LGPD para sites: o mínimo que todo site precisa

A Lei Geral de Proteção de Dados — Lei 13.709/2018, a LGPD — vale para qualquer empresa que trate dados pessoais, e um site quase sempre trata: o formulário de contato coleta nome, e-mail e telefone; ferramentas de medição de audiência registram dados de navegação. O assunto não é restrito a banco, plano de saúde ou grande varejo. Se o seu site recebe dados de alguém, a lei alcança a sua empresa.

Um aviso antes de começar: este artigo é informativo. Ele organiza o mínimo que um site institucional precisa ter, em linguagem de dono de empresa, e não substitui orientação jurídica. Situações específicas — dados de saúde, dados de crianças e adolescentes, grande volume de tratamento — pedem um profissional da área.

O que conta como dado pessoal no seu site

Dado pessoal é toda informação que identifica ou pode identificar uma pessoa: nome, e-mail, telefone, CPF, endereço e também registros menos óbvios, como o endereço de rede da conexão. No site de uma pequena empresa, o tratamento costuma acontecer em três lugares: nos formulários, nas ferramentas de medição de audiência e nos serviços de terceiros embutidos nas páginas — mapas, vídeos, botões de conversa.

O primeiro passo prático é fazer esse inventário: o que o seu site coleta, por onde e para onde os dados vão. Sem essa lista, qualquer política de privacidade será ficção.

O mínimo que um site institucional precisa ter

Política de privacidade verdadeira

A política de privacidade deve descrever o que o seu site de fato faz: quais dados coleta, para quê, com quem compartilha, por quanto tempo guarda e como a pessoa exerce os seus direitos. O erro mais comum é copiar um modelo pronto de outro site, que menciona práticas que você não tem e omite as que você tem. Política copiada não protege — ela documenta, por escrito, uma descrição falsa do seu próprio tratamento de dados.

Formulário que informa a finalidade

Quem preenche o seu formulário deve saber para que os dados servem, e em geral uma frase resolve: os dados enviados serão usados para responder ao seu contato. Vale também a regra da parcimônia — peça apenas o necessário. Se o objetivo é responder a um pedido de orçamento, nome e um meio de contato bastam; cada campo a mais precisa se justificar. O artigo sobre o formulário de contato ideal trata do mesmo ponto pelo ângulo da conversão — as duas lógicas convergem.

Base legal para usar os dados

A LGPD exige que todo uso de dados se apoie em uma das bases legais previstas na lei. Quando alguém pede um orçamento pelo formulário, responder a esse pedido tem apoio claro. O ponto de atenção vem depois: usar os mesmos dados para enviar ofertas recorrentes é outro tratamento, que pede outra justificativa — e é aí que muitas empresas atropelam a lei sem perceber. Na dúvida sobre o enquadramento do seu caso, consulte um profissional.

Canal do titular

A pessoa que entregou dados a você — a lei a chama de titular — tem direitos sobre eles: saber o que você guarda, corrigir, pedir exclusão. O site precisa oferecer um canal para esses pedidos, e um endereço de e-mail publicado na política de privacidade já cumpre esse papel num site institucional. O que não pode acontecer é o pedido chegar e ficar sem resposta.

Cuidado com as ferramentas que coletam por você

Boa parte da coleta de dados de um site não é feita por ele, e sim pelas ferramentas embutidas: medição de audiência, mapas, vídeos, códigos de publicidade. Você responde pelo que roda nas suas páginas. Saiba o que está instalado, remova o que não usa e declare o restante na política de privacidade. Menos ferramentas significam menos coleta para explicar — e um site mais leve.

Erros frequentes a evitar

• Comprar lista de e-mails: dados obtidos sem relação com a sua empresa e usados sem base — risco jurídico e de reputação.
• Manter banner de cookies decorativo, que anuncia escolhas mas não bloqueia coleta alguma.
• Exigir CPF ou data de nascimento num simples pedido de orçamento.
• Guardar currículos e mensagens antigas para sempre, sem critério de descarte.
• Repassar dados de clientes por canais informais, sem controle de quem acessa.

Segurança e privacidade andam juntas

Proteger dados pessoais também é impedir que vazem. Um site sem criptografia expõe o que o visitante digita no caminho entre o navegador e o servidor — o artigo sobre HTTPS e SSL explica por que esse é um item de base. Da mesma forma, um site invadido pode expor as mensagens e os cadastros que recebeu. Conformidade sem segurança é promessa sem sustentação.

Perguntas frequentes

Meu site só tem um formulário de contato. A LGPD se aplica a mim?

Aplica-se. Nome, e-mail e telefone são dados pessoais, e recebê-los já configura tratamento. A escala do seu site muda o tamanho do esforço, não a existência da obrigação. Para um site assim, o mínimo descrito neste artigo — política verdadeira, finalidade informada, canal do titular — costuma ser o ponto de partida razoável.

Posso copiar a política de privacidade de outro site?

Não é um bom caminho. A política precisa descrever o tratamento que o seu site realmente faz, e o texto de outra empresa descreve o dela. O modelo alheio tende a declarar práticas que você não tem e a silenciar sobre as que você tem, o que transforma o documento em evidência contra a sua empresa, não a favor.

Preciso de banner de cookies no meu site?

Depende do que o site carrega. Se há ferramentas que gravam identificadores e coletam dados de navegação, o visitante precisa ser informado, e um aviso com escolha real é o instrumento usual. Banner que apenas decora a página, sem bloquear nada, não cumpre função. A configuração correta depende das ferramentas em uso — mais um ponto em que a orientação especializada ajuda.

A Azimute Comunicação mantém publicada a própria página de conformidade, com política de privacidade e práticas de dados descritas como este artigo recomenda, e constrói sites que já nascem com esses itens no lugar. Para tratar do seu caso, peça uma proposta pela página de contato.