Seu site precisa de política de privacidade e termos de uso? Veja o que não pode faltar

Dado pessoal é qualquer informação de uma pessoa identificada ou identificável: nome, e-mail, telefone, endereço, CPF. Se o site recebe esse tipo de dado, por formulário, cadastro, loja virtual ou cookies, a empresa precisa informar a quem visita o que faz com ele. Veja os casos mais comuns:

• Formulário de contato ou orçamentoNome, e-mail e telefone de quem escreve já são dados pessoais, mesmo que o formulário só mande um e-mail.
• Cadastro e área do clienteLogin, pedidos, endereço. O site guarda os dados por mais tempo e precisa dizer por quanto e para quê.
• Loja virtualDados de entrega, pagamento e nota fiscal, repassados à plataforma da loja, ao meio de pagamento e à transportadora.
• Cookies de análise e de publicidadeEstatística de visitas, pixels de anúncio e vídeos incorporados coletam dados de navegação.

• LGPD, art. 9º, I e II

  Para que e por quanto tempo

  A finalidade específica de cada dado (responder ao contato, entregar o pedido) e a forma e duração do uso.

• LGPD, art. 9º, III e IV

  Quem é o responsável

  A identificação de quem decide sobre os dados, o controlador (em regra, a empresa dona do site), e as informações de contato dele.

• LGPD, art. 9º, V

  Com quem compartilha

  Quem recebe os dados e por quê: hospedagem, e-mail, meio de pagamento, transportadora, anúncios. Se algum guarda dados fora do Brasil, a LGPD tem regras próprias para isso (art. 33).

• LGPD, arts. 7º e 8º

  A base legal de cada uso

  Toda finalidade precisa de uma das bases legais do art. 7º. Quando a base é o consentimento, ele vale para finalidades determinadas: as autorizações genéricas são nulas (art. 8º, § 4º) e o consentimento pode ser revogado a qualquer momento, sem custo e de forma facilitada (art. 8º, § 5º).

• LGPD, arts. 9º, VII, e 18

  Os direitos de quem usa o site

  A política deve citar de forma explícita os direitos do art. 18, como acesso, correção e eliminação, e dizer como pedir.

• LGPD, art. 41, § 1º

  Quem é o encarregado

  A identidade e o contato do encarregado (o DPO) devem ser divulgados publicamente, de forma clara e objetiva, preferencialmente no site. Na empresa de pequeno porte que não indicar encarregado, vale um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022, art. 11).

Cookies são pequenos arquivos que o site grava no navegador de quem visita. A Agência Nacional de Proteção de Dados (ANPD), que ganhou esse nome com a Lei 15.352/2026, publicou o Guia Orientativo Cookies e proteção de dados pessoais, com estas orientações:

• Cookies necessáriosOs essenciais para o site funcionar. Para eles, o consentimento não é a base apropriada; o legítimo interesse pode ser, conforme o caso concreto.
• Cookies analíticosMedem as visitas. Podem se apoiar no legítimo interesse em certos contextos, como quando usam dados agregados, sem formar perfil de usuário nem cruzar com outros rastreadores.
• Cookies de publicidadeMontam perfis para mostrar anúncios. Para a ANPD, o legítimo interesse dificilmente será a base apropriada, e o consentimento tende a ser a mais adequada.

Quem vende pela internet tem, além da LGPD, as regras do comércio eletrônico do Decreto 7.962/2013, que regulamenta o Código de Defesa do Consumidor.

• Identificação do fornecedor (art. 2º)Em local de destaque e de fácil visualização: nome empresarial, CNPJ ou CPF, endereço físico e eletrônico, as características essenciais do produto, as despesas extras, como o frete, e as condições integrais da oferta.
• Atendimento facilitado (art. 4º)Sumário do contrato antes da compra, contrato disponível para guardar e reproduzir, atendimento eletrônico com resposta em até cinco dias e mecanismos de segurança eficazes para pagamento e para tratamento de dados do consumidor.
• Direito de arrependimento (art. 5º)A loja deve informar de forma clara e ostensiva como desistir da compra. Pelo art. 49 do CDC, quem compra fora do estabelecimento comercial pode desistir em 7 dias, contados da assinatura ou do recebimento do produto ou serviço.

Modelos e geradores ajudam a enxergar a estrutura, mas a política de privacidade tem de descrever o que o site realmente faz. Os problemas mais comuns de um texto copiado:

• Fala de outro siteCita ferramentas que você não usa, cala sobre as que usa e às vezes traz até o CNPJ de outra empresa.
• Base legal erradaPede consentimento para tudo, inclusive para o que não depende dele, ou traz autorizações genéricas, que a LGPD considera nulas (art. 8º, § 4º).
• Promete o que a empresa não fazDescreve prazos, canais e medidas de segurança que ninguém na empresa conhece.
• Feito para outra leiTraduzido de um modelo estrangeiro, cita regras de outro país e esquece os direitos do art. 18 da LGPD.

Os primeiros passos a própria empresa dá, com quem cuida do site. Cada passo usa o resultado do anterior.

1. 1

   Liste o que o site coleta

   Anote os formulários, o cadastro, o carrinho e o chat. Pergunte a quem fez o site quais ferramentas e plugins estão instalados.

2. 2

   Liste os fornecedores

   Hospedagem, plataforma da loja, e-mail marketing, meio de pagamento, estatística e anúncios. Anote quais recebem dados e onde ficam os servidores.

3. 3

   Defina para que serve cada dado

   Escreva a finalidade e a base legal de cada dado. O que não tem finalidade clara sai do formulário.

4. 4

   Escreva em linguagem simples e publique

   Link no rodapé de todas as páginas e perto de cada formulário, explicando como pedir acesso, correção ou exclusão dos dados.

5. 5

   Ajuste o banner de cookies

   Os cookies que dependem de consentimento ficam desligados até a pessoa aceitar, e o botão de rejeitar tem o mesmo destaque do botão de aceitar.

6. 6

   Revise quando o site mudar

   Ferramenta nova, formulário novo ou fornecedor novo pedem a política atualizada. Mudança de finalidade ou de compartilhamento deve ser informada com destaque (art. 8º, § 6º, e art. 9º, § 2º).

Se o formulário ou o cadastro do site já sofreu um acesso indevido, a prioridade muda: veja o guia sobre vazamento de dados na empresa.

• Sua empresa precisa se adequar à LGPD?O que a lei exige da empresa toda, além do site: registro, encarregado, segurança e as regras para pequeno porte.
• Sua empresa teve vazamento de dados?O que fazer nos primeiros dias e como comunicar a ANPD e as pessoas afetadas.
• Seus dados vazaram?O lado de quem teve os dados expostos: como se proteger de golpes e o que pedir à empresa.

O trabalho começa pelo que o site faz, e não por um modelo. Nem todo site passa por todas as etapas: cada caso depende do que o site coleta, do porte da empresa e do que já existe. Não há resultado garantido.

1. Etapa 1

   Diagnóstico do site

   Levantamento do que o site realmente coleta: formulários, cadastro, cookies, pixels, plugins, integrações e fornecedores, com a equipe ou a agência que cuida do site.

2. Etapa 2

   Redação dos documentos

   Política de privacidade, política de cookies e termos de uso escritos a partir do diagnóstico, em linguagem simples, e, na loja virtual, as informações exigidas pelo Decreto 7.962/2013.

3. Etapa 3

   Ajustes no site

   Orientação para o banner de cookies, os avisos ao lado dos formulários e o canal para os pedidos dos titulares, junto com quem faz a parte técnica.

4. Etapa 4

   Revisão periódica

   Nova leitura quando o site ganha ferramenta, formulário ou fornecedor, ou quando muda uma regra da ANPD.

Entrevistas sobre privacidade, proteção de dados e segurança digital.

• 

  Metrópoles, Café em Brasília

  Apagão cibernético global: falha em software afeta voos, bancos e serviços

• 

  TV Brasil, Repórter Brasil

  Crimes digitais: punições previstas em lei para hackers

• 

  CNJ

  Entrevista como professor e advogado de Direito Digital