Tem muita gente vendendo pânico com LGPD, e tem muita gente ignorando completamente. Nenhum dos dois ajuda. Vou tentar o meio-termo: o que a lei realmente pede de um site pequeno de prestador de serviço, sem exagero e sem inventar obrigação que não existe.

Aviso necessário: eu faço site, não sou advogado. Isso aqui é o que a gente aplica na prática. Se o seu negócio trata dado sensível em volume — clínica, escritório de advocacia, RH — vale uma consultoria jurídica de verdade em cima do seu caso.

O que a LGPD é, em uma frase

A Lei Geral de Proteção de Dados (Lei 13.709/2018) diz que, para tratar dado pessoal de alguém, você precisa de uma justificativa prevista na lei, precisa contar o que faz com aquele dado, e precisa deixar a pessoa exercer direitos sobre ele.

E "dado pessoal" é mais amplo do que a maioria imagina. Nome e e-mail no formulário de contato são dado pessoal. Número de WhatsApp é dado pessoal. Endereço de IP registrado por uma ferramenta de análise é dado pessoal.

Ou seja: se o seu site tem um formulário, você trata dados. Não tem escapatória, e nem precisa ter — o que a lei pede é razoável.

O mínimo prático

Política de privacidade acessível. Um link no rodapé, alcançável de qualquer página. Ela precisa dizer, em linguagem que a pessoa entenda: quais dados você coleta, para que usa, com quem compartilha, por quanto tempo guarda, e como a pessoa pede acesso ou exclusão.

O que ela não pode ser: um texto genérico copiado de outro site, com o nome de outra empresa esquecido no meio, falando de coleta que você nem faz. Já vi isso mais vezes do que gostaria. É pior que não ter, porque documenta que ninguém leu.

Um canal para o titular exercer direitos. A pessoa tem direito de pedir acesso aos dados dela, correção e exclusão. Você precisa de um jeito de receber esse pedido — um e-mail dedicado na política já cumpre para negócio pequeno.

Coletar só o que você usa. Este é o item mais fácil de resolver e o mais ignorado. Formulário com dez campos "porque um dia pode ser útil" é risco de graça. Se você não vai usar o CPF, não peça o CPF. Menos dado coletado é menos exposição, e ainda por cima converte melhor.

Deixar claro para que serve o formulário. Uma linha ao lado do botão: "usamos os seus dados apenas para responder a este contato". Transparência é o princípio central da lei, e ela custa uma frase.

Guardar com segurança. Site com HTTPS, acesso ao painel com senha forte, e nada de lista de leads circulando em planilha aberta no grupo do WhatsApp.

A verdade sobre banner de cookies

Aqui é onde tem mais desinformação, então vou ser preciso.

A LGPD não diz, em nenhum artigo, que banner de cookies é obrigatório. Diferente da União Europeia, que tem a Diretiva ePrivacy tratando especificamente de consentimento para cookies, o Brasil não tem norma equivalente.

O que existe é o Guia Orientativo "Cookies e Proteção de Dados Pessoais", publicado pela ANPD em outubro de 2022. E é importante entender o que ele é: um documento orientativo, que interpreta como a LGPD se aplica a cookies. Não é norma com força de regulamento.

Dito isso, o que o guia orienta faz sentido e vale seguir:

Meu resumo honesto: cookie estritamente necessário para o site funcionar não exige consentimento. Cookie de análise, remarketing e pixel de anúncio é onde o assunto realmente mora. Se você roda tráfego pago com pixel instalado, é o seu caso.

E se for colocar banner, faça um decente. Banner mal feito é o campeão de estragar o CLS do site, empurrando o conteúdo para baixo enquanto a pessoa tenta ler — o que atrapalha a performance e irrita à toa.

O que muda por tipo de negócio

Advogado, clínica, consultório. Dado de saúde e dado sobre processo são dado sensível, com proteção mais rígida. Não peça detalhe do caso ou do sintoma num formulário de site. Peça o mínimo para retomar o contato e converse depois pelo canal apropriado. Falo mais disso em site para advogado.

Imobiliária. Você trata dado de quem busca imóvel e de quem anuncia. Se compartilha com parceiro, banco ou construtora, isso precisa estar na política.

Quem faz anúncio. Pixel do Google e da Meta coletam dado. É o caso mais claro de precisar de aviso de cookies e de menção na política.

O que eu não faço

Não coloco selo de "site 100% adequado à LGPD" em página nenhuma. Adequação não é característica de um site, é do tratamento de dados da empresa inteira — inclui a planilha do comercial, o grupo de WhatsApp e o sistema de gestão. Selo desses é enfeite, e enfeite que promete o que não entrega.

O que eu entrego é o lado do site: política acessível, formulário enxuto, HTTPS, e aviso de cookies quando existe rastreamento que justifique.

Conclusão

Para a maioria dos sites de prestador de serviço, o mínimo é: política de privacidade honesta e acessível, formulário que só pede o que você usa, um canal para pedidos do titular, e HTTPS. Banner de cookies não é obrigação legal expressa no Brasil, mas é recomendação da ANPD e faz sentido se você usa pixel ou análise.

Na NEX Agency, todo site que a gente entrega sai com HTTPS, formulário enxuto e a estrutura para política de privacidade e aviso de cookies. Fale com a Fabiana no WhatsApp pela página de criação de sites.