Neste artigo
Este texto trata da parte técnica da LGPD — o que precisa estar implementado no site. Ele não substitui orientação jurídica: a definição de base legal e de política é assunto para um advogado.
Comece pelo inventário
Antes de qualquer banner, responda: que dado pessoal este site coleta, e para quê?
Na prática, quase sempre: formulário de contato, formulário de orçamento, newsletter, cookies de análise e pixels de anúncio. Para cada um, registre o dado coletado, a finalidade, por quanto tempo fica guardado e quem tem acesso.
Sem esse inventário, o resto vira teatro de conformidade.
Cookies: o erro mais comum do Brasil
O erro é este: carregar o script de rastreamento e só depois perguntar se pode. Nesse caso o banner não serve para nada — o dado já foi enviado.
O comportamento correto:
- Nada de análise ou marketing carrega antes do aceite
- Recusar precisa ser tão fácil quanto aceitar — sem "aceitar" grande e "opções" escondido
- Cookies essenciais (sessão, segurança) dispensam consentimento
- A escolha precisa ser reversível: quem aceitou pode mudar de ideia depois
Um detalhe técnico que passa despercebido: se você usa Tag Manager, o próprio contêiner costuma disparar tags antes do consentimento. Configurar o modo de consentimento é parte do trabalho.
Formulários: menos é mais
Peça só o necessário. Cada campo extra é um dado a proteger. Data de nascimento e CPF em formulário de contato raramente têm justificativa.
Deixe a finalidade clara ao lado do botão, em linguagem simples — não escondida na política.
Consentimento não pode vir marcado. Caixa pré-marcada não é consentimento válido.
Separe as finalidades. Aceitar ser contatado sobre um orçamento não é aceitar receber newsletter.
Retenção: o que quase ninguém faz
A lei fala em manter o dado apenas pelo tempo necessário. Na prática, quase todo site guarda lead para sempre.
Vale definir um prazo, documentar e implementar a limpeza. Uma rotina que anonimiza contatos antigos resolve, e reduz o tamanho do problema num eventual incidente.
Direitos do titular
A pessoa pode pedir acesso, correção ou exclusão dos dados dela. Não é preciso construir um portal: um canal claro (e-mail que alguém realmente lê) e um procedimento interno já atendem a maioria dos casos.
O que não funciona é o pedido chegar e ninguém saber onde os dados estão. Aí voltamos ao inventário do começo.
Checklist técnico
- Inventário do que é coletado e por quê
- Nenhum script de terceiro antes do consentimento
- Recusar tão fácil quanto aceitar, e escolha reversível
- Formulários pedindo o mínimo, com finalidade explícita
- Nada pré-marcado
- HTTPS em todo o site
- Acesso ao painel restrito e individual
- Prazo de retenção definido e aplicado
- Canal para pedidos do titular
- Política de privacidade condizente com o que o site faz de fato
O último item é o que mais falha: política genérica copiada da internet, descrevendo um site que não é o seu.