LGPD no site da empresa: o mínimo que precisa existir, e o que é só teatro
A maior parte do que se vende como adequação à LGPD é banner de cookie e uma página copiada da internet. O que a lei pede é outra coisa, e boa parte disso não aparece na tela: é saber quais dados o site coleta, onde eles vão parar e quem consegue acessar.
Toda empresa que tem site coleta dado pessoal. Não é uma questão de porte, de setor ou de intenção: basta existir um formulário de contato, um campo de newsletter, um botão de WhatsApp ou uma ferramenta de estatística, e já há dado pessoal circulando.
A reação mais comum a isso, quando alguém finalmente cobra, é instalar um banner de cookies e publicar uma política de privacidade encontrada em outro site. Os dois itens aparecem na tela, dão sensação de dever cumprido, e não resolvem quase nada.
O que a lei pede não é um aviso. É saber responder perguntas sobre os dados que você já tem. Quais são, onde estão, por que foram coletados, quem tem acesso e por quanto tempo ficam. Um site adequado é consequência disso, não substituto.
O que o site coleta sem ninguém perceber
Antes de discutir texto jurídico, vale mapear o que de fato acontece. Em um site institucional comum de empresa, a lista costuma ser maior do que o dono imagina.
- Formulário de contato. Nome, e-mail, telefone e mensagem. É o dado mais óbvio e o mais mal cuidado.
- Newsletter. E-mail, e frequentemente nome, com finalidade diferente da do formulário de contato.
- Ferramenta de estatística. Endereço IP, dispositivo, páginas visitadas, origem do acesso.
- Pixel de anúncio. Comportamento de navegação vinculado a um identificador que a plataforma de anúncio reconhece.
- Chat ou botão de WhatsApp. Número de telefone e a conversa inteira, guardada em um aplicativo que não é seu.
- Área de currículo ou trabalhe conosco. Esse é o caso mais sensível de todos, e quase sempre o mais esquecido.
Repare que quatro dessas seis mandam dado para fora da empresa. Isso não é irregular por si só, mas muda o que você precisa saber e declarar.
O erro de tratar tudo como consentimento
Existe uma confusão que produz sites cheios de caixinhas e nenhuma clareza: a ideia de que todo tratamento de dado depende de o titular clicar em "aceito".
A lei brasileira prevê várias bases legais, e o consentimento é apenas uma delas. Responder a um pedido de orçamento enviado pelo próprio cliente não depende de consentimento separado: a pessoa mandou o formulário justamente para ser respondida. Guardar nota fiscal pelo prazo legal não depende de consentimento. Cumprir contrato não depende de consentimento.
Consentimento é a base mais frágil, porque pode ser retirado a qualquer momento. Empresa que apoia tudo em consentimento cria para si a obrigação de apagar dado sempre que alguém pedir, inclusive dado que ela precisa manter por outro motivo.
O exercício correto é outro: para cada coleta, identificar por que ela existe. Se a resposta for "para responder o cliente", a base é execução de contrato ou procedimento preliminar. Se for "para mandar promoção depois", aí sim é consentimento, e ele precisa ser específico e separado.
Banner de cookie: o que ele deveria fazer
O banner virou símbolo de conformidade, e na maioria dos sites ele é exatamente o oposto: um aviso que informa que cookies serão usados, com um único botão escrito "aceitar", disparando os rastreadores antes mesmo do clique.
Um banner que funciona tem três características que o comum não tem.
- Não dispara nada antes da escolha. Se o pixel de anúncio carrega junto com a página, o banner é decorativo.
- Permite recusar com o mesmo esforço de aceitar. Botão de recusar escondido dentro de um submenu não é escolha livre.
- Separa o que é necessário do que não é. Cookie de sessão e de carrinho é diferente de cookie de remarketing, e misturar os dois força o visitante a aceitar tudo para usar o site.
Vale dizer o óbvio: se o seu site não usa rastreador de anúncio nem estatística que identifique o visitante, talvez ele não precise de banner nenhum. Instalar um por imitação adiciona atrito sem adicionar proteção.
A política de privacidade copiada
Política de privacidade é um documento que descreve o que a sua empresa faz com dados. Copiar a de outra empresa produz um texto que descreve o que ela faz, e que provavelmente menciona ferramentas que você não usa e omite as que você usa.
Pior: em caso de questionamento, o documento vira prova contra. Ele declara compromissos que ninguém na empresa sabe que assumiu.
Uma política útil responde, em linguagem que o cliente entende:
- quais dados são coletados, item por item;
- para que cada um serve;
- com quem são compartilhados, nomeando as ferramentas;
- por quanto tempo ficam guardados;
- como a pessoa pede acesso, correção ou exclusão, e para qual contato;
- quem é o responsável por esse assunto na empresa.
Esse último item costuma travar a conversa, e é justamente o mais barato de resolver: a lei pede que exista um encarregado, alguém identificado como canal de comunicação. Em empresa pequena, isso é uma pessoa e um endereço de e-mail publicado no site, não um cargo novo.
O formulário que ninguém olha
Aqui está o problema real da maioria dos sites de empresa, e ele não é jurídico.
O formulário de contato envia os dados para algum lugar. Frequentemente para uma caixa de e-mail genérica, que várias pessoas acessam com a mesma senha. Às vezes ele também grava em um banco de dados, e ninguém lembra disso. Em alguns casos os envios ficam armazenados dentro do próprio painel do site, acumulando anos de nome, telefone e mensagem de gente que pediu orçamento uma vez.
Isso é um passivo. É um conjunto de dados pessoais de terceiros guardado sem prazo, sem finalidade atual, acessível por quem tiver a senha, e quase sempre sem ninguém saber que existe.
A correção é mais operacional do que legal:
- Saber para onde o formulário envia, e conferir se ele grava cópia em algum lugar.
- Usar conta nominal, não caixa compartilhada com senha em comum. É o mesmo cuidado que vale para o e-mail de quem sai da empresa: acesso precisa ter dono e precisa poder ser revogado.
- Definir um prazo de descarte. Lead de três anos atrás que nunca virou cliente não tem finalidade viva.
- Não pedir o que não vai usar. CPF em formulário de contato de site institucional é coleta sem finalidade, e vira risco sem contrapartida.
Esse último ponto é o mais subestimado. Cada campo a mais no formulário é um dado a mais para proteger, justificar e eventualmente ter que apagar. Menos campo é melhor conformidade e, de quebra, mais conversão.
Onde o dado mora importa
Quando o site, o e-mail e o banco de dados estão em serviços que a empresa não controla, responder às perguntas da lei fica mais difícil. Não porque seja proibido usar serviço de terceiro, mas porque a responsabilidade continua sendo sua.
Se o formulário do site manda os leads para uma planilha na nuvem de uma conta pessoal de alguém que já não trabalha mais ali, a empresa não sabe onde estão os dados dos clientes dela. Se o único registro de pedidos está dentro de uma conta de rede social, a empresa depende de uma plataforma que pode suspender esse acesso sem aviso, como já acontece quando uma conta de Instagram é bloqueada.
Controle do canal e proteção de dados são o mesmo assunto visto de dois ângulos. Domínio próprio, e-mail no domínio da empresa, site e base de contatos sob administração da própria empresa não são preciosismo técnico: são a diferença entre conseguir e não conseguir responder quando alguém pergunta onde os dados dele estão.
Por onde começar sem departamento jurídico
Uma sequência que cabe em poucas horas e resolve a maior parte do problema real:
- Liste o que o site coleta. Abra cada formulário e anote campo por campo. Verifique quais scripts de terceiro carregam na página.
- Para cada coleta, escreva a finalidade em uma frase. Se não conseguir escrever, provavelmente a coleta não deveria existir.
- Descubra onde cada dado é gravado e quem tem acesso hoje, nominalmente.
- Corte o excesso. Campo sem uso, script de ferramenta abandonada, base antiga sem finalidade.
- Escreva a política com base nesse levantamento, não com base em modelo pronto.
- Publique um canal de contato para assuntos de dados e combine internamente quem responde.
- Ajuste o banner, se houver rastreador. Sem rastreador, avalie se ele precisa existir.
Repare que seis dos sete passos são levantamento e decisão, e apenas um é texto publicado. É por isso que adequação vendida como pacote de documentos costuma decepcionar: ela entrega a parte visível de um trabalho cuja maior parte é invisível.
Perguntas frequentes
Precisa. A lei não define um porte mínimo, e qualquer empresa que colete dado pessoal está sujeita a ela. O que muda com o porte é a proporcionalidade das medidas: espera-se de uma empresa com dez funcionários um conjunto de controles compatível com o tamanho dela, não uma estrutura de grande corporação.
Não. Os dois são a parte visível, e sozinhos não descrevem nem protegem nada. O que sustenta a conformidade é saber quais dados a empresa coleta, por que, onde eles ficam, quem acessa e por quanto tempo. Sem esse levantamento, a política publicada costuma descrever uma realidade que não existe.
Não. O consentimento é uma entre várias bases legais possíveis, e nem sempre é a adequada. Responder a um orçamento pedido pelo próprio cliente, cumprir contrato e guardar documento por obrigação legal não dependem de consentimento. Ele é necessário principalmente para usos que o titular não esperaria, como mandar comunicação de marketing depois.
Pelo tempo em que houver finalidade. Não existe um número fixo na lei para esse caso, então a empresa define um prazo razoável, escreve e cumpre. Lead antigo que nunca virou negócio não tem finalidade viva, e mantê-lo indefinidamente é acumular risco sem contrapartida.
Pode ser alguém que já trabalha na empresa, acumulando a função, ou um prestador externo. O que a lei espera é que exista um canal identificado para o titular falar sobre os dados dele, e que ele esteja publicado de forma acessível, normalmente na política de privacidade e na página de contato.
É, desde que declarado e com base legal adequada. O cuidado prático é não disparar o rastreador antes de o visitante ter escolhido, quando a escolha for aplicável, e informar na política quais ferramentas são usadas e o que elas coletam.
Além das sanções administrativas previstas, há um efeito mais frequente no dia a dia: a exigência aparece em contrato com clientes maiores, em processo de licitação e em auditoria de parceiro. Muita empresa começa a tratar o assunto não por fiscalização, mas porque um cliente pediu.
Resumindo
Adequação à LGPD não começa na tela do site. Começa em um levantamento chato e barato: quais dados a empresa coleta, por que, onde ficam, quem acessa e por quanto tempo.
Feito isso, a política de privacidade se escreve quase sozinha, o banner ganha sentido ou se revela desnecessário, e o formulário deixa de pedir campo que ninguém usa. Sem isso, o que existe é um texto copiado descrevendo uma empresa que não é a sua.
E há um pedaço disso que é infraestrutura, não documento: dado de cliente guardado em conta pessoal, em planilha de ex-funcionário ou dentro de uma plataforma que pode bloquear o acesso a qualquer momento não está sob controle da empresa. Se a sua base de contatos, o e-mail e o site não estão em nome da empresa e sob administração dela, esse é o primeiro item da lista. Fale com a NSWeb se quiser ajuda para colocar essa parte no lugar.
