LGPD para sites institucionais: o que é obrigatório

A LGPD (Lei nº 13.709/2018) faz cinco anos de vigência plena e ainda gera confusão — em parte porque muita gente aprendeu sobre ela através de banners de cookie genéricos e modelos de política de privacidade copiados sem revisão. O resultado é uma mistura de exigência real com lenda urbana. Vamos separar as duas.

O que é obrigatório de verdade

Política de privacidade publicada e acessível. Todo site que coleta qualquer dado pessoal — mesmo que só um e-mail num formulário de contato — precisa informar de forma clara o que coleta, para quê, e como a pessoa pode exercer seus direitos. Não precisa ser um documento de 20 páginas cheio de juridiquês; precisa ser verdadeiro e claro.

Identificação do controlador. A lei (art. 41) pede que fique claro quem é responsável pelo tratamento dos dados — nome (ou razão social) e um canal de contato. Empresas de pequeno porte, pela Resolução CD/ANPD nº 2/2022, podem usar um canal de comunicação eficiente no lugar de nomear formalmente um encarregado de dados (DPO).

Base legal para cada tratamento. Cada motivo de coletar dado precisa se encaixar numa das hipóteses do art. 7º da LGPD — consentimento, execução de contrato, legítimo interesse, cumprimento de obrigação legal, entre outras. Um formulário de contato, por exemplo, normalmente se apoia em consentimento + legítimo interesse (responder à solicitação).

Canal para o titular exercer direitos. Confirmação de tratamento, acesso, correção, exclusão, portabilidade, revogação de consentimento — a pessoa precisa ter como pedir isso, e você precisa responder.

O que depende do contexto (não é regra fixa)

Banner de cookies. Só é obrigatório se o site realmente usa cookies não essenciais — rastreamento, publicidade, analytics de terceiros. Um cookie técnico e essencial (como o que guarda o idioma escolhido) não precisa de consentimento prévio, porque se enquadra na exceção de "estritamente necessário" — mas ainda deve estar descrito na política de privacidade.

Encarregado de dados nomeado (DPO). Como mencionado acima, empresas de pequeno porte com tratamento de baixo risco podem dispensar essa nomeação formal, desde que mantenham um canal de comunicação eficaz. Empresas maiores, ou que tratam dado sensível em larga escala, normalmente precisam de um DPO de verdade.

Consentimento explícito com checkbox. Nem todo tratamento de dado exige um checkbox de "eu concordo". Se a base legal é execução de contrato ou legítimo interesse bem justificado, o consentimento explícito muitas vezes nem é o mecanismo certo — forçar um checkbox desnecessário só cria fricção sem valor jurídico real.

O que é lenda

• "Toda empresa precisa registrar seu site na ANPD." Não existe esse registro. A ANPD regula, fiscaliza e recebe denúncias — mas não há um cadastro obrigatório de sites.
• "Sem certificado ISO, a empresa está em desconformidade." Certificações de segurança da informação (ISO 27001, por exemplo) não são exigidas pela LGPD — ajudam a demonstrar boas práticas, mas não são requisito legal.
• "CNPJ é obrigatório na política de privacidade." É recomendável e reforça a identificação do controlador, mas empresas em fase de formalização podem operar com um canal de contato claro enquanto isso não existe.

Onde a maioria das empresas erra na prática

Não costuma ser falta de vontade — é o modelo genérico. Baixar uma política de privacidade pronta da internet, trocar o nome da empresa e publicar sem revisar o que ela realmente descreve é pior do que não ter nada: a política passa a afirmar práticas que a empresa não segue (ou deixa de descrever práticas que ela segue), o que é uma forma de não conformidade mais visível do que a ausência do documento.

O caminho mais seguro é revisar a política com base no que o site de fato faz — que dados o formulário de contato realmente coleta, se existe cookie de rastreamento de verdade, quem realmente responde pelo e-mail de contato — e ajustar o texto pra refletir isso, não o contrário.

Segurança da informação e conformidade com a LGPD andam juntas: não adianta ter uma política de privacidade impecável se o site em si tem vulnerabilidades que expõem os dados que ela promete proteger. Vale revisar os dois lados — comece pelo checklist técnico se ainda não tiver feito isso.