Em 2026 a ANPD entrou em fase madura de aplicação. Multas subiram, jurisprudência se consolidou. Analisamos 6 casos representativos e o que a análise técnica de cada um revelou.

Este artigo é técnico, não jurídico. Consulte seu advogado sobre implicações legais específicas.

Caso 1: Vazamento de 800k CPFs por bucket S3 público

Setor: varejo online

Vetor: bucket S3 com backup diário aberto ao público, indexado por Google. Descoberto por pesquisador via Shodan.

Defesa: "erro de configuração isolado, corrigido em 6h".

Multa: significativa. Fator agravante: ausência de auditoria de configurações de nuvem.

Aprendizado: varredura periódica de recursos públicos é esperada, não opcional.

Caso 2: Retenção excessiva de dados de ex-clientes

Setor: fintech

Vetor: dados de usuários que cancelaram há 4 anos ainda no banco. Vazamento incidental via API expôs.

Multa: significativa. Não pelo vazamento em si, mas pela retenção sem base legal.

Aprendizado: política de retenção documentada e AUTOMATIZADA. Se depende de humano, não vai acontecer.

Caso 3: LGPD para dados de funcionários

Setor: RH tech

Vetor: dados de candidatos rejeitados mantidos indefinidamente em base de treinamento de modelo de IA.

Multa: relevante. Ponto novo: LGPD se aplica a treinamento de modelo, não só a app.

Aprendizado: anonimizar antes de treinar. E "anonimizar" não é "remover nome" — precisa passar em teste de re-identificação.

Caso 4: Falta de plano de resposta a incidente

Setor: e-commerce médio

Vetor: vazamento por API rate limit ausente. Atacante enumerou 200k contas em 3h.

Multa: alta. Fator agravante: notificação à ANPD 12 dias depois (prazo é 3 dias úteis).

Aprendizado: plano de resposta a incidente com contato ANPD e template de notificação pronto.

Caso 5: Log com dados sensíveis vazado por acesso indevido

Setor: saúde tech

Vetor: log de aplicação com histórico médico em texto puro. Um funcionário desligado tinha acesso residual e exportou.

Multa: alta. Duplo agravante: PII em log + falta de rotação de acessos.

Aprendizado: log sanitiza automaticamente PII. Off-boarding revoga acessos em 24h.

Caso 6: Consentimento por checkbox pré-marcada

Setor: app de saúde

Vetor: ao criar conta, checkbox "aceito compartilhar dados com parceiros" vinha marcado por default. 400k usuários "consentiram" sem clicar.

Multa: média + injunção pra reverter. Ponto novo: consentimento pré-marcado é inválido.

Aprendizado: consentimento é opt-in ativo, granular, revogável de dentro do produto.

Padrões técnicos que reduzem risco

Comum aos 6 casos: ausência de camada preventiva automatizada. Todos foram detectados por externo ou por incidente. Todos eram detectáveis por varredura periódica.

Camadas mínimas em 2026:

1. Varredura de configurações de nuvem (S3, permissões IAM).
2. Rate limit em toda API pública.
3. Log sanitiza PII automaticamente.
4. Política de retenção como job diário no banco.
5. Off-boarding revoga acessos em 24h com prova.
6. Plano de resposta a incidente testado a cada 6 meses.

TL;DR

• 6 casos, 6 vetores diferentes, 1 padrão: falta de camada preventiva automatizada.
• ANPD espera "esforço razoável" comprovável.
• Documentar > improvisar.

A Varredura cobre vetores técnicos de 4 dos 6 casos acima. Rodar agora.