Se o site da sua empresa tem formulário de contato, botão de WhatsApp ou Google Analytics, ele já coleta dado pessoal e já está dentro da LGPD. O mínimo para ficar em ordem são quatro itens: uma política de privacidade escrita para a sua operação, um aviso de cookies que realmente funcione, um canal para quem quiser pedir os próprios dados de volta e a disciplina de coletar só o que você usa. Nenhum deles é caro. Este texto é informativo e não substitui a orientação de um advogado.
Por que isso vale para empresa pequena também
A LGPD não tem faixa de faturamento mínimo. Ela vale para quem trata dado pessoal, e dado pessoal é qualquer informação que identifique alguém: nome, e-mail, telefone, CPF, endereço, e também o rastro que ferramentas de análise deixam no navegador do visitante.
Na prática, isso significa que quase todo site empresarial está incluso. Um formulário pedindo nome e telefone já basta. Uma newsletter já basta. O Analytics instalado já basta.
O que mudou nos últimos anos foi a fiscalização. A ANPD, que é o órgão responsável, saiu da fase educativa e passou a agir por iniciativa própria, sem depender só de denúncia. As sanções previstas chegam a 2% do faturamento, com teto de R$ 50 milhões por infração. Na prática, as autuações contra empresas menores têm ficado em faixas bem mais baixas, mas o incômodo de responder a um processo já custa tempo e advogado.
Os quatro itens mínimos
- Política de privacidade escrita para o seu caso. Precisa dizer quais dados você coleta, para que usa, por quanto tempo guarda, com quem compartilha e como a pessoa pede exclusão. Política copiada de outro site é pior que nenhuma, porque descreve uma operação que não é a sua e isso, por si só, é um problema.
- Aviso de cookies que realmente funciona. Detalhado na seção seguinte, porque é onde quase todo mundo erra.
- Um canal de contato para assuntos de dados. Pode ser um e-mail simples, do tipo privacidade@suaempresa.com.br, publicado na política. A lei dá à pessoa o direito de pedir acesso, correção e exclusão dos próprios dados, e alguém precisa receber esse pedido.
- Coletar só o que você usa. Formulário pedindo CPF, data de nascimento e endereço completo para um simples pedido de orçamento é risco desnecessário. Cada campo a mais é um dado a mais que você passa a ser responsável por proteger. Menos campos também aumentam a taxa de preenchimento, então aqui a lei e a conversão apontam para o mesmo lado.
O erro do aviso de cookies
A maioria dos sites brasileiros tem uma barra de cookies que não serve para nada. Ela aparece, a pessoa clica em aceitar, e pronto. O problema é que os scripts de rastreamento já tinham carregado antes do clique, então o aviso é decorativo.
Um aviso que funciona de verdade tem três características:
- Nada de terceiros carrega antes do consentimento. Analytics, pixel de rede social e mapas ficam parados até a pessoa aceitar.
- Recusar é tão fácil quanto aceitar. Os dois botões no mesmo nível, com o mesmo destaque. Esconder a recusa atrás de três cliques é justamente o padrão que gerou autuações.
- Dá para escolher por categoria. Cookies essenciais, de análise e de publicidade separados, com o visitante decidindo cada um.
Existe uma exceção útil: cookies estritamente necessários para o site funcionar, como os que mantêm a sessão ou o carrinho, não dependem de consentimento. É o rastreamento que depende.
Formulário, WhatsApp e a lista que ninguém olha
No formulário, o cuidado é simples: uma frase curta abaixo do botão dizendo para que os dados serão usados, com link para a política. Não precisa de caixa de seleção obrigatória quando o preenchimento já é uma solicitação clara de contato. Precisa, sim, quando você pretende usar aquele e-mail depois para enviar promoção, e aí a autorização tem que ser separada e voluntária.
No botão de WhatsApp o dado sai do site e vai para o celular de alguém. A responsabilidade continua sendo da empresa. Conversas com dados de cliente não deveriam ficar no aparelho pessoal de um funcionário que amanhã pode sair. A escolha entre os dois canais tem outros critérios também, tratados em formulário ou WhatsApp.
E existe o arquivo esquecido: a planilha com quatro anos de contatos, salva no computador da recepção, que ninguém sabe mais para que serve. Guardar dado sem finalidade atual é exatamente o que a lei pede para não fazer. Apagar o que não tem uso é a ação mais barata desta lista inteira.
Por onde começar nesta semana
Quatro tarefas curtas, na ordem: abra o seu site e liste todo lugar onde alguém digita alguma coisa; verifique se o Analytics e os pixels estão carregando antes do aceite do aviso; leia a sua política de privacidade até o fim e veja se ela descreve a sua empresa ou a de outra pessoa; e crie o e-mail de privacidade e publique. Isso resolve a maior parte da exposição de um site institucional comum, e o que sobrar depende de um advogado olhando o seu caso.
Perguntas frequentes
Meu site é só institucional, sem formulário. Preciso de alguma coisa?
Se não houver formulário, nem Analytics, nem pixel de rede social, nem chat, a exposição é quase nula. Na prática isso é raro, porque quase todo site tem pelo menos uma ferramenta de análise instalada. Vale conferir no código antes de concluir que não tem nada.
Posso usar um gerador gratuito de política de privacidade?
Como ponto de partida, sim. Como documento final, não. O gerador produz um texto genérico que você precisa ajustar para descrever quais dados a sua empresa realmente coleta e o que faz com eles. Publicar sem essa revisão é o mesmo erro de copiar do concorrente.
Preciso nomear um encarregado de dados?
A lei prevê a figura do encarregado, e a ANPD já sinalizou tratamento mais simples para agentes de pequeno porte. Na prática, para empresa pequena isso costuma ser resolvido publicando um canal de contato e definindo internamente quem responde. Vale confirmar com um advogado a situação da sua empresa.
Aviso de cookies atrapalha a conversão do site?
Atrapalha um pouco quando é mal feito: barra gigante cobrindo a tela, principalmente no celular. Bem feito, ocupa pouco espaço, aparece uma vez e não volta. O impacto real é menor do que o de uma página que demora a abrir.
Quanto custa deixar o site adequado?
Os itens técnicos, como instalar e configurar corretamente o aviso de cookies e ajustar formulários, costumam ser algumas horas de trabalho e entram na mesma conta anual de manutenção do site. A política de privacidade escrita sob medida é o item que varia mais, porque depende de quem redige. É bem mais barato do que responder a uma reclamação depois.
Em resumo
A LGPD assusta mais pelo nome do que pelo trabalho que dá em um site comum. Política de privacidade verdadeira, aviso de cookies que respeita a recusa, um e-mail para pedidos de dados e a disciplina de coletar pouco resolvem quase tudo. Comece hoje pelo mais simples: abra o seu site em uma aba anônima e veja se o Analytics dispara antes de você clicar em aceitar. Se disparar, você acabou de encontrar o primeiro item da lista.
