Como adequar meu site à LGPD
Para adequar um site à LGPD (Lei 13.709/2018), liste quais dados pessoais ele coleta e para quê, escolha a base legal de cada uso, publique uma política de privacidade clara, peça consentimento para cookies não necessários, ofereça um canal para os titulares exercerem seus direitos e indique um encarregado ou, se a empresa for de pequeno porte, ao menos um canal de comunicação. Este guia é técnico e não substitui orientação jurídica.
Atualizado em · Por Luis Henrique Cuba
Antes de tudo: o que o seu site coleta
Dado pessoal, pela LGPD (art. 5º, I), é qualquer informação relacionada a pessoa natural identificada ou identificável. Nome e e-mail do formulário contam. Telefone do botão de WhatsApp conta. Identificadores guardados por cookies de analytics e de anúncios também podem contar.
Faça um inventário simples, em uma planilha: cada ponto de coleta, quais dados, para quê, onde ficam guardados, quem acessa e por quanto tempo. Pense em uma clínica de estética de bairro: formulário de agendamento (nome, telefone, procedimento de interesse), chat no site, Google Analytics e pixel de anúncios. Os dados do formulário vão para uma automação que grava em planilha e avisa a recepção. Cada um desses caminhos entra no inventário.
Escolha a base legal de cada uso
O art. 7º lista dez hipóteses em que o tratamento é permitido. Em sites, as mais comuns são:
Consentimento (inciso I)
Precisa ser livre, informado e para finalidade determinada; autorizações genéricas são nulas (art. 8º, § 4º). Pode ser revogado a qualquer momento por procedimento gratuito e facilitado (art. 8º, § 5º). Típico para newsletter e cookies de publicidade.
Execução de contrato ou procedimentos preliminares (inciso V)
Quando o titular pede um orçamento ou agendamento, os dados necessários para responder a esse pedido costumam se apoiar aqui.
Obrigação legal (inciso II)
Por exemplo, guardar dados exigidos para emissão de nota fiscal.
Legítimo interesse (inciso IX)
Exige finalidade legítima, só os dados estritamente necessários e transparência (art. 10). Não vale quando prevalecem os direitos do titular.
Política de privacidade: o que precisa constar
O art. 9º dá ao titular o direito de acesso facilitado a informações claras sobre o tratamento. Use isso como roteiro da política, escrita em português simples e acessível a partir de todas as páginas:
- Finalidade específica de cada tratamento.
- Forma e duração do tratamento (inclusive por quanto tempo os dados ficam guardados).
- Identificação e contato do controlador (a empresa).
- Com quem os dados são compartilhados e para quê (ferramentas de e-mail, CRM, hospedagem, analytics).
- Responsabilidades de quem trata os dados.
- Direitos do titular, citando expressamente os do art. 18, e como exercê-los.
- Identidade e contato do encarregado ou do canal de comunicação.
Cookies e banner de consentimento
O guia orientativo da ANPD sobre cookies (versão 1.0, outubro de 2022) separa cookies necessários, que fazem o site funcionar, dos não necessários, como os de anúncios e rastreamento. Para os estritamente necessários, o legítimo interesse pode ser a base adequada. Para medição de audiência, o guia admite legítimo interesse em certos contextos, com dados agregados e sem formação de perfil. Para publicidade, especialmente com cookies de terceiros, o guia aponta o consentimento como a base mais apropriada.
O mesmo guia lista práticas a evitar no banner:
- Um único botão "aceito" ou "ciente", sem opção de gerenciar, quando a base é consentimento.
- Botão de aceitar em destaque e botões de rejeitar ou configurar escondidos.
- Cookies não necessários já ativados, exigindo que o visitante desligue um por um.
- Falta de um segundo nível com detalhes por finalidade.
- Falta de um meio simples para revogar o consentimento depois.
- Política de cookies só em idioma estrangeiro.
Direitos do titular e encarregado
- 01
Prepare-se para os pedidos do art. 18
O titular pode pedir confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento. O atendimento é sem custo para ele (art. 18, § 5º).
- 02
Saiba onde cada dado está
O inventário serve para isso. Se o e-mail está no formulário, na planilha, no CRM e na ferramenta de e-mail marketing, a exclusão precisa chegar aos quatro.
- 03
Indique o encarregado
O art. 41 exige que o controlador indique um encarregado e divulgue identidade e contato, de preferência no site. Ele recebe reclamações dos titulares e comunicações da ANPD.
- 04
Se a empresa for de pequeno porte
A Resolução CD/ANPD nº 2/2022 dispensa microempresas, empresas de pequeno porte e startups de indicar encarregado, desde que mantenham um canal de comunicação com o titular. A dispensa não vale, por exemplo, para quem faz tratamento de alto risco. Confira os requisitos do art. 3º da resolução.
Segurança e incidentes
O art. 46 obriga a adotar medidas técnicas e administrativas para proteger os dados contra acessos não autorizados. Em um site, isso significa HTTPS, formulários que não gravam dados em planilha aberta por link, banco com controle de acesso, chaves de API fora do código público e acesso restrito a quem precisa.
Se houver incidente que possa causar risco ou dano relevante, o controlador deve comunicar a ANPD e os titulares (art. 48). A Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. A Lei 15.352/2026 criou a Agência Nacional de Proteção de Dados, que manteve a sigla ANPD e sucedeu a antiga Autoridade Nacional de Proteção de Dados.
Como adequar meu site à LGPD: dúvidas comuns
Site pequeno, só com formulário de contato, precisa seguir a LGPD?
Sim. A lei vale para o tratamento de dados pessoais, independentemente do tamanho do site. Para agentes de pequeno porte, a Resolução CD/ANPD nº 2/2022 flexibiliza algumas obrigações, mas não dispensa bases legais, princípios e direitos do titular.
Posso copiar a política de privacidade de outro site?
Não é uma boa ideia. A política precisa descrever o que o seu site faz de verdade: seus formulários, suas ferramentas, seus prazos. Uma política copiada costuma prometer o que não acontece e omitir o que acontece.
Google Analytics precisa de consentimento?
Depende da configuração e do uso. O guia da ANPD admite legítimo interesse para medição de audiência com dados agregados e sem perfil de usuário; se os dados alimentam anúncios ou rastreamento entre sites, o consentimento tende a ser a base adequada. Avalie com quem cuida da parte jurídica.
Qual é a multa por descumprir a LGPD?
O art. 52 prevê, entre outras sanções, multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de advertência, publicização da infração e bloqueio ou eliminação dos dados.
Por quanto tempo posso guardar os dados do formulário?
A lei não fixa um número único: o tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários (art. 15), e depois os dados devem ser eliminados, salvo as hipóteses de conservação do art. 16, como obrigação legal. Defina um prazo para cada finalidade e escreva-o na política.
Perguntas parecidas
Precisa de ajuda para resolver isso na sua empresa?
Respondemos em até 24 horas com as próximas perguntas e uma proposta objetiva.