LGPD para sites: o que o seu site precisa ter para cumprir a lei

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dado pessoal como qualquer "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, I). Na prática, isso inclui nome, telefone, e-mail, CPF, endereço e até dados técnicos que permitem chegar a uma pessoa, como identificadores gravados por cookies.

Alguns dados recebem proteção maior. São os dados pessoais sensíveis, que a lei lista no art. 5º, II: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético ou biométrico.

Para quem atua na saúde, esse ponto muda tudo. Um formulário que pergunta "qual o motivo da consulta?" já pode receber dado de saúde. E a lei trata qualquer uso de dados que revele informação sensível com as mesmas regras (art. 11, § 1º).

O titular é a pessoa dona dos dados. O controlador é quem decide o que fazer com eles, ou seja, o dono do site.

A LGPD só permite usar dados pessoais quando existe uma das hipóteses do art. 7º, chamadas de bases legais. Em sites, três aparecem com mais frequência.

Não existe base legal "melhor". O certo é escolher a que combina com cada finalidade. Sem consentimento, as outras obrigações continuam valendo (art. 7º, § 6º). Dados sensíveis seguem regras próprias, no art. 11.

O formulário é onde a maioria dos sites mais erra. Um dos princípios da lei é o da necessidade: usar só o mínimo de dados para cumprir a finalidade (art. 6º, III). Se o objetivo é retornar o contato, nome e telefone costumam bastar. CPF, data de nascimento e endereço completo ficam para quando forem de fato necessários.

A finalidade precisa estar clara no momento da coleta. Uma frase curta ao lado do botão resolve boa parte do problema, algo como "usaremos seus dados apenas para responder a sua mensagem". Junto dela, um link para a política de privacidade.

Quando a base legal for o consentimento, como no cadastro para receber conteúdos, a caixa de aceite deve vir desmarcada e separada de outras autorizações. Cabe ao controlador provar que o consentimento foi obtido corretamente (art. 8º, § 2º), então guarde o registro de data, hora e texto aceito.

A política de privacidade é a forma mais simples de cumprir o direito de acesso facilitado às informações sobre o tratamento. O art. 9º diz que essas informações devem ser apresentadas de forma clara, adequada e ostensiva. Texto copiado de outro site, cheio de termos que não se aplicam ao seu negócio, não cumpre esse papel.

Escreva como quem explica para um cliente, deixe o link no rodapé de todas as páginas e atualize o texto quando mudar uma ferramenta ou finalidade.

A ANPD publicou em outubro de 2022 o "Guia Orientativo Cookies e Proteção de Dados Pessoais". O documento não é lei, mas mostra como a autoridade interpreta a LGPD nesse tema. Três orientações importam para quase todo site.

Primeiro: cookies estritamente necessários, que fazem o site funcionar, não devem depender de consentimento. Para eles, o guia aponta o legítimo interesse como base, em geral. Segundo: cookies de medição de audiência podem se apoiar no legítimo interesse em alguns contextos, sobretudo quando usam dados agregados, sem cruzar com outros rastreadores e sem formar perfis. Terceiro: para cookies de publicidade, principalmente de terceiros e com rastreamento entre sites, o guia diz que o legítimo interesse "dificilmente" será a base adequada, e o consentimento tende a ser a mais apropriada.

Pixels de redes sociais e remarketing entram nesse último grupo. Em sites de clínicas, cuidado redobrado com rastreadores em páginas que revelam o tratamento procurado.

O art. 18 garante ao titular, a qualquer momento e mediante pedido, uma lista de direitos. Entre eles: confirmar se os dados são tratados, acessar e corrigir esses dados, pedir anonimização, bloqueio ou eliminação do que for desnecessário, saber com quem foram compartilhados e revogar o consentimento. O site precisa deixar claro como fazer esses pedidos.

O art. 41 manda o controlador indicar um encarregado, também chamado de DPO. É a pessoa que recebe reclamações dos titulares, fala com a ANPD e orienta a equipe. A identidade e o contato do encarregado devem ser divulgados de forma clara, de preferência no próprio site (art. 41, § 1º).

A Resolução CD/ANPD nº 2/2022 dispensa agentes de tratamento de pequeno porte, como microempresas, de indicar encarregado. Mas eles continuam obrigados a manter um canal de comunicação com o titular. E a dispensa não vale para quem realiza tratamento de alto risco, conceito que pode incluir o uso de dados sensíveis. Clínicas devem avaliar esse ponto com cuidado antes de se considerar dispensadas.

O art. 46 exige medidas de segurança técnicas e administrativas para proteger os dados contra acesso não autorizado, perda, alteração ou vazamento. O § 2º do mesmo artigo diz que isso deve ser pensado desde a concepção do serviço, e não só depois que o site estiver no ar.

Se acontecer um incidente que possa trazer risco ou dano relevante, o controlador deve comunicar a ANPD e os titulares (art. 48). A Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis para a comunicação à ANPD, contados de quando o controlador sabe que dados pessoais foram afetados.

Em clínicas e consultórios, o cuidado precisa ser maior. Dados de saúde podem ser tratados sem consentimento quando indispensáveis à tutela da saúde, em procedimento feito por profissionais ou serviços de saúde (art. 11, II, "f"). Fora dessas hipóteses, o consentimento para dados sensíveis precisa ser específico e destacado (art. 11, I). Dados de crianças exigem consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal (art. 14, § 1º), o que afeta sites de pediatria, fonoaudiologia e psicologia infantil.

Use a lista abaixo para revisar o seu site. Ela cobre o que costuma aparecer em sites de empresas e de profissionais da saúde. Se algum item faltar, comece pelos formulários e pelo aviso de cookies, que são os mais visíveis para o visitante.