LGPD para sites de pequenos negócios: o essencial
O que a Lei 13.709/2018 exige do site da sua empresa, em linguagem simples e com uma lista prática para revisar hoje.
A LGPD para sites exige que qualquer empresa que colete dados pessoais pela internet, como nome, e-mail ou telefone em um formulário, diga de forma clara o que coleta, para quê usa e como o visitante pode exercer seus direitos. Para um pequeno negócio, isso se resume a quatro pontos: coletar só o necessário, ter uma política de privacidade honesta, pedir consentimento quando a lei exige e proteger os dados guardados.
A Lei Geral de Proteção de Dados (Lei 13.709/2018) está em vigor e é fiscalizada pela ANPD, a Autoridade Nacional de Proteção de Dados. Muita gente acha que ela só vale para bancos e grandes lojas virtuais, mas um simples formulário de contato já coloca o site dentro da lei. Por isso, entender a LGPD para sites é tarefa de qualquer dono de negócio que tem presença online. Este guia explica o essencial sem juridiquês. Ele não substitui a orientação de um advogado, mas ajuda você a saber o que perguntar e o que revisar.
O que a LGPD considera dado pessoal no seu site
Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa. No dia a dia de um site, os exemplos mais comuns são:
- nome, e-mail e telefone enviados por formulário de contato ou orçamento;
- endereço de entrega e CPF em pedidos;
- mensagens recebidas pelo chat ou WhatsApp a partir do site;
- endereço IP e identificadores gravados em cookies;
- dados de agendamento, como data, horário e serviço escolhido.
A lei também define os dados pessoais sensíveis, que pedem cuidado redobrado: saúde, religião, origem racial, opinião política, vida sexual, dados genéticos e biométricos. Se você tem uma clínica, um consultório ou um estúdio que pergunta sobre condições de saúde, essa categoria se aplica a você. No guia de site para clínica há mais detalhes sobre esse tipo de cuidado.
Um ponto importante: a LGPD vale tanto para dados coletados no site quanto para o que acontece depois. A planilha onde você guarda os contatos, a caixa de e-mail que recebe os formulários e o sistema de agendamento também fazem parte do tratamento.
As bases legais: por que você pode usar os dados
A LGPD diz que todo uso de dado pessoal precisa de uma justificativa, chamada de base legal. As mais comuns para sites de pequenos negócios são:
| Base legal | Quando se aplica no site | Exemplo |
|---|---|---|
| Consentimento | Quando o uso não é necessário para o serviço pedido | Cadastro em newsletter, cookies de anúncio |
| Execução de contrato | Quando o dado é necessário para atender o pedido do cliente | Endereço para entrega, dados para emitir orçamento |
| Legítimo interesse | Uso esperado pelo visitante e com baixo impacto | Responder a uma mensagem enviada pelo formulário |
| Obrigação legal | Quando outra lei obriga a guardar o dado | Dados fiscais de uma venda |
O erro mais frequente é usar o consentimento para tudo, com caixas de seleção que ninguém lê. Consentimento só vale se for livre, informado e específico, e o visitante precisa poder retirá-lo depois. Já a pessoa que pediu um orçamento espera ser respondida: para isso, você não precisa de uma caixa "aceito os termos".
Quando o consentimento é obrigatório
Você precisa de consentimento claro, separado e opcional quando quer usar o dado para algo além do que a pessoa pediu. Os casos típicos são enviar promoções por e-mail para quem só pediu um orçamento, colocar o contato em lista de WhatsApp de ofertas e ativar rastreadores de publicidade que acompanham o visitante em outros sites.
Política de privacidade: o que precisa estar escrito
A política de privacidade é o documento que traduz tudo isso para o visitante. Ela deve ficar acessível em todas as páginas, normalmente no rodapé, e responder perguntas simples:
- Quem é o responsável pelos dados: razão social, CNPJ e um canal de contato.
- Quais dados são coletados, em cada formulário ou recurso do site.
- Para que cada dado é usado e qual a base legal.
- Com quem os dados são compartilhados, como serviço de e-mail, plataforma de pagamento ou transportadora.
- Por quanto tempo os dados são guardados e como são descartados.
- Como o visitante exerce seus direitos: acesso, correção, exclusão, portabilidade e revogação do consentimento.
- Quais cookies e rastreadores o site usa, se usar.
Escreva em linguagem simples. Uma política curta e verdadeira vale mais do que dez páginas genéricas. Se o seu site só tem um formulário de contato e um mapa, a política pode ser bem objetiva.
O canal do titular e o encarregado
A lei prevê a figura do encarregado (o chamado DPO), que é o ponto de contato entre a empresa, os titulares e a ANPD. A ANPD publicou uma regulamentação específica para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022), que traz obrigações simplificadas, inclusive sobre o encarregado. Mesmo nos casos em que a indicação formal é dispensada, é preciso manter um canal para receber pedidos dos titulares. Um e-mail dedicado, como privacidade@suaempresa.com.br, resolve bem. O guia de e-mail profissional com domínio mostra como criar esse endereço.
LGPD para sites: cookies, estatísticas e o aviso de consentimento
O famoso aviso de cookies apareceu em quase todos os sites, mas nem sempre ele é necessário. O que define a necessidade é o tipo de rastreamento:
- Cookies essenciais (manter o carrinho, lembrar o login) não dependem de consentimento, mas devem ser informados na política.
- Cookies e pixels de publicidade que acompanham o visitante e montam perfis para anúncios dependem de consentimento.
- Ferramentas de estatística que gravam identificadores no navegador costumam entrar na categoria que pede consentimento, conforme orientações da ANPD sobre cookies.
Por isso, uma forma prática de reduzir o atrito é medir visitas sem gravar cookies. Estatísticas agregadas, sem identificar ninguém, dão ao dono do negócio o que ele precisa saber (quantas pessoas visitaram, quais páginas foram mais vistas, de onde vieram) sem transformar a primeira visita em uma janela de "aceitar ou recusar".
Se você usa vídeos incorporados, mapas, chats de terceiros ou pixels de anúncio, verifique o que cada um grava no navegador. Cada recurso externo pode trazer seus próprios cookies, e eles entram na sua responsabilidade.
Segurança: o que a LGPD para sites pede na prática
A LGPD pede medidas de segurança adequadas ao risco. Para um site pequeno, o básico já reduz muito a chance de problema:
- HTTPS em todas as páginas, com o cadeado no navegador. Formulário enviado sem criptografia é uma falha evidente.
- Coletar o mínimo: se você não vai ligar para o cliente, não peça o telefone como campo obrigatório. Dado que não existe não vaza.
- Acesso restrito: só quem precisa deve ver os contatos. Evite senhas compartilhadas e remova o acesso de quem saiu da equipe.
- Registro de atividades: saber quem alterou o quê e quando ajuda a investigar qualquer incidente.
- Backups e atualizações: site desatualizado é a porta de entrada mais comum para invasões.
- Plano para incidentes: se houver vazamento que possa causar risco ou dano relevante, a lei exige comunicar a ANPD e os titulares afetados.
A escolha da hospedagem também pesa. Uma estrutura com certificado automático, proteção contra ataques e backups facilita cumprir essa parte. O artigo sobre hospedagem de site na Cloudflare explica esses recursos.
Checklist de LGPD para sites de pequenos negócios
Use esta lista para revisar o seu site hoje:
- Liste todos os pontos em que o site coleta dados (formulários, chat, agendamento, newsletter, pedidos).
- Remova campos que você não usa de verdade.
- Defina a finalidade e a base legal de cada coleta.
- Escreva ou revise a política de privacidade e coloque o link no rodapé.
- Crie um canal para pedidos dos titulares e defina quem responde.
- Verifique quais cookies e rastreadores o site carrega e se eles pedem consentimento.
- Separe o consentimento de marketing do pedido de contato, com caixa desmarcada por padrão.
- Confirme que o site usa HTTPS em todas as páginas.
- Revise quem tem acesso aos dados e às senhas.
- Defina por quanto tempo guarda os contatos e apague o que passou do prazo.
Nada disso exige um projeto caro: aplicar a LGPD para sites pequenos é mais simples do que parece. Exige, principalmente, organização e honestidade sobre o que o site faz.
Como a Agência da Web ajuda a manter o site em dia com a LGPD
A Agência da Web é uma plataforma para criar e editar sites conversando em português com o Claude, a IA da Anthropic. Alguns recursos dela facilitam a parte prática da adequação:
- Estatísticas sem cookies: o painel mostra visitantes, quem está online agora, páginas mais vistas, de onde vêm as visitas e os países, sem gravar cookies. Assim, as estatísticas da Agência da Web não exigem aquele aviso de consentimento.
- Edição por conversa: você pode pedir "crie uma página de política de privacidade com estes dados da empresa" ou "tire o campo de telefone do formulário" e conferir o resultado na prévia ao vivo antes de publicar. A IA só publica quando você pede.
- Infraestrutura na Cloudflare, com backups automáticos e cada projeto isolado, com site, banco de dados e servidor próprios.
- Equipe com papéis e registro de tudo: admin e membros por projeto, com histórico de quem fez o quê e quando.
Veja a lista completa de recursos da Agência da Web. Vale lembrar: a plataforma ajuda na parte técnica, mas o conteúdo da política e as decisões sobre o uso dos dados continuam sendo da sua empresa. Se tiver dúvida sobre um caso específico, consulte um advogado.
Se você ainda está montando a presença online do negócio, comece pelo guia de como criar um site para pequena empresa e já planeje a privacidade desde a primeira página. Quando quiser colocar isso em prática, compare os planos da Agência da Web e escolha o que combina com o tamanho do seu negócio.
Perguntas frequentes
Site pequeno precisa seguir a LGPD?
Sim. A LGPD vale para qualquer empresa que trate dados pessoais, independentemente do tamanho. O que muda para negócios pequenos são algumas obrigações simplificadas definidas pela ANPD.
Todo site precisa de aviso de cookies?
Não necessariamente. O aviso de consentimento é necessário quando o site usa cookies ou rastreadores que não são essenciais, como pixels de anúncio. Se o site não usa esse tipo de recurso, o aviso pode não ser necessário.
Qual é a multa da LGPD?
A lei prevê advertência, bloqueio ou eliminação de dados e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. A aplicação depende de processo da ANPD e considera porte, boa-fé e gravidade.
Posso copiar a política de privacidade de outro site?
Não é recomendado. A política precisa descrever os dados que o seu site coleta de verdade, para quê e com quem compartilha. Um texto copiado costuma prometer ou omitir coisas que não correspondem à sua operação.
Na Agência da Web você pede em português, vê a prévia na hora e publica com um pedido. Cada projeto tem site, banco e servidor próprios, na Cloudflare, com backups e estatísticas sem cookies.
Escrito por Equipe Agência da Web, equipe Agência da Web.
