LGPD no site da pequena empresa: política de privacidade, cookies e formulário de contato

Quase todo site de empresa coleta dado pessoal, mesmo o mais simples. O formulário de contato pede nome, e-mail e telefone. O botão de WhatsApp leva a uma conversa com número e nome. A ferramenta de estatística grava cookies no navegador. O pixel de anúncio rastreia quem visitou. Tudo isso está dentro da Lei Geral de Proteção de Dados (LGPD), a Lei nº 13.709/2018.

A boa notícia é que, para a pequena empresa, cumprir a lei no site é menos complicado do que parece, e a ANPD (Agência Nacional de Proteção de Dados) tem regras mais leves para agentes de pequeno porte. Este guia mostra, em linguagem simples, o que a lei pede, como montar o aviso de cookies seguindo o guia da ANPD, o que colocar na política de privacidade, quando é preciso ter encarregado, quais são os direitos do cliente, o que fazer se houver vazamento e quais são as sanções. Tudo conferido no texto da lei e nas páginas da ANPD em 13 de novembro de 2026.

Este texto não é parecer jurídico. Ele explica a regra geral e aponta as fontes oficiais. Para um caso concreto, consulte um advogado.

O que conta como dado pessoal no seu site

A LGPD define dado pessoal como "informação relacionada a pessoa natural identificada ou identificável" (Lei nº 13.709/2018, art. 5º, I). Não é só CPF. Nome, e-mail, telefone, endereço, IP e identificadores guardados em cookies podem identificar alguém, sozinhos ou combinados.

A lei também tem a categoria de dado pessoal sensível: origem racial ou étnica, convicção religiosa, opinião política, dados de saúde, vida sexual, genéticos e biométricos, entre outros (art. 5º, II). Clínica, consultório, academia, laboratório e ótica precisam de cuidado redobrado, porque o simples fato de alguém pedir uma consulta pode revelar informação de saúde.

Dois papéis aparecem o tempo todo:

• Controlador: quem decide sobre o tratamento dos dados (art. 5º, VI). No seu site, é a sua empresa.
• Operador: quem trata os dados em nome do controlador (art. 5º, VII). Por exemplo, a hospedagem, a ferramenta de formulário, o serviço de e-mail marketing.

Antes de escrever qualquer política, faça um inventário de tudo o que o site coleta.

Os princípios que valem para tudo

O art. 6º da LGPD lista os princípios do tratamento de dados. Três deles resolvem a maioria das dúvidas de um site pequeno:

• Finalidade: tratar dados "para propósitos legítimos, específicos, explícitos e informados ao titular". Você precisa saber, e dizer, para que pede cada dado.
• Necessidade: limitar o tratamento "ao mínimo necessário" para a finalidade. Se o formulário é para pedir orçamento, não precisa de CPF nem de data de nascimento.
• Segurança: usar medidas técnicas e administrativas para proteger os dados de acessos não autorizados. O art. 46 repete a obrigação para todos os agentes de tratamento.

Na prática, a pergunta que você faz a cada campo do formulário é: eu preciso mesmo disso? Cada dado a menos é um risco a menos.

Bases legais em linguagem simples

Toda coleta de dado pessoal precisa de uma "base legal", ou seja, uma das hipóteses do art. 7º da LGPD que autorizam o tratamento. As mais comuns num site de empresa:

Consentimento não é a única base, e muitas vezes nem é a melhor. Quem preenche um formulário pedindo orçamento já está iniciando uma relação comercial, e responder a esse pedido se encaixa em procedimentos preliminares de contrato. Já mandar ofertas para esse mesmo e-mail depois é outra finalidade, que pede outra justificativa.

Quando o consentimento é a base

Se a base for o consentimento, a lei exige cuidado (art. 8º):

• ele deve ser dado "por escrito ou por outro meio que demonstre a manifestação de vontade do titular";
• deve se referir a finalidades determinadas;
• pode ser revogado a qualquer momento, por manifestação expressa do titular. O guia de cookies da ANPD acrescenta que a revogação deve ter um procedimento simplificado e gratuito.

Para o site, isso significa: caixa de seleção desmarcada para newsletter, texto dizendo exatamente para que serve, e um jeito simples de sair, como o link de descadastro em todo e-mail.

Formulário de contato e WhatsApp: o que fazer na prática

Formulário

• Peça só o necessário. Para contato ou orçamento, nome, um meio de resposta e a mensagem costumam bastar.
• Diga para que serve, logo acima do botão de enviar. Exemplo: "Usamos seus dados só para responder a este pedido. Veja nossa política de privacidade."
• Separe a newsletter. Se quiser oferecer novidades por e-mail, use uma caixa própria, desmarcada.
• Cuide de onde os dados vão parar. O e-mail que recebe o formulário, a planilha ou o sistema de atendimento precisam de senha forte e acesso restrito.
• Defina um prazo de guarda. Um pedido de orçamento que não virou venda não precisa ficar guardado para sempre.
• Use HTTPS em todo o site. Formulário em página sem cadeado expõe o que a pessoa digita.

WhatsApp

O botão de WhatsApp é a forma de contato mais usada pelos pequenos negócios, e as conversas também são dados pessoais: número, nome, foto de perfil, mensagens e áudios.

• Diga na política que o atendimento pode ocorrer pelo WhatsApp e para que você usa essas conversas.
• Não use a lista de contatos do atendimento para disparar promoções sem uma base legal adequada.
• Celular da empresa, não pessoal, quando possível. Quando o funcionário sai, as conversas com clientes não podem ir junto.
• Não cole conversas de clientes em ferramentas de IA com nome e telefone. O guia de como usar IA na pequena empresa traz as regras práticas sobre isso.

Se quiser ver como o WhatsApp entra no funil do site, leia WhatsApp no site: como transformar visita em conversa.

Cookies: o que o guia da ANPD recomenda

A ANPD publicou o guia orientativo "Cookies e proteção de dados pessoais" (ANPD: guia orientativo de cookies). Ele não cria lei nova, mas mostra como a ANPD entende a aplicação da LGPD a cookies. Os pontos principais:

Qual base legal usar para cada tipo de cookie

• Cookies estritamente necessários (login, carrinho, pagamento, segurança): o guia diz que não é apropriado usar o consentimento como base, porque o titular não teria uma escolha real de recusar. O legítimo interesse pode ser a base apropriada, desde que a coleta se limite ao necessário e seja informada.
• Cookies de medição de audiência (estatística de visitas): podem ser amparados no legítimo interesse "em determinados contextos". O guia cita como cenário de menor risco a coleta limitada a identificar padrões e tendências, com dados agregados, sem combinar com outros rastreadores e sem formar perfis.
• Cookies de publicidade, principalmente de terceiros e com formação de perfil ou rastreamento entre sites: o guia diz que o legítimo interesse "dificilmente" será a base apropriada, e que o consentimento tende a ser a hipótese mais adequada.

O consentimento para cookies precisa ser de verdade

O guia lembra que, pela LGPD, o consentimento deve ser livre, informado e inequívoco. Por isso, ele considera inadequado:

• banner com opções já marcadas;
• consentimento "tácito", como considerar que a pessoa aceitou só porque continuou navegando;
• condicionar o acesso ao site ao aceite de todos os cookies, sem opção efetiva.

Como montar o banner, segundo o guia

No primeiro nível (o aviso que aparece ao entrar no site):

• botão para rejeitar todos os cookies não necessários, fácil de ver, no primeiro e no segundo nível;
• link de fácil acesso para a pessoa exercer seus direitos e saber mais.

No segundo nível (a tela de configurações):

• cookies classificados em categorias, descritas pelas suas finalidades, com texto simples e claro;
• consentimento por finalidade, de acordo com as categorias, quando couber;
• cookies baseados em consentimento desativados por padrão;
• informação sobre como bloquear cookies pelo navegador.

O que o guia manda evitar:

• um único botão ("concordo", "aceito", "ciente") quando a base é o consentimento;
• dar destaque só ao botão de aceitar e esconder o de rejeitar ou configurar;
• dificultar a rejeição de todos os cookies não necessários;
• deixar cookies não necessários ativados por padrão;
• não ter segundo nível;
• não oferecer um meio direto para revogar o consentimento e se opor ao tratamento;
• política de cookies só em idioma estrangeiro;
• lista de cookies tão detalhada que confunde em vez de informar.

Política de cookies

O guia recomenda uma política de cookies (ou documento equivalente) com as finalidades, o período de retenção e se há compartilhamento com terceiros, entre outras informações do art. 9º da LGPD. Ela pode ser uma seção da política de privacidade, uma página separada ou ficar distribuída nas camadas do banner. O guia dá o exemplo de um escritório de contabilidade que coloca a política de cookies junto da política de privacidade, o que considera legítimo, de preferência com acesso facilitado à seção.

E se o site não usa cookie nenhum além dos necessários?

Sites simples, sem ferramenta de estatística nem pixel de anúncio, usam poucos cookies, às vezes nenhum. Nesse caso, não há o que pedir em consentimento, mas a transparência continua valendo: diga na política quais cookies existem e para quê. Antes de concluir que o site "não tem cookies", confira com quem fez o site quais ferramentas estão instaladas. Mapas incorporados, vídeos, chat e botões de redes sociais costumam trazer cookies de terceiros.

Política de privacidade: o que precisa ter

O art. 9º da LGPD dá ao titular o direito de acesso facilitado às informações sobre o tratamento dos seus dados. A lista do artigo é, na prática, o roteiro da sua política de privacidade:

• finalidade específica do tratamento;
• forma e duração do tratamento;
• identificação do controlador (a sua empresa);
• informações de contato do controlador;
• uso compartilhado de dados e a finalidade (quem mais recebe os dados);
• responsabilidades dos agentes que vão tratar os dados;
• direitos do titular, com menção explícita aos direitos do art. 18.

Um roteiro de seções

• Quem somos: razão social, CNPJ, endereço e um canal de contato para assuntos de dados.
• Quais dados coletamos e por quê: uma linha para cada ponto do inventário (formulário, WhatsApp, cookies, newsletter), com a finalidade e a base legal.
• Com quem compartilhamos: hospedagem, ferramenta de formulário, plataforma de e-mail, ferramenta de estatística, plataforma de anúncios, contador, quando for o caso.
• Por quanto tempo guardamos.
• Cookies: a política de cookies ou o link para ela.
• Seus direitos e como exercê-los: o canal e o prazo de resposta.
• Segurança: as medidas que você adota, em linguagem simples.
• Atualizações: data da última revisão.

Dois avisos importantes. Primeiro, não copie a política de outro site: ela precisa descrever o que o seu site faz de verdade, e uma política que fala de ferramentas que você não usa (ou omite as que usa) não cumpre o art. 9º. Segundo, deixe o link visível, no rodapé de todas as páginas e perto do formulário.

Encarregado (DPO): quando a pequena empresa precisa ter

A LGPD manda o controlador indicar um encarregado pelo tratamento de dados pessoais (art. 41). A identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, de preferência no site. As atividades dele incluem receber reclamações e comunicações dos titulares, receber comunicações da ANPD e orientar funcionários e contratados sobre proteção de dados. O § 3º do mesmo artigo permite que a ANPD crie hipóteses de dispensa conforme o porte da entidade.

Foi o que a ANPD fez na Resolução CD/ANPD nº 2/2022, o regulamento para agentes de tratamento de pequeno porte (ANPD: Resolução CD/ANPD nº 2/2022):

• Quem é de pequeno porte: microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado (inclusive sem fins lucrativos), além de pessoas naturais e entes despersonalizados que tratam dados (art. 2º).
• Dispensa do encarregado: esses agentes não são obrigados a indicar encarregado (art. 11). Mas, se não indicarem, precisam disponibilizar um canal de comunicação com o titular de dados. Indicar um encarregado mesmo assim é considerado política de boas práticas e governança.
• Registro simplificado das operações de tratamento, com modelo fornecido pela ANPD (art. 9º).
• Política simplificada de segurança da informação, com os requisitos essenciais, considerando custo e escala da operação (art. 13).
• Prazos em dobro para atender pedidos dos titulares e para comunicar incidentes de segurança à ANPD e ao titular (art. 14).

Quem fica de fora das facilidades

O art. 3º exclui quem faz tratamento de alto risco para os titulares e quem tem receita bruta acima do limite do art. 3º, II, da Lei Complementar nº 123/2006. Pelo art. 4º, tratamento de alto risco é o que reúne, ao mesmo tempo, pelo menos um critério geral e um específico:

• Gerais: tratamento em larga escala, ou que possa afetar significativamente interesses e direitos fundamentais dos titulares.
• Específicos: uso de tecnologias emergentes ou inovadoras; vigilância ou controle de zonas acessíveis ao público; decisões tomadas unicamente com base em tratamento automatizado; uso de dados sensíveis ou de dados de crianças, adolescentes e idosos.

Uma clínica pequena que trata dados de saúde precisa avaliar com atenção se se enquadra, porque dado sensível é um dos critérios específicos.

Na prática, para a maioria das pequenas empresas: tenha um canal de contato claro para assuntos de dados (um e-mail dedicado serve) e publique esse canal na política de privacidade.

Direitos do titular e prazos de resposta

O art. 18 da LGPD garante ao titular, a qualquer momento e mediante requisição:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade, conforme regulamentação da ANPD;
• eliminação dos dados tratados com consentimento, salvo exceções da lei;
• informação sobre com quem os dados foram compartilhados;
• informação sobre a possibilidade de não dar consentimento e as consequências;
• revogação do consentimento.

O atendimento é sem custo para o titular (§ 5º). Pelo art. 19, a confirmação e o acesso podem ser dados em formato simplificado, de imediato, ou por declaração clara e completa em até 15 dias do pedido. Para agentes de pequeno porte, a Resolução CD/ANPD nº 2/2022 dá prazo em dobro para a declaração completa e prevê até 15 dias para a declaração simplificada.

Como se preparar:

• tenha um canal só para esses pedidos, para nada se perder no meio do atendimento comercial;
• saiba onde estão os dados de cada cliente (e-mail, planilha, sistema, WhatsApp), senão não dá para responder nem apagar;
• registre quando o pedido chegou e quando foi respondido.

Vazamento e incidente de segurança: o que fazer

Incidente de segurança é, por exemplo, uma invasão do site que expõe os pedidos de contato, um e-mail com planilha de clientes enviado para a pessoa errada ou um notebook roubado com dados sem proteção.

O art. 48 da LGPD manda o controlador comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante aos titulares. A regulamentação é a Resolução CD/ANPD nº 15/2024. Segundo a página da ANPD sobre o assunto (ANPD: comunicado de incidente de segurança):

• a comunicação é obrigatória quando, ao mesmo tempo, o incidente foi confirmado, envolve dados pessoais sujeitos à LGPD e pode causar risco ou dano relevante aos titulares;
• o prazo é de três dias úteis para comunicar a ANPD e os titulares, ressalvados prazos de legislação específica;
• a comunicação à ANPD é feita por peticionamento eletrônico no SEI!ANPD, e pode ser preliminar e complementada em até 20 dias úteis;
• aos titulares, a comunicação deve ser individual e direta sempre que possível (e-mail, SMS, carta).

Lembre que, para agentes de pequeno porte, a Resolução CD/ANPD nº 2/2022 prevê prazo em dobro para a comunicação de incidente.

Plano mínimo para estar pronto:

• saber quem decide e quem avisa, se algo acontecer;
• ter o contato da hospedagem e de quem fez o site à mão;
• manter cópias de segurança e senhas fortes, com verificação em duas etapas nas contas da empresa;
• anotar o que aconteceu, quando, quais dados e o que foi feito.

Multas e sanções

A ANPD pode aplicar as sanções do art. 52 da LGPD. As principais:

A multa costuma assustar, mas, para a pequena empresa, o risco mais concreto do dia a dia é outro: perder a confiança do cliente que recebeu spam, que teve dados expostos ou que pediu para ser apagado e não foi atendido.

Checklist LGPD do site em uma tarde

• Inventário: liste formulário, WhatsApp, cookies, ferramentas de estatística, pixels, chat, mapas, vídeos incorporados e newsletter.
• Formulário: só os campos necessários, aviso de finalidade e link para a política.
• Newsletter: caixa separada, desmarcada, e link de descadastro em todo e-mail.
• Cookies: se houver cookies não necessários, banner em dois níveis com rejeitar, aceitar e configurar, e não necessários desligados por padrão.
• Política de privacidade: com os itens do art. 9º, escrita para o seu site, com data de atualização e link no rodapé.
• Canal do titular: e-mail para assuntos de dados, publicado na política.
• Segurança: HTTPS, senhas fortes, verificação em duas etapas, acesso restrito ao e-mail e à planilha que recebem os contatos.
• Prazo de guarda: defina quanto tempo cada tipo de dado fica guardado.
• Plano de incidente: quem faz o quê, e o prazo de três dias úteis (em dobro para pequeno porte).

Se você está montando ou revisando o site agora, aproveite para conferir os 7 erros que fazem o site da empresa não vender. Um banner de cookies mal feito, que cobre a tela e esconde o botão de rejeitar, atrapalha a venda e contraria as boas práticas do guia da ANPD.

Perguntas frequentes

Site pequeno precisa de política de privacidade?

Se coleta dados pessoais (formulário, WhatsApp, cookies, newsletter), a LGPD dá ao titular o direito de acesso facilitado às informações listadas no art. 9º. A política de privacidade é a forma prática de cumprir isso.

Preciso de banner de cookies?

Depende dos cookies usados. Para cookies de publicidade e outros não necessários, o guia da ANPD aponta o consentimento como base mais adequada, e aí o banner é a ferramenta para obtê-lo. Para cookies estritamente necessários, o guia diz que o consentimento não é a base apropriada, mas a informação continua devida.

Um banner só com o botão "Aceito" serve?

Quando a base é o consentimento, não. O guia da ANPD lista como prática a evitar o banner com um único botão, sem opção de gerenciar ou rejeitar.

Pequena empresa precisa ter encarregado (DPO)?

Pela Resolução CD/ANPD nº 2/2022, agentes de pequeno porte não são obrigados a indicar encarregado, mas precisam oferecer um canal de comunicação com o titular. A dispensa não vale para quem faz tratamento de alto risco ou passa do limite de receita da Lei Complementar nº 123/2006.

Posso usar o formulário de contato para mandar promoções?

Responder ao pedido é uma finalidade. Mandar ofertas depois é outra. Para usar o e-mail em marketing, informe a finalidade e use uma base legal adequada, como o consentimento por caixa desmarcada, com opção fácil de sair.

Em quanto tempo tenho que responder o pedido de um cliente sobre os dados dele?

A confirmação e o acesso podem ser dados de imediato em formato simplificado, ou em até 15 dias por declaração completa (art. 19). Agentes de pequeno porte têm prazo em dobro para a declaração completa, pela Resolução CD/ANPD nº 2/2022.

O que fazer se o site for invadido?

Contenha o problema com a hospedagem, avalie se houve dados pessoais expostos e se há risco ou dano relevante aos titulares. Se houver, comunique a ANPD pelo SEI!ANPD e os titulares, no prazo de três dias úteis (em dobro para pequeno porte).

Qual é a multa da LGPD?

A multa simples pode chegar a 2% do faturamento da pessoa jurídica, excluídos os tributos, limitada a R$ 50 milhões por infração. A lei também prevê advertência, publicização, bloqueio e eliminação de dados, entre outras sanções.

Resumo

• Formulário, WhatsApp, cookies e newsletter coletam dados pessoais e estão sob a LGPD.
• Peça só o necessário, diga para quê e escolha a base legal certa para cada uso.
• Cookies necessários não pedem consentimento; publicidade, em geral, pede. Banner em dois níveis, com rejeitar tão visível quanto aceitar.
• Política de privacidade própria, com os itens do art. 9º, e link no rodapé.
• Pequeno porte pode dispensar o encarregado, mas precisa de canal com o titular.
• Responda aos pedidos dos titulares no prazo e tenha um plano para incidentes.

Fontes

Lei nº 13.709/2018 (LGPD), texto no Planalto; ANPD: guia orientativo Cookies e proteção de dados pessoais; ANPD: Resolução CD/ANPD nº 2/2022; ANPD: comunicado de incidente de segurança.

Foto da capa: Yuri Samoilov, Wikimedia Commons, CC BY 2.0.