Seu site tem um formulário de contato, Google Analytics e talvez um pixel de anúncios. Isso já basta: você trata dados pessoais. A Lei Geral de Proteção de Dados, a Lei 13.709/2018, se aplica a você do mesmo jeito que se aplica a uma empresa de mil funcionários. O que muda é o tamanho da estrutura que você precisa montar em volta disso.
Este artigo é orientação geral sobre como a lei se reflete em decisões técnicas de um site. Ele não substitui a análise de um advogado sobre o seu caso concreto, especialmente se você trata dados sensíveis, dados de crianças ou volumes grandes. Dito isso, a maior parte dos sites de pequenos negócios cai num cenário simples, e dá para resolver bem sem virar um projeto de seis meses.
A quem a lei se aplica (spoiler: provavelmente a você)
A LGPD alcança qualquer operação de tratamento de dados pessoais realizada por pessoa natural ou jurídica, de direito público ou privado, feita no território nacional ou que ofereça bens e serviços a pessoas no Brasil. Não existe piso de faturamento. Não existe isenção para MEI. Não existe exceção para quem tem só uma página.
Tratamento, na definição da própria lei, é praticamente tudo: coletar, receber, armazenar, usar, transmitir, arquivar, eliminar. Se um visitante digita nome e e-mail no seu formulário, você coletou. Se o Analytics grava um identificador no navegador dele, houve tratamento. Se você exporta a lista de leads para uma planilha, também.
O que existe é uma flexibilização. A ANPD, autoridade que fiscaliza a lei, criou um regime específico para agentes de pequeno porte: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado sem fins lucrativos e pessoas naturais que tratam dados com fins econômicos. Esse regime dispensa, entre outras coisas, a indicação obrigatória de um encarregado formal e amplia prazos de resposta. Ele não dispensa nada do que interessa aqui: transparência, base legal e segurança continuam valendo integralmente.
Se você trata dados em larga escala, ou dados sensíveis, ou dados de crianças e adolescentes, o regime simplificado não se aplica. Nesse caso, converse com um advogado antes de decidir qualquer coisa.
As bases legais em linguagem simples
A pergunta central da LGPD não é "posso pedir esse dado?". É "com que fundamento eu trato esse dado?". A lei lista dez hipóteses que autorizam o tratamento de dados pessoais comuns. Um site pequeno costuma usar três ou quatro delas.
- Consentimento. A pessoa autoriza, de forma livre, informada e para uma finalidade específica. É a base mais frágil, porque pode ser revogada a qualquer momento e você precisa provar que ela foi dada. Use onde ela realmente cabe: marketing, cookies não essenciais, newsletter.
- Execução de contrato ou procedimentos preliminares. Alguém pede um orçamento pelo seu site. Você precisa do nome e do contato para responder. Isso é procedimento preliminar de contrato, não é consentimento.
- Cumprimento de obrigação legal ou regulatória. Emitir nota fiscal, guardar registros exigidos por lei.
- Legítimo interesse. A base mais mal usada do país. Ela exige que o tratamento seja necessário para uma finalidade legítima, que o titular pudesse esperar aquilo, e que os direitos e liberdades dele não prevaleçam sobre o seu interesse. Exige também um registro do raciocínio que você fez. Não é uma base curinga para justificar o que não cabe em nenhuma outra.
Para dados sensíveis, origem racial, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, a lista de hipóteses é outra, mais curta e mais rígida. Se o seu formulário pergunta qualquer coisa que caia nessa lista, pare e reavalie se você precisa mesmo daquele campo.
Na prática, o exercício é este: liste todos os pontos do site em que um dado entra, e escreva ao lado de cada um a finalidade e a base legal. Formulário de orçamento, newsletter, Analytics, pixel de anúncios, chat, área de login. Se você não consegue escrever a base legal de um item, esse item é o seu problema.
O que a Política de Privacidade precisa conter
A lei exige que o titular tenha acesso facilitado a informações claras sobre o tratamento. Uma política copiada de outro site quase nunca cumpre isso, porque descreve tratamentos que você não faz e omite os que você faz.
O mínimo funcional de uma política de privacidade honesta:
- Quem é o controlador, razão social, CNPJ e um canal de contato que funcione de verdade.
- Quais dados são coletados, separando o que a pessoa digita do que é coletado automaticamente pelo navegador.
- A finalidade de cada coleta, em português comum. "Para melhorar sua experiência" não é finalidade.
- A base legal correspondente a cada finalidade.
- Com quem os dados são compartilhados. Se você usa Google Analytics, Google Ads, Meta, um provedor de e-mail marketing ou um CRM, esses são operadores ou controladores terceiros e precisam estar nomeados.
- Transferência internacional, quando houver. A maioria das ferramentas americanas implica isso.
- Por quanto tempo os dados ficam guardados e qual o critério para eliminar.
- Os direitos do titular e como exercê-los, com um canal específico.
- As medidas de segurança adotadas, sem virar ficção.
- Data da última atualização.
A nossa política de privacidade segue essa estrutura e pode servir de referência de formato, não de conteúdo, porque o conteúdo tem que descrever o que o seu site faz.
Banner de cookies: o que é exigido e o que é teatro
A LGPD não tem um artigo chamado "cookies". O que existe é a combinação de dois princípios: você precisa de base legal para tratar o dado, e o consentimento, quando é a base, precisa ser livre, informado e inequívoco. A ANPD publicou um guia orientativo sobre cookies que parte exatamente daí.
O que isso significa em decisões concretas:
- Cookies estritamente necessários não precisam de consentimento. Sessão, segurança, balanceamento de carga, preferência de idioma. Eles se sustentam em outras bases legais.
- Cookies de analytics, publicidade e personalização precisam. E precisam antes de disparar, não depois.
- Recusar tem que ser tão fácil quanto aceitar. Banner com botão "Aceitar todos" grande e verde e um link cinza minúsculo escrito "preferências" é o tipo de padrão que a autoridade enxerga como consentimento viciado.
- Nada de consentimento presumido. "Ao continuar navegando você concorda" não é consentimento. Rolar a página não é consentimento. Caixa pré-marcada não é consentimento.
- Tem que dar para mudar de ideia. Precisa existir um caminho visível para revisar ou revogar a escolha depois.
O teatro é o banner que aparece, avisa que usa cookies, e não bloqueia nada: as tags já dispararam antes de o visitante clicar em qualquer coisa. Isso é pior do que não ter banner: cria um registro de que você sabia da obrigação e escolheu não cumprir.
No site da ALB Seven o padrão implementado é o inverso: todos os tipos de armazenamento não essencial começam negados. Nenhuma tag de analytics ou de anúncios carrega até que o visitante tome uma decisão explícita no banner. Se ele aceita, os sinais são atualizados e as tags passam a rodar. Se recusa ou ignora, continuam negados. É um banner próprio, sem plataforma de terceiros, porque o comportamento precisa ser previsível e auditável.
Consent Mode v2 do Google
Bloquear tag por tag na unha é frágil. O Consent Mode do Google resolve isso de forma mais limpa: em vez de você impedir o script de carregar, você declara ao Google o estado do consentimento, e as ferramentas dele ajustam o próprio comportamento.
A versão 2 trabalha com quatro sinais principais:
analytics_storage, armazenamento para medição.ad_storage, armazenamento para publicidade.ad_user_data, envio de dados do usuário ao Google para fins de publicidade.ad_personalization, uso desses dados para anúncios personalizados.
A implementação correta tem duas partes. Primeiro, um estado padrão definido globalmente e antes de qualquer tag do Google carregar, com todos os sinais em denied. Segundo, uma atualização de estado disparada pelo banner quando o visitante decide. Se o padrão for definido depois da tag, ou apenas para uma região, você tem uma janela em que os dados vazam para fora do que foi consentido.
Com os sinais negados, o Google ainda recebe pings sem cookies e faz modelagem estatística de conversões. Você perde granularidade, não perde a medição inteira. É um preço razoável, e vale lembrar que a leitura dos seus relatórios muda quando parte do tráfego é modelada, assunto que vale entender antes de tirar conclusões dos números, como discutimos em as métricas que importam no Google Analytics 4.
Os direitos do titular e como atendê-los
A lei garante ao titular, entre outros, o direito de confirmar que existe tratamento, acessar os dados, corrigir dados incompletos ou desatualizados, pedir anonimização ou eliminação de dados desnecessários, obter informação sobre compartilhamento, revogar consentimento e pedir a portabilidade.
Do ponto de vista operacional, três coisas resolvem quase tudo:
- Um canal declarado e monitorado. Um e-mail específico, publicado na política, que alguém realmente lê.
- Saber onde os dados estão. Se um lead pede exclusão e você não sabe se ele está no banco do site, na caixa de entrada, numa planilha e no CRM, você não consegue atender. Mapeie antes de precisar.
- Um prazo. A lei prevê resposta em formato simplificado de forma imediata e, para a declaração completa, prazo de até quinze dias contados da requisição. Agentes de pequeno porte têm prazos ampliados, mas ter um processo que responde em quinze dias evita a discussão.
Guarde o registro do que foi pedido, quando e o que você fez. É o que demonstra boa-fé se a conversa escalar.
Formulário de contato: o mínimo para estar em conformidade
O formulário é o ponto de coleta mais comum e o mais fácil de acertar. Cinco decisões:
- Peça só o necessário. Cada campo extra é um dado que você passa a ter que proteger, justificar e eliminar. Se você não usa o CPF para nada, não peça o CPF. Isso não é só conformidade: formulário curto converte melhor, como tratamos em formulário ou WhatsApp no site de contato.
- Informe a finalidade no próprio formulário. Uma linha embaixo do botão, com link para a política. Não precisa de checkbox de consentimento se a base é execução de contrato, precisa de informação clara.
- Separe marketing do resto. Se você quer mandar newsletter depois, isso é uma finalidade diferente e pede um opt-in separado, desmarcado por padrão.
- Transmita e guarde com segurança. HTTPS obrigatório, banco com acesso restrito, sem log de dados pessoais em texto puro. Vale revisar a base técnica em HTTPS, HSTS e headers de segurança.
- Defina um prazo de descarte. Lead de 2019 que nunca respondeu não precisa continuar no seu banco. Escreva o critério na política e cumpra.
O que acontece se você ignorar
A própria lei define as sanções administrativas que a ANPD pode aplicar. Elas vão de advertência com prazo para correção até multa simples de até dois por cento do faturamento da empresa, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada a cinquenta milhões de reais por infração. Há também multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos, suspensão parcial do funcionamento do banco de dados ou da atividade de tratamento por até seis meses, e proibição parcial ou total do exercício de atividades relacionadas a tratamento.
Para a maioria dos pequenos negócios, porém, o risco imediato raramente é a multa. É mais concreto do que isso: um cliente corporativo que exige comprovação de conformidade num processo de compra, um concorrente que registra uma denúncia, um incidente de segurança que precisa ser comunicado à autoridade e ao titular, ou simplesmente um visitante que pede a exclusão dos dados e não recebe resposta.
A boa notícia é que o esforço é assimétrico. Uma tarde para mapear onde os dados entram, um dia para escrever uma política que descreve a realidade, e uma implementação correta de banner com Consent Mode cobrem a maior parte do caminho para um site pequeno. O que custa caro é descobrir que precisa disso no dia em que alguém pergunta.
Se você quer que o seu site seja construído já com esse padrão: consentimento negado por padrão, Consent Mode v2 configurado antes das tags e uma política que descreve o que o site realmente faz, fale com a ALB Seven.