Sim. Qualquer site que colete dado pessoal precisa de política de privacidade, e isso inclui o site que só tem um formulário de contato, um pixel de remarketing ou um botão de newsletter. A obrigação vem da LGPD, que garante ao titular o acesso facilitado às informações sobre o tratamento dos seus dados, e do Marco Civil da Internet, que exige informação clara sobre coleta, uso, armazenamento e proteção de dados nos termos de uso do serviço. O aviso de cookies entra como consequência disso quando o site usa cookies que não são estritamente necessários para funcionar.
O que quase nenhuma empresa entende é que o documento não existe para o Google nem para o visitante. Ele existe para provar, se alguém perguntar, que a empresa sabe quais dados coleta, por que coleta e com quem compartilha. Política que ninguém da empresa consegue explicar não protege nada.
O que é política de privacidade
Política de privacidade é o documento em que a empresa informa, em linguagem acessível, quais dados pessoais ela coleta, com qual finalidade, com base em qual hipótese legal, por quanto tempo guarda, com quem compartilha e como o titular exerce os seus direitos. Ela não é um contrato assinado pelo visitante, é uma declaração de transparência do controlador.
Essa diferença tem consequência prática. Contrato depende de aceite para gerar obrigação. Política de privacidade obriga a empresa desde que publicada, mesmo que nenhum visitante clique em nada. Se a política diz que os dados não são compartilhados com terceiros e o site roda pixel do Meta e do Google, a própria política vira prova contra a empresa.
De onde vem a obrigação
Três camadas legais sustentam a exigência, e elas se somam em vez de se substituir.
A primeira é a Lei 13.709/2018, a LGPD. O artigo 6º coloca a transparência entre os princípios do tratamento, e o artigo 9º detalha o que o titular tem direito de saber: a finalidade específica do tratamento, a forma e a duração, a identificação e os dados de contato do controlador, informações sobre uso compartilhado e a respectiva finalidade, as responsabilidades dos agentes envolvidos e os direitos do titular. O artigo 18 lista esses direitos, entre eles confirmação da existência do tratamento, acesso, correção, eliminação, portabilidade e informação sobre com quem os dados foram compartilhados.
A segunda é a Lei 12.965/2014, o Marco Civil da Internet. O artigo 7º garante ao usuário informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção dos seus dados pessoais, e determina que essas informações constem dos contratos de prestação de serviço ou dos termos de uso da aplicação. O mesmo artigo condiciona o fornecimento de dados a terceiros ao consentimento livre, expresso e informado, ou a hipótese legal.
A terceira alcança quem vende online. O Decreto 7.962/2013 regulamenta o comércio eletrônico e exige informações claras sobre o fornecedor, o produto, o atendimento e o direito de arrependimento, o que na prática significa um bloco de documentos que conversa com a política de privacidade. Loja virtual que trata a privacidade como página solta e ignora o resto costuma ter problema no primeiro Procon. Esse conjunto integra a rotina de conformidade de quem opera e-commerce com volume relevante de pedidos.
O que a política precisa conter
Não existe modelo único, porque o conteúdo depende do que o site faz. Existe, porém, um conjunto mínimo que aparece em qualquer política decente.
- Identificação do controlador. Razão social, CNPJ e endereço. Site que não diz quem está por trás já começa mal, e isso vale também para a exigência do Decreto 7.962/2013 no comércio eletrônico.
- Canal do encarregado. E-mail ou formulário que funcione de verdade, com alguém responsável por responder. Endereço genérico que ninguém lê é problema, não solução.
- Quais dados são coletados. Separando o que o usuário informa por vontade própria, como nome e e-mail em formulário, do que é coletado automaticamente, como IP, identificadores de dispositivo e comportamento de navegação.
- Finalidade de cada tratamento. Descrição concreta. Enviar orçamento, processar pedido, medir audiência, veicular anúncio, prevenir fraude. Finalidade genérica do tipo “melhorar sua experiência” não informa nada.
- Base legal correspondente. O artigo 7º da LGPD traz as hipóteses que autorizam o tratamento, entre elas consentimento, execução de contrato, cumprimento de obrigação legal e legítimo interesse. Cada finalidade precisa se apoiar em uma delas.
- Compartilhamento. Com quem os dados são compartilhados e para quê. Plataforma de e-mail, gateway de pagamento, ferramenta de atendimento, rede de anúncios, serviço de analytics.
- Transferência internacional. Se as ferramentas usadas armazenam dados fora do Brasil, o que é a regra em serviços de nuvem, isso precisa estar dito.
- Prazo de retenção. Por quanto tempo cada categoria de dado é guardada e o que acontece depois.
- Direitos do titular e como exercê-los. Não basta listar o artigo 18. Precisa dizer para onde a pessoa escreve e em quanto tempo recebe resposta.
- Medidas de segurança. Em nível descritivo, sem expor a arquitetura do ambiente.
- Data da última atualização. Política sem data levanta a suspeita de documento abandonado.
Política de privacidade e termos de uso não são a mesma coisa
A confusão é frequente e cara. Os dois documentos cumprem funções diferentes e um não cobre o outro.
| Aspecto | Política de privacidade | Termos de uso |
|---|---|---|
| Função | Informar como os dados pessoais são tratados | Estabelecer as regras de uso do site, do app ou do serviço |
| Natureza | Declaração de transparência do controlador | Contrato de adesão entre empresa e usuário |
| Base normativa principal | LGPD e Marco Civil da Internet | Código Civil, Código de Defesa do Consumidor e Marco Civil |
| Conteúdo típico | Dados coletados, finalidade, base legal, compartilhamento, direitos do titular | Cadastro, pagamento, propriedade intelectual, condutas proibidas, cancelamento, foro |
| Efeito de estar errado | Exposição perante a ANPD e ao titular, além de prova contra a própria empresa | Cláusula inválida, dificuldade de cobrar, de banir usuário ou de encerrar contrato |
Site institucional simples costuma resolver com política de privacidade e um aviso de cookies. Plataforma com login, assinatura, marketplace ou comunidade precisa dos dois, porque sem regra de uso não há como suspender conta, cobrar inadimplente ou limitar responsabilidade. É o mesmo raciocínio aplicado em termos de uso de aplicativo, onde a ausência do documento aparece justamente quando a empresa precisa banir alguém.
O problema de copiar a política de outro site
Copiar é a saída mais comum e cria três problemas ao mesmo tempo.
O primeiro é factual. A política copiada descreve as ferramentas, os fluxos e os prazos da outra empresa. Se ela cita um serviço de analytics que você não usa, ou omite o gateway de pagamento que você usa, o documento passou a mentir sobre a sua operação. Perante a ANPD, política que não corresponde à realidade é evidência de tratamento sem transparência, não é atenuante.
O segundo é jurídico em outra frente. Texto de política é obra protegida pela Lei 9.610/1998. Copiar integralmente o documento de terceiro é reprodução não autorizada, e escritórios que redigiram aquele material às vezes cobram por isso. Empresa que copia de concorrente ainda entrega ao concorrente uma prova pronta.
O terceiro é operacional e aparece depois. Quando chega uma solicitação de titular pedindo eliminação de dados, alguém dentro da empresa precisa saber onde aquele dado está e como apagá-lo. Política copiada não vem com esse conhecimento. Ela promete um procedimento que ninguém sabe executar, e a promessa descumprida é o que gera a reclamação.
O caminho não é escrever do zero em folha em branco. É mapear o que a empresa realmente coleta, onde guarda e com quem compartilha, e só então redigir. O mapeamento é o trabalho, o texto é a consequência.
Cookies são pequenos arquivos gravados no navegador do visitante. Alguns existem para o site funcionar, outros existem para medir audiência ou perseguir o usuário com anúncio. A distinção entre esses grupos define o que precisa de consentimento.
A ANPD publicou em 2022 um guia orientativo sobre cookies e proteção de dados pessoais, e a lógica adotada ali é a que o mercado brasileiro segue. Cookies estritamente necessários, aqueles sem os quais o serviço não funciona, como manutenção de sessão, carrinho de compras e segurança de login, não dependem de consentimento e podem se apoiar em outra base legal. Cookies não necessários, como os de analytics, publicidade comportamental e integração com redes sociais, dependem em regra de consentimento prévio do titular.
Os tipos que aparecem em site de empresa digital
| Categoria | Exemplo típico | Precisa de consentimento |
|---|---|---|
| Estritamente necessário | Sessão de login, carrinho, balanceamento de carga, proteção contra fraude | Não, mas precisa estar informado na política |
| Funcional ou de preferência | Idioma escolhido, região, layout salvo | Depende do impacto, e a avaliação precisa estar documentada |
| Analítico | Medição de audiência, mapa de calor, gravação de sessão | Em regra sim, especialmente quando identifica o usuário |
| Publicitário | Pixel de rede social, remarketing, mensuração de conversão | Sim, e o disparo só pode ocorrer depois do aceite |
Por que o banner só com “aceitar” não resolve
O banner que oferece apenas o botão de aceitar, sem alternativa visível de recusa, tem um defeito de origem: ele não coleta consentimento, ele coleta resignação. O artigo 8º da LGPD exige que o consentimento se refira a finalidades determinadas e declara nulas as autorizações genéricas. O mesmo artigo garante ao titular a revogação a qualquer momento, por procedimento gratuito e facilitado.
Três defeitos aparecem com frequência nos banners brasileiros. O primeiro é o disparo antecipado: o pixel e o script de analytics carregam junto com a página, antes de qualquer clique, o que torna o banner decorativo. O segundo é a assimetria de interface, com botão de aceitar grande e colorido e recusa escondida atrás de dois cliques em um submenu cinza. O terceiro é a ausência de revogação, quando o visitante aceita uma vez e nunca mais encontra onde mudar de ideia.
Banner correto informa quais categorias de cookies existem, permite recusar as não necessárias com o mesmo esforço de aceitar, só dispara os scripts correspondentes depois da escolha, registra essa escolha com data e hora, e deixa um caminho visível para o titular alterar a preferência depois. O registro é o que sustenta a prova de consentimento caso ela seja exigida.
Agências que montam sites e campanhas para clientes esbarram nisso o tempo todo, porque o pixel que alimenta a mensuração é justamente o que depende de aceite. Quem trabalha com tráfego pago precisa desenhar o consentimento junto com a estratégia de mensuração, e não depois que a campanha já está rodando.
Erros que aparecem com mais frequência
Alguns padrões se repetem em auditoria de site, independentemente do porte da empresa.
Política publicada sem base legal declarada é o mais comum. O documento descreve bem o que coleta, mas não diz por que aquilo é lícito. Sem hipótese do artigo 7º indicada para cada finalidade, o texto é uma descrição, não uma justificativa.
Consentimento usado como base para tudo é o segundo. Empresa que apoia todo o tratamento no consentimento cria um problema para si mesma, porque consentimento pode ser revogado a qualquer momento. Processar um pedido de compra se apoia na execução do contrato, cumprir obrigação fiscal se apoia em obrigação legal, e nenhum desses tratamentos deveria parar porque o titular revogou um aceite.
Formulário sem finalidade explícita é o terceiro. Campo de telefone marcado como obrigatório em formulário de download de material, sem que o material tenha qualquer relação com contato telefônico, coleta dado além do necessário e contraria o princípio da necessidade.
Política que promete o que a empresa não faz é o quarto, e o mais perigoso. Texto dizendo que os dados são armazenados exclusivamente no Brasil quando a ferramenta usada é norte-americana, ou que nenhum dado é compartilhado quando há três integrações ativas, transforma o documento em confissão.
Site com política, mas sem processo interno, é o quinto. Quando chega a primeira solicitação de titular pedindo cópia dos seus dados, alguém precisa saber quem responde, em quanto tempo e como reunir a informação. Sem esse fluxo, o prazo passa e a reclamação vai para a ANPD.
O que acontece quando um titular pede os dados dele
A política de privacidade cria uma promessa, e a promessa é cobrada. Assim que alguém escreve para o canal informado pedindo confirmação do tratamento, cópia dos dados, correção de uma informação errada ou eliminação do cadastro, a empresa precisa responder. O artigo 18 da LGPD garante esses direitos e prevê que o pedido seja atendido por procedimento gratuito e facilitado.
O gargalo raramente é jurídico. É operacional. O dado da mesma pessoa costuma estar em quatro lugares ao mesmo tempo: no CRM, na plataforma de e-mail, no checkout e em alguma planilha que alguém exportou meses atrás e nunca apagou. Sem inventário, atender a um único pedido consome dias de trabalho manual e ainda assim fica incompleto.
Vale montar isso antes da primeira solicitação. Define quem recebe o pedido, quem confirma a identidade de quem pediu, para não entregar dado de cliente a um estranho que digitou o e-mail certo, onde os dados estão em cada sistema, o que pode ser eliminado e o que precisa ser retido por obrigação legal, como nota fiscal e registro contábil, e qual o prazo interno de resposta. Um fluxo escrito de uma página resolve.
Solicitação ignorada é o caminho mais curto para uma reclamação formal. E a reclamação chega acompanhada da própria política publicada, que já descreveu o procedimento que a empresa deixou de cumprir.
Como manter os documentos vivos
Política de privacidade não é entrega única. Ela é um retrato do tratamento de dados, e o tratamento muda toda vez que a empresa troca de ferramenta.
Três gatilhos costumam exigir revisão. O primeiro é a entrada de nova ferramenta que toca dado pessoal, como um CRM diferente, uma plataforma de automação, um chatbot ou uma ferramenta de gravação de sessão. O segundo é a mudança no modelo de negócio, como abrir área logada, começar a vender assinatura ou passar a operar marketplace com vendedores terceiros. O terceiro é a mudança regulatória relevante, incluindo novos entendimentos da ANPD.
Na prática, uma revisão semestral com checagem de integrações ativas resolve a maior parte dos casos em empresa digital de porte pequeno e médio. Empresas que mantêm contratos digitais e termos de uso sob acompanhamento contínuo tendem a fazer isso junto com a revisão contratual, o que reduz o esforço.
O que a ANPD e o titular olham primeiro
Quando existe reclamação, a checagem inicial é rápida e quase sempre igual. Existe política publicada e acessível a partir de qualquer página? Ela identifica o controlador com CNPJ? Traz canal de contato do encarregado? Descreve finalidades concretas com base legal? O banner de cookies permite recusar? Os scripts disparam antes do aceite?
Essa lista pode ser conferida de fora, sem acesso ao ambiente da empresa, em poucos minutos. É por isso que ela costuma definir o tom de todo o resto. Site que passa nesses pontos demonstra estrutura mínima de conformidade. Site que falha em quatro deles sinaliza que o problema não está no documento, está na operação, e a apuração tende a seguir nessa direção.
A LGPD prevê no artigo 52 sanções que vão de advertência a multa simples de até dois por cento do faturamento da pessoa jurídica no Brasil no último exercício, limitada a cinquenta milhões de reais por infração. A dosagem considera, entre outros fatores, a boa fé, a cooperação, a adoção de política de boas práticas e a pronta adoção de medidas corretivas. Documento correto e processo funcionando pesam nessa conta.
Perguntas frequentes
Meu site é só institucional, sem venda. Preciso de política de privacidade?
Precisa, se houver qualquer coleta de dado pessoal, e formulário de contato, newsletter ou pixel de anúncio já configuram coleta. Site puramente estático, sem formulário, sem cookies não necessários e sem ferramenta de medição, é a única hipótese em que a discussão muda.
Posso usar um gerador automático de política de privacidade?
Como ponto de partida, sim, desde que alguém revise o resultado contra a realidade da operação. O gerador não sabe quais integrações o seu site tem, e política que descreve tratamento inexistente ou omite tratamento real cria exposição em vez de reduzir.
O banner de cookies pode bloquear o acesso ao site até o usuário aceitar?
Condicionar todo o acesso ao aceite de cookies não necessários compromete a liberdade do consentimento, já que a LGPD exige manifestação livre. O caminho seguro é permitir a navegação com os cookies estritamente necessários mesmo quando o visitante recusa os demais.
Preciso nomear um encarregado só para ter política de privacidade?
A política precisa indicar um canal de contato para o titular exercer os seus direitos, e esse canal costuma ser o do encarregado. Em empresas de pequeno porte, a ANPD flexibilizou a obrigação de indicar encarregado, mas a existência de um canal de atendimento ao titular permanece.
Com que frequência devo atualizar a política?
Sempre que a empresa passa a usar uma nova ferramenta que toca dado pessoal ou muda o modelo de negócio. Fora esses gatilhos, uma revisão semestral com conferência das integrações ativas dá conta na maioria das operações digitais.
Próximo passo
Se o seu site tem política copiada, banner sem opção de recusa ou pixel disparando antes do aceite, a correção é rápida e bem mais barata do que responder a uma reclamação depois. Fale com o escritório pelo WhatsApp e descreva como o seu site coleta dados hoje.
Este conteúdo é informativo e não substitui análise jurídica individual. O conteúdo exigido na política, a base legal aplicável a cada tratamento e a configuração adequada do aviso de cookies dependem das ferramentas em uso, do modelo de negócio e das circunstâncias concretas da operação.
Sobre o autor: Diego Castro é advogado inscrito na OAB/PI sob o número 15.613, especialista em Direito Digital, LGPD e contratos para empresas de tecnologia. Fundou o escritório Diego Castro Advogado em 2017, com atuação nacional e bases em Teresina e São Paulo.
IMPORTANTE: O Artigo acima foi escrito e revisado por nossos advogados. Ele tem função apenas informativa, e deve servir apenas como base de conhecimento. Sempre consulte um advogado para analisar seu caso concreto.
