LGPD em sites e sistemas: o que precisa estar em ordem

LGPD para sites é o conjunto de cuidados que a Lei Geral de Proteção de Dados exige de qualquer site ou sistema que colete dado pessoal de pessoas no Brasil. Quase todo site coleta: o formulário de orçamento, a área do cliente, a ferramenta de medição de audiência, o pixel de anúncio.

Estar em ordem significa ter uma base legal para cada coleta, uma política de privacidade que descreve o que o site faz de fato, um banner de cookies que permite recusar, um canal para o titular e segurança compatível com o que se guarda. Este texto é orientação técnica de quem implanta sites e sistemas, não aconselhamento jurídico: decisões do seu caso concreto passam por um advogado da área.

Quando a LGPD se aplica a um site

O art. 3º da Lei 13.709/2018 alcança qualquer operação de tratamento feita no Brasil, voltada a oferecer bens ou serviços a pessoas no país ou com dados coletados aqui, seja qual for o meio. O art. 5º define dado pessoal como informação relacionada a pessoa natural identificada ou identificável, e tratamento como toda operação com esses dados: coletar, receber, armazenar, acessar, compartilhar, eliminar. Receber o formulário numa caixa de e-mail já é tratamento.

Os pontos de coleta mais comuns num site:

• formulário de contato ou orçamento: nome, e-mail, telefone, às vezes empresa e cargo;
• botão de WhatsApp: o clique só abre a conversa, mas a partir da primeira mensagem a empresa trata número, nome e o que a pessoa escreveu;
• medição de audiência e pixel de anúncio: cookies e identificadores que reconhecem o mesmo navegador entre visitas;
• login e área do cliente: cadastro, histórico, documentos enviados;
• conteúdo incorporado de terceiros (vídeo, mapa, chat): pode gravar cookies do fornecedor no navegador do visitante.

Um exercício que resolve metade do trabalho: abra o site numa janela anônima e anote cada ponto em que o visitante entrega um dado ou recebe um cookie. Essa lista é a matéria-prima de tudo o que vem depois.

Qual base legal usar para cada coleta do site

O art. 7º lista dez hipóteses que autorizam o tratamento. O consentimento é uma delas, não a regra geral. A tabela mostra o enquadramento mais comum para cada situação de site:

A coluna do meio é a hipótese mais frequente, não a única possível. O enquadramento depende do caso concreto.

Quando a base é o consentimento, a lei pede manifestação livre, informada e inequívoca, para finalidade determinada (art. 5º, XII). Autorizações genéricas são nulas, o ônus de provar o consentimento é do controlador e a revogação tem de ser gratuita e facilitada (art. 8º). Na prática do site, isso significa:

• caixa de "aceito receber ofertas" nunca vem marcada;
• o envio do orçamento não pode depender do aceite da newsletter;
• o sistema guarda data, hora e o texto exato que a pessoa aceitou;
• todo e-mail de oferta tem um link de descadastro que funciona.

Legítimo interesse exige mais cuidado do que parece. O art. 37 pede registro das operações de tratamento, "especialmente quando baseado no legítimo interesse". Escreva por que o interesse da empresa existe e por que ele não atropela o do visitante.

E vale o princípio da necessidade (art. 6º, III): coletar o mínimo para a finalidade. Formulário de orçamento que pede CPF e data de nascimento está pedindo demais, e cada campo retirado é um dado a menos para proteger.

Cookies: o que o guia da ANPD pede no banner

O guia orientativo sobre cookies da ANPD, publicado em outubro de 2022, separa os cookies em necessários e não necessários, próprios e de terceiros, e por finalidade (analíticos, de funcionalidade, de publicidade). Sobre a base legal, o guia indica que:

• cookies estritamente necessários ao funcionamento do site podem se apoiar no legítimo interesse;
• medição de audiência pode se apoiar no legítimo interesse em determinados contextos, com dados agregados, sem cruzamento com outros rastreadores e sem formação de perfil;
• para cookies de publicidade, sobretudo de terceiros, o consentimento é a hipótese mais apropriada.

Para o banner, as boas práticas do guia são diretas:

• botão para rejeitar todos os cookies não necessários, fácil de ver, no primeiro e no segundo nível do banner;
• nada de destaque maior só para o botão de aceitar;
• segundo nível com as categorias descritas por finalidade e escolha por categoria;
• cookies que dependem de consentimento desligados por padrão;
• link fácil para a política e para o exercício de direitos, inclusive revogar o consentimento;
• nada de banner com um único botão "ciente" ou "concordo" quando a base é o consentimento.

O erro que mais encontramos não está no texto do banner. Está no código: o pixel dispara no carregamento da página, antes de qualquer clique. O teste leva cinco minutos. Abra o site numa janela anônima, abra as ferramentas do desenvolvedor do navegador (tecla F12), vá à aba Rede e recarregue sem clicar em nada. Não pode haver chamada para ferramenta de anúncio. Depois clique em rejeitar, navegue por duas páginas e confira de novo. Por fim, deixe no rodapé um link "Preferências de cookies" que reabre o banner, para a pessoa mudar de ideia sem limpar o navegador.

O que a política de privacidade precisa conter

O art. 9º garante ao titular informação clara, adequada e ostensiva sobre finalidade, forma e duração do tratamento, identificação e contato do controlador, uso compartilhado dos dados, responsabilidades dos agentes e direitos do titular, com menção explícita ao art. 18. Traduzido para a política de um site:

• quem é o controlador: razão social, CNPJ, endereço e contato;
• quais dados cada ponto do site coleta, para quê e com qual base legal;
• por quanto tempo cada dado fica guardado e o que acontece depois;
• quais fornecedores recebem os dados (hospedagem, e-mail marketing, CRM, medição de audiência) e por quê, inclusive se os servidores ficam fora do país;
• quais cookies o site usa, por categoria;
• quais são os direitos do titular e como exercê-los;
• nome e contato do encarregado ou do canal de atendimento;
• data da última atualização.

A política tem de ser o retrato do site, e não um modelo genérico. Se ela fala em cookies de publicidade que o site não usa, ou omite o pixel que usa, falha no ponto que deveria cumprir. Quando uma finalidade baseada em consentimento muda, a lei manda avisar o titular antes, com destaque, e ele pode revogar (art. 8º, § 6º, e art. 9º, § 2º).

Direitos do titular, canal de atendimento e encarregado

O art. 18 garante ao titular, a qualquer momento e mediante requisição:

• confirmação de que há tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação do que for desnecessário, excessivo ou tratado em desconformidade;
• portabilidade para outro fornecedor;
• eliminação dos dados tratados com consentimento, salvo as exceções da lei;
• informação sobre com quem os dados foram compartilhados;
• informação sobre a possibilidade de não consentir e suas consequências;
• revogação do consentimento.

O atendimento é sem custo para o titular (art. 18, § 5º). Na prática, isso pede um endereço de e-mail ou formulário dedicado, uma pessoa responsável e o registro da data de cada pedido. Dois cuidados técnicos fazem diferença. O primeiro é conferir a identidade antes de entregar dados, porque mandar o cadastro de alguém para quem se passou por ele também é incidente. O segundo é saber localizar todos os dados de uma pessoa: CRM, ferramenta de e-mail marketing, planilhas e caixas de entrada. Sistema que não busca por e-mail em todas essas bases transforma cada pedido numa caça manual.

O art. 41 manda o controlador indicar um encarregado, cuja identidade e contato devem ser divulgados publicamente, de preferência no site. É ele quem recebe reclamações dos titulares e comunicações da ANPD e orienta a equipe. A Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte (microempresa, empresa de pequeno porte, startup) dessa indicação, desde que mantenha um canal de comunicação com o titular. A dispensa não vale para quem faz tratamento de alto risco ou fatura acima do limite de empresa de pequeno porte. Indicar um encarregado mesmo assim conta como boa prática.

Segurança e comunicação de incidentes

O art. 46 exige medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas, desde a concepção do produto ou serviço. Num site ou sistema, isso se traduz em itens concretos:

• HTTPS em todas as páginas;
• painel administrativo com usuários nominais e autenticação em dois fatores;
• gerenciador de conteúdo, plugins e bibliotecas atualizados;
• formulário que grava num sistema com controle de acesso, em vez de mandar tudo para uma caixa que dez pessoas leem;
• nenhuma planilha de contatos compartilhada como "qualquer pessoa com o link";
• backup e registro de quem acessou o painel.

O restante está no checklist de segurança da informação para pequenas empresas.

Quando algo dá errado, o art. 48 manda comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 detalha o critério: o incidente precisa poder afetar significativamente interesses e direitos fundamentais e envolver pelo menos um destes tipos de dado: sensíveis; de crianças, adolescentes ou idosos; financeiros; de autenticação em sistemas; protegidos por sigilo; ou em larga escala. A tabela de logins da área do cliente, por exemplo, entra como dado de autenticação.

O prazo é de três dias úteis, contados de quando o controlador soube que o incidente afetou dados pessoais, e a página de comunicação de incidente da ANPD explica o envio, feito por peticionamento eletrônico. Para agente de pequeno porte, o prazo é contado em dobro. Além disso, todo incidente com dado pessoal, comunicado ou não, fica registrado por no mínimo cinco anos, com data do conhecimento, descrição, dados afetados, número de titulares, avaliação de risco, medidas tomadas e, se não houve comunicação, o motivo.

Três dias úteis passam rápido quando ninguém sabe quem decide. Deixe escrito, antes do problema, quem avalia o incidente, quem assina a comunicação e quem aciona o fornecedor do site.

Identificação do fornecedor no site

O Decreto 7.962/2013, que regulamenta o Código de Defesa do Consumidor no comércio eletrônico, exige que sites usados para oferecer ou fechar contrato de consumo mostrem, em local de destaque e de fácil visualização:

• nome empresarial e CNPJ (ou CPF);
• endereço físico e eletrônico e demais dados de contato;
• características essenciais do produto ou serviço;
• despesas adicionais discriminadas no preço, como entrega e seguro;
• condições integrais da oferta, incluindo pagamento, disponibilidade e prazo;
• restrições à oferta, de forma clara.

O mesmo decreto pede mecanismos de segurança eficazes para o pagamento e para o tratamento de dados do consumidor (art. 4º, VII). Na prática, a solução é um rodapé com razão social, CNPJ, endereço e e-mail em todas as páginas.

Um site só institucional, sem venda, não está no alcance direto do decreto. Mas a LGPD continua exigindo identificação e contato do controlador (art. 9º, III e IV), e o rodapé é o lugar natural para isso. O texto sobre site institucional que gera contato mostra como encaixar esses dados sem poluir a página.

Checklist final de LGPD para o site

Antes de publicar ou ao revisar um site no ar, confira:

• lista de todos os pontos de coleta e cookies, feita numa janela anônima;
• base legal definida e anotada para cada coleta;
• formulários pedindo só o necessário, sem caixa de consentimento pré-marcada;
• banner com botão de rejeitar no primeiro nível e cookies não necessários desligados até a escolha, testado na aba Rede;
• link de preferências de cookies no rodapé;
• política de privacidade que descreve o site real, com data de atualização;
• canal do titular funcionando, com responsável e registro de pedidos;
• encarregado indicado ou, para pequeno porte, canal de comunicação publicado;
• rodapé com razão social, CNPJ, endereço e e-mail;
• painel com dois fatores, sistema atualizado e HTTPS em todas as páginas;
• roteiro de incidente com responsáveis definidos e planilha de registro;
• contratos revisados com fornecedores que tratam dados em nome da empresa.

Comece pela varredura na janela anônima: ela costuma revelar o pixel esquecido e o formulário que pede mais do que precisa. Nos projetos de segurança digital da Locomotiva, a correção no código e o texto da política andam juntos, para que um descreva exatamente o outro.