Testes de intrusão e LGPD para comércio eletrónico e saúde

O incidente acontece. E o regulador pergunta o que fazia antes

Loja online, clínica digital, aplicação de saúde: quem trata dados de clientes e de doentes no Brasil vai, mais cedo ou mais tarde, enfrentar um incidente de segurança. Quando este passa a ser uma notificação à ANPD, a autoridade brasileira de proteção de dados, a pergunta deixa de ser "o que aconteceu" e passa a ser "o que fazia a empresa para o evitar". É aqui que o teste de intrusão muda de papel: de exercício técnico passa a prova de diligência.

Este guia mostra como o teste de intrusão se liga aos artigos 46.º, 48.º e 52.º da LGPD (Lei Geral de Proteção de Dados do Brasil), o que exige o regulamento de incidentes da ANPD, o que muda para o comércio eletrónico e a healthtech, e o que levar para a mesa de quem avalia o seu risco: seguradoras, investidores e grandes clientes. Destina-se a empresas que operam no Brasil ou tratam dados de pessoas no Brasil; sempre que útil, comparamos com o RGPD.

Este texto é informativo e não substitui aconselhamento jurídico. Confirme prazos e interpretações com o seu departamento jurídico ou o seu encarregado de proteção de dados.

O que a LGPD exige em segurança (art. 46.º)

O art. 46.º obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Dois parágrafos completam a regra:

§ 1.º: a ANPD pode definir padrões técnicos mínimos, tendo em conta a natureza da informação, as características do tratamento e o estado atual da tecnologia, em especial para dados sensíveis.
§ 2.º: as medidas devem ser observadas desde a conceção do produto ou serviço até à sua execução. É a proteção de dados desde a conceção, na prática.

A lei não enumera controlos e não usa a palavra "pentest". Fala em medidas aptas, isto é, adequadas ao risco, e "apta" é algo que é preciso saber demonstrar. Uma política escrita prova intenção; um teste prova que o controlo funciona. Um teste de intrusão com prova de exploração, correção e reteste mostra que a empresa procurou como procuraria um atacante, encontrou falhas reais e fechou-as. O paralelo mais próximo no RGPD é o art. 32.º, que pede um processo para testar e avaliar regularmente a eficácia das medidas.

Teste de intrusão e scanner de vulnerabilidades: porque é que a diferença conta na LGPD

Muitas empresas respondem "fazemos análises automáticas" quando lhes perguntam por testes. O scanner é útil, barato e deve correr sempre. Mas tem limites que pesam precisamente nas fugas de dados pessoais:

Não compreende a lógica de negócio. Um scanner não sabe que o cliente A não pode ver a encomenda do cliente B. Este tipo de falha (BOLA/IDOR) é a causa mais comum de exposição de dados em APIs.
Não encadeia achados. Uma enumeração de utilizadores "média" somada a uma recuperação de palavra-passe fraca dá tomada de conta. O scanner lista as duas em separado; o pentester liga-as.
Não mede o impacto nos dados pessoais. Um relatório útil para a LGPD diz que campos foram alcançados e quantos titulares seriam afetados. Isso alimenta diretamente a avaliação de risco do incidente.

Recomendação prática: análise contínua para a higiene, teste manual para provar que as medidas são aptas. Veja a comparação completa em Scanner, pentest ou bug bounty.

Comércio eletrónico e healthtech: onde o risco se concentra

Comércio eletrónico. Fichas de clientes, histórico de encomendas, moradas, dados de pagamento (em regra tokenizados pelo gateway), cupões e programas de fidelização. Falhas típicas:

BOLA/IDOR em APIs de encomendas, faturas e rastreio (um cliente acede à encomenda de outro).
Recuperação de palavra-passe e início de sessão social mal implementados, que levam a tomada de conta.
Painel de administração exposto ou com credenciais por defeito.
Plugins e temas desatualizados em plataformas de loja.
Exportações de relatórios e integrações com marketplaces sem controlo de acesso.

Healthtech. Processo clínico, resultados de exames, receitas, marcações, dados de seguro. São dados pessoais sensíveis (art. 5.º, II), o que eleva o dever de cuidado e, como veremos, a classificação de risco de qualquer incidente. Falhas típicas:

Autorização por perfil mal implementada (doente, médico, receção, seguradora).
Ligações de exames e de teleconsulta sem expiração ou previsíveis.
APIs de integração com laboratórios e planos de saúde sem autenticação adequada.
Ficheiros clínicos guardados em buckets públicos.

Nos dois casos a fuga costuma começar numa falha de aplicação, e não numa intrusão sofisticada à infraestrutura. Por isso, o âmbito de um teste orientado para a LGPD deve priorizar aplicação web, API e aplicação móvel. Para perceber os tipos de teste, veja o que é um teste de intrusão e como funciona e o guia de testes de intrusão a APIs.

Cronologia de um incidente sob a LGPD

O art. 48.º obriga o controlador a comunicar à ANPD e ao titular a ocorrência de um incidente de segurança que possa acarretar risco ou dano relevante para os titulares. A Resolução CD/ANPD n.º 15/2024 detalha o procedimento. Por etapas:

Deteção e contenção. Alguém repara no problema (monitorização, aviso de terceiro, investigador). A prioridade é conter: revogar credenciais, isolar sistemas, preservar registos e provas.
Avaliação. Que dados foram afetados? Quantos titulares? Houve acesso, cópia, alteração ou perda? O incidente cumpre algum dos critérios de risco relevante (ver abaixo)?
Comunicação à ANPD e aos titulares. O regulamento fixa um prazo de 3 dias úteis a contar do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais. Os titulares afetados também devem ser informados, em linguagem clara. (Comparação com o RGPD: 72 horas para a autoridade de controlo.)
Complemento. Se faltarem informações na primeira comunicação, a empresa pode completá-las em até 20 dias úteis após o protocolo.
Registo. Todo o incidente, comunicado ou não, deve ser registado, e o registo conservado durante pelo menos 5 anos, segundo o regulamento.

O ponto central: para cumprir 3 dias úteis, a empresa tem de saber depressa o que foi afetado. Isso depende de um inventário de dados, de registos (logs) íntegros e de um plano de resposta ensaiado. O relatório de teste de intrusão ajuda porque já mapeou ativos, fluxos de dados e pontos fracos antes do incidente.

O que é "risco ou dano relevante"

Nos termos do art. 6.º do regulamento, o incidente pode acarretar risco ou dano relevante quando, cumulativamente: (i) possa afetar significativamente interesses e direitos fundamentais dos titulares, por exemplo impedindo o exercício de direitos ou a utilização de um serviço, ou causando dano material ou moral (discriminação, fraude financeira, roubo de identidade, dano à imagem); e (ii) envolva pelo menos um destes elementos: dados pessoais sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo legal, judicial ou profissional, ou dados em grande escala.

Repare no encaixe com os dois setores: a fuga de processos clínicos cumpre o critério de dado sensível quase por definição; a fuga de credenciais de início de sessão de uma loja cumpre o de dados de autenticação. Em caso de dúvida, avalie com o jurídico antes de decidir não comunicar, e registe a decisão.

Sanções (art. 52.º) e porque pesa a diligência

O art. 52.º prevê advertência, coima simples até 2% da faturação da pessoa coletiva no Brasil no último exercício (excluídos impostos), limitada a 50 milhões de reais por infração, coima diária, publicitação da infração, bloqueio e eliminação dos dados, entre outras sanções.

Na aplicação, a ANPD segue o regulamento de dosimetria (Resolução CD/ANPD n.º 4/2023). Classifica a infração (leve, média ou grave) e prevê circunstâncias agravantes e atenuantes. Entre as atenuantes contam-se a cessação da infração, a adoção de boas práticas e de governação, medidas capazes de reverter ou mitigar os efeitos, e a cooperação ou boa-fé do infrator.

Em termos práticos: após um incidente, ter um histórico documentado de testes, correções e retestes joga a seu favor. Não elimina a responsabilidade nem garante uma redução, mas mostra que a empresa não ignorou o risco e agiu de forma estruturada. Quem chega à fiscalização sem qualquer prova de testes parte de uma posição mais frágil.

Como o teste de intrusão se torna prova de "medidas técnicas adequadas"

Para o relatório servir ao seu dossiê de conformidade, tem de conter:

Âmbito e metodologia declarados (OWASP WSTG, OWASP API Security, PTES ou NIST SP 800-115).
Prova de exploração: evidência de que a falha era real, com o impacto descrito em termos de dados pessoais (que campos, quantos titulares).
Classificação de risco coerente e plano de correção com prazos e responsáveis.
Reteste: confirmação de que as falhas críticas e altas foram fechadas. Veja o que contém um bom relatório em relatório de teste de intrusão: o que deve ter.
Data e periodicidade: teste pelo menos anual e após alterações relevantes (nova versão, nova integração, migração de cloud).
Conservação do relatório junto do registo das atividades de tratamento e do plano de resposta a incidentes.

Seguro de cibersegurança e due diligence

Seguradoras, investidores e grandes clientes costumam pedir comprovação de controlos antes de fechar uma apólice, uma ronda de financiamento ou um contrato. O teste de intrusão recente, com reteste, costuma figurar entre os documentos pedidos, porque responde de forma objetiva à pergunta "testam a vossa própria segurança?". Os requisitos variam consoante a seguradora e o contrato; confirme o que a sua exige antes de planear o âmbito.

Um bom dossiê para este fim reúne:

o relatório do teste e a carta ou secção de reteste;
o plano de resposta a incidentes, com o fluxo de comunicação à ANPD;
o inventário de dados pessoais e o mapa de fluxos;
a política de gestão de vulnerabilidades e os prazos de correção efetivamente praticados;
provas de formação e de controlos de acesso.

Quanto custa e quando fazer

O valor depende do âmbito (aplicação web, API, móvel, infraestrutura), da profundidade e da complexidade das regras de acesso. Em Quanto custa um teste de intrusão em 2026 detalhamos os intervalos e o que os faz variar. Como regra de calendário: faça antes de um lançamento importante, após uma alteração estrutural (nova integração de pagamentos, novo módulo de processo clínico) e pelo menos uma vez por ano. Veja também o reteste.

Perguntas frequentes

O teste de intrusão é obrigatório pela LGPD?

A LGPD não menciona testes de intrusão. Exige medidas de segurança aptas a proteger os dados (art. 46.º). O teste de intrusão é uma forma reconhecida de demonstrar que essas medidas funcionam, mas não é a única. Setores regulados podem ter exigências próprias, para além da LGPD.

Qual é o prazo para comunicar um incidente à ANPD?

Segundo a Resolução CD/ANPD n.º 15/2024, 3 dias úteis a contar do conhecimento de que o incidente afetou dados pessoais, com possibilidade de complementar a informação em até 20 dias úteis.

Todos os incidentes têm de ser comunicados?

Não. A comunicação é obrigatória quando o incidente pode acarretar risco ou dano relevante para os titulares, de acordo com os critérios do regulamento. Mesmo os não comunicados têm de ser registados, e o registo conservado durante pelo menos 5 anos.

Qual é a coima máxima da LGPD?

Até 2% da faturação da empresa no Brasil no último exercício, limitada a 50 milhões de reais por infração, além de outras sanções do art. 52.º, como coima diária, publicitação e bloqueio ou eliminação dos dados.

O teste de intrusão reduz a sanção após um incidente?

A dosimetria da ANPD considera atenuantes como boas práticas e governação, mitigação dos efeitos e cooperação. Um histórico documentado de testes e correções contribui para esse quadro, mas cada caso é analisado individualmente e não há garantia de redução.

Os dados de saúde exigem mais cuidado?

Sim. Os dados de saúde são dados pessoais sensíveis (art. 5.º, II) e um incidente que os envolva tende a cumprir o critério de risco relevante do regulamento. Convém priorizar o controlo de acesso por perfil e a proteção de ficheiros clínicos no âmbito do teste.

Basta um scanner de vulnerabilidades para a LGPD?

Ajuda na higiene, mas não prova que as regras de autorização e os fluxos de dados resistem a um atacante. Para demonstrar medidas aptas, combine análise contínua com teste manual, reteste e relatório documentado.

Com que frequência devo fazer um teste de intrusão?

Pelo menos uma vez por ano e após alterações significativas no sistema. As aplicações que tratam dados sensíveis ou financeiros justificam ciclos mais curtos.

Próximo passo

Quer saber o que um atacante vê da sua loja ou da sua plataforma de saúde, e receber um relatório que sirva de prova perante a ANPD, a seguradora e os clientes? Peça um orçamento de teste de intrusão e indique o tipo de dados que trata. Para uma primeira visão em 30 segundos, use o Raio-X de Segurança Externa.