LGPD e Continuidade: O Que a Lei Exige

Disponibilidade também é proteção de dados

Muita gente associa a LGPD apenas à confidencialidade, mas a lei fala em proteção contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração e difusão dos dados. Perder um banco por falta de backup é, por definição, um incidente de segurança da informação.

Ou seja, continuidade de negócio deixa de ser tema exclusivamente de TI e passa a integrar o programa de privacidade. Dados pessoais indisponíveis podem significar direitos de titulares não atendidos.

Tecnicamente, isso se traduz em tratar disponibilidade como parte das salvaguardas. Um programa de privacidade que ignora continuidade cobre metade do risco e deixa a empresa exposta justamente no cenário que mais dói: dados indisponíveis ou perdidos.

• Integridade, confidencialidade e disponibilidade como pilares
• Perda de dados por falha de backup como incidente relevante
• Direito do titular exige capacidade de recuperar informações
• Continuidade documentada sustenta a conformidade na prática

O que a LGPD 13.709/2018 exige na prática

A lei determina que o controlador adote medidas de segurança técnicas e administrativas para proteger os dados pessoais. Ela não prescreve ferramenta específica, mas exige postura compatível com o risco. Backups, cópias imutáveis e planos de recuperação são respostas técnicas coerentes com essa obrigação.

Além disso, incidentes que possam acarretar risco relevante aos titulares devem ser comunicados à autoridade e aos afetados em prazo razoável. Para saber o que vazar e quem foi atingido, é preciso ter log e trilha forense.

Outro aspecto é a retenção. Manter dados pessoais além do necessário também desrespeita princípios da lei, o que significa que a política de backup precisa observar prazos de descarte. Guardar tudo para sempre é tão problemático quanto não guardar nada.

O encarregado de dados deve participar das decisões de arquitetura de backup, sobretudo quando a cópia sai do país ou é armazenada em nuvem. Transferência internacional e contrato com operador precisam estar documentados.

Backup imutável como evidência de diligência

Empresas que mantêm cópias imutáveis, testadas e documentadas demonstram diligência. Em caso de incidente, conseguem provar que adotavam medidas adequadas de proteção, o que pesa na avaliação de responsabilidade.

Backup é, portanto, peça de defesa. Não apenas para restaurar a operação, mas para sustentar que a organização agiu de forma proporcional ao risco.

A escolha da janela de retenção também deve dialogar com a finalidade do tratamento. Dados que já não precisam ser mantidos não deveriam sobreviver em cópias antigas apenas porque o backup tem retenção longa.

• Cópia imutável isolada, resistente a ransomware
• Teste de restauração documentado e periódico
• Registro de RPO e RTO por sistema com dados pessoais
• Evidência técnica do programa de continuidade

Testar o plano, não só escrevê-lo

Um plano de continuidade no papel não resiste ao primeiro incidente real. A diferença está na execução: saber quem aciona o plano, em que ordem os sistemas são restaurados e como a operação continua enquanto a recuperação acontece.

Simulações periódicas expõem dependências esquecidas, como um sistema de autenticação que todos os outros precisam para subir. Aprender isso em um exercício é muito mais barato do que descobrir durante uma crise.

Registrar o resultado das simulações, com data, participantes e falhas encontradas, produz evidência concreta de diligência. Documentação de exercícios realizados é um dos itens que mais ajuda a demonstrar maturidade de governança perante clientes e parceiros.

• Simulação de recuperação com cenário de indisponibilidade
• Mapa de dependências entre sistemas críticos
• Papéis definidos: quem decide, quem executa, quem comunica
• Registro das lições aprendidas e ajuste do plano

Integrando continuidade e governança de dados

O programa de privacidade e o plano de continuidade devem falar a mesma língua. Inventário de dados pessoais, classificação de risco e estratégia de backup precisam estar alinhados, senão a empresa protege o que não importa e descuida do que importa.

A gestão jurídica do fundador da vWare, com formação em Direito Digital e LGPD, existe justamente para conectar a exigência regulatória à decisão técnica de arquitetura de backup e resposta.

• Inventário de dados pessoais alimentando a política de backup
• Classificação por sensibilidade e prazo de retenção
• Alinhamento entre encarregado de dados e TI
• Revisão conjunta após cada incidente ou simulação

A LGPD obriga a ter backup?

A lei não cita a palavra backup, mas exige medidas de segurança que preservem a disponibilidade e evitem perda de dados pessoais. Na prática, não ter backup confiável significa exposição a um incidente de segurança. Por isso, um programa de continuidade com backup imutável e testado é a resposta técnica coerente com a norma.

Quando um incidente precisa ser comunicado à ANPD?

A comunicação é exigida quando o incidente pode acarretar risco ou dano relevante aos titulares, envolvendo dados pessoais. Para saber o alcance real, é necessário ter logs e trilha forense. Sem essas evidências, a empresa não consegue dimensionar o vazamento nem cumprir o dever de informar com qualidade.

Perder dados em uma falha de hardware é incidente de LGPD?

Se os dados perdidos incluírem dados pessoais, sim. A LGPD cobre situações acidentais de destruição ou perda, não apenas ataques cibernéticos. Por isso a continuidade de negócio integra o programa de privacidade: a indisponibilidade de dados pessoais pode significar titulares impossibilitados de exercer seus direitos.

Backup imutável conta como evidência de diligência na LGPD?

Sim. Cópias imutáveis, testadas e documentadas demonstram que a organização adotou medidas técnicas e administrativas proporcionais ao risco, o que pesa na avaliação de responsabilidade em caso de incidente com dados pessoais.

Próximo passo: Quer alinhar continuidade de negócio e governança de dados às exigências da LGPD? Solicite à vWare um diagnóstico de conformidade. Diagnóstico de conformidade