LGPD para sitios web: qué es obligatorio

La LGPD (Ley n.º 13.709/2018) de Brasil cumple cinco años de vigencia plena y todavía genera confusión — en parte porque mucha gente aprendió sobre ella a través de banners de cookies genéricos y modelos de política de privacidad copiados sin revisión. El resultado es una mezcla de exigencia real con leyenda urbana. Vamos a separar las dos.

Lo que es obligatorio de verdad

Política de privacidad publicada y accesible. Todo sitio que recopila cualquier dato personal — aunque sea solo un correo en un formulario de contacto — necesita informar de forma clara qué recopila, para qué, y cómo la persona puede ejercer sus derechos. No necesita ser un documento de 20 páginas lleno de jerga jurídica; necesita ser verdadero y claro.

Identificación del responsable. La ley (art. 41) pide que quede claro quién es responsable del tratamiento de los datos — nombre (o razón social) y un canal de contacto. Las empresas de pequeño porte, según la Resolución CD/ANPD n.º 2/2022, pueden usar un canal de comunicación eficaz en lugar de nombrar formalmente un encargado de datos (DPO).

Base legal para cada tratamiento. Cada motivo para recopilar datos necesita encajar en una de las hipótesis del art. 7 de la LGPD — consentimiento, ejecución de contrato, interés legítimo, cumplimiento de obligación legal, entre otras. Un formulario de contacto, por ejemplo, normalmente se apoya en consentimiento + interés legítimo (responder a la solicitud).

Canal para que el titular ejerza sus derechos. Confirmación de tratamiento, acceso, corrección, eliminación, portabilidad, revocación del consentimiento — la persona necesita tener cómo pedir esto, y usted necesita responder.

Lo que depende del contexto (no es regla fija)

Banner de cookies. Solo es obligatorio si el sitio realmente usa cookies no esenciales — rastreo, publicidad, analítica de terceros. Una cookie técnica y esencial (como la que guarda el idioma elegido) no necesita consentimiento previo, porque se encuadra en la excepción de "estrictamente necesaria" — pero aun así debe estar descrita en la política de privacidad.

Encargado de datos nombrado (DPO). Como se mencionó arriba, las empresas de pequeño porte con tratamiento de bajo riesgo pueden prescindir de ese nombramiento formal, siempre que mantengan un canal de comunicación eficaz. Las empresas más grandes, o que tratan datos sensibles a gran escala, normalmente necesitan un DPO de verdad.

Consentimiento explícito con casilla. No todo tratamiento de datos exige una casilla de "acepto". Si la base legal es ejecución de contrato o interés legítimo bien justificado, el consentimiento explícito muchas veces ni siquiera es el mecanismo correcto — forzar una casilla innecesaria solo crea fricción sin valor jurídico real.

Lo que es leyenda

• "Toda empresa necesita registrar su sitio ante la ANPD." No existe ese registro. La ANPD regula, fiscaliza y recibe denuncias — pero no hay un registro obligatorio de sitios.
• "Sin certificación ISO, la empresa está en incumplimiento." Las certificaciones de seguridad de la información (ISO 27001, por ejemplo) no son exigidas por la LGPD — ayudan a demostrar buenas prácticas, pero no son un requisito legal.
• "El número de registro de la empresa es obligatorio en la política de privacidad." Es recomendable y refuerza la identificación del responsable, pero las empresas en fase de formalización pueden operar con un canal de contacto claro mientras tanto.

Dónde la mayoría de las empresas se equivoca en la práctica

Generalmente no es falta de voluntad — es el modelo genérico. Descargar una política de privacidad lista de internet, cambiar el nombre de la empresa y publicarla sin revisar lo que realmente describe es peor que no tener nada: la política pasa a afirmar prácticas que la empresa no sigue (o deja de describir prácticas que sí sigue), lo que es una forma de incumplimiento más visible que la ausencia del documento.

El camino más seguro es revisar la política con base en lo que el sitio realmente hace — qué datos recopila de verdad el formulario de contacto, si existe una cookie de rastreo real, quién responde realmente el correo de contacto — y ajustar el texto para reflejar eso, no al revés.

La seguridad de la información y el cumplimiento de la LGPD van de la mano: de nada sirve tener una política de privacidad impecable si el sitio en sí tiene vulnerabilidades que exponen los datos que promete proteger. Vale la pena revisar los dos lados — empiece por el checklist técnico si todavía no lo ha hecho.