ANPD mira governança de API em incidentes de segurança com terceiros
A ANPD passa a cobrar prova de monitoramento, autenticação forte e controle de acesso nas integrações via API entre controladores e terceiros.
Nos processos sancionadores mais recentes envolvendo acesso indevido por Application Programming Interface (API), a Autoridade Nacional de Proteção de Dados (ANPD) deixou de perguntar apenas como o incidente ocorreu. A pergunta central passou a ser se o controlador exercia governança adequada sobre a integração com o terceiro antes do evento.
O caso do Sistema de Cadastro e Permissão de Acesso (SCPA), do Ministério da Saúde, ilustra a virada. A ANPD constatou que uma API sem autenticação permitia consulta pública de CPF e dados de saúde de milhões de brasileiros, e exigiu do órgão, em até 100 dias, os registros de acesso à API atingida e as medidas corretivas adotadas no ambiente de segurança.
No caso do Iamspe, a autarquia paulista foi advertida por permitir acesso de terceiro não autorizado a dados cadastrais de contribuintes por meio de uma API, sem conseguir reconstituir, pelos próprios logs, a extensão do acesso indevido. A ausência de trilha de auditoria, por si só, foi tratada como falha ao dever de segurança dos artigos 46 e 49 da LGPD.
Reguladores internacionais chegaram à mesma conclusão
O padrão de cobrança da ANPD tem equivalente direto na atuação de autoridades estrangeiras contra falhas de controle de acesso em ambientes que dependem de terceiros. A Information Commissioner's Office (ICO) do Reino Unido multou a Capita em 14 milhões de libras após um ataque de 2023 que expôs dados de 6,6 milhões de pessoas.
A decisão da ICO não girou em torno da sofisticação do ataque, mas da ausência de segmentação de contas administrativas e de gerenciamento de acesso privilegiado (PAM), falhas identificadas em testes de penetração anteriores e nunca corrigidas em toda a organização.
Semanas depois, a mesma autoridade aplicou multa de 1,2 milhão de libras à LastPass por não restringir adequadamente o acesso e o uso de sistemas que deveriam proteger credenciais de clientes corporativos. O regulador britânico foi explícito: empresas que oferecem esse tipo de serviço precisam garantir que o acesso ao próprio sistema seja limitado o suficiente para reduzir o risco de ataque.
O que passa a exigir revisão na governança
A construção que a ANPD vem fazendo desloca o tema do incidente isolado para a arquitetura de acesso que sustenta cada integração via API. Um relato sobre o caso do Iamspe apontou que a autoridade cobrou insuficiência de controles de autorização e ausência de mecanismos que reduzissem o impacto de uma credencial comprometida, nos termos do artigo 49 da LGPD.
A ANPD já publicou o Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte como patamar mínimo de referência, aplicável a organizações de qualquer porte, incluindo órgãos públicos. Notas técnicas recentes da autarquia reforçam que a insuficiência de salvaguardas técnicas configura, por si, afronta ao princípio da segurança quando há risco a direitos fundamentais dos titulares.
Na prática, times de privacidade, segurança da informação e gestão de terceiros precisam tratar o inventário de APIs ativas, a rotação de credenciais sistêmicas, a autenticação forte e o rate limiting como parte do programa de governança, e não como decisão isolada de TI. A ausência desses controles pode, sozinha, sustentar uma sanção, mesmo sem prova de exploração efetiva da vulnerabilidade.
Terceiros já respondem por 15% das violações no Brasil
O relatório Cost of a Data Breach 2025, da IBM em parceria com o Ponemon Institute, colocou o custo médio de uma violação de dados no Brasil em R$ 7,19 milhões, alta de 6,5% sobre 2024. Comprometimento por terceiros e cadeia de suprimentos respondeu por 15% dos casos analisados no país, com custo médio de R$ 8,98 milhões, superior à média geral.
Os números da própria ANPD confirmam a tendência de origem. Segundo mapa divulgado pela autarquia e reportado pela ConvergênciaDigital, o setor privado concentrou 55 dos 77 incidentes de segurança comunicados até o início de abril de 2025, com São Paulo e Distrito Federal como estados que mais notificaram ocorrências.
Para o comitê de auditoria e riscos, o dado relevante não é apenas o custo médio, mas o fato de que incidentes via terceiros e cadeia de suprimentos custam mais caro e levam mais tempo para ser detectados do que falhas internas, segundo a mesma pesquisa da IBM. Isso desloca o cálculo de exposição financeira para além do perímetro que a empresa controla diretamente.
Estrutura maior da ANPD deve elevar o ritmo de fiscalização
A ANPD deixou de ser autarquia comum e passou à condição de agência reguladora, com nova estrutura de superintendências para regulação e fiscalização, equiparando-se a órgãos como Aneel e Anatel. A mudança amplia a capacidade da autarquia de instruir processos sancionadores em paralelo, incluindo os que envolvem integrações via API.
Em paralelo, a ANPD ampliou o monitoramento de interfaces que intermedeiam o acesso a dados de terceiros para outros fins regulatórios, como a verificação de idade prevista no ECA Digital, iniciando o acompanhamento de lojas de aplicativos e sistemas operacionais quanto à disponibilização de sinais por interface segura.
A autoridade também abriu tomada de subsídios para estruturar sua atuação no regime de responsabilidade de plataformas digitais previsto no Marco Civil da Internet, o que deve ampliar ainda mais o escopo de integrações e compartilhamentos de dados sob escrutínio regulatório nos próximos ciclos de fiscalização.
Na data de 3 de julho de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
