--- source_url: "https://diegocastroadvogado.com.br/politica-de-privacidade-e-cookies-site/" title: "Política de privacidade e cookies: o que seu site precisa" generated_at: 2026-09-05T13:14:41Z host: diegocastroadvogado.com.br type: post schema_types: [Article] generator: geostack/1.0.0 --- ## Structured data ```json { "@context": "https://schema.org", "@graph": [ { "@type": "Article", "@id": "https://diegocastroadvogado.com.br/politica-de-privacidade-e-cookies-site/#article", "url": "https://diegocastroadvogado.com.br/politica-de-privacidade-e-cookies-site/", "headline": "Política de privacidade e cookies: o que seu site precisa", "datePublished": "2026-09-01T17:25:23+00:00", "dateModified": "2026-09-01T17:25:27+00:00", "inLanguage": "pt-BR", "publisher": { "@type": "Organization", "name": "Diego Castro Advogado", "url": "https://diegocastroadvogado.com.br/" }, "description": "Sim. Qualquer site que colete dado pessoal precisa de política de privacidade, e isso inclui o site que só tem um formulário de contato, um pixel de remarketing ou um botão de newsletter. A obrigação vem da LGPD, que garante ao titular o acesso facilitado às informações sobre o tratamento dos seus dados, e do […]", "author": { "@type": "Person", "name": "diegocastroadvadm" }, "image": "https://diegocastroadvogado.com.br/wp-content/uploads/2026/08/post_19438_destaque-1.png" } ] } ``` # Política de privacidade e cookies: o que seu site precisa Sim. Qualquer site que colete dado pessoal precisa de política de privacidade, e isso inclui o site que só tem um formulário de contato, um pixel de remarketing ou um botão de newsletter. A obrigação vem da LGPD, que garante ao titular o acesso facilitado às informações sobre o tratamento dos seus dados, e do Marco Civil da Internet, que exige informação clara sobre coleta, uso, armazenamento e proteção de dados nos termos de uso do serviço. O aviso de cookies entra como consequência disso quando o site usa cookies que não são estritamente necessários para funcionar. O que quase nenhuma empresa entende é que o documento não existe para o Google nem para o visitante. Ele existe para provar, se alguém perguntar, que a empresa sabe quais dados coleta, por que coleta e com quem compartilha. Política que ninguém da empresa consegue explicar não protege nada. ## O que é política de privacidade Política de privacidade é o documento em que a empresa informa, em linguagem acessível, quais dados pessoais ela coleta, com qual finalidade, com base em qual hipótese legal, por quanto tempo guarda, com quem compartilha e como o titular exerce os seus direitos. Ela não é um contrato assinado pelo visitante, é uma declaração de transparência do controlador. Essa diferença tem consequência prática. Contrato depende de aceite para gerar obrigação. Política de privacidade obriga a empresa desde que publicada, mesmo que nenhum visitante clique em nada. Se a política diz que os dados não são compartilhados com terceiros e o site roda pixel do Meta e do Google, a própria política vira prova contra a empresa. ## De onde vem a obrigação Três camadas legais sustentam a exigência, e elas se somam em vez de se substituir. A primeira é a Lei 13.709/2018, a LGPD. O artigo 6º coloca a transparência entre os princípios do tratamento, e o artigo 9º detalha o que o titular tem direito de saber: a finalidade específica do tratamento, a forma e a duração, a identificação e os dados de contato do controlador, informações sobre uso compartilhado e a respectiva finalidade, as responsabilidades dos agentes envolvidos e os direitos do titular. O artigo 18 lista esses direitos, entre eles confirmação da existência do tratamento, acesso, correção, eliminação, portabilidade e informação sobre com quem os dados foram compartilhados. A segunda é a Lei 12.965/2014, o Marco Civil da Internet. O artigo 7º garante ao usuário informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção dos seus dados pessoais, e determina que essas informações constem dos contratos de prestação de serviço ou dos termos de uso da aplicação. O mesmo artigo condiciona o fornecimento de dados a terceiros ao consentimento livre, expresso e informado, ou a hipótese legal. A terceira alcança quem vende online. O Decreto 7.962/2013 regulamenta o comércio eletrônico e exige informações claras sobre o fornecedor, o produto, o atendimento e o direito de arrependimento, o que na prática significa um bloco de documentos que conversa com a política de privacidade. Loja virtual que trata a privacidade como página solta e ignora o resto costuma ter problema no primeiro Procon. Esse conjunto integra a rotina de conformidade de quem opera [e-commerce](https://diegocastroadvogado.com.br/advogado-para-ecommerce) com volume relevante de pedidos. ## O que a política precisa conter ![Fotografia de fichário executivo e documentos de privacidade LGPD](https://diegocastroadvogado.com.br/wp-content/uploads/2026/08/post_19438_interna_2_requisitos-1.png)Não existe modelo único, porque o conteúdo depende do que o site faz. Existe, porém, um conjunto mínimo que aparece em qualquer política decente. - **Identificação do controlador.** Razão social, CNPJ e endereço. Site que não diz quem está por trás já começa mal, e isso vale também para a exigência do Decreto 7.962/2013 no comércio eletrônico. - **Canal do encarregado.** E-mail ou formulário que funcione de verdade, com alguém responsável por responder. Endereço genérico que ninguém lê é problema, não solução. - **Quais dados são coletados.** Separando o que o usuário informa por vontade própria, como nome e e-mail em formulário, do que é coletado automaticamente, como IP, identificadores de dispositivo e comportamento de navegação. - **Finalidade de cada tratamento.** Descrição concreta. Enviar orçamento, processar pedido, medir audiência, veicular anúncio, prevenir fraude. Finalidade genérica do tipo “melhorar sua experiência” não informa nada. - **Base legal correspondente.** O artigo 7º da LGPD traz as hipóteses que autorizam o tratamento, entre elas consentimento, execução de contrato, cumprimento de obrigação legal e legítimo interesse. Cada finalidade precisa se apoiar em uma delas. - **Compartilhamento.** Com quem os dados são compartilhados e para quê. Plataforma de e-mail, gateway de pagamento, ferramenta de atendimento, rede de anúncios, serviço de analytics. - **Transferência internacional.** Se as ferramentas usadas armazenam dados fora do Brasil, o que é a regra em serviços de nuvem, isso precisa estar dito. - **Prazo de retenção.** Por quanto tempo cada categoria de dado é guardada e o que acontece depois. - **Direitos do titular e como exercê-los.** Não basta listar o artigo 18. Precisa dizer para onde a pessoa escreve e em quanto tempo recebe resposta. - **Medidas de segurança.** Em nível descritivo, sem expor a arquitetura do ambiente. - **Data da última atualização.** Política sem data levanta a suspeita de documento abandonado. ## Política de privacidade e termos de uso não são a mesma coisa A confusão é frequente e cara. Os dois documentos cumprem funções diferentes e um não cobre o outro. AspectoPolítica de privacidadeTermos de usoFunçãoInformar como os dados pessoais são tratadosEstabelecer as regras de uso do site, do app ou do serviçoNaturezaDeclaração de transparência do controladorContrato de adesão entre empresa e usuárioBase normativa principalLGPD e Marco Civil da InternetCódigo Civil, Código de Defesa do Consumidor e Marco CivilConteúdo típicoDados coletados, finalidade, base legal, compartilhamento, direitos do titularCadastro, pagamento, propriedade intelectual, condutas proibidas, cancelamento, foroEfeito de estar erradoExposição perante a ANPD e ao titular, além de prova contra a própria empresaCláusula inválida, dificuldade de cobrar, de banir usuário ou de encerrar contratoSite institucional simples costuma resolver com política de privacidade e um aviso de cookies. Plataforma com login, assinatura, marketplace ou comunidade precisa dos dois, porque sem regra de uso não há como suspender conta, cobrar inadimplente ou limitar responsabilidade. É o mesmo raciocínio aplicado em [termos de uso de aplicativo](https://diegocastroadvogado.com.br/termos-de-uso-para-aplicativo), onde a ausência do documento aparece justamente quando a empresa precisa banir alguém. ## O problema de copiar a política de outro site Copiar é a saída mais comum e cria três problemas ao mesmo tempo. O primeiro é factual. A política copiada descreve as ferramentas, os fluxos e os prazos da outra empresa. Se ela cita um serviço de analytics que você não usa, ou omite o gateway de pagamento que você usa, o documento passou a mentir sobre a sua operação. Perante a ANPD, política que não corresponde à realidade é evidência de tratamento sem transparência, não é atenuante. O segundo é jurídico em outra frente. Texto de política é obra protegida pela Lei 9.610/1998. Copiar integralmente o documento de terceiro é reprodução não autorizada, e escritórios que redigiram aquele material às vezes cobram por isso. Empresa que copia de concorrente ainda entrega ao concorrente uma prova pronta. O terceiro é operacional e aparece depois. Quando chega uma solicitação de titular pedindo eliminação de dados, alguém dentro da empresa precisa saber onde aquele dado está e como apagá-lo. Política copiada não vem com esse conhecimento. Ela promete um procedimento que ninguém sabe executar, e a promessa descumprida é o que gera a reclamação. O caminho não é escrever do zero em folha em branco. É mapear o que a empresa realmente coleta, onde guarda e com quem compartilha, e só então redigir. O mapeamento é o trabalho, o texto é a consequência. ## Banner de cookies: quando é obrigatório ![Fotografia editorial com teclado e caderneta corporativa](https://diegocastroadvogado.com.br/wp-content/uploads/2026/08/post_19438_interna_1_cookies-1.png)Cookies são pequenos arquivos gravados no navegador do visitante. Alguns existem para o site funcionar, outros existem para medir audiência ou perseguir o usuário com anúncio. A distinção entre esses grupos define o que precisa de consentimento. A ANPD publicou em 2022 um guia orientativo sobre cookies e proteção de dados pessoais, e a lógica adotada ali é a que o mercado brasileiro segue. Cookies estritamente necessários, aqueles sem os quais o serviço não funciona, como manutenção de sessão, carrinho de compras e segurança de login, não dependem de consentimento e podem se apoiar em outra base legal. Cookies não necessários, como os de analytics, publicidade comportamental e integração com redes sociais, dependem em regra de consentimento prévio do titular. ### Os tipos que aparecem em site de empresa digital CategoriaExemplo típicoPrecisa de consentimentoEstritamente necessárioSessão de login, carrinho, balanceamento de carga, proteção contra fraudeNão, mas precisa estar informado na políticaFuncional ou de preferênciaIdioma escolhido, região, layout salvoDepende do impacto, e a avaliação precisa estar documentadaAnalíticoMedição de audiência, mapa de calor, gravação de sessãoEm regra sim, especialmente quando identifica o usuárioPublicitárioPixel de rede social, remarketing, mensuração de conversãoSim, e o disparo só pode ocorrer depois do aceite### Por que o banner só com “aceitar” não resolve O banner que oferece apenas o botão de aceitar, sem alternativa visível de recusa, tem um defeito de origem: ele não coleta consentimento, ele coleta resignação. O artigo 8º da LGPD exige que o consentimento se refira a finalidades determinadas e declara nulas as autorizações genéricas. O mesmo artigo garante ao titular a revogação a qualquer momento, por procedimento gratuito e facilitado. Três defeitos aparecem com frequência nos banners brasileiros. O primeiro é o disparo antecipado: o pixel e o script de analytics carregam junto com a página, antes de qualquer clique, o que torna o banner decorativo. O segundo é a assimetria de interface, com botão de aceitar grande e colorido e recusa escondida atrás de dois cliques em um submenu cinza. O terceiro é a ausência de revogação, quando o visitante aceita uma vez e nunca mais encontra onde mudar de ideia. Banner correto informa quais categorias de cookies existem, permite recusar as não necessárias com o mesmo esforço de aceitar, só dispara os scripts correspondentes depois da escolha, registra essa escolha com data e hora, e deixa um caminho visível para o titular alterar a preferência depois. O registro é o que sustenta a prova de consentimento caso ela seja exigida. Agências que montam sites e campanhas para clientes esbarram nisso o tempo todo, porque o pixel que alimenta a mensuração é justamente o que depende de aceite. Quem trabalha com [tráfego pago](https://diegocastroadvogado.com.br/advogado-para-agencias-de-trafego-pago) precisa desenhar o consentimento junto com a estratégia de mensuração, e não depois que a campanha já está rodando. ## Erros que aparecem com mais frequência Alguns padrões se repetem em auditoria de site, independentemente do porte da empresa. Política publicada sem base legal declarada é o mais comum. O documento descreve bem o que coleta, mas não diz por que aquilo é lícito. Sem hipótese do artigo 7º indicada para cada finalidade, o texto é uma descrição, não uma justificativa. Consentimento usado como base para tudo é o segundo. Empresa que apoia todo o tratamento no consentimento cria um problema para si mesma, porque consentimento pode ser revogado a qualquer momento. Processar um pedido de compra se apoia na execução do contrato, cumprir obrigação fiscal se apoia em obrigação legal, e nenhum desses tratamentos deveria parar porque o titular revogou um aceite. Formulário sem finalidade explícita é o terceiro. Campo de telefone marcado como obrigatório em formulário de download de material, sem que o material tenha qualquer relação com contato telefônico, coleta dado além do necessário e contraria o princípio da necessidade. Política que promete o que a empresa não faz é o quarto, e o mais perigoso. Texto dizendo que os dados são armazenados exclusivamente no Brasil quando a ferramenta usada é norte-americana, ou que nenhum dado é compartilhado quando há três integrações ativas, transforma o documento em confissão. Site com política, mas sem processo interno, é o quinto. Quando chega a primeira solicitação de titular pedindo cópia dos seus dados, alguém precisa saber quem responde, em quanto tempo e como reunir a informação. Sem esse fluxo, o prazo passa e a reclamação vai para a ANPD. ## O que acontece quando um titular pede os dados dele A política de privacidade cria uma promessa, e a promessa é cobrada. Assim que alguém escreve para o canal informado pedindo confirmação do tratamento, cópia dos dados, correção de uma informação errada ou eliminação do cadastro, a empresa precisa responder. O artigo 18 da LGPD garante esses direitos e prevê que o pedido seja atendido por procedimento gratuito e facilitado. O gargalo raramente é jurídico. É operacional. O dado da mesma pessoa costuma estar em quatro lugares ao mesmo tempo: no CRM, na plataforma de e-mail, no checkout e em alguma planilha que alguém exportou meses atrás e nunca apagou. Sem inventário, atender a um único pedido consome dias de trabalho manual e ainda assim fica incompleto. Vale montar isso antes da primeira solicitação. Define quem recebe o pedido, quem confirma a identidade de quem pediu, para não entregar dado de cliente a um estranho que digitou o e-mail certo, onde os dados estão em cada sistema, o que pode ser eliminado e o que precisa ser retido por obrigação legal, como nota fiscal e registro contábil, e qual o prazo interno de resposta. Um fluxo escrito de uma página resolve. Solicitação ignorada é o caminho mais curto para uma reclamação formal. E a reclamação chega acompanhada da própria política publicada, que já descreveu o procedimento que a empresa deixou de cumprir. ## Como manter os documentos vivos Política de privacidade não é entrega única. Ela é um retrato do tratamento de dados, e o tratamento muda toda vez que a empresa troca de ferramenta. Três gatilhos costumam exigir revisão. O primeiro é a entrada de nova ferramenta que toca dado pessoal, como um CRM diferente, uma plataforma de automação, um chatbot ou uma ferramenta de gravação de sessão. O segundo é a mudança no modelo de negócio, como abrir área logada, começar a vender assinatura ou passar a operar marketplace com vendedores terceiros. O terceiro é a mudança regulatória relevante, incluindo novos entendimentos da ANPD. Na prática, uma revisão semestral com checagem de integrações ativas resolve a maior parte dos casos em empresa digital de porte pequeno e médio. Empresas que mantêm [contratos digitais e termos de uso](https://diegocastroadvogado.com.br/contratos-digitais-e-termos-de-uso) sob acompanhamento contínuo tendem a fazer isso junto com a revisão contratual, o que reduz o esforço. ## O que a ANPD e o titular olham primeiro Quando existe reclamação, a checagem inicial é rápida e quase sempre igual. Existe política publicada e acessível a partir de qualquer página? Ela identifica o controlador com CNPJ? Traz canal de contato do encarregado? Descreve finalidades concretas com base legal? O banner de cookies permite recusar? Os scripts disparam antes do aceite? Essa lista pode ser conferida de fora, sem acesso ao ambiente da empresa, em poucos minutos. É por isso que ela costuma definir o tom de todo o resto. Site que passa nesses pontos demonstra estrutura mínima de conformidade. Site que falha em quatro deles sinaliza que o problema não está no documento, está na operação, e a apuração tende a seguir nessa direção. A LGPD prevê no artigo 52 sanções que vão de advertência a multa simples de até dois por cento do faturamento da pessoa jurídica no Brasil no último exercício, limitada a cinquenta milhões de reais por infração. A dosagem considera, entre outros fatores, a boa fé, a cooperação, a adoção de política de boas práticas e a pronta adoção de medidas corretivas. Documento correto e processo funcionando pesam nessa conta. ## Perguntas frequentes ### Meu site é só institucional, sem venda. Preciso de política de privacidade? Precisa, se houver qualquer coleta de dado pessoal, e formulário de contato, newsletter ou pixel de anúncio já configuram coleta. Site puramente estático, sem formulário, sem cookies não necessários e sem ferramenta de medição, é a única hipótese em que a discussão muda. ### Posso usar um gerador automático de política de privacidade? Como ponto de partida, sim, desde que alguém revise o resultado contra a realidade da operação. O gerador não sabe quais integrações o seu site tem, e política que descreve tratamento inexistente ou omite tratamento real cria exposição em vez de reduzir. ### O banner de cookies pode bloquear o acesso ao site até o usuário aceitar? Condicionar todo o acesso ao aceite de cookies não necessários compromete a liberdade do consentimento, já que a LGPD exige manifestação livre. O caminho seguro é permitir a navegação com os cookies estritamente necessários mesmo quando o visitante recusa os demais. ### Preciso nomear um encarregado só para ter política de privacidade? A política precisa indicar um canal de contato para o titular exercer os seus direitos, e esse canal costuma ser o do encarregado. Em empresas de pequeno porte, a ANPD flexibilizou a obrigação de indicar encarregado, mas a existência de um canal de atendimento ao titular permanece. ### Com que frequência devo atualizar a política? Sempre que a empresa passa a usar uma nova ferramenta que toca dado pessoal ou muda o modelo de negócio. Fora esses gatilhos, uma revisão semestral com conferência das integrações ativas dá conta na maioria das operações digitais. ## Próximo passo Se o seu site tem política copiada, banner sem opção de recusa ou pixel disparando antes do aceite, a correção é rápida e bem mais barata do que responder a uma reclamação depois. [Fale com o escritório pelo WhatsApp](https://wa.me/5511956644208?text=Ol%C3%A1%20Dr.%20Diego%2C%20tudo%20bom%3F%20Preciso%20de%20ajuda%20de%20um%20advogado%20especialista.) e descreva como o seu site coleta dados hoje. *Este conteúdo é informativo e não substitui análise jurídica individual. O conteúdo exigido na política, a base legal aplicável a cada tratamento e a configuração adequada do aviso de cookies dependem das ferramentas em uso, do modelo de negócio e das circunstâncias concretas da operação.* --- **Sobre o autor:** Diego Castro é advogado inscrito na OAB/PI sob o número 15.613, especialista em Direito Digital, LGPD e contratos para empresas de tecnologia. Fundou o escritório Diego Castro Advogado em 2017, com atuação nacional e bases em Teresina e São Paulo.