 41, 46, 48.
- Lei nº 12.965/2014 (Marco Civil da Internet) — Art. 13 (retenção de registro de conexão).
- ANPD — gov.br/anpd (formulário de comunicação de incidente, orientações).
- CGI.br — Cartilha de Segurança para Internet.
- NIC.br — materiais de boas práticas em proteção de dados.
- ABNT NBR ISO/IEC 27001:2013 e 27002:2013 — sistema de gestão de segurança da informação.
- NIST SP 800-53 Rev. 5 (família CP — contingency planning) e SP 800-34 (contingency planning guide).
- Regulamento (UE) 2016/679 (GDPR) — Art. 32, comparação conceitual.
- Lei nº 12.414/2011 (Lei do Cadastro Positivo).
- Páginas relacionadas: Regra 3-2-1(-1-0), RTO, RPO, Autenticação e Bilhetagem.
Conteúdo informativo independente — não substitui consultoria jurídica especializada. Texto legal citado é fonte primária (norma pública), não sujeito a direito autoral de terceiro.