LGPD no site da empresa: o mínimo que o seu site precisa ter

O mínimo que a LGPD pede num site institucional de empresa cabe em quatro coisas: uma página de política de privacidade que explique o que você faz com os dados, um aviso de cookies, um formulário que peça só o que você vai usar de verdade e um contato pra quem quiser apagar os próprios dados. Faça esses quatro bem feitos e o seu site já está na frente da maioria dos sites de indústria que eu abro por aí.

Vou te poupar do terror jurídico. Eu faço sites desde 2012, não sou advogado, e o que escrevo aqui é a visão de quem monta a parte prática, não um parecer legal. A LGPD (a lei de proteção de dados, de 2018) é grande, mas num site B2B que só apresenta a empresa e capta contato, a exigência do dia a dia é pequena e dá pra resolver sem gastar rios de dinheiro. Se o seu negócio mexe com dado sensível de gente, aí sim vale sentar com um advogado. Pra maioria dos sites de indústria, o básico bem feito resolve.

A política de privacidade: o texto que explica o combinado

É uma página só, em geral no endereço /privacidade, escrita em português de gente. Ela diz três coisas: quais dados você coleta (nome, e-mail, telefone de quem preenche o formulário), pra que servem (te retornar um orçamento, um contato comercial) e como a pessoa fala com você se quiser ver, corrigir ou apagar o que mandou. Não precisa ter dez páginas de juridiquês. Precisa ser honesta e fácil de achar, com link no rodapé de todas as páginas.

O erro comum é copiar a política de outro site inteira, incluindo trechos que não têm nada a ver com o seu negócio. Já vi site de metalúrgica com política falando em "carrinho de compras" e "cookies de pagamento". Isso não protege ninguém, só mostra que foi copiado no susto. Melhor um texto curto e verdadeiro sobre o que o seu site realmente faz.

O aviso de cookies

Se o seu site usa Google Analytics, pixel de anúncio ou qualquer coisa que acompanhe o visitante, ele precisa avisar isso quando a pessoa entra. É aquele tarjão que aparece embaixo, "usamos cookies", com um botão de aceitar. Não é enfeite: é o site sendo transparente sobre o que roda por trás. A maioria dos sites de indústria usa Analytics e nem sabe que devia mostrar esse aviso.

Tem um detalhe que separa o aviso honesto do teatro: o ideal é que o rastreamento só ligue depois que a pessoa aceita, não antes. Muita gente coloca o tarjão só pra constar e já sai rastreando de qualquer jeito. Na prática, pra um site institucional simples, um aviso claro com opção de recusar já cobre bem o essencial.

O formulário: peça só o que você vai usar

Aqui é onde eu mais brigo com cliente, e é o ponto que junta a LGPD com venda no mesmo lugar. A lei diz pra você coletar o mínimo necessário. E venda diz a mesma coisa: cada campo a mais no formulário espanta comprador. Pra um contato comercial B2B, você precisa de nome, e-mail ou telefone e a mensagem. Fim.

CPF no formulário de contato de site institucional é pedir demais e ganhar de menos. O comprador que ia te mandar uma dúvida vê o campo de CPF, acha estranho e fecha a aba. Você perdeu o contato e ainda ficou com a obrigação de guardar um dado sensível à toa. Peça CPF só quando o processo realmente exigir (uma emissão de nota, um cadastro formal), nunca no primeiro "oi".

Um caminho pra pedir remoção

A LGPD dá à pessoa o direito de pedir pra ver ou apagar os dados que ela te passou. Você não precisa de um sistema sofisticado pra isso. Um e-mail no rodapé, ou uma linha na política dizendo "quer remover seus dados? escreva pra contato@...", já cumpre o combinado. O que não pode é a pessoa pedir e ninguém responder.

O que é meu, o que é do advogado

Vou separar direitinho, porque muita gente me cobra o que não é da minha alçada. O que eu faço, como quem monta o site: deixo a página de privacidade no ar, coloco o aviso de cookies, monto o formulário enxuto, ponho o contato de remoção no rodapé e configuro o Analytics de forma decente. Isso é estrutura, e é comigo.

O texto jurídico da política, quando o caso é delicado, é com advogado ou com o encarregado de dados (o tal DPO, a pessoa responsável por isso na empresa). Eu escrevo a versão honesta e direta pro site institucional comum. Se você lida com dados de saúde, de crianças, com um volume grande de dados pessoais ou com risco alto, não me peça o parecer: peça a um advogado. Eu monto o que ele definir.

Minha posição, sem enrolação

A maioria dos sites de indústria não precisa de um dossiê jurídico caro. Precisa do básico bem feito: política honesta, aviso de cookies, formulário enxuto e um canal de remoção. Já vi empresa pagar por um calhamaço de termos que ninguém lê e continuar com um formulário pedindo CPF sem motivo. Gastou no lugar errado.

Adequar o site à LGPD, pra maioria das indústrias, é mais organização que advocacia. É fazer o site dizer a verdade sobre o que coleta e parar de pedir o que não usa. Isso protege a empresa e, de quebra, deixa o formulário mais leve pro comprador.

Se você quer saber como está o seu site hoje nesses pontos, eu olho isso na minha análise gratuita: abro o seu site, aponto o que falta no básico (política, aviso de cookies, formulário) e te devolvo em até 2 dias úteis. Não é parecer jurídico, é a leitura de quem monta site de indústria desde 2012. Você decide o que fazer com ela, comigo ou com quem preferir.

Perguntas frequentes