Se o seu site tem um formulário, uma newsletter ou um campo de comentários, ele trata dados pessoais e está sob a LGPD. A boa notícia: para um site pequeno, o essencial cabe em uma tarde de trabalho.
A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer pessoa ou empresa que trate dados de pessoas no Brasil, inclusive blogs e sites pequenos. Abaixo, o mínimo que vale ter.
1. Saiba quais dados você coleta
Comece listando. Na maioria dos sites a lista é curta e previsível:
- E-mail de quem assina a newsletter.
- Nome, e-mail e mensagem de quem usa o formulário de contato.
- Nome, e-mail e IP de quem comenta, se os comentários estiverem abertos.
- Registros de acesso guardados pela hospedagem.
- Dados de audiência, se você usa alguma ferramenta de medição.
Você não protege o que não sabe que tem. Essa lista é a base de todo o resto.
2. Tenha uma política de privacidade que descreva a realidade
O erro mais comum é copiar um modelo da internet que fala de dados que você não coleta e de empresas que você não usa. A política precisa dizer, em português claro: o que você coleta, para que usa, com quem compartilha, por quanto tempo guarda e como a pessoa pede exclusão.
Um e-mail de contato visível resolve a maior parte das solicitações. Veja a nossa política como exemplo de estrutura enxuta.
3. Peça consentimento de verdade na newsletter
Consentimento, pela lei, precisa ser livre, informado e específico. Na prática:
- Caixa de seleção desmarcada por padrão, nunca pré-marcada.
- Texto dizendo o que a pessoa vai receber.
- Registro da data e do texto aceito, para você conseguir comprovar depois.
- Link de descadastro em toda mensagem enviada.
Cuidado com o checkbox pré-marcado
Consentimento pré-marcado ou escondido em letras miúdas não é consentimento válido. É um dos pontos mais simples de corrigir e um dos mais comuns de encontrar errado.
4. Cookies: só peça se realmente usar
Se o site usa apenas cookies técnicos, necessários para funcionar, não é preciso banner. O aviso passa a fazer sentido quando entram ferramentas de medição de audiência ou de publicidade. Nesse caso, o banner precisa permitir recusar com a mesma facilidade com que permite aceitar.
5. Guarde menos e proteja o que guarda
- Não peça dado que você não vai usar.
- Apague inscrições canceladas em vez de mantê-las “por garantia”.
- Mantenha WordPress, tema e plugins atualizados.
- Use senha forte e verificação em duas etapas no painel.
- Tenha backup automático e teste a restauração pelo menos uma vez.
6. Saiba o que fazer quando alguém pedir seus dados
Pelo artigo 18 da LGPD, a pessoa pode pedir confirmação do tratamento, acesso, correção, exclusão, portabilidade e revogação do consentimento. Você não precisa de sistema nenhum para isso: precisa de um canal que funcione e de alguém que responda.
O WordPress já ajuda: em Ferramentas existem as opções de exportar e apagar dados pessoais por e-mail.
O que este texto não é
Este é um guia prático, não aconselhamento jurídico. Para um site com volume grande de dados, programa de fidelidade, dados sensíveis ou público infantil, vale consultar um advogado especializado.
Perguntas frequentes
Sim, se coleta qualquer dado pessoal, incluindo e-mail de newsletter, formulário de contato ou comentários. Não há exceção por tamanho do site.
Se o site usa apenas cookies técnicos, não. O aviso passa a ser necessário quando entram ferramentas de medição de audiência ou publicidade.
A lei se aplica a qualquer porte. Na prática, a fiscalização prioriza casos de maior impacto, mas o risco existe, e o custo de se adequar é baixo.
Quais dados você coleta, para que usa, com quem compartilha, por quanto tempo guarda e como a pessoa pede acesso ou exclusão.
Continue em segurança e privacidade.
