Pentest e LGPD para e-commerce e healthtech

O incidente acontece. A ANPD pergunta o que você fazia antes

Loja virtual, clínica digital, app de saúde: quem opera com dados de clientes e pacientes vai, cedo ou tarde, lidar com um incidente de segurança. Quando ele vira comunicação à ANPD, a pergunta deixa de ser "o que aconteceu" e passa a ser "o que a empresa já fazia para evitar". É aí que o pentest muda de papel: de teste técnico, vira evidência de diligência.

Este guia mostra como o pentest se conecta ao art. 46, ao art. 48 e ao art. 52 da LGPD, o que o regulamento de incidentes da ANPD exige, o que muda para e-commerce e healthtech, e o que levar para a mesa de quem avalia seu risco, como seguradoras, investidores e grandes clientes.

Este texto é informativo e não substitui aconselhamento jurídico. Confirme prazos e interpretações com seu jurídico ou DPO.

O que a LGPD pede em segurança (art. 46)

O art. 46 determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Dois parágrafos completam a regra:

§ 1º: a ANPD pode definir padrões técnicos mínimos, considerando a natureza da informação, as características do tratamento e o estado atual da tecnologia, especialmente para dados sensíveis.
§ 2º: as medidas devem ser observadas desde a concepção do produto ou serviço até a sua execução. É o privacy by design na prática.

A lei não lista controles e não cita a palavra "pentest". Ela fala em medidas aptas, ou seja, adequadas ao risco. E "apta" é algo que você precisa demonstrar. Política escrita prova intenção; teste prova que o controle funciona. Um pentest com evidência de exploração, correção e reteste mostra que a empresa procurou como um atacante procuraria, encontrou falhas reais e as fechou.

Pentest e scanner de vulnerabilidades: por que a diferença importa na LGPD

Muitas empresas respondem "fazemos varredura automática" quando perguntadas sobre testes. O scanner é útil, barato e deve rodar sempre. Mas ele tem limites que pesam justamente nos casos de vazamento de dados pessoais:

Não entende regra de negócio. Um scanner não sabe que o cliente A não pode ver o pedido do cliente B. Esse tipo de falha (BOLA/IDOR) é a causa mais comum de exposição de dados em APIs.
Não encadeia falhas. Um achado "médio" de enumeração de usuários somado a uma recuperação de senha fraca vira tomada de conta. O scanner lista os dois separados; o pentester os conecta.
Não mede impacto em dados pessoais. Um relatório útil para LGPD diz quais campos foram alcançados e quantos titulares seriam afetados. Isso alimenta diretamente a avaliação de risco do incidente.

A recomendação prática: scanner contínuo para higiene, pentest manual para provar que as medidas são aptas. Veja a comparação completa em Scanner, pentest ou bug bounty.

E-commerce e healthtech: onde o risco se concentra

E-commerce. Cadastro de clientes, histórico de pedidos, endereços, dados de pagamento (em geral tokenizados pelo gateway), cupons e programas de fidelidade. Falhas típicas:

BOLA/IDOR em APIs de pedido, nota fiscal e rastreio (um cliente acessa o pedido de outro).
Recuperação de senha e login social mal implementados, levando a tomada de conta.
Painel administrativo exposto ou com credenciais padrão.
Plugins e temas desatualizados em plataformas de loja.
Exportações de relatórios e integrações com marketplaces sem controle de acesso.

Healthtech. Prontuário, exames, receitas, agendamentos, dados de convênio. São dados pessoais sensíveis (art. 5º, II), o que eleva a exigência de cuidado e, como veremos, o enquadramento de risco em caso de incidente. Falhas típicas:

Autorização por perfil mal implementada (paciente, médico, recepção, convênio).
Links de exame e de teleconsulta sem expiração ou previsíveis.
APIs de integração com laboratórios e planos de saúde sem autenticação adequada.
Armazenamento de arquivos clínicos em buckets públicos.

Nos dois casos o vazamento costuma começar numa falha de aplicação, e não numa invasão sofisticada de infraestrutura. Por isso o escopo de um pentest para LGPD deve priorizar aplicação web, API e aplicativo mobile. Para entender os tipos de teste, veja o que é pentest e como funciona e o guia de pentest de API.

Linha do tempo de um incidente sob a LGPD

O art. 48 obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024 detalha o procedimento. Em etapas:

Detecção e contenção. Alguém percebe o problema (monitoramento, aviso de terceiro, pesquisador). A prioridade é conter: revogar credenciais, isolar sistemas, preservar logs e evidências.
Avaliação. Quais dados foram afetados? Quantos titulares? Houve acesso, cópia, alteração ou perda? O incidente envolve algum dos critérios de risco relevante (veja abaixo)?
Comunicação à ANPD e aos titulares. O regulamento fixa o prazo de 3 dias úteis, contados a partir do momento em que o controlador toma ciência de que o incidente afetou dados pessoais. Os titulares afetados também devem ser avisados, em linguagem clara.
Complementação. Se faltarem informações na primeira comunicação, a empresa pode complementá-las em até 20 dias úteis, contados do protocolo.
Registro. Todo incidente, comunicado ou não, deve ser registrado, e o registro mantido por pelo menos 5 anos, segundo o regulamento.

O ponto central: para cumprir 3 dias úteis a empresa precisa saber rápido o que foi afetado. Isso depende de inventário de dados, logs íntegros e um plano de resposta ensaiado. O relatório de pentest ajuda porque já mapeou ativos, fluxos de dados e pontos fracos antes do incidente.

O que é "risco ou dano relevante"

Segundo o art. 6º do regulamento, o incidente pode acarretar risco ou dano relevante quando, cumulativamente: (i) afetar significativamente interesses e direitos fundamentais dos titulares, por exemplo ao impedir o exercício de direitos ou o uso de um serviço, ou ao causar dano material ou moral (discriminação, fraude financeira, roubo de identidade, dano à imagem); e (ii) envolver ao menos um destes elementos: dados pessoais sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo legal, judicial ou profissional, ou dados em larga escala.

Repare no encaixe com os dois setores: um vazamento de prontuários cumpre o critério de dado sensível quase por definição; um vazamento de logins e senhas de uma loja cumpre o de dado de autenticação. Na dúvida, avalie com seu jurídico antes de decidir não comunicar, e registre a decisão.

Sanções (art. 52) e por que a diligência pesa

O art. 52 prevê advertência, multa simples de até 2% do faturamento da pessoa jurídica no último exercício (excluídos tributos), limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, entre outras sanções.

Na aplicação, a ANPD segue o regulamento de dosimetria (Resolução CD/ANPD nº 4/2023). Ele classifica a infração (leve, média ou grave) e prevê circunstâncias agravantes e atenuantes. Entre as atenuantes aparecem a cessação da infração, a adoção de boas práticas e de governança, medidas capazes de reverter ou mitigar os efeitos, e a cooperação ou boa-fé do infrator.

Em termos práticos: depois de um incidente, ter um histórico documentado de testes, correções e retestes funciona a seu favor. Não elimina a responsabilidade, nem garante redução, mas mostra que a empresa não ignorou o risco e agiu de forma estruturada. Quem chega à fiscalização sem nenhuma evidência de teste parte de uma posição mais frágil.

Como o pentest vira evidência de "medidas técnicas adequadas"

Para o relatório servir ao seu dossiê de conformidade, ele precisa ter:

Escopo e metodologia declarados (OWASP WSTG, OWASP API Security, PTES ou NIST SP 800-115).
Evidência de exploração: prova de que a falha era real, com impacto descrito em termos de dados pessoais (quais campos, quantos titulares).
Classificação de risco coerente e plano de correção com prazos e responsáveis.
Reteste: confirmação de que as falhas críticas e altas foram fechadas. Veja o que um bom relatório contém em relatório de pentest: o que deve ter.
Data e periodicidade: teste ao menos anual e após mudanças relevantes (nova versão, nova integração, migração de nuvem).
Guarda do relatório junto ao registro das operações de tratamento e ao plano de resposta a incidentes.

Se você já passa por ISO 27001 ou SOC 2, o mesmo teste atende várias frentes. Veja pentest para ISO 27001, SOC 2 e LGPD.

Seguro cibernético e due diligence

Seguradoras, investidores e grandes clientes costumam pedir comprovação de controles antes de fechar apólice, rodada ou contrato. O pentest recente, com reteste, costuma estar entre os documentos solicitados porque responde de forma objetiva à pergunta "vocês testam a própria segurança?". Os requisitos variam por seguradora e por contrato; confirme o que a sua exige antes de planejar o escopo.

Um bom dossiê para esse fim reúne:

o relatório do pentest e a carta ou seção de reteste;
o plano de resposta a incidentes, com o fluxo de comunicação à ANPD;
o inventário de dados pessoais e o mapa de fluxos;
a política de gestão de vulnerabilidades e os prazos de correção praticados;
evidências de treinamento e de controles de acesso.

Em questionários de segurança de clientes enterprise o raciocínio é o mesmo. Veja como responder "vocês têm pentest recente?".

Quanto custa e quando fazer

O valor depende do escopo (aplicação web, API, mobile, infraestrutura), da profundidade e da complexidade das regras de acesso. Em Quanto custa um pentest em 2026 detalhamos as faixas e o que as move. Como regra de calendário: faça antes de um lançamento grande, após uma mudança estrutural (nova integração de pagamento, novo módulo de prontuário) e ao menos uma vez por ano. Para escolher o fornecedor, use o checklist de 10 perguntas; para entender o ciclo de correção, veja reteste de pentest.

Perguntas frequentes

O pentest é obrigatório pela LGPD?

A LGPD não cita pentest. Ela exige medidas de segurança aptas a proteger os dados (art. 46). O pentest é uma forma reconhecida de demonstrar que essas medidas funcionam, mas não é a única. Setores regulados podem ter exigências próprias além da LGPD.

Qual o prazo para comunicar um incidente à ANPD?

Segundo a Resolução CD/ANPD nº 15/2024, 3 dias úteis a partir da ciência de que o incidente afetou dados pessoais, com possibilidade de complementar as informações em até 20 dias úteis.

Todo incidente precisa ser comunicado?

Não. A comunicação é obrigatória quando o incidente pode acarretar risco ou dano relevante aos titulares, conforme os critérios do regulamento. Mesmo os não comunicados precisam ser registrados, e o registro guardado por pelo menos 5 anos.

Qual a multa máxima da LGPD?

Até 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração, além de outras sanções do art. 52, como multa diária, publicização e bloqueio ou eliminação dos dados.

O pentest reduz a sanção após um incidente?

A dosimetria da ANPD considera atenuantes como boas práticas e governança, mitigação dos efeitos e cooperação. Um histórico documentado de testes e correções contribui para esse quadro, mas cada caso é analisado individualmente e não há garantia de redução.

Dados de saúde exigem mais cuidado?

Sim. Dados de saúde são dados pessoais sensíveis (art. 5º, II) e um incidente envolvendo-os tende a atender o critério de risco relevante do regulamento. Vale priorizar controle de acesso por perfil e proteção de arquivos clínicos no escopo do teste.

Um scanner de vulnerabilidades basta para a LGPD?

Ajuda na higiene, mas não prova que as regras de autorização e os fluxos de dados resistem a um atacante. Para demonstrar medidas aptas, combine varredura contínua com pentest manual, reteste e relatório documentado.

Com que frequência devo fazer pentest?

Ao menos uma vez por ano e após mudanças significativas no sistema. Aplicações que tratam dados sensíveis ou financeiros justificam ciclos mais curtos.

Próximo passo

Quer saber o que um atacante enxerga da sua loja ou da sua plataforma de saúde, e receber um relatório que serve de evidência para ANPD, seguradora e clientes? Peça um orçamento de pentest e informe o tipo de dado que você trata. Para uma primeira visão em 30 segundos, use o Raio-X de Segurança Externa.