LGPD no site da empresa: o mínimo que precisa existir, e o que é só teatro
A maior parte do que se vende como adequação à LGPD é banner de cookie e uma página copiada da internet. O que a lei pede é outra coisa, e boa parte disso não aparece na tela: é saber quais dados o site coleta, onde eles vão parar e quem consegue acessar.
Toda empresa que tem site coleta dado pessoal. Não é uma questão de porte, de setor ou de intenção: basta existir um formulário de contato, um campo de newsletter, um botão de WhatsApp ou uma ferramenta de estatística, e já há dado pessoal circulando.
A reação mais comum a isso, quando alguém finalmente cobra, é instalar um banner de cookies e publicar uma política de privacidade encontrada em outro site. Os dois itens aparecem na tela, dão sensação de dever cumprido, e não resolvem quase nada.
O que a lei pede não é um aviso. É saber responder perguntas sobre os dados que você já tem. Quais são, onde estão, por que foram coletados, quem tem acesso e por quanto tempo ficam. Um site adequado é consequência disso, não substituto.
O que o site coleta sem ninguém perceber
Antes de discutir texto jurídico, vale mapear o que de fato acontece. Em um site institucional comum de empresa, a lista costuma ser maior do que o dono imagina.
- Formulário de contato. Nome, e-mail, telefone e mensagem. É o dado mais óbvio e o mais mal cuidado.
- Newsletter. E-mail, e frequentemente nome, com finalidade diferente da do formulário de contato.
- Ferramenta de estatística. Endereço IP, dispositivo, páginas visitadas, origem do acesso.
- Pixel de anúncio. Comportamento de navegação vinculado a um identificador que a plataforma de anúncio reconhece.
- Chat ou botão de WhatsApp. Número de telefone e a conversa inteira, guardada em um aplicativo que não é seu.
- Área de currículo ou trabalhe conosco. Esse é o caso mais sensível de todos, e quase sempre o mais esquecido.
Repare que quatro dessas seis mandam dado para fora da empresa. Isso não é irregular por si só, mas muda o que você precisa saber e declarar.
O erro de tratar tudo como consentimento
Existe uma confusão que produz sites cheios de caixinhas e nenhuma clareza: a ideia de que todo tratamento de dado depende de o titular clicar em "aceito".
A lei brasileira prevê várias bases legais, e o consentimento é apenas uma delas. Responder a um pedido de orçamento enviado pelo próprio cliente não depende de consentimento separado: a pessoa mandou o formulário justamente para ser respondida. Guardar nota fiscal pelo prazo legal não depende de consentimento. Cumprir contrato não depende de consentimento.
Consentimento é a base mais frágil, porque pode ser retirado a qualquer momento. Empresa que apoia tudo em consentimento cria para si a obrigação de apagar dado sempre que alguém pedir, inclusive dado que ela precisa manter por outro motivo.
O exercício correto é outro: para cada coleta, identificar por que ela existe. Se a resposta for "para responder o cliente", a base é execução de contrato ou procedimento preliminar. Se for "para mandar promoção depois", aí sim é consentimento, e ele precisa ser específico e separado.
Banner de cookie: o que ele deveria fazer
O banner virou símbolo de conformidade, e na maioria dos sites ele é exatamente o oposto: um aviso que informa que cookies serão usados, com um único botão escrito "aceitar", disparando os rastreadores antes mesmo do clique.
Um banner que funciona tem três características que o comum não tem.
- Não dispara nada antes da escolha. Se o pixel de anúncio carrega junto com a página, o banner é decorativo.
- Permite recusar com o mesmo esforço de aceitar. Botão de recusar escondido dentro de um submenu não é escolha livre.
- Separa o que é necessário do que não é. Cookie de sessão e de carrinho é diferente de cookie de remarketing, e misturar os dois força o visitante a aceitar tudo para usar o site.
Vale dizer o óbvio: se o seu site não usa rastreador de anúncio nem estatística que identifique o visitante, talvez ele não precise de banner nenhum. Instalar um por imitação adiciona atrito sem adicionar proteção.
A política de privacidade copiada
Política de privacidade é um documento que descreve o que a sua empresa faz com dados. Copiar a de outra empresa produz um texto que descreve o que ela faz, e que provavelmente menciona ferramentas que você não usa e omite as que você usa.
Pior: em caso de questionamento, o documento vira prova contra. Ele declara compromissos que ninguém na empresa sabe que assumiu.
Uma política útil responde, em linguagem que o cliente entende:
- quais dados são coletados, item por item;
- para que cada um serve;
- com quem são compartilhados, nomeando as ferramentas;
- por quanto tempo ficam guardados;
- como a pessoa pede acesso, correção ou exclusão, e para qual contato;
- quem é o responsável por esse assunto na empresa.
Esse último item costuma travar a conversa, e é justamente o mais barato de resolver: a lei pede que exista um encarregado, alguém identificado como canal de comunicação. Em empresa pequena, isso é uma pessoa e um endereço de e-mail publicado no site, não um cargo novo.
O formulário que ninguém olha
Aqui está o problema real da maioria dos sites de empresa, e ele não é jurídico.
O formulário de contato envia os dados para algum lugar. Frequentemente para uma caixa de e-mail genérica, que várias pessoas acessam com a mesma senha. Às vezes ele também grava em um banco de dados, e ninguém lembra disso. Em alguns casos os envios ficam armazenados dentro do próprio painel do site, acumulando anos de nome, telefone e mensagem de gente que pediu orçamento uma vez.
Isso é um passivo. É um conjunto de dados pessoais de terceiros guardado sem prazo, sem finalidade atual, acessível por quem tiver a senha, e quase sempre sem ninguém saber que existe.
A correção é mais operacional do que legal:
- Saber para onde o formulário envia, e conferir se ele grava cópia em algum lugar.
- Usar conta nominal, não caixa compartilhada com senha em comum. É o mesmo cuidado que vale para o e-mail de quem sai da empresa: acesso precisa ter dono e precisa poder ser revogado.
- Definir um prazo de descarte. Lead de três anos atrás que nunca virou cliente não tem finalidade viva.
- Não pedir o que não vai usar. CPF em formulário de contato de site institucional é coleta sem finalidade, e vira risco sem contrapartida.
Esse último ponto é o mais subestimado. Cada campo a mais no formulário é um dado a mais para proteger, justificar e eventualmente ter que apagar. Menos campo é melhor conformidade e, de quebra, mais conversão.
Onde o dado mora importa
Quando o site, o e-mail e o banco de dados estão em serviços que a empresa não controla, responder às perguntas da lei fica mais difícil. Não porque seja proibido usar serviço de terceiro, mas porque a responsabilidade continua sendo sua.
Se o formulário do site manda os leads para uma planilha na nuvem de uma conta pessoal de alguém que já não trabalha mais ali, a empresa não sabe onde estão os dados dos clientes dela. Se o único registro de pedidos está dentro de uma conta de rede social, a empresa depende de uma plataforma que pode suspender esse acesso sem aviso, como já acontece quando uma conta de Instagram é bloqueada.
Controle do canal e proteção de dados são o mesmo assunto visto de dois ângulos. Domínio próprio, e-mail no domínio da empresa, site e base de contatos sob administração da própria empresa não são preciosismo técnico: são a diferença entre conseguir e não conseguir responder quando alguém pergunta onde os dados dele estão.
Por onde começar sem departamento jurídico
Uma sequência que cabe em poucas horas e resolve a maior parte do problema real:
- Liste o que o site coleta. Abra cada formulário e anote campo por campo. Verifique quais scripts de terceiro carregam na página.
- Para cada coleta, escreva a finalidade em uma frase. Se não conseguir escrever, provavelmente a coleta não deveria existir.
- Descubra onde cada dado é gravado e quem tem acesso hoje, nominalmente.
- Corte o excesso. Campo sem uso, script de ferramenta abandonada, base antiga sem finalidade.
- Escreva a política com base nesse levantamento, não com base em modelo pronto.
- Publique um canal de contato para assuntos de dados e combine internamente quem responde.
- Ajuste o banner, se houver rastreador. Sem rastreador, avalie se ele precisa existir.
Repare que seis dos sete passos são levantamento e decisão, e apenas um é texto publicado. É por isso que adequação vendida como pacote de documentos costuma decepcionar: ela entrega a parte visível de um trabalho cuja maior parte é invisível.
Perguntas frequentes
Empresa pequena também precisa se adequar à LGPD?
Precisa. A lei não define um porte mínimo, e qualquer empresa que colete dado pessoal está sujeita a ela. O que muda com o porte é a proporcionalidade das medidas: espera-se de uma empresa com dez funcionários um conjunto de controles compatível com o tamanho dela, não uma estrutura de grande corporação.
Só ter banner de cookie e política de privacidade resolve?
Não. Os dois são a parte visível, e sozinhos não descrevem nem protegem nada. O que sustenta a conformidade é saber quais dados a empresa coleta, por que, onde eles ficam, quem acessa e por quanto tempo. Sem esse levantamento, a política publicada costuma descrever uma realidade que não existe.
Preciso pedir consentimento para tudo?
Não. O consentimento é uma entre várias bases legais possíveis, e nem sempre é a adequada. Responder a um orçamento pedido pelo próprio cliente, cumprir contrato e guardar documento por obrigação legal não dependem de consentimento. Ele é necessário principalmente para usos que o titular não esperaria, como mandar comunicação de marketing depois.
Por quanto tempo posso guardar os contatos que chegam pelo site?
Pelo tempo em que houver finalidade. Não existe um número fixo na lei para esse caso, então a empresa define um prazo razoável, escreve e cumpre. Lead antigo que nunca virou negócio não tem finalidade viva, e mantê-lo indefinidamente é acumular risco sem contrapartida.
Quem deve ser o encarregado de dados em uma empresa pequena?
Pode ser alguém que já trabalha na empresa, acumulando a função, ou um prestador externo. O que a lei espera é que exista um canal identificado para o titular falar sobre os dados dele, e que ele esteja publicado de forma acessível, normalmente na política de privacidade e na página de contato.
Usar ferramenta de estatística no site é permitido?
É, desde que declarado e com base legal adequada. O cuidado prático é não disparar o rastreador antes de o visitante ter escolhido, quando a escolha for aplicável, e informar na política quais ferramentas são usadas e o que elas coletam.
O que acontece se a empresa não se adequar?
Além das sanções administrativas previstas, há um efeito mais frequente no dia a dia: a exigência aparece em contrato com clientes maiores, em processo de licitação e em auditoria de parceiro. Muita empresa começa a tratar o assunto não por fiscalização, mas porque um cliente pediu.
Resumindo
Adequação à LGPD não começa na tela do site. Começa em um levantamento chato e barato: quais dados a empresa coleta, por que, onde ficam, quem acessa e por quanto tempo.
Feito isso, a política de privacidade se escreve quase sozinha, o banner ganha sentido ou se revela desnecessário, e o formulário deixa de pedir campo que ninguém usa. Sem isso, o que existe é um texto copiado descrevendo uma empresa que não é a sua.
E há um pedaço disso que é infraestrutura, não documento: dado de cliente guardado em conta pessoal, em planilha de ex-funcionário ou dentro de uma plataforma que pode bloquear o acesso a qualquer momento não está sob controle da empresa. Se a sua base de contatos, o e-mail e o site não estão em nome da empresa e sob administração dela, esse é o primeiro item da lista. Fale com a NSWeb se quiser ajuda para colocar essa parte no lugar.
