LGPD no site: o que a sua empresa precisa saber

Se o seu site recebe contatos pelo WhatsApp, usa ferramentas de estatística ou instala cookies de anúncios, ele trata dados pessoais, e a LGPD se aplica, seja qual for o tamanho da sua empresa. O básico para estar em ordem é: saber quais dados o site coleta e por quê, ter uma base legal para cada uso, publicar uma política de privacidade clara, pedir consentimento para cookies que não são necessários e oferecer um canal para as pessoas exercerem seus direitos.

Este guia explica cada ponto em linguagem simples, com base na Lei 13.709/2018 e nos guias da ANPD (Agência Nacional de Proteção de Dados), que fiscaliza a lei. Não é consultoria jurídica: para o seu caso concreto, conte com um profissional da área.

O seu site coleta dados pessoais?

Para a LGPD, dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável. Não é só CPF. Nome, telefone, e-mail, foto e até identificadores de navegação podem entrar nessa definição.

Os dados costumam chegar por estes caminhos:

• WhatsApp: nome, número e tudo que a pessoa escreve ou envia na conversa
• Ferramentas de estatística (analytics): dados de navegação e do dispositivo, normalmente por cookies
• Pixels e cookies de anúncios: usados para medir campanhas e mostrar anúncios para quem visitou o site
• Conteúdos incorporados: mapas, vídeos e widgets de redes sociais podem instalar cookies de terceiros

Faça um inventário simples: liste cada ferramenta do site, quais dados ela coleta e para quê. Esse exercício já organiza boa parte do trabalho.

Há também os dados sensíveis, com regras mais rígidas: origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, dados genéticos e biométricos. Veja as regras específicas no post sobre site para médicos e clínicas.

Base legal: o “porquê” de cada dado

A LGPD só permite tratar dados pessoais com uma base legal. A lei lista dez hipóteses no art. 7º. As mais comuns em sites de empresas:

• Consentimento: a pessoa concorda de forma livre, informada e inequívoca, para uma finalidade determinada. Pode ser revogado a qualquer momento.
• Procedimentos preliminares de um contrato, a pedido do titular: é o caso típico de quem chama você para pedir um orçamento.
• Legítimo interesse: usos que a pessoa pode razoavelmente esperar, desde que não prevaleçam os direitos dela.
• Obrigação legal ou regulatória: quando uma lei exige que você guarde certo dado.

O ponto principal: cada finalidade precisa de uma base. O mesmo número de WhatsApp usado para responder um orçamento não pode, automaticamente, ir para uma lista de promoções. Esse novo uso pede uma avaliação própria, e o caminho mais seguro costuma ser perguntar se a pessoa quer receber.

Política de privacidade: o que ela precisa dizer

A política de privacidade conta ao visitante o que você faz com os dados dele. O art. 9º da LGPD diz que essas informações devem ser claras, adequadas e ostensivas. Ela deve cobrir, entre outros pontos:

• A finalidade específica de cada tratamento
• A forma e a duração do tratamento
• Quem é o controlador, ou seja, a sua empresa, e como entrar em contato
• Com quem os dados são compartilhados e por quê
• Os direitos do titular, com menção explícita aos direitos do art. 18

Evite copiar a política de outro site. Uma política genérica descreve ferramentas que você não usa e esquece as que você usa. Escreva sobre o seu site de verdade e deixe o link visível no rodapé de todas as páginas, junto com as outras informações essenciais do site.

Cookies e o banner de consentimento

O guia da ANPD sobre cookies separa os cookies em duas grandes categorias:

• Necessários: sem eles o site não funciona direito. Para esses, segundo a ANPD, o consentimento não é a base adequada, porque a pessoa não tem escolha real; o legítimo interesse tende a ser o caminho.
• Não necessários: analytics, publicidade e outros que o site dispensa para funcionar. Para publicidade e formação de perfis, o guia aponta o consentimento como a base mais apropriada.

Para estatísticas de visita, o guia admite o legítimo interesse em certos contextos: quando a finalidade é só medir audiência, com dados agregados, sem cruzar com outros rastreadores e sem montar perfis de usuários. Fora disso, o consentimento volta a ser o caminho.

Como deve ser o banner

Segundo as boas práticas da ANPD:

• Botão para rejeitar os cookies não necessários, tão fácil de ver quanto o de aceitar
• Opção de gerenciar por categoria, em um segundo nível do banner
• Cookies baseados em consentimento desativados por padrão
• Um jeito simples de revogar a escolha depois

E o que evitar: banner com um único botão “Aceito”, opções pré-marcadas e a ideia de que “continuar navegando significa concordar”. O guia desaconselha todas essas práticas.

WhatsApp: os dados que chegam pela conversa

Cada conversa iniciada pelo WhatsApp no site traz dados pessoais. Alguns cuidados práticos:

• Peça só o necessário. Para um orçamento, raramente você precisa de CPF ou documentos.
• Controle quem tem acesso. Se várias pessoas atendem pelo mesmo número, defina quem pode ver o quê.
• Não reaproveite contatos para outras finalidades sem uma base legal para isso.
• Apague o que não serve mais. Conversas antigas com documentos e fotos não precisam ficar guardadas para sempre.
• Cuidado redobrado com dados sensíveis. Uma clínica que recebe exames pelo WhatsApp precisa de regras claras de guarda e descarte.

Diga na política de privacidade que o contato acontece pelo WhatsApp e como você usa esses dados.

Microempresa e MEI têm alguma facilidade?

Tem. A Resolução CD/ANPD nº 2/2022 criou regras simplificadas para os chamados agentes de tratamento de pequeno porte, que incluem microempresas, empresas de pequeno porte, MEIs e startups. Entre as facilidades:

• Dispensa de indicar um encarregado (o responsável pela proteção de dados), desde que a empresa ofereça um canal de comunicação com os titulares
• Registro simplificado das operações de tratamento
• Prazos em dobro em algumas situações, como o atendimento a pedidos dos titulares

Mas atenção: as facilidades não valem para empresas que ultrapassam o limite de receita previsto em lei, nem para quem faz tratamento de alto risco, que combina critérios como grande escala ou impacto relevante em direitos com o uso de dados sensíveis ou de crianças, adolescentes e idosos, entre outros. Quem atende na área da saúde precisa avaliar esse ponto com cuidado, inclusive ao planejar um site para médicos e clínicas.

Os direitos de quem visita o seu site

O art. 18 da LGPD garante ao titular, entre outros, o direito de confirmar se você trata dados dele, acessar esses dados, corrigir o que estiver errado, pedir a eliminação de dados desnecessários ou tratados com base no consentimento e revogar o consentimento. Tenha um canal simples para receber esses pedidos.

E se a empresa não se adequar?

A ANPD pode aplicar sanções que vão de advertência a multa de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de medidas como bloqueio ou eliminação dos dados envolvidos. Para uma pequena empresa, porém, o risco mais imediato costuma ser outro: perder a confiança do cliente.

Checklist rápido

• Inventário das ferramentas do site e dos dados que cada uma coleta
• Base legal definida para cada finalidade
• Política de privacidade própria, com link em todas as páginas
• Banner com opção real de rejeitar cookies não necessários, se o site os usa
• Canal de contato para pedidos dos titulares
• Regras de acesso e descarte para as conversas do WhatsApp

Um site enxuto facilita a LGPD

Na criarmeu.site, criamos sites rápidos e sem scripts desnecessários, o que já reduz a quantidade de dados coletados sem você perceber. O site tem espaço para a sua política de privacidade e o contato acontece pelo WhatsApp, com mensagem pronta. O texto jurídico da política e a adequação à LGPD devem ser validados por um profissional da área. Veja como criamos um site para empresa e peça um orçamento grátis pelo WhatsApp.