LGPD para sites: como se adequar em 7 passos práticos

Se você tem um site, um blog ou um e-commerce e ainda não parou para pensar em privacidade de dados, este conteúdo é um bom ponto de partida. A LGPD já está em vigor desde 2020, a fiscalização da ANPD está cada vez mais ativa, e adequar o seu site deixou de ser diferencial para virar obrigação básica.

O que é a LGPD e por que ela importa para o seu site

A LGPD, Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), é a legislação brasileira que entrou em vigor em setembro de 2020 e que regulamenta a coleta, o armazenamento, o uso e o compartilhamento de dados pessoais por parte de pessoas físicas e jurídicas, tanto no ambiente público quanto no privado.

Para quem tem um site, um blog ou um e-commerce, essa lei não é opcional. A partir do momento em que a sua página coleta qualquer tipo de dado, seja por um formulário de contato, um cookie de analytics ou um cadastro de newsletter, a LGPD se aplica.

A lei tem como base os princípios de finalidade, necessidade, transparência, segurança, prevenção e responsabilização. Em outras palavras, ela exige que você só peça dados que realmente precisa, que diga com clareza para que eles serão usados e que proteja essas informações de acessos não autorizados.

Para o empresário e para o desenvolvedor, o impacto é direto. Um site que ignora a LGPD pode ser alvo de sanções administrativas, ações judiciais e perda de reputação. Para o usuário, a lei garante direitos como acessar, corrigir, excluir e portabilizar os próprios dados.

Onde a LGPD entra em um site na prática

Antes de partir para o passo a passo, vale entender onde, de fato, a lei se conecta com o seu site. Existem quatro pontos críticos que aparecem em quase toda página na internet.

Cookies e rastreadores

Cookies são pequenos arquivos que o navegador armazena para identificar a visita e guardar preferências. Alguns são essenciais para o funcionamento da página. Outros são usados para análise de tráfego, personalização de anúncios e integração com redes sociais. Quando um cookie coleta dados pessoais, como IP, localização ou identificadores únicos, ele entra no escopo da LGPD.

Formulários e coleta de dados

Qualquer formulário que peça nome, e-mail, telefone, CPF ou endereço é uma porta de entrada para a lei. Isso inclui formulários de contato, cadastros para download de materiais, áreas de login, comentários em blog e pedidos em e-commerce.

Integrações com terceiros

Quando você instala ferramentas como Google Analytics, Meta Pixel, chatbots, CRMs e gateways de pagamento, esses terceiros também passam a tratar dados dos seus visitantes. A responsabilidade sobre isso é compartilhada, mas o controlador principal continua sendo o dono do site.

Banco de dados e armazenamento

E-mails em listas de mailing, contatos em planilhas, leads em CRM, pedidos em e-commerce. Tudo isso é banco de dados pessoal e precisa estar protegido, com controle de acesso e política de retenção bem definida.

Passo a passo para adequar o seu site

Adequar um site à LGPD não é um bicho de sete cabeças, mas exige método. O caminho mais seguro envolve sete etapas sequenciais.

1. Mapeamento de dados

O primeiro passo é entender, com clareza, quais dados o seu site coleta hoje. Para isso, percorra cada página, cada formulário e cada integração. Anote:

• Quais dados são coletados.
• Em que momento da navegação acontece a coleta.
• Para qual finalidade aquele dado será usado.
• Com quem ele é compartilhado.
• Por quanto tempo ele fica armazenado.
• Qual base legal sustenta esse tratamento.

Esse mapeamento pode ser feito em uma planilha simples e serve como insumo para a política de privacidade e para o registro de operações de tratamento.

2. Política de privacidade

A política de privacidade é o documento que apresenta, de forma clara e acessível, como o site trata os dados pessoais. Ela precisa ser escrita em linguagem simples, sem juridiquês, e deve estar disponível em link permanente no rodapé de todas as páginas.

Os itens obrigatórios, segundo a própria lei, incluem:

• Identificação do controlador.
• Dados de contato do encarregado (DPO).
• Tipos de dados coletados.
• Finalidades de uso.
• Bases legais que sustentam o tratamento.
• Compartilhamento com terceiros.
• Prazo de retenção.
• Direitos do titular e como exercê-los.
• Medidas de segurança adotadas.
• Informações sobre transferência internacional.
• quando aplicável.

A política não precisa ter vinte páginas. Ela precisa ser honesta e completa. Se você diz que coleta apenas nome e e-mail, mas o formulário pede também CPF e telefone, existe um descompasso que pode virar problema.

3. Banner de cookies

O famoso aviso de cookies é obrigatório em qualquer site que utilize essa tecnologia. O banner deve informar quais cookies estão ativos, qual a finalidade de cada um e permitir que o usuário aceite, recuse ou personalize as escolhas.

Atenção: o modelo antigo, que apenas mostra o aviso e segue em frente, não é mais suficiente. Hoje é preciso oferecer opções reais de consentimento, e o "rejeitar tudo" precisa ter o mesmo nível de facilidade do "aceitar tudo&quot.

4. Consentimento explícito

Para tratamentos que dependem de consentimento, como é o caso de newsletters e de remarketing, é preciso pedir autorização clara e específica. O ideal é usar checkboxs desmarcados por padrão, com texto explicando exatamente o que será feito com o dado.

Consentimento por scroll ou por navegação implícita não é considerado válido pela Autoridade Nacional de Proteção de Dados.

5. Direitos do titular

A LGPD garante ao titular dos dados uma série de direitos, entre eles:

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção de informações incompletas ou desatualizadas.
• Anonimização.
• bloqueio ou eliminação de dados desnecessários.
• Portabilidade.
• Eliminação dos dados pessoais tratados com consentimento.
• Informação sobre entidades públicas e privadas com as quais houve compartilhamento.
• Revogação do consentimento.

O seu site precisa oferecer um canal claro para que esses pedidos sejam feitos. O mais comum é um formulário de solicitação ou um e-mail dedicado, com prazo de resposta de até 15 dias, conforme regulamentação da ANPD.

6. Segurança da informação

Coletar dados com responsabilidade inclui protegê-los. Isso envolve medidas técnicas e administrativas, como:

• Uso de HTTPS em todo o site.
• Certificado SSL válido e atualizado.
• Senhas fortes e autenticação em duas etapas no painel administrativo.
• Backups regulares com criptografia.
• Controle de acesso por perfil de usuário.
• Atualização constante do CMS.
• plugins e temas.

Em WordPress, por exemplo, é comum encontrar instalações com plugins desatualizados há anos. Cada plugin desatualizado é uma porta aberta para invasores.

7. DPO (encarregado de dados)

A LGPD exige a indicação de um Encarregado de Proteção de Dados, o DPO. Essa pessoa ou empresa é o ponto de contato entre o controlador, os titulares e a ANPD. Para sites pequenos e médios, o DPO pode ser o próprio dono ou alguém da equipe, desde que tenha conhecimento básico sobre o tema.

Cuidados específicos com plataformas

Nem todo site é igual. Veja a seguir pontos de atenção para os cenários mais comuns.

WordPress

O WordPress é o CMS (Content Management System, ou sistema de gestão de conteúdo) mais usado do mundo, e por isso é alvo constante de ataques. Para adequar um site em WordPress à LGPD, é importante:

• Manter o núcleo.
• os temas e os plugins sempre atualizados.
• Usar plugins de segurança reconhecidos.
• como Wordfence ou Sucuri.
• Configurar backup automático com armazenamento externo.
• Revisar permissões de usuários.
• evitando contas com perfil de administrador desnecessárias.
• Usar plugins de consentimento de cookies.
• como CookieYes ou Complianz.
• configurados corretamente.

E-commerce

Lojas virtuais lidam com dados sensíveis por natureza, como endereços de entrega, dados de pagamento e histórico de compras. Além dos itens gerais, é preciso atenção a:

• Política de troca e devolução alinhada com a política de privacidade.
• Termos de uso claros.
• Gateways de pagamento certificados PCI DSS (padrão de segurança da indústria de cartões).
• Armazenamento mínimo de dados de cartão.
• preferencialmente tokenizados.

Landing pages e blogs

Mesmo páginas simples precisam de banner de cookies e de política de privacidade, principalmente se houver coleta por formulário, integração com ferramentas de captura de leads ou comentários habilitados.

Multas e sanções: o que pode dar errado

A LGPD prevê sanções administrativas que vão de advertência até multa de até 2% do faturamento da pessoa jurídica, limitada a R$ 50 milhões por infração. Além disso, a lei permite a aplicação de multas diárias, bloqueio, eliminação ou anonimização dos dados, e até proibição parcial ou total do exercício da atividade relacionada ao tratamento.

Em 2023, a ANPD começou a aplicar sanções mais efetivas. Casos como o da empresa Telekall Infoservice, multada por uso indevido de dados biométricos, e o da construtora MRV, multada em mais de R$ 3 milhões por falhas em consentimento, mostram que a fiscalização está ativa.

Para empresas de menor porte, o risco não é apenas financeiro. A exposição negativa na mídia e o desgaste com clientes podem ser ainda mais prejudiciais que a multa em si.

Veja um resumo das principais sanções previstas pela ANPD:

Boas práticas que vão além da lei

Adequar-se à LGPD é o mínimo. Algumas práticas elevam o nível de confiança do usuário e da marca:

• Manter o registro de operações de tratamento (ROPA) atualizado.
• Realizar treinamentos periódicos com a equipe.
• Revisar contratos com fornecedores que tratam dados pessoais.
• Adotar política de "privacy by design&quot.
• ou seja.
• pensar em privacidade desde o projeto do site.
• Publicar relatórios anuais de transparência.
• Realizar testes de vulnerabilidade e auditorias de segurança.

Essas ações mostram que a empresa leva o tema a sério e não está apenas cumprindo tabela.

Perguntas Frequentes (FAQ)

Meu site é pequeno e quase ninguém acessa. Preciso me preocupar com a LGPD?

Sim. A LGPD se aplica a qualquer operação de tratamento de dados pessoais, independentemente do volume. Se você coleta um único e-mail por mês, a lei já vale. O que muda é a complexidade do programa de conformidade, que pode ser mais enxuto.

Posso usar modelos prontos de política de privacidade encontrados na internet?

Modelos prontos podem servir como ponto de partida, mas precisam ser personalizados para a realidade do seu site. Política genérica, que não reflete o que de fato é coletado, oferece mais risco do que proteção, porque cria uma falsa sensação de conformidade.

Quanto custa adequar um site à LGPD?

O custo depende do tamanho do projeto, da quantidade de integrações e do nível de maturidade atual. Para um site institucional simples, o investimento costuma ser baixo. Para e-commerces e plataformas com múltiplos fornecedores, o investimento pode ser maior, principalmente na contratação de consultoria especializada e de ferramentas de gestão de consentimento.

WordPress tem algum plugin que deixa o site 100% em conformidade?

Nenhum plugin sozinho resolve tudo. Plugins como CookieYes, Complianz e LGPD Framework ajudam em partes específicas, mas a conformidade depende de uma combinação de fatores: política bem escrita, processos internos, segurança técnica e revisão constante.

E se eu não conseguir cumprir todos os requisitos imediatamente?

O mais importante é começar. A ANPD, em suas primeiras decisões, tem levado em conta o estágio de maturidade do agente e a boa-fé demonstrada. Um site que está em processo de adequação, com evidências de evolução, tende a receber tratamento menos severo do que um site que ignora completamente a lei.

Conclusão

Adequar um site à LGPD é um exercício de responsabilidade e de respeito ao usuário. Não se trata apenas de evitar multas, mas de construir uma relação de confiança com quem visita, compra ou simplesmente entra em contato com a sua marca.

O caminho passa por mapear o que é coletado, escrever uma política de privacidade honesta, oferecer opções reais de consentimento, proteger os dados com seriedade e manter um canal aberto para os direitos do titular. Pequenos ajustes já colocam o site em um patamar muito melhor do que a maioria.

Se você precisa de ajuda para colocar isso em prática, a Baita Site tem uma equipe especializada em sites, e-commerce, sistemas e inteligência artificial, com domínio total de WordPress. Fale com a gente e veja como podemos acelerar o seu projeto.

Referências consultadas

Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm, Autoridade Nacional de Proteção de Dados (ANPD). Página oficial. Disponível em: https://www.gov.br/anpd/, Cartilha de Segurança para Internet, Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br). Disponível em: https://cartilha.cert.br/, WordPress.org, documentação oficial sobre segurança. Disponível em: https://wordpress.org/documentation/article/hardening-wordpress/, Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento do Processo de Monitoramento e Fiscalização no âmbito da ANPD. Guia Orientativo para Agentes de Tratamento de Pequeno Porte, publicado pela ANPD.

Disclaimer: Este conteúdo tem caráter informativo e educacional. A interpretação e a aplicação da LGPD podem variar conforme o porte, o setor e a realidade de cada negócio. Decisões técnicas e jurídicas devem ser tomadas com profissional especializado em proteção de dados e segurança da informação.