LGPD e ISO 27001 — Como se Complementam para Empresas Brasileiras

A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, entrou em vigor no Brasil em setembro de 2020 e as sanções administrativas passaram a ser aplicadas a partir de agosto de 2021. Desde então, a ANPD (Autoridade Nacional de Proteção de Dados) tem aumentado progressivamente a sua atividade de fiscalização, com processos administrativos públicos e multas aplicadas a empresas de vários setores. Para empresas brasileiras que processam dados pessoais, a conformidade LGPD deixou de ser opcional. Mas como implementar as medidas técnicas exigidas? A resposta mais estruturada passa pela ISO/IEC 27001:2022 — a norma internacional que define exactamente os controlos de segurança que a LGPD exige no seu artigo 46.

O que é a LGPD?

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é a legislação brasileira que regula o tratamento de dados pessoais por pessoas naturais ou jurídicas, de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e privacidade dos titulares de dados.

Os 10 princípios fundamentais do Art. 6 que regem o tratamento de dados pessoais são:

• Finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular.
• Adequação: compatibilidade do tratamento com as finalidades informadas ao titular.
• Necessidade: limitação do tratamento ao mínimo necessário para a realização das suas finalidades.
• Livre acesso: garantia de consulta facilitada e gratuita sobre a forma e duração do tratamento.
• Qualidade dos dados: exatidão, clareza, relevância e atualização dos dados.
• Transparência: informações claras, precisas e facilmente acessíveis sobre o tratamento.
• Segurança: utilização de medidas técnicas e administrativas para proteger os dados.
• Prevenção: adoção de medidas para prevenir a ocorrência de danos.
• Não discriminação: impossibilidade de realização do tratamento para fins discriminatórios.
• Responsabilização e prestação de contas: demonstração de adoção de medidas eficazes e capazes de comprovar a observância das normas.

O Art. 7 define as bases legais para o tratamento de dados pessoais: consentimento do titular, cumprimento de obrigação legal ou regulatória, execução de políticas públicas, realização de estudos por órgão de pesquisa, execução de contrato, exercício regular de direitos, proteção da vida ou incolumidade física, tutela da saúde, legítimo interesse e proteção do crédito.

Os direitos dos titulares (Arts. 17-22) incluem: confirmação da existência do tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação, portabilidade, informação sobre partilha de dados, revogação do consentimento e revisão de decisões automatizadas. A ANPD é a autoridade supervisora com poderes de fiscalização, investigação e sanção.

O que exige o Art. 46 da LGPD?

O Art. 46 da LGPD estabelece a obrigação central de segurança:

A ANPD publicou o Regulamento de Segurança e Sigilo dos Dados (Resolução CD/ANPD nº 2/2022), que operacionaliza os requisitos do Art. 46 e referencia explicitamente padrões técnicos internacionais como critério de cumprimento adequado. A ISO/IEC 27001 é amplamente reconhecida como a norma que implementa de forma mais completa e verificável as medidas técnicas exigidas pelo Art. 46.

As medidas de segurança exigidas abrangem três dimensões: técnicas (criptografia, controlo de acessos, monitorização, backup, gestão de vulnerabilidades), administrativas (políticas, procedimentos, formação, gestão de incidentes, contratos com fornecedores) e organizacionais (estrutura de governação, papéis e responsabilidades, avaliação de riscos periódica).

Mapeamento LGPD e ISO 27001

A tabela seguinte mostra o mapeamento detalhado entre os principais requisitos da LGPD e os controlos correspondentes da ISO/IEC 27001:2022:

ISO 27001 garante conformidade LGPD?

A resposta direta é: não totalmente, mas muito próximo. A ISO 27001 cobre de forma robusta as medidas técnicas e administrativas de segurança exigidas pelo Art. 46 — que é o núcleo central das obrigações de segurança da LGPD. No entanto, a LGPD tem requisitos adicionais que vão além do âmbito tradicional da ISO 27001:

• DPO/Encarregado: obrigatório para determinadas empresas, com funções específicas de atendimento de titulares e canal de comunicação com a ANPD.
• Base legal para tratamento: cada operação de tratamento precisa de uma base legal documentada do Art. 7 — requisito de governação jurídica, não apenas técnico.
• Direitos dos titulares: procedimentos específicos para responder a pedidos de acesso, correção, eliminação e portabilidade dentro dos prazos legais.
• RIPD (Relatório de Impacto): avaliação formal do impacto do tratamento nos direitos e liberdades dos titulares, com foco específico em dados pessoais.
• Aviso de privacidade: informação clara aos titulares sobre o tratamento dos seus dados.

A abordagem mais completa combina três camadas:

1. ISO/IEC 27001:2022 — segurança técnica e administrativa (Art. 46 e medidas de segurança)
2. ISO/IEC 27701:2019 — extensão para gestão de privacidade da informação, cobrindo especificamente o tratamento de dados pessoais (bases legais, direitos dos titulares, transferências internacionais)
3. Programa LGPD — governação, encarregado, aviso de privacidade, gestão de consentimentos e RIPD

Penalidades ANPD por incumprimento

As sanções administrativas previstas na LGPD (Art. 52) e aplicadas pela ANPD incluem:

• Advertência com indicação de prazo para adoção de medidas corretivas.
• Multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício fiscal, excluídos os tributos, limitada a R$ 50.000.000,00 por infração.
• Multa diária, observado o limite total acima.
• Publicização da infração após devidamente apurada e confirmada — dano reputacional significativo, especialmente em setores B2C.
• Bloqueio dos dados pessoais a que se refere a infração até a sua regularização.
• Eliminação dos dados pessoais a que se refere a infração.
• Suspensão parcial do funcionamento do banco de dados a que se refere a infração, por período máximo de 6 meses.
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Os setores com maior risco regulatório da ANPD incluem: healthcare (dados sensíveis de saúde), fintech (dados financeiros e scoring de crédito), e-commerce (grande volume de dados pessoais), RH e recrutamento (dados de candidatos e colaboradores) e marketing digital (tratamento baseado em consentimento e legítimo interesse).

Como certificar ISO 27001 e estar em conformidade com a LGPD

O processo recomendado para empresas brasileiras que pretendam obter certificação ISO 27001 e conformidade LGPD simultânea compreende 6 etapas:

1. Gap analysis integrado ISO 27001 e LGPD: avaliar o estado atual de segurança e proteção de dados face aos requisitos de ambas as frameworks, identificando lacunas prioritárias. Esta etapa inclui entrevistas com as áreas de TI, jurídico, RH e operações.
2. Nomeação do Encarregado (DPO): designar formalmente o Encarregado de Proteção de Dados, definindo as suas funções, responsabilidades e o canal de comunicação com a ANPD e os titulares. O Encarregado pode ser interno ou externo à organização.
3. Mapeamento de dados pessoais (Data Mapping): inventariar todas as operações de tratamento de dados pessoais — quais dados são tratados, para quê, com que base legal, por quanto tempo, com que fornecedores são partilhados. Esta é a base para o RIPD e para o registo de atividades de tratamento.
4. Implementação do SGSI: implementar o Sistema de Gestão de Segurança da Informação conforme ISO 27001, incluindo política de segurança da informação, metodologia de avaliação e tratamento de riscos, e implementação dos controlos do Annex A selecionados na Declaração de Aplicabilidade (SoA).
5. Implementação de controlos específicos LGPD: complementar o SGSI com os elementos específicos da LGPD: RIPD (para tratamentos de alto risco), procedimento de gestão de direitos dos titulares, aviso de privacidade, gestão de consentimentos e contratos de processamento de dados com fornecedores.
6. Auditoria interna e auditoria de certificação: realizar auditoria interna ao SGSI para verificar conformidade, implementar ações corretivas identificadas, e submeter o SGSI a auditoria de certificação ISO 27001 por organismo de certificação acreditado. A certificação é válida por 3 anos, com auditorias de vigilância anuais.

Conclusão

Para empresas brasileiras, a ISO 27001 é o caminho mais eficiente para implementar as medidas técnicas e administrativas exigidas pela LGPD. O SGSI documentado, a metodologia de avaliação de riscos e os 93 controlos do Annex A cobrem substancialmente o Art. 46 e os requisitos de segurança da LGPD. Complementada com a ISO 27701 para privacidade e um programa de governação LGPD (encarregado, avisos de privacidade, gestão de direitos dos titulares), fornece uma base sólida para conformidade regulatória e para a confiança dos clientes.

A BALTUM oferece certificação ISO 27001 e programas integrados de conformidade LGPD para empresas brasileiras — 100% remoto, em português, com auditores experientes e acreditados.