Backup é onde a LGPD cobra a conta do seu cliente.

O que a LGPD realmente exige de backup

A Lei Geral de Proteção de Dados não tem um artigo chamado “backup”. Ela tem algo mais amplo — e mais exigente. O artigo 46 obriga o agente de tratamento a adotar medidas de segurança aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda e alteração.

Perda e destruição estão ali, no texto da lei, no mesmo nível de vazamento. Um ransomware que cifra a base de clientes não é só um problema de TI: é um incidente de segurança com dados pessoais. E o artigo 48 manda comunicar à ANPD e aos titulares.

A diferença entre uma comunicação de incidente e uma crise de reputação costuma ser uma só: se a restauração funcionou.

Checklist: backup em conformidade

Use isto na conversa com o seu cliente. São os pontos que um encarregado de dados, um auditor ou um advogado vão perguntar:

O que a LGPD pede	O que precisa existir na prática
Disponibilidade dos dados art. 46	Cópia íntegra, fora do ambiente de produção, com rotina automática e monitorada — não “quando alguém lembra”.
Proteção contra destruição acidental ou ilícita art. 46	Cópia imutável ou fora do alcance das credenciais de produção. Se o ransomware alcança o backup, não havia backup.
Capacidade de restaurar art. 46 e 48	Teste de restauração periódico, com evidência registrada: o que foi restaurado, quando e em quanto tempo.
Retenção com prazo definido art. 15 e 16	Política de retenção explícita. Guardar tudo para sempre também é descumprir a lei.
Eliminação a pedido do titular art. 18, VI	Saber onde o dado está, inclusive nas cópias, e ter procedimento para eliminá-lo ao fim do ciclo de retenção.
Registro das operações de tratamento art. 37	Log de execução de rotinas, sucesso, falha e acesso — relatório que possa ser apresentado.
Operador idôneo art. 39	Contrato com o prestador de backup, com cláusulas de segurança e sigilo. Um provedor sem contrato é um risco transferido para você.

Controlador e operador: quem responde pelo quê

Essa distinção evita muita dor de cabeça na hora de vender — e na hora de um incidente.

• Controlador é quem decide sobre o tratamento: normalmente o seu cliente, dono do negócio e dos dados.
• Operador é quem trata os dados em nome do controlador. Ao gerenciar o backup, você costuma estar nessa posição — e a iCOM, como infraestrutura, também.
• O artigo 42 prevê responsabilização do operador quando ele descumpre a lei ou as instruções do controlador. Ou seja: contrato claro e escopo definido não são burocracia, são proteção sua.

É por isso que trabalhamos com contrato formal e acordo de confidencialidade — e por isso não divulgamos nomes de clientes nem detalhes dos ambientes que protegemos.

O que a bringback entrega nesse ponto

Nada aqui é enfeite de conformidade. É o que sustenta a conversa quando o cliente pergunta “e se acontecer?”:

• Dados no Brasil. Infraestrutura geo-redundante em data centers Tier-III em território nacional — sem transferência internacional a explicar para o encarregado do seu cliente.
• Criptografia AES-256 em trânsito e em repouso.
• Retenção configurável por cliente, para você atender à política de cada empresa em vez de forçar todas no mesmo prazo.
• Relatórios de execução das rotinas — a evidência que o auditor pede.
• Teste de restauração assistido, com gente de verdade acompanhando, não um chamado na fila.
• Contrato e sigilo formalizados, definindo com clareza o papel de cada parte.

Perguntas que sempre aparecem

Backup em nuvem estrangeira descumpre a LGPD?

Não automaticamente. A lei permite transferência internacional, mas exige base legal e garantias específicas (artigos 33 a 36) — o que significa mais documentação e mais explicação a cada auditoria. Manter os dados no Brasil simplesmente elimina essa discussão.

Preciso apagar do backup quando o titular pede exclusão?

O dado deve ser eliminado ao fim do ciclo de retenção definido. O entendimento prático é que as cópias de segurança seguem a política de retenção documentada — e por isso ter essa política escrita é o que protege o seu cliente.

Backup local basta?

Para conformidade, dificilmente. Cópia que fica no mesmo ambiente da produção é atingida pelo mesmo incêndio, pelo mesmo furto e pelo mesmo ransomware. O princípio é separação — de local e de credencial.

Quem é o encarregado nessa história?

O encarregado (DPO) é indicado pelo controlador — o seu cliente. Você e a iCOM fornecem a ele as evidências: relatórios, política de retenção e registro dos testes de restauração.

Conteúdo informativo, atualizado em 21 de julho de 2026. Não constitui parecer jurídico — para adequação formal, consulte o encarregado de dados ou o jurídico da empresa. Sobre o tratamento de dados deste site, veja a Política de Privacidade.