Pentest y LGPD de Brasil: qué espera la ANPD de e-commerce y healthtech tras un incidente

El incidente ocurre. Y el regulador pregunta qué hacías antes

Tienda online, clínica digital, app de salud: quien opera con datos de clientes y pacientes en Brasil acabará enfrentando un incidente de seguridad. Cuando este se convierte en una notificación a la ANPD, la autoridad brasileña de protección de datos, la pregunta deja de ser "qué pasó" y pasa a ser "qué hacía la empresa para evitarlo". Ahí el pentest cambia de papel: de prueba técnica pasa a ser evidencia de diligencia.

Esta guía muestra cómo el pentest se conecta con los artículos 46, 48 y 52 de la LGPD (Ley General de Protección de Datos de Brasil), qué exige el reglamento de incidentes de la ANPD, qué cambia para e-commerce y healthtech, y qué llevar a la mesa de quien evalúa tu riesgo: aseguradoras, inversores y grandes clientes. Está pensada para empresas que operan en Brasil o tratan datos de personas en Brasil; cuando es útil, comparamos con el RGPD.

Este texto es informativo y no sustituye el asesoramiento jurídico. Confirma plazos e interpretaciones con tu área legal o tu DPO.

Qué pide la LGPD en seguridad (art. 46)

El art. 46 obliga a los agentes de tratamiento a adoptar medidas de seguridad, técnicas y administrativas, aptas para proteger los datos personales de accesos no autorizados y de situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado o ilícito. Dos párrafos completan la regla:

• § 1.º: la ANPD puede fijar estándares técnicos mínimos, considerando la naturaleza de la información, las características del tratamiento y el estado actual de la tecnología, especialmente para datos sensibles.
• § 2.º: las medidas deben observarse desde la concepción del producto o servicio hasta su ejecución. Es privacy by design en la práctica.

La ley no enumera controles ni usa la palabra "pentest". Habla de medidas aptas, es decir, adecuadas al riesgo, y "apta" es algo que hay que poder demostrar. Una política escrita prueba intención; una prueba demuestra que el control funciona. Un pentest con evidencia de explotación, corrección y reteste muestra que la empresa buscó como buscaría un atacante, encontró fallos reales y los cerró. El paralelo más cercano en el RGPD es el art. 32, que pide un proceso de verificación y evaluación regular de la eficacia de las medidas.

Pentest y escáner de vulnerabilidades: por qué la diferencia importa en la LGPD

Muchas empresas responden "hacemos escaneos automáticos" cuando se les pregunta por pruebas. El escáner es útil, barato y debe correr siempre. Pero tiene límites que pesan justo en las filtraciones de datos personales:

• No entiende la lógica de negocio. Un escáner no sabe que el cliente A no puede ver el pedido del cliente B. Ese tipo de fallo (BOLA/IDOR) es la causa más común de exposición de datos en APIs.
• No encadena hallazgos. Una enumeración de usuarios "media" sumada a una recuperación de contraseña débil se convierte en toma de cuenta. El escáner lista ambas por separado; el pentester las conecta.
• No mide el impacto sobre datos personales. Un informe útil para la LGPD dice qué campos se alcanzaron y cuántos titulares se verían afectados. Eso alimenta directamente la evaluación de riesgo del incidente.

Recomendación práctica: escaneo continuo para la higiene, pentest manual para probar que las medidas son aptas. Mira la comparación completa en Escáner, pentest o bug bounty.

E-commerce y healthtech: dónde se concentra el riesgo

E-commerce. Registro de clientes, historial de pedidos, direcciones, datos de pago (normalmente tokenizados por la pasarela), cupones y programas de fidelidad. Fallos típicos:

• BOLA/IDOR en APIs de pedidos, facturas y seguimiento (un cliente accede al pedido de otro).
• Recuperación de contraseña y login social mal implementados, que llevan a toma de cuenta.
• Panel de administración expuesto o con credenciales por defecto.
• Plugins y temas desactualizados en plataformas de tienda.
• Exportaciones de informes e integraciones con marketplaces sin control de acceso.

Healthtech. Historia clínica, resultados de exámenes, recetas, citas, datos del seguro. Son datos personales sensibles (art. 5, II), lo que eleva la exigencia de cuidado y, como veremos, la clasificación de riesgo de un incidente. Fallos típicos:

• Autorización por perfil mal implementada (paciente, médico, recepción, aseguradora).
• Enlaces de exámenes y teleconsultas sin caducidad o predecibles.
• APIs de integración con laboratorios y planes de salud sin autenticación adecuada.
• Archivos clínicos almacenados en buckets públicos.

En ambos casos la filtración suele empezar por un fallo de aplicación, no por una intrusión sofisticada a la infraestructura. Por eso el alcance de un pentest orientado a la LGPD debe priorizar aplicación web, API y app móvil. Para entender los tipos de prueba, mira qué es un pentest y cómo funciona y la guía de pentest de API.

Línea de tiempo de un incidente bajo la LGPD

El art. 48 obliga al controlador a comunicar a la ANPD y al titular la ocurrencia de un incidente de seguridad que pueda acarrear riesgo o daño relevante a los titulares. La Resolución CD/ANPD n.º 15/2024 detalla el procedimiento. En etapas:

1. Detección y contención. Alguien percibe el problema (monitoreo, aviso de un tercero, un investigador). La prioridad es contener: revocar credenciales, aislar sistemas, preservar logs y evidencias.
2. Evaluación. ¿Qué datos se vieron afectados? ¿Cuántos titulares? ¿Hubo acceso, copia, alteración o pérdida? ¿El incidente cumple alguno de los criterios de riesgo relevante (ver abajo)?
3. Comunicación a la ANPD y a los titulares. El reglamento fija un plazo de 3 días hábiles desde que el controlador tiene conocimiento de que el incidente afectó datos personales. Los titulares afectados también deben ser avisados, en lenguaje claro. (Comparación con el RGPD: 72 horas a la autoridad de control.)
4. Complementación. Si faltó información en la primera comunicación, la empresa puede completarla en hasta 20 días hábiles desde el registro.
5. Registro. Todo incidente, comunicado o no, debe registrarse y el registro conservarse al menos 5 años, según el reglamento.

El punto central: para cumplir 3 días hábiles, la empresa debe saber rápido qué se vio afectado. Eso depende de un inventario de datos, logs íntegros y un plan de respuesta ensayado. El informe de pentest ayuda porque ya mapeó activos, flujos de datos y puntos débiles antes del incidente.

Qué es "riesgo o daño relevante"

Según el art. 6 del reglamento, el incidente puede acarrear riesgo o daño relevante cuando, de forma acumulativa: (i) pueda afectar significativamente intereses y derechos fundamentales de los titulares, por ejemplo al impedir el ejercicio de derechos o el uso de un servicio, o al causar daño material o moral (discriminación, fraude financiero, robo de identidad, daño a la imagen); y (ii) involucre al menos uno de estos elementos: datos personales sensibles, datos de niños, adolescentes o personas mayores, datos financieros, datos de autenticación en sistemas, datos protegidos por secreto legal, judicial o profesional, o datos a gran escala.

Observa el encaje con ambos sectores: una filtración de historias clínicas cumple el criterio de dato sensible casi por definición; una filtración de usuarios y contraseñas de una tienda cumple el de datos de autenticación. Ante la duda, evalúa con tu área legal antes de decidir no comunicar, y registra la decisión.

Sanciones (art. 52) y por qué pesa la diligencia

El art. 52 prevé advertencia, multa simple de hasta el 2% de la facturación de la persona jurídica en Brasil en su último ejercicio (excluidos impuestos), limitada a 50 millones de reales por infracción, multa diaria, publicidad de la infracción, bloqueo y eliminación de los datos, entre otras sanciones.

Al aplicarlas, la ANPD sigue el reglamento de dosimetría (Resolución CD/ANPD n.º 4/2023). Clasifica la infracción (leve, media o grave) y prevé circunstancias agravantes y atenuantes. Entre las atenuantes figuran el cese de la infracción, la adopción de buenas prácticas y de gobernanza, medidas capaces de revertir o mitigar los efectos, y la cooperación o buena fe del infractor.

En términos prácticos: tras un incidente, tener un historial documentado de pruebas, correcciones y retestes juega a tu favor. No elimina la responsabilidad ni garantiza una reducción, pero demuestra que la empresa no ignoró el riesgo y actuó de forma estructurada. Quien llega a la fiscalización sin ninguna evidencia de pruebas parte de una posición más débil.

Cómo el pentest se convierte en evidencia de "medidas técnicas adecuadas"

Para que el informe sirva a tu expediente de cumplimiento, debe contener:

1. Alcance y metodología declarados (OWASP WSTG, OWASP API Security, PTES o NIST SP 800-115).
2. Evidencia de explotación: prueba de que el fallo era real, con el impacto descrito en términos de datos personales (qué campos, cuántos titulares).
3. Clasificación de riesgo coherente y plan de corrección con plazos y responsables.
4. Reteste: confirmación de que los fallos críticos y altos se cerraron. Mira qué contiene un buen informe en informe de pentest: qué debe incluir.
5. Fecha y periodicidad: prueba al menos anual y tras cambios relevantes (nueva versión, nueva integración, migración de nube).
6. Custodia del informe junto al registro de actividades de tratamiento y al plan de respuesta a incidentes.

Si ya pasas por ISO 27001 o SOC 2, la misma prueba atiende varios frentes. Mira pentest para ISO 27001, SOC 2, RGPD y ENS.

Seguro cibernético y due diligence

Aseguradoras, inversores y grandes clientes suelen pedir comprobación de controles antes de cerrar una póliza, una ronda o un contrato. El pentest reciente, con reteste, suele estar entre los documentos solicitados porque responde de forma objetiva a la pregunta "¿ustedes prueban su propia seguridad?". Los requisitos varían según la aseguradora y el contrato; confirma qué exige la tuya antes de planificar el alcance.

Un buen dossier para este fin reúne:

• el informe del pentest y la carta o sección de reteste;
• el plan de respuesta a incidentes, con el flujo de comunicación a la ANPD;
• el inventario de datos personales y el mapa de flujos;
• la política de gestión de vulnerabilidades y los plazos de corrección que de verdad se cumplen.

Cuánto cuesta y cuándo hacerlo

El valor depende del alcance (aplicación web, API, móvil, infraestructura), de la profundidad y de la complejidad de las reglas de acceso. En Cuánto cuesta un pentest en 2026 detallamos los rangos y qué los mueve. Como regla de calendario: hazlo antes de un lanzamiento grande, tras un cambio estructural (nueva integración de pagos, nuevo módulo de historia clínica) y al menos una vez al año. Para elegir proveedor, usa el checklist de 10 preguntas; para entender el ciclo de corrección, mira el reteste de pentest.

Preguntas frecuentes

¿El pentest es obligatorio según la LGPD?

La LGPD no menciona el pentest. Exige medidas de seguridad aptas para proteger los datos (art. 46). El pentest es una forma reconocida de demostrar que esas medidas funcionan, pero no la única. Los sectores regulados pueden tener exigencias propias además de la LGPD.

¿Cuál es el plazo para comunicar un incidente a la ANPD?

Según la Resolución CD/ANPD n.º 15/2024, 3 días hábiles desde que se conoce que el incidente afectó datos personales, con posibilidad de complementar la información en hasta 20 días hábiles.

¿Todo incidente debe comunicarse?

No. La comunicación es obligatoria cuando el incidente puede acarrear riesgo o daño relevante a los titulares, según los criterios del reglamento. Incluso los no comunicados deben registrarse y el registro conservarse al menos 5 años.

¿Cuál es la multa máxima de la LGPD?

Hasta el 2% de la facturación de la empresa en Brasil en su último ejercicio, limitada a 50 millones de reales por infracción, además de otras sanciones del art. 52 como multa diaria, publicidad de la infracción y bloqueo o eliminación de datos.

¿El pentest reduce la sanción tras un incidente?

La dosimetría de la ANPD considera atenuantes como buenas prácticas y gobernanza, mitigación de los efectos y cooperación. Un historial documentado de pruebas y correcciones contribuye a ese cuadro, pero cada caso se analiza individualmente y no hay garantía de reducción.

¿Los datos de salud exigen más cuidado?

Sí. Los datos de salud son datos personales sensibles (art. 5, II) y un incidente que los involucre tiende a cumplir el criterio de riesgo relevante del reglamento. Conviene priorizar el control de acceso por perfil y la protección de archivos clínicos en el alcance de la prueba.

¿Basta un escáner de vulnerabilidades para la LGPD?

Ayuda con la higiene, pero no prueba que las reglas de autorización y los flujos de datos resistan a un atacante. Para demostrar medidas aptas, combina escaneo continuo con pentest manual, reteste e informe documentado.

¿Con qué frecuencia debo hacer un pentest?

Al menos una vez al año y tras cambios significativos en el sistema. Las aplicaciones que tratan datos sensibles o financieros justifican ciclos más cortos.

Próximo paso

¿Quieres saber qué ve un atacante de tu tienda o de tu plataforma de salud, y recibir un informe que sirva de evidencia ante la ANPD, la aseguradora y los clientes? Pide un presupuesto de pentest e indica el tipo de datos que tratas. Para una primera visión en 30 segundos, usa la Radiografía de Seguridad Externa.