LGPD e compliance · 2 min de leitura
LGPD e antivírus corporativo: o que a lei exige de segurança
A LGPD não cita ferramentas, mas exige medidas técnicas e comunicação de incidentes em 3 dias úteis. Veja o que isso significa na prática.
Equipe Codlinx · Publicado em · Atualizado em
Resposta rápida
A LGPD não obriga uma marca ou ferramenta específica, mas o art. 46 exige medidas técnicas aptas a proteger dados pessoais, e a Resolução CD/ANPD nº 15/2024 exige comunicar incidentes relevantes em 3 dias úteis, informando causa principal, dados afetados e medidas adotadas. O guia da ANPD para pequenos agentes sugere expressamente o uso de antivírus. Um antivírus corporativo gerenciado, com EDR quando há dados sensíveis, é a forma prática de cumprir e comprovar.
"A LGPD obriga a ter antivírus?" A resposta curta é: a lei não cita ferramentas, mas exige resultados que, na prática, não se alcançam sem proteção de endpoints gerenciada.
O que a LGPD diz
O art. 46 determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. O art. 48 obriga a comunicar à ANPD e aos titulares incidentes que possam causar risco ou dano relevante. O art. 52 prevê sanções que incluem multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
O que a ANPD detalhou em 2024
A Resolução CD/ANPD nº 15/2024 regulamentou a comunicação de incidentes:
- Prazo: 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais (art. 6º).
- Conteúdo: natureza dos dados, número de titulares, medidas técnicas adotadas antes e depois, data da ocorrência e descrição do incidente com a causa principal (art. 6º, §2º).
- Registro: todo incidente, mesmo os não comunicados, deve ser registrado e guardado por no mínimo 5 anos (art. 10).
Onde entra o antivírus corporativo
O guia de segurança da ANPD para agentes de pequeno porte sugere expressamente a adoção de antivírus, em especial em computadores e laptops. Mas, para responder às perguntas que a comunicação exige, é preciso mais que um antivírus instalado em cada máquina:
| O que a norma pede | O que a ferramenta precisa entregar |
|---|---|
| Medidas técnicas aptas | Proteção gerenciada em todas as estações e servidores |
| Medidas adotadas antes do incidente | Relatórios do console mostrando cobertura e políticas |
| Causa principal e data | Linha do tempo do incidente (EDR) |
| Registro por 5 anos | Histórico exportável de alertas e incidentes |
O que fazer na prática
- Garanta proteção gerenciada centralmente em todas as máquinas.
- Se a empresa trata dados sensíveis, financeiros ou sob sigilo profissional, considere EDR.
- Defina um responsável e um roteiro para comunicar incidentes em 3 dias úteis.
- Guarde os registros pelo prazo exigido.
Nenhuma ferramenta garante conformidade sozinha: ela depende também de processos e governança. Mas sem controles técnicos e evidências, a empresa não consegue demonstrar diligência.