LGPD para sites: 5 passos para evitar multas e proteger seus clientes

A LGPD para sites deixou de ser assunto exclusivo de departamento jurídico. Qualquer empresa que recebe contatos por formulário, usa Google Analytics, instala cookies ou mantém um WhatsApp no site trata dados pessoais — e precisa seguir a Lei Geral de Proteção de Dados.

A boa notícia é que adequar um site pequeno ou médio não exige um projeto enorme. Exige método: saber quais dados entram, por quê, onde ficam e como são protegidos. Neste guia, você vai ver o que a lei pede na prática e um plano em 5 passos para colocar o site em conformidade.

O que a LGPD exige de um site

A lei não obriga todo site a ter um DPO (encarregado) ou um banner gigante. Ela obriga transparência e base legal para tratar dados pessoais. Em um site típico, isso se traduz em quatro obrigações concretas: informar o que é coletado, pedir consentimento quando necessário, permitir o exercício de direitos e proteger os dados armazenados.

Nome, e-mail, telefone, IP, localização aproximada e comportamento de navegação são dados pessoais. Se o site coleta qualquer um deles, a LGPD para sites se aplica — mesmo que a empresa seja pequena e não venda diretamente pela internet.

Quais dados o seu site provavelmente coleta

• Formulários de contato: nome, e-mail, telefone e mensagem.
• Ferramentas de analytics: IP, páginas visitadas, tempo de sessão e dispositivo.
• Cookies de marketing e remarketing: identificadores usados por plataformas de anúncio.
• WhatsApp e chat: número, nome do perfil e histórico da conversa.
• Comentários e cadastros: nome, e-mail e, às vezes, dados de pagamento.

5 passos para adequar seu site à LGPD

1. Mapeie os dados e as finalidades

Liste cada ponto de coleta e responda: qual dado entra, para que serve, quem tem acesso e por quanto tempo fica guardado. Esse mapa é a base de tudo. Sem ele, qualquer política de privacidade vira texto genérico.

2. Publique uma política de privacidade clara

A política precisa estar em linguagem compreensível e explicar quais dados são coletados, com quem são compartilhados, por quanto tempo ficam armazenados e como o titular pode pedir acesso, correção ou exclusão. Evite copiar modelos de outros sites sem adaptar.

3. Implemente um banner de cookies com consentimento real

O banner precisa permitir aceitar, recusar e configurar categorias. Carregar rastreadores antes do consentimento torna o aviso meramente decorativo. Cookies estritamente necessários podem funcionar sem autorização; os demais, não.

4. Revise os formulários

Peça apenas o necessário. Um campo de CPF ou data de nascimento sem justificativa aumenta o risco sem melhorar a conversão. Inclua uma frase curta informando a finalidade e link para a política de privacidade.

5. Proteja o que foi coletado

Atualizações, backup, controle de acesso, senha forte e HTTPS são o mínimo. Dados de contato não devem ficar em planilhas abertas nem em e-mails sem controle. Se houver incidente, a empresa precisa saber quem avisar e como agir.

Política de privacidade: o que não pode faltar

• Identificação da empresa e canal de contato do encarregado.
• Quais dados são coletados e para quais finalidades.
• Bases legais utilizadas e com quem os dados são compartilhados.
• Prazo de retenção e procedimentos de exclusão.
• Direitos do titular e como exercê-los.
• Data da última atualização e versão do documento.

Cookies: o que é consentimento válido

Consentimento válido é livre, informado e específico. Um botão “OK” que libera tudo de uma vez, sem opção de recusar, não atende bem ao espírito da lei. O ideal é uma janela com categorias: necessários, análise, marketing e preferências.

Também é importante registrar o consentimento: data, versão do aviso e escolhas feitas. Se a ANPD ou um cliente questionar, a empresa precisa conseguir provar como aquele dado foi autorizado.

LGPD e WhatsApp: cuidados práticos

O WhatsApp é um canal legítimo de atendimento, mas não é terra sem lei. Evite pedir documentos sensíveis por mensagem, não adicione clientes em listas sem autorização e não use o número pessoal de um funcionário como único canal da empresa. O ideal é um número comercial com histórico sob controle da empresa.

Erros comuns de LGPD para sites

• Copiar a política de privacidade de outro site e esquecer de trocar os dados.
• Banner de cookies que não bloqueia scripts antes do aceite.
• Coletar CPF, renda ou dados de saúde sem necessidade e sem base legal.
• Não ter canal para o titular pedir exclusão dos dados.
• Guardar formulários em e-mails e planilhas sem controle de acesso.

Checklist de LGPD para sites

• Mapa de dados atualizado.
• Política de privacidade publicada e vinculada no rodapé.
• Banner de cookies com opção de recusa e configuração.
• Formulários com finalidade e link para a política.
• HTTPS, backup e controle de acesso em dia.
• Canal para pedidos de titulares definido.

A adequação é mais simples quando o site é construído com essa preocupação desde o início. Veja como estruturamos sites institucionais com formulários enxutos e políticas claras, e entenda o processo completo de criação de site. As orientações oficiais estão no site da ANPD.

Leia também

• Criação de Site: O Que Uma Página Profissional Precisa Ter Para Atrair Clientes?
• Afinal, o que um bom site para empresa deve ter?
• Manutenção de Sites: Entenda como cuidar do seu site do jeito certo

Perguntas frequentes