LGPD no site da empresa: o básico que não pode faltar

Este texto é um guia geral, escrito por uma empresa de tecnologia, e não substitui a orientação de um advogado. Os detalhes do seu caso, especialmente o enquadramento legal de cada tratamento de dados, devem ser validados por um profissional de direito digital.

Quando se fala em LGPD e site, a primeira imagem costuma ser um aviso de cookies. É uma parte do assunto, e não a maior. O que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) pede se aplica a qualquer coisa que o seu site faça com informação de pessoas, e a maioria dos sites faz mais do que o dono imagina.

O jeito mais produtivo de se preparar é um exercício de uma ou duas horas: listar tudo o que o site recebe, para onde vai e por quê. As seções abaixo seguem essa ordem.

O que conta como dado pessoal

A lei define dado pessoal como informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). Nome, e-mail e telefone são os óbvios. Mas um identificador de dispositivo, um endereço de IP associado a uma navegação e o histórico de páginas visitadas também podem se enquadrar, quando permitem identificar ou distinguir a pessoa. Na dúvida, trate como dado pessoal.

Mapa: o que o seu site pode estar coletando

Faça uma lista com as linhas abaixo e marque quais se aplicam ao seu site:

Fluxo	O que é coletado	Cuidado principal
Formulário de contato ou orçamento	Nome, e-mail, telefone, a mensagem	Pedir só o necessário e dizer para que será usado
Newsletter ou lista de e-mails	E-mail, às vezes nome	Consentimento claro, finalidade definida e facilidade para sair da lista
Análise de acessos (Google Analytics e similares)	Identificadores, páginas visitadas, origem e dispositivo	Informar na política e na tela de cookies; ver abaixo
Anúncios e pixels de acompanhamento	Identificadores para segmentação	Em regra, pede consentimento
Botão de WhatsApp	O clique, e depois a conversa	A conversa gera dados pessoais; ver o artigo sobre WhatsApp
Mapas e vídeos incorporados	O navegador do visitante se conecta ao serviço de terceiro	Informar; considerar só carregar após o clique
Área de cliente, comentários, loja	Cadastro, histórico, pedidos, pagamentos	Segurança reforçada; guardar só o necessário
Registros (logs) do servidor	IP, data, página acessada	Definir por quanto tempo ficam guardados

Para cada linha, responda: por que coletamos? Quem acessa? Por quanto tempo guardamos? Com quem compartilhamos (a ferramenta de e-mail, o serviço de análise, a hospedagem)?

Os três princípios que mais pesam em um site

Entre os princípios do art. 6º da lei, três orientam a maior parte das decisões:

• Finalidade: os dados devem servir a propósitos legítimos, específicos e informados à pessoa. "Pedir orçamento" é uma finalidade; "formar uma lista de marketing" é outra, e precisa de avisos e, em geral, de consentimento próprios;
• Adequação: o uso precisa ser compatível com a finalidade informada. Quem deixou o e-mail para receber um orçamento não esperava entrar numa lista de promoções;
• Necessidade: limitar-se ao mínimo necessário. Se você não vai usar a data de nascimento ou o CPF, não peça. Cada campo extra é mais risco para você e mais atrito para o visitante.

Com que fundamento você trata os dados

A LGPD exige que todo tratamento tenha uma base legal (art. 7º), e há dez. Para um site de pequena empresa, as que mais aparecem são:

• Consentimento: a pessoa concorda, de forma livre e para uma finalidade determinada, e pode retirar o consentimento facilmente;
• Execução de contrato ou procedimentos preliminares a pedido da pessoa: quem preenche um formulário pedindo um orçamento quer que você responda. O uso do dado para responder a esse pedido costuma se apoiar nessa base;
• Legítimo interesse: do controlador ou de terceiro, desde que não prevaleçam os direitos e liberdades da pessoa. Exige uma avaliação cuidadosa e transparência;
• Obrigação legal: para dados que você é obrigado a guardar (notas fiscais, por exemplo).

Isso quer dizer que nem todo dado precisa de uma caixinha de consentimento, e que consentimento mal usado (genérico, pré-marcado, embutido nos termos) não vale. Responder ao orçamento pedido e enviar propaganda a quem apenas pediu o orçamento são usos diferentes, e é o segundo que costuma exigir o consentimento.

Política de privacidade: o que ela precisa dizer

A lei dá à pessoa o direito a informações sobre o tratamento, disponibilizadas de forma clara, adequada e ostensiva (art. 9º). Na prática, uma página acessível pelo rodapé do site, em linguagem simples, que diga:

• quais dados você coleta e para quê;
• com base em quê (consentimento, pedido do próprio visitante, legítimo interesse...);
• por quanto tempo os guarda;
• com quem os compartilha (ferramenta de e-mail, de análise, hospedagem);
• quais são os direitos da pessoa e como exercê-los;
• quem é o contato para tratar desse assunto.

Copiar uma política de outro site é um erro comum: a sua precisa descrever o que o seu site realmente faz.

Cookies e ferramentas de medição

A ANPD, a autoridade responsável, publicou em 2022 o Guia Orientativo sobre Cookies e Proteção de Dados Pessoais, que é uma orientação, e não uma norma, mas serve de referência. Algumas ideias dele:

• Cookies estritamente necessários (os essenciais para o site funcionar ou para um serviço que a pessoa pediu) não dependem de consentimento; usar o consentimento nesse caso "não é apropriado". Ainda assim, vale informar o visitante sobre eles na política de privacidade;
• Cookies não necessários (rastreamento, medição de desempenho, publicidade) pedem mais cuidado. Para publicidade, o consentimento é o mais adequado. Para medição de audiência, o guia admite, em certos contextos, o legítimo interesse, quando os dados são agregados e não são cruzados com outros rastreadores nem usados para formar perfis;
• Se houver aviso de cookies, boas práticas apontadas: botão para rejeitar os cookies não necessários já no primeiro nível do aviso, consentimento por finalidade, cookies não necessários desativados por padrão. E o que evitar: botão único "aceito", destaque maior só para aceitar, cookies não necessários pré-ativados, rejeição difícil.

Não é possível afirmar que todo site precisa de um banner: depende do que o seu site usa. Mas quem usa ferramentas de análise ou de anúncio deve avaliar o caso, e qualquer que seja a decisão, ela deve estar descrita na política de privacidade.

Direitos dos titulares e o canal de atendimento

A lei garante à pessoa, entre outros direitos (art. 18), confirmar que você trata os dados dela, acessá-los, corrigi-los, pedir sua eliminação (quando tratados com consentimento), saber com quem foram compartilhados e revogar o consentimento. O atendimento é gratuito.

Quanto ao prazo, a lei fixa 15 dias para a pessoa receber uma declaração clara e completa sobre o tratamento (art. 19, II); para os demais pedidos, a regra remete a regulamento. Para os chamados agentes de tratamento de pequeno porte, a ANPD estabeleceu regras simplificadas (Resolução CD/ANPD nº 2/2022): microempresas, empresas de pequeno porte (inclusive MEI), startups e outras, desde que não façam tratamento de alto risco, têm, por exemplo, prazo em dobro para atender os pedidos. Esses agentes também não são obrigados a indicar um encarregado, mas precisam oferecer um canal de comunicação com os titulares. Na prática: um e-mail de contato na política de privacidade e alguém que o leia.

Segurança e incidentes

A LGPD exige medidas técnicas e administrativas para proteger os dados contra acesso não autorizado e situações acidentais ou ilícitas (art. 46). Para um site, isso significa o básico bem-feito: HTTPS, sistemas e plugins atualizados, senhas fortes com verificação em duas etapas, backups e acessos individuais e limitados. O artigo Segurança básica para o site e os sistemas da sua empresa trata disso em detalhe, e a ANPD tem um guia de segurança para pequenos agentes.

Se, apesar de tudo, ocorrer um incidente que possa acarretar risco ou dano relevante aos titulares (um vazamento de cadastros, por exemplo), a lei exige comunicação à ANPD e às pessoas afetadas (art. 48). A Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis contados do conhecimento de que o incidente afetou dados pessoais, em dobro (seis dias úteis) para pequenos agentes, com exceções. Todo incidente, comunicado ou não, deve ser registrado e mantido por pelo menos cinco anos. Por isso vale ter combinado antes quem decide, quem avisa e como se documenta.

E se não cumprir?

As sanções do art. 52 vão de advertência a multa de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de publicização da infração, bloqueio e eliminação dos dados. O teto não é o que se aplica a uma pequena empresa; é o limite máximo. Mas a lei não é só uma questão de multa: tratamento claro e cuidadoso de dados é também uma questão de confiança de quem preenche o seu formulário.

Erros que se repetem

• Pedir dados que ninguém usa (CPF, data de nascimento);
• Formulário sem nenhuma informação sobre o uso dos dados;
• Caixa de consentimento já marcada, ou consentimento embutido em "li e aceito os termos";
• Incluir quem pediu orçamento em uma lista de newsletter sem avisar;
• Guardar tudo, para sempre, em lugares sem controle de acesso;
• Política de privacidade copiada, que descreve ferramentas que o site nem usa;
• Ninguém sabendo quem responde quando uma pessoa pede para apagar os dados dela.

Uma auditoria de uma hora

1. Liste tudo o que o site coleta, conforme a tabela acima;
2. Para cada item, anote a finalidade, a base legal que você acredita se aplicar, quem acessa e por quanto tempo guarda;
3. Elimine campos e coletas sem finalidade;
4. Atualize a política de privacidade para refletir exatamente a lista;
5. Defina o canal para os titulares e quem responde;
6. Revise a segurança básica e combine o que fazer em caso de incidente;
7. Leve a lista a um advogado para validar as decisões de base legal, especialmente sobre cookies, análise de acessos e marketing.

Se o seu site está sendo feito ou refeito, essas decisões entram melhor no projeto desde o começo. O que levar em conta antes de contratar um site lista o que perguntar a quem for construí-lo, inclusive onde os dados ficam guardados e quem tem acesso a eles.