Guia · LGPD
Pentest e LGPD: o que a lei exige em segurança
8 min de leitura · atualizado em 12 de julho de 2026
O que a LGPD diz sobre segurança
A Lei 13.709/2018 (LGPD) não menciona "pentest", "teste de intrusão" ou qualquer técnica específica. O que ela exige é um resultado: dados pessoais protegidos. O texto central é o art. 46:
A palavra-chave é aptas. Não basta ter uma medida qualquer — ela precisa ser adequada a proteger de fato. O §1º do art. 46 reforça isso ao permitir que a ANPD (Autoridade Nacional de Proteção de Dados) defina padrões técnicos mínimos, considerando "o estado atual da tecnologia". Ou seja: o nível esperado de segurança acompanha o que já é praxe no mercado.
A segurança não é um detalhe isolado da lei. Ela aparece como princípio no art. 6, VII ("utilização de medidas técnicas e administrativas aptas a proteger os dados"), e a boa governança é incentivada pelo art. 50, que trata de regras de boas práticas e programas de governança em privacidade.
Por que "conformidade documental" não basta
Muita empresa trata LGPD como um projeto de documentos: política de privacidade publicada, registro de operações preenchido, DPO nomeado. Tudo isso é necessário — mas nenhum desses papéis responde à pergunta que importa no art. 46: suas medidas técnicas realmente impedem um acesso não autorizado?
Você pode ter um firewall configurado e ainda assim vazar dados por um IDOR que expõe o cadastro de outro usuário, ou por uma injeção de SQL que despeja o banco inteiro. O documento diz que a medida existe; só o teste técnico diz se ela funciona. É exatamente essa lacuna entre "ter" e "funcionar" que o pentest fecha.
Onde o pentest entra na conformidade
O pentest não é citado pela LGPD, mas é um dos controles mais reconhecidos para demonstrar que o art. 46 foi cumprido. Ele entra em vários pontos do seu programa de privacidade:
- Evidência de due diligence. Se um incidente acontecer, ter registros de testes de segurança recorrentes mostra que você agiu com diligência — não foi negligente. Isso pesa na avaliação de responsabilidade.
- Resposta a incidente (art. 48). A LGPD obriga comunicar à ANPD e aos titulares os incidentes de segurança que possam gerar risco relevante. Um programa de testes ajuda a detectar e corrigir a falha antes que ela vire incidente comunicável.
- Contratos B2B. Cada vez mais clientes enterprise exigem comprovação de pentest em cláusulas de segurança e em questionários de fornecedor. Sem laudo ou relatório, você trava a venda.
- ISO 27001 / SOC 2. Essas certificações — que reforçam sua postura de conformidade — pedem testes de segurança periódicos de forma explícita, ao contrário da LGPD.
O que a ANPD espera
A ANPD não publicou uma lista fechada de controles obrigatórios. A lógica que ela aplica é de proporcionalidade ao risco: quanto mais sensíveis os dados e maior o volume, mais robustas precisam ser as medidas. Uma fintech que trata dados financeiros de milhões de pessoas é cobrada por um patamar muito acima de um blog com formulário de contato.
Na prática, isso significa que não existe um "passou no pentest" que encerra o assunto. O que a autoridade espera é que suas medidas sejam adequadas ao seu risco — e o pentest é a forma de você (e ela) verificar que estão.
Exigência da LGPD → como o pentest ajuda a demonstrar
| Exigência da LGPD | Como o pentest ajuda a demonstrar |
|---|---|
| Art. 46 — medidas técnicas aptas a proteger dados | Prova, com exploração real, que os controles resistem a acesso não autorizado — não só que existem |
| Art. 6, VII — princípio de segurança | Evidência recorrente de que a segurança é tratada como prática contínua, não pontual |
| Art. 48 — comunicação de incidentes | Detecta e corrige a falha antes que vire incidente comunicável; mostra diligência na resposta |
| Art. 50 — boas práticas e governança | Testes periódicos compõem um programa de governança maduro e documentado |
| Proporcionalidade ao risco (expectativa da ANPD) | Achados com severidade CVSS mostram onde o risco real está concentrado e priorizam a correção |
Manual ou automatizado para conformidade contínua
Para compliance, a diferença entre os dois formatos importa. O pentest manual gera um laudo assinado por escopo — o padrão que algumas normas e contratos exigem, mas é um evento pontual (tipicamente anual). O pentest automatizado gera evidência recorrente: você testa a cada release e acumula um histórico contínuo de que a segurança foi verificada, exatamente o que sustenta o argumento de diligência do art. 46. Veja o comparativo entre pentest manual e automatizado para escolher o mix certo.
O ideal para a maioria dos times é combinar: o automatizado como linha de base contínua e o manual em marcos onde a norma ou o cliente pede um laudo formal.
Os limites — seja honesto
Pentest não é um programa de privacidade completo, e vender isso como "conformidade LGPD garantida" é desonesto. A lei exige muito além de segurança técnica: base legal para cada tratamento, gestão de consentimento, atendimento aos direitos dos titulares, contratos com operadores, registro de operações, avaliação de impacto quando aplicável. O pentest cobre uma exigência — a do art. 46 — e a cobre bem. Ele é peça central da parte técnica, não o programa inteiro. Se você está prestes a lançar, comece pelo checklist de segurança web antes de lançar.
Como o Escudo Code gera essa evidência
O Escudo Code é o pentest automatizado que explora de verdade: executa exploits reais e só reporta o que confirmou, cada achado nascendo com severidade CVSS e passo a passo de remediação. É exatamente o tipo de evidência técnica recorrente que sustenta o art. 46 — e que você pode anexar a auditorias, questionários de fornecedor e ao seu registro de diligência. Rode a cada deploy e acumule o histórico contínuo de que suas medidas de segurança funcionam. Veja como testamos ou os planos. Lembre: teste apenas o que é seu.
Perguntas frequentes
A LGPD obriga pentest?+–
Não nominalmente. A LGPD não cita a palavra pentest em nenhum artigo. O art. 46 obriga adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais, e o pentest é a boa prática reconhecida para demonstrar que essas medidas funcionam — não uma exigência literal da lei.
Com que frequência devo fazer pentest para conformidade?+–
A LGPD não fixa uma frequência. A expectativa é de proporcionalidade ao risco. Na prática, o recomendado é testar de forma contínua — idealmente a cada deploy com um pentest automatizado — e complementar com um teste manual pontual quando um contrato ou norma exigir laudo assinado.
Pentest automatizado serve como evidência para a ANPD?+–
Sim, desde que gere evidência real: achados confirmados por exploração, com severidade CVSS e remediação, registrados com data. Isso demonstra diligência e verificação recorrente das medidas do art. 46. A ANPD avalia se as medidas são adequadas ao risco, e um histórico de testes ajuda a sustentar esse argumento.
Pentest resolve toda a conformidade com a LGPD?+–
Não. Pentest cobre a exigência de segurança técnica do art. 46, que é um pilar importante, mas a LGPD exige muito além: base legal, consentimento, direitos dos titulares, contratos com operadores e governança. O pentest é peça central da parte técnica, não o programa de privacidade completo.
Teste o seu site agora — a partir de R$50.
Só a URL. Pentest automatizado que ataca de verdade, ao vivo, com relatório do que corrigir.
Rodar o primeiro pentest