ACs e ARs da ICP-Brasil precisam de dupla conformidade com ITI e LGPD. Entenda como a lei afeta dados sensíveis (biometria) e evite sanções da ANPD.
Para qualquer Autoridade Certificadora (AC) ou Autoridade de Registro (AR) operando sob a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), a confidencialidade de dados sempre foi um pilar. No entanto, com a vigência da Lei Geral de Proteção de Dados (LGPD), o cenário de conformidade tornou-se exponencialmente mais complexo.
Não se trata mais apenas de seguir as normas do Instituto Nacional de Tecnologia da Informação (ITI). Agora, existe uma sobreposição regulatória direta com a Autoridade Nacional de Proteção de Dados (ANPD).
Ignorar essa convergência não é uma opção. É um risco financeiro e operacional que pode comprometer a integridade de toda a cadeia de confiança.
O Desafio Central: Dados Sensíveis na Emissão de Certificados
O núcleo da ICP-Brasil é a identidade. Para emitir um certificado digital, ACs e ARs coletam, processam e armazenam um volume significativo de dados críticos.
Estamos falando de:
- Informações pessoais e documentos de identificação.
- Registros biométricos (como impressões digitais e reconhecimento facial).
Sob a ótica da LGPD, muitos desses dados são classificados como dados sensíveis, exigindo o nível mais elevado de proteção e justificação para seu tratamento. Um manuseio inadequado não só viola as normas do ITI, mas expõe a entidade a sérias penalidades da LGPD.
Além do ITI: As Novas Responsabilidades Trazidas pela LGPD
A ICP-Brasil sempre exigiu controles de segurança robustos. A LGPD, no entanto, expande o escopo da responsabilidade legal para além da simples proteção contra acessos não autorizados.
Para estar em conformidade, ACs e ARs precisam obrigatoriamente:
- Justificar a Coleta: Ser capaz de comprovar o “porquê” de cada dado coletado, alinhado à finalidade da emissão do certificado.
- Garantir Transparência Total: O titular dos dados (o cliente final) deve saber exatamente o que está sendo feito com suas informações.
- Assegurar o Exercício de Direitos: Implementar processos claros para que os titulares possam solicitar correção, atualização ou até a exclusão de suas informações, quando aplicável.
O Risco Duplicado: Sanções do ITI e Multas da ANPD
Este é o ponto mais crítico para a gestão de risco de ACs e ARs. Uma falha de segurança ou um processo de tratamento de dados inadequado pode abrir duas frentes de penalização:
- Sanções do ITI: Resultantes de auditorias que identifiquem o descumprimento das normas técnicas e de segurança da ICP-Brasil.
- Multas da ANPD: Sanções pesadas (que podem chegar a 2% do faturamento) por violação direta da LGPD.
A LGPD reforçou a necessidade de “medidas técnicas e administrativas proporcionais ao risco”. Na prática, isso significa que os controles físicos e lógicos já exigidos pela ICP-Brasil são agora a linha de base. A falha em uma auditoria pode, portanto, gerar consequências em ambas as esferas regulatórias.
Documentação: A Diferença entre Conformidade e Penalidade
Na era pós-LGPD, “fazer o certo” não é suficiente. É preciso comprovar que foi feito o certo.
A documentação robusta tornou-se a principal evidência em auditorias regulatórias. Para ACs e ARs, é imprescindível manter registros detalhados de:
- Políticas de privacidade claras e atualizadas.
- Termos de consentimento específicos (quando o consentimento for a base legal).
- Registros detalhados de todas as operações de tratamento de dados (RoPA).
Em uma auditoria, são esses documentos que podem determinar a continuidade das operações da sua entidade.
Conclusão: De Obrigação Legal a Diferencial Competitivo
O alinhamento entre as exigências da ICP-Brasil e da LGPD é, sem dúvida, um desafio multidisciplinar que exige envolvimento jurídico, técnico e operacional.
Contudo, enxergar isso apenas como um custo ou obrigação é um erro estratégico.
A integração entre ICP-Brasil e LGPD fortalece o que há de mais valioso no seu negócio: a confiança do usuário final. Certificados digitais só têm valor real se os titulares tiverem a segurança absoluta de que seus dados mais sensíveis estão protegidos em todo o processo.
Assim, a conformidade plena deixa de ser um fardo legal e se transforma no seu maior diferencial competitivo.
Sua AC ou AR está preparada para o desafio LGPD + ICP-Brasil?
Navegar pela interseção complexa entre as normas do ITI e as exigências da ANPD exige expertise especializada.
A PKI Consulting apoia Autoridades Certificadoras (ACs) e Autoridades de Registro (ARs) na adequação completa de processos, garantindo segurança, conformidade e fortalecendo a confiança junto aos titulares de dados.
