Política de privacidade para site: é obrigatória e o que precisa ter pela LGPD

Resposta curta: se o seu site coleta qualquer dado pessoal, como nome, e-mail ou telefone num formulário, ou usa ferramentas que identificam o visitante, como Google Analytics e pixels de anúncio, ele precisa informar isso de forma clara. A LGPD não usa o nome “política de privacidade”, mas exige que a pessoa saiba quem coleta os dados, para quê, por quanto tempo, com quem eles são compartilhados e como pedir acesso ou exclusão. A política de privacidade é o jeito mais simples de cumprir essa obrigação.

Uma das perguntas que mais escuto de quem contrata um site é: “eu preciso mesmo de política de privacidade? Meu site é só uma vitrine”. Na maioria dos casos, precisa. E, quando já existe, muitas vezes é um texto copiado de outro site, que fala de coisas que o site nem faz.

Neste artigo eu explico quando a política é necessária, o que escrever nela e os erros mais comuns. Não é parecer jurídico: as referências são a própria LGPD (Lei 13.709/2018) e as normas da ANPD, e casos específicos merecem conversa com um advogado.

Política de privacidade é obrigatória?

A LGPD (Lei Geral de Proteção de Dados) vale para qualquer empresa ou profissional que trate dados pessoais, e “tratar” inclui coletar, guardar, consultar e compartilhar. O artigo 9º da lei diz que a pessoa tem direito a informações claras, adequadas e ostensivas sobre o tratamento dos seus dados. A lei não manda criar uma página com o nome “política de privacidade”, mas é o formato que praticamente todo site usa para cumprir essa regra, porque reúne tudo num lugar fácil de achar.

Na prática, o seu site trata dados pessoais se ele tem:

• formulário de contato, orçamento, inscrição ou newsletter;
• área de login ou cadastro de clientes;
• Google Analytics, Meta Pixel, Google Ads ou ferramentas parecidas;
• chat, agendamento online ou qualquer campo em que a pessoa digite os próprios dados.

O site que não coleta nada é raro, mas existe: uma página de apresentação com um botão que abre o WhatsApp, sem formulário e sem estatísticas que identificam o visitante. Mesmo nesse caso, eu recomendo uma política curta dizendo exatamente isso: ela passa confiança e lembra você de atualizar quando colocar um formulário.

O que precisa ter numa política de privacidade?

O artigo 9º da LGPD lista o que a pessoa tem o direito de saber. Traduzindo para o site, a política deve responder:

1. Quem é o responsável pelos dados: o nome da empresa ou do profissional (a lei chama de controlador) e como entrar em contato.
2. Quais dados são coletados: por exemplo, nome, e-mail e telefone do formulário; dados de navegação das ferramentas de estatística.
3. Para que cada dado é usado: responder o contato, enviar a newsletter, entender quais páginas são mais lidas. Finalidade específica, não “para melhorar sua experiência”.
4. Por que você pode usar esses dados: a lei chama de base legal (art. 7º). As mais comuns em sites são o consentimento, o atendimento a um pedido da própria pessoa (como um orçamento) e o legítimo interesse.
5. Por quanto tempo os dados ficam guardados e o que acontece depois (exclusão, por exemplo).
6. Com quem os dados são compartilhados: o serviço de e-mail, a hospedagem, o Google, a ferramenta de agenda. Não precisa de lista de contratos, mas precisa dizer quais tipos de empresa recebem os dados e para quê.
7. Quais são os direitos da pessoa e como exercê-los: o artigo 18 garante, entre outros, confirmar se você tem dados dela, acessar, corrigir, pedir a exclusão do que foi coletado com consentimento e revogar o consentimento.
8. Um canal de contato para esses pedidos, como um e-mail.
9. Cookies: se o site usa, explique ali mesmo ou numa página própria. Eu detalhei esse ponto no artigo sobre política de cookies e aviso de cookies.
10. Data da última atualização, para quem lê saber se o texto está em dia.

Escreva em linguagem simples: um texto que só um advogado entende não cumpre o papel, por mais completo que seja.

Pequena empresa ou profissional autônomo também precisa?

Precisa, com algumas facilidades. A Resolução CD/ANPD nº 2, de janeiro de 2022, criou regras simplificadas para os chamados agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte, MEIs e startups, desde que não façam tratamento de alto risco. Entre as facilidades está a dispensa de nomear um encarregado de dados (o DPO), desde que exista um canal de comunicação para os titulares.

O que a norma não dispensa é a transparência: a pequena empresa continua tendo que informar o que coleta e para quê. Ou seja, a política de privacidade continua valendo, e o e-mail de contato nela funciona como esse canal.

Atenção, advogados, psicólogos e médicos: se o site recebe informações sensíveis, como num formulário em que a pessoa descreve o caso, a política precisa deixar isso claro, e vale a revisão de um advogado especializado em proteção de dados.

Onde colocar a política de privacidade no site?

A LGPD fala em informação ostensiva, isto é, fácil de encontrar. O que funciona na prática:

• um link no rodapé, presente em todas as páginas;
• um link perto de cada formulário, logo abaixo do botão de enviar, com uma frase curta como “Usamos seus dados só para responder ao seu contato. Veja a política de privacidade”;
• se o site tem cadastro ou login, o link também na tela de cadastro.

Não esconda a política num PDF para baixar. Uma página comum do site, com endereço próprio (como /privacidade), é o melhor formato.

Posso usar um modelo pronto de política de privacidade?

Pode usar como ponto de partida, mas quase nunca como texto final. Os erros que mais encontro quando reviso sites:

• Política que fala do que o site não faz: cita loja, cadastro e newsletter num site que só tem um formulário de contato. Isso confunde quem lê e mostra que ninguém revisou.
• Política que esquece o que o site faz: o site tem Meta Pixel e o texto não menciona compartilhamento com terceiros.
• Nome de outra empresa no texto: acontece mais do que parece, quando a política é copiada de outro site.
• Nenhum contato de verdade: sem e-mail, a pessoa não tem como exercer os direitos que a própria política lista.
• Texto parado no tempo: o site ganhou um chat ou uma agenda online e a política continua igual à de três anos atrás.

O jeito de evitar esses erros é partir do que o site realmente faz. Antes de escrever, faça um inventário: liste cada formulário, cada ferramenta instalada e cada serviço que recebe os dados (hospedagem, e-mail, planilha, agenda). A política é a descrição desse inventário em linguagem simples.

O que acontece se o site não tiver política de privacidade?

A ANPD (Autoridade Nacional de Proteção de Dados) pode aplicar as sanções do artigo 52 da LGPD, que vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de outras medidas, como a publicização da infração.

O risco mais comum para um pequeno negócio é outro: o cliente que pergunta “o que vocês fazem com meus dados?” e não encontra resposta, ou o pedido de exclusão que ninguém sabe como atender. Uma política clara, com um contato que alguém realmente lê, resolve os dois. E ela conversa com a segurança do site: não adianta prometer proteção se o formulário manda os dados para um e-mail que a equipe inteira compartilha. Eu falo mais disso no artigo sobre os riscos de segurança de sites feitos com IA.

Perguntas frequentes

Site sem formulário precisa de política de privacidade?

Se ele não coleta nenhum dado pessoal, nem por formulário nem por ferramentas de estatística ou anúncio, a LGPD não tem o que exigir dele. Ainda assim, uma política curta dizendo que o site não coleta dados é uma boa prática, e você só precisa atualizá-la se isso mudar.

O botão de WhatsApp no site coleta dados?

O botão em si só abre a conversa no WhatsApp; quem recebe a mensagem é você, pelo aplicativo. O site não guarda nada. Mas os dados que chegam pela conversa continuam sendo dados pessoais, e vale dizer na política o que você faz com eles, como guardar o contato para responder ao pedido.

De quanto em quanto tempo devo atualizar a política?

Sempre que o site mudar o que coleta ou com quem compartilha: um formulário novo, uma ferramenta de anúncio, um sistema de agenda. Atualize também a data no fim do texto.

Resumo

• Se o site coleta dados pessoais, por formulário, cadastro ou ferramentas de estatística, ele precisa informar isso, e a política de privacidade é o jeito mais simples de fazer isso.
• A política responde: quem é o responsável, quais dados, para quê, por quanto tempo, com quem são compartilhados e como a pessoa exerce os seus direitos.
• Pequenas empresas têm regras simplificadas da ANPD, mas continuam tendo que ser transparentes e oferecer um canal de contato.
• Link no rodapé e perto de cada formulário, numa página comum do site.
• Modelo pronto só como ponto de partida: a política tem que descrever o que o seu site realmente faz.

Todo site que eu faço sai com a política de privacidade escrita a partir do que ele realmente coleta. Se você quer um site novo ou uma revisão do que o seu site atual faz com os dados dos visitantes, veja a página de criação de sites.