Este texto é uma orientação geral e não substitui a opinião de um advogado. Se o seu negócio lida com dados sensíveis (saúde, por exemplo) ou com grande volume de informações, vale consultar um profissional.
Muita gente acha que a LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) é assunto só de empresa grande. Não é. A lei vale para qualquer pessoa ou empresa que trate dados pessoais, e um site com formulário de contato já faz isso: nome, e-mail e telefone são dados pessoais.
Quando o site entra na lei
Na prática, quando ele coleta ou registra qualquer informação sobre uma pessoa. Os casos mais comuns:
- formulário de contato, orçamento ou agendamento;
- lista de e-mails para novidades;
- ferramentas de estatística, que registram o endereço de rede e o comportamento de quem visita;
- pixels de anúncios, que acompanham as pessoas entre sites;
- cadastro de clientes ou área de login.
Um site que apenas exibe informações, sem formulário e sem nenhuma ferramenta de terceiros, coleta bem pouco. Mesmo assim, o servidor de hospedagem costuma guardar registros de acesso, o que vale conhecer.
Peça só o que precisa
É o princípio mais simples e o mais ignorado. Se o objetivo do formulário é responder a um pedido de orçamento, você precisa do nome e de um jeito de responder. Pedir CPF, data de nascimento, endereço completo e profissão "para o cadastro" aumenta o seu risco e afasta quem preenche. Cada dado que você não coleta é um dado que você não precisa proteger, explicar nem apagar depois.
A política de privacidade
Ela precisa ser um documento real, escrito em linguagem que o visitante entenda, e não um texto copiado de outro site. O conteúdo básico:
- Quem é você: nome do negócio, CNPJ se houver e um contato.
- Quais dados você coleta e em que situação (formulário, estatísticas, cookies).
- Para que usa: responder ao pedido, enviar novidades, melhorar o site.
- Por quanto tempo guarda e como apaga.
- Com quem compartilha: a hospedagem, a ferramenta de e-mail, o serviço de estatísticas.
- Como a pessoa exerce seus direitos: pedir acesso, correção ou exclusão dos dados, com um e-mail de contato e um prazo de resposta.
Deixe o link da política no rodapé, visível em todas as páginas, e perto do formulário, com uma frase curta dizendo para que o dado será usado.
Cookies e estatísticas
Cookies estritamente necessários para o site funcionar não exigem pedido de consentimento. Os de estatísticas e de publicidade, em geral, exigem. Se o seu site usa uma ferramenta de anúncios ou de análise que grava cookies, o aviso precisa dar a opção real de recusar, com o mesmo destaque da opção de aceitar, e o site não deve gravar nada antes da resposta.
Existe um atalho legítimo: ferramentas de estatística pensadas para privacidade, que contam visitas sem gravar cookies nem identificar pessoas. Para um site pequeno costumam entregar o necessário (quantas visitas, de onde vieram, quais páginas), com bem menos obrigações.
Se alguém pedir para apagar os dados
A lei dá à pessoa o direito de pedir acesso, correção e eliminação dos dados dela. Tenha um e-mail de contato publicado, e um jeito simples de achar o que você guardou sobre cada pessoa (uma planilha organizada já resolve para um negócio pequeno). Responda dentro de um prazo razoável e guarde o registro do pedido.
Segurança básica
- Site em HTTPS (o cadeado no endereço). Hoje é o padrão e muitas hospedagens oferecem de graça.
- Senhas fortes e diferentes para hospedagem, e-mail e painel do site, de preferência com verificação em duas etapas.
- Acesso limitado: quem não precisa, não deve ter a senha.
- Planilhas com dados de clientes não ficam abertas num compartilhamento público.
E se algo der errado
Se houver vazamento ou acesso indevido que possa causar risco relevante às pessoas, a lei prevê comunicar a ANPD (a autoridade nacional) e os titulares afetados. As sanções incluem advertência e multas, que podem chegar a 2% do faturamento da empresa, com teto de R$ 50 milhões por infração. Para pequenos negócios, a ANPD também criou regras simplificadas (Resolução CD/ANPD nº 2/2022), o que não dispensa os cuidados básicos descritos acima.
O melhor investimento aqui é o preventivo: coletar pouco, explicar com clareza e manter o acesso sob controle.