Todo site que tem formulário de contato, ferramenta de análise ou pixel de anúncios trata dados pessoais e está sujeito à Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Este checklist reúne os pontos que mais aparecem na adequação de sites empresariais. Ele é um ponto de partida técnico e não substitui a orientação de um advogado.
1. Identificação de quem trata os dados
- Nome empresarial, CNPJ e forma de contato visíveis, por exemplo no rodapé e na política de privacidade (LGPD art. 9º; para comércio eletrônico, também o Decreto nº 7.962/2013).
- Indicação do encarregado pelo tratamento de dados (art. 41). Agentes de tratamento de pequeno porte podem ser dispensados dessa indicação, mas precisam manter um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022).
2. Política de privacidade de verdade
A política precisa descrever o que o site realmente faz. Copiar o texto de outra empresa é um risco, porque promete coisas que não acontecem ou omite ferramentas que estão instaladas. Ela deve informar, em linguagem clara:
- quais dados são coletados e por qual meio;
- para que cada dado é usado e com qual base legal (art. 7º);
- com quem os dados são compartilhados, incluindo fornecedores como hospedagem, ferramentas de análise e CRM;
- se há transferência para outros países e com qual mecanismo (art. 33 e Resolução CD/ANPD nº 19/2024);
- por quanto tempo os dados são guardados;
- como o titular exerce seus direitos.
3. Cookies e ferramentas de terceiros
- Ferramentas de análise e marketing (Google Analytics, Meta Pixel, Google Ads, LinkedIn, Clarity) dependem, em regra, de consentimento. O ideal é que elas só carreguem depois da escolha do visitante.
- O banner deve permitir aceitar e rejeitar com o mesmo esforço, sem caixas pré-marcadas, conforme o Guia Orientativo de Cookies da ANPD.
- O visitante precisa conseguir mudar de ideia depois, por exemplo por um link "Preferências de cookies" no rodapé.
- Uma política de cookies deve listar as ferramentas usadas, a finalidade e a duração.
4. Formulários com o mínimo necessário
- Peça só o que você realmente usa para responder (princípio da necessidade, art. 6º, III). CPF, data de nascimento e endereço raramente são necessários em um formulário de contato.
- Deixe claro para que os dados serão usados, perto do botão de envio, com link para a política.
- Não use o contato para enviar marketing sem uma autorização específica e separada.
- Proteja o formulário contra robôs e spam.
5. Canal para os direitos do titular
O titular pode pedir confirmação, acesso, correção, eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento (art. 18). A confirmação ou o acesso completos devem ser fornecidos em até 15 dias do pedido (art. 19). Ter um e-mail ou formulário específico para isso, com registro de cada pedido, facilita o atendimento dentro do prazo.
6. Segurança e incidentes
- HTTPS em todo o site, sistemas atualizados e acesso restrito aos dados (art. 46).
- Arquivos internos, backups e configurações protegidos contra acesso público.
- Um plano para incidentes: em caso de risco ou dano relevante aos titulares, a comunicação à ANPD e aos titulares segue os prazos da Resolução CD/ANPD nº 15/2024.
7. Retenção e eliminação
Defina por quanto tempo cada tipo de dado fica guardado e elimine o que não é mais necessário (art. 15 e 16). Contatos que nunca viraram cliente, por exemplo, não precisam ficar armazenados indefinidamente. O ideal é automatizar essa limpeza.
8. Revise sempre que o site mudar
Instalou uma ferramenta nova, mudou o formulário ou contratou outro fornecedor? A política e o banner de cookies precisam acompanhar. Adequação à LGPD não é um documento pronto, é uma rotina.