O art. 46 da LGPD obriga agentes de tratamento a adotar medidas de segurança técnicas e administrativas para proteger dados pessoais. Um pentest evidencia essas medidas: testa os controles na prática, mede a exposição real e produz o registro documental que comprova diligência perante a ANPD, titulares e auditores.
A LGPD não publica uma lista fechada de controles obrigatórios. Ela impõe um dever de resultado — proteger os dados — e deixa a escolha das medidas a cargo do agente de tratamento, ajustadas à natureza dos dados e ao estado atual da tecnologia. Essa abertura tem um efeito prático: não basta afirmar que os controles existem; é preciso demonstrar que eles funcionam. É aí que o teste de invasão deixa de ser boa prática e passa a ser evidência.
O que o art. 46 da LGPD exige na prática?
O art. 46 exige que controladores e operadores adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer tratamento inadequado. A palavra decisiva é "aptas": a medida precisa ser eficaz contra a ameaça, não apenas existir no papel.
O artigo tem dois parágrafos que ampliam esse dever:
- § 1º — a autoridade nacional poderá dispor sobre padrões técnicos mínimos, considerando a natureza das informações, as características do tratamento e o estado atual da tecnologia, especialmente para dados pessoais sensíveis. Ou seja, a régua não é estática; ela acompanha o que a tecnologia torna possível defender.
- § 2º — as medidas devem ser observadas desde a fase de concepção do produto ou serviço até a sua execução. É o princípio de security by design inscrito na lei: segurança não é uma camada aplicada no fim, é um requisito de projeto.
O art. 46 não vive sozinho. Ele materializa o princípio de segurança do art. 6º, X, se estende para além do fim do tratamento pelo art. 47 e se conecta às boas práticas e governança do art. 50. Lidos em conjunto, esses dispositivos descrevem um programa contínuo — e um programa contínuo precisa ser testado periodicamente para continuar "apto".
Por que um pentest é a evidência mais direta do art. 46?
Porque o pentest é a única atividade que verifica se um controle resiste a um adversário real, e não apenas se ele está configurado. Uma política de senha forte, um firewall e uma criptografia declarada em um inventário são afirmações; um pentest transforma cada afirmação em um teste com resultado observável — o controle bloqueou, degradou ou falhou.
A diferença importa juridicamente. O art. 46 fala em medidas "aptas a proteger". Aptidão é uma propriedade demonstrável, não presumida. Se um incidente ocorrer e a organização precisar sustentar que agiu com diligência, a pergunta do regulador não será "vocês tinham controles?", e sim "vocês verificaram que os controles funcionavam?". O relatório de um teste de invasão — com escopo, metodologia, achados, severidade e evidência reproduzível — é a resposta documental a essa pergunta.
Há ainda o vínculo com a dosimetria. O art. 52 da LGPD prevê que a existência de política de boas práticas, as medidas de mitigação e a diligência do agente são consideradas na aplicação de sanções. Um programa de testes recorrentes, com correções rastreáveis, é justamente o tipo de evidência que atenua a penalidade quando o incidente ocorre apesar do esforço razoável.
Quais medidas de segurança um pentest verifica?
Um pentest bem escopado toca as categorias de controle que o art. 46 exige, cada uma com um teste concreto. Os principais grupos verificados:
- Controle de acesso e autenticação. Força de credenciais, exposição de painéis administrativos, bypass de autorização, escalação horizontal e vertical de privilégios — o coração do "acesso não autorizado" que o artigo cita nominalmente.
- Proteção de dados em trânsito e em repouso. Uso efetivo de TLS, configuração de cifras, exposição de dados sensíveis em logs, respostas de API ou armazenamentos mal configurados.
- Segregação e minimização. Se um comprometimento em um sistema alcança dados que não deveria alcançar — o teste de movimento lateral revela a falha de segregação que amplia o escopo de um vazamento.
- Resiliência da aplicação. Injeções (SQL, comandos, template), falhas de lógica de negócio, upload inseguro e as demais classes do OWASP que levam a "alteração" e "destruição" de dados.
- Superfície de exposição. Serviços expostos indevidamente, componentes desatualizados e credenciais vazadas — o inventário real do que um atacante enxerga da internet.
- Capacidade de detecção. Se as ações do teste geram sinal observável nos logs e no monitoramento. A ausência de detecção é, por si só, uma medida de segurança inapta.
Cada achado é classificado por severidade e impacto ao negócio, com recomendação de correção. É esse conjunto — o que falhou, quão grave é e como corrigir — que compõe a evidência de diligência.
Que tipos de pentest cobrem cada superfície de dados pessoais?
Nenhum teste único cobre todas as superfícies onde dados pessoais transitam. A escolha do escopo depende de onde os dados vivem e por onde passam. As modalidades mais usadas para dar cobertura ao art. 46:
- Pentest de aplicações web e API — a superfície mais direta, onde o dado é coletado, processado e servido.
- Pentest de rede — a infraestrutura que hospeda e conecta os sistemas de tratamento.
- Pentest de cloud — configurações de identidade, storage e rede nos provedores onde os dados residem hoje.
- Pentest mobile — armazenamento local, comunicação e controles no dispositivo do titular.
- Red Team — o exercício que encadeia superfícies para medir o caminho real de um adversário até o dado, e a capacidade de detecção do ambiente.
Setores regulados somam camadas. Instituições financeiras e de pagamento respondem também às resoluções do BACEN e do CMN sobre segurança cibernética, incluindo a Resolução CMN 4.893, e a ambientes específicos como Open Finance e meios de pagamento. O escopo do art. 46, nesses casos, se sobrepõe ao escopo regulatório setorial — e um único programa de testes pode endereçar ambos.
O que a ANPD espera das medidas de segurança?
A ANPD espera medidas proporcionais ao risco, adotadas desde a concepção e mantidas ao longo do tempo — não um controle avulso, mas um processo. A autoridade tem sinalizado, em suas orientações e no seu poder de dispor sobre padrões técnicos mínimos (art. 46, § 1º), uma expectativa de que o agente conheça seus riscos, aja sobre eles e registre esse ciclo.
Na prática, isso se traduz em três expectativas que o pentest ajuda a satisfazer:
- Proporcionalidade ao risco. Dados sensíveis e tratamentos de larga escala exigem controles mais robustos. O pentest prioriza por risco real, alinhando o esforço à criticidade dos dados — exatamente a lógica que o § 1º descreve.
- Segurança desde a concepção. O § 2º pede controles observados desde o projeto. Testar antes do lançamento, e não apenas em produção, é a forma de demonstrar que a segurança foi um requisito de design.
- Ciclo contínuo e documentado. A aptidão de um controle expira à medida que a tecnologia avança e o sistema muda. Testes recorrentes, com retestes que confirmam a correção, produzem a trilha de evidência que sustenta a diligência ao longo do tempo.
Essa expectativa se encaixa no Relatório de Impacto à Proteção de Dados (RIPD) e no programa de governança do art. 50: o pentest alimenta o RIPD com risco medido e alimenta o programa de boas práticas com evidência de que os controles descritos realmente operam.
Como o pentest se compara a outras evidências do art. 46?
Diferentes atividades produzem diferentes tipos de evidência, e o art. 46 é mais bem atendido pela combinação delas. A tabela abaixo compara o que cada uma demonstra e onde fica a sua lacuna.
| Atividade | O que evidencia para o art. 46 | Limitação |
|---|---|---|
| Pentest | Que os controles resistem a um adversário real, com achados reproduzíveis por severidade | Fotografia de um momento; exige recorrência |
| Varredura de vulnerabilidades | Cobertura ampla de falhas conhecidas em toda a superfície | Não valida exploração nem impacto; gera falsos positivos |
| Gap analysis / adequação | Que o programa e as políticas cobrem os requisitos legais | Avalia o desenho do controle, não a sua eficácia real |
| Monitoramento contínuo | Que o ambiente é observável e que anomalias geram sinal | Detecta, mas não prova que a prevenção funciona |
A leitura correta não é escolher uma linha, e sim combiná-las: o gap analysis desenha o programa, o pentest prova a eficácia dos controles críticos, a varredura mantém a cobertura entre testes e o monitoramento sustenta a detecção. Juntas, cobrem a exigência de medidas "aptas" e o dever contínuo do art. 47.
Como a Berghem executa
A Berghem conecta o teste técnico à evidência regulatória. Cada engajamento entrega não só os achados, mas o registro que a área de privacidade precisa para sustentar a diligência exigida pelo art. 46.
O ponto de partida costuma ser o projeto de adequação à LGPD da Berghem, que mapeia onde os dados pessoais residem, desenha o programa de boas práticas do art. 50 e define o escopo de teste proporcional ao risco. Sobre esse mapa, executamos os pentests da superfície pertinente — web e API, rede, cloud ou Red Team — e devolvemos achados com severidade, impacto ao negócio e recomendação de correção, seguidos de reteste que confirma a remediação.
Quando a organização não tem um encarregado interno, o DPO terceirizado integra os resultados dos testes ao RIPD e à interlocução com a ANPD. E, para quem estrutura o programa sob uma norma auditável, a certificação ISO 27001 transforma o ciclo de teste e correção em um controle de gestão recorrente. O objetivo é sempre o mesmo: transformar "temos controles" em "provamos que os controles funcionam".
A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.
Perguntas frequentes
O art. 46 da LGPD exige pentest de forma obrigatória?
Não literalmente. O art. 46 exige medidas de segurança "aptas a proteger" os dados, sem listar o pentest nominalmente. Na prática, porém, o teste de invasão é a forma mais direta de demonstrar que os controles são realmente aptos — e essa demonstração é o que sustenta a diligência perante a ANPD.
Com que frequência devo executar o pentest para atender à LGPD?
A LGPD não fixa um intervalo. A prática de mercado é testar ao menos anualmente e a cada mudança relevante em sistemas que tratam dados pessoais. Como o art. 46, § 1º atrela a régua ao estado atual da tecnologia, a aptidão de um controle expira com o tempo — a recorrência é o que mantém a evidência válida.
Um relatório de pentest reduz a multa da LGPD em caso de incidente?
Indiretamente, sim. O art. 52 prevê que as medidas de mitigação, a diligência do agente e a política de boas práticas são consideradas na dosimetria da sanção. Um histórico de testes recorrentes com correções rastreáveis é evidência formal desse esforço, considerada como atenuante.
Para escopar um programa de testes que sustente a conformidade com o art. 46 da LGPD, fale com o time.