LGPD entrou em vigor em 2020. Em 2026, a ANPD (Autoridade Nacional de Proteção de Dados) está multando. As multas começam em R$ 50 mil e podem chegar a 2% do faturamento (limitadas a R$ 50 milhões por infração). E não é só empresa grande — em 2025 várias PME foram autuadas por coisa básica que dava pra resolver em 1 semana.
Este guia é um checklist direto: o que sua empresa precisa fazer hoje pra estar adequada. Sem juridiquês, sem enrolação. Se você bater todos os itens, está protegido.
O que a LGPD considera "dado pessoal"
Qualquer informação que identifique uma pessoa: nome, e-mail, telefone, CPF, RG, endereço, IP, cookie de navegação, foto, áudio, geolocalização, dado bancário, histórico de compra. Se você coleta qualquer desses, está dentro da LGPD.
"Mas eu só pego o e-mail no formulário do site" — está dentro.
"Mas eu só uso pra mandar boleto" — está dentro.
"Mas a empresa é pequena" — está dentro.
Item 1: Política de Privacidade visível e completa
Texto obrigatório no rodapé do site, linkado em todo formulário. Precisa responder claramente:
- Quais dados coleta (nome, e-mail, telefone, IP, cookies...)
- Pra que usa (cadastro, marketing, processamento de pedido, suporte...)
- Com quem compartilha (processadores de pagamento, e-mail marketing, analytics...)
- Quanto tempo guarda
- Como o titular exerce direitos (acesso, correção, exclusão)
- Contato do encarregado/DPO
Não é o "template genérico do Word" — precisa refletir o que sua empresa faz de verdade. Política de Privacidade copiada de concorrente, sem ajustar, é prato cheio pra multa ("falsidade ideológica").
Item 2: Cookie banner com consentimento real
Aquela barrinha "este site usa cookies" precisa fazer 3 coisas:
- Não dispara nenhum cookie de terceiros (Google Analytics, Meta Pixel, hotjar) antes do usuário aceitar
- Botão "recusar" tem mesmo destaque que "aceitar" (proibido botão "recusar" pequeno e cinza)
- Permite gerenciar por categoria (essencial / analytics / marketing) — o usuário escolhe o que aceita
Banner que dispara cookies antes do aceite é considerado violação direta da LGPD. Em 2024-2025, ANPD multou várias empresas exatamente por isso (R$ 50k cada).
Item 3: Opt-in explícito em todo formulário
Toda vez que coleta dado pra contato comercial (newsletter, WhatsApp marketing, e-mail promo):
- Checkbox não pré-marcado — usuário precisa MARCAR ativamente
- Texto claro — "Aceito receber comunicações comerciais por e-mail e WhatsApp"
- Link pra Política de Privacidade
- Registro do consentimento — guarda data, hora, IP, página onde aceitou
Opt-in pra contato transacional (boleto, status pedido, NF) NÃO é obrigatório — é "legítimo interesse". Mas marketing exige consentimento explícito.
Item 4: Opt-out fácil em todo canal
Toda comunicação precisa de saída em 1-2 cliques:
- E-mail: link de descadastro visível no rodapé, que funciona
- WhatsApp: instrução clara em cada disparo ("responda PARAR pra não receber mais")
- SMS: idem ("PARE" volta como opt-out)
Esconder o unsubscribe é violação. Não processar o opt-out é violação. Sistema precisa lembrar que aquela pessoa pediu pra sair, pra sempre.
Item 5: Encarregado de Dados (DPO)
Empresa precisa indicar um "encarregado" (Data Protection Officer). Pode ser:
- Funcionário interno (administrador, sócio, advogado da casa)
- Empresa terceira especializada
O nome e contato do encarregado precisam estar:
- Na Política de Privacidade
- Em local fácil de achar no site (rodapé, página específica)
Pra microempresa (faturamento < R$ 360 mil/ano), a ANPD flexibilizou — pode indicar canal de comunicação em vez de pessoa específica.
Item 6: Direito do titular: pedir, corrigir, excluir
Titular dos dados tem direito de pedir, em até 15 dias:
- Cópia dos dados que você tem sobre ele
- Correção de dado errado
- Exclusão ("direito ao esquecimento")
- Anonimização
- Lista de com quem você compartilhou os dados
Empresa precisa ter canal claro pra receber esses pedidos (e-mail, formulário, telefone) e processo interno pra responder em até 15 dias. Ignorar = multa direta.
Item 7: Contrato com fornecedor que processa dados
Toda empresa terceira que toca seus dados precisa de contrato específico (DPA — Data Processing Agreement):
- Hospedagem (AWS, Google Cloud, Locaweb, KingHost)
- E-mail marketing (Mailchimp, Brevo)
- Pagamento (Mercado Pago, Cielo, Inter, PagSeguro)
- CRM (Pipedrive, HubSpot, RD Station)
- Contabilidade
- Agência de marketing terceira
Fornecedores grandes já têm DPA padrão que você assina online. Os pequenos, você pede ou faz um simples.
Item 8: Segurança técnica mínima
- HTTPS em todo o site (certificado SSL — gratuito via Let's Encrypt, sem desculpa)
- Senhas criptografadas no banco (bcrypt/argon2, nunca texto puro)
- Backup com criptografia em pelo menos 2 locais
- Acesso por perfil — funcionário só vê o que precisa
- Logs de acesso — quem fez o quê e quando
- Update regular de WordPress, plugins, sistema
Vazamento de dado por falha técnica também é multa — e ainda dá obrigação de comunicar a ANPD + os titulares em até 72h.
Item 9: Tratamento de menor de idade
Se o produto/serviço atinge menor de 18 anos:
- Consentimento do responsável legal é obrigatório
- Linguagem do site/política precisa ser apropriada
- Dado de menor recebe proteção reforçada
Escola, escola de idiomas, loja de produto infantil, hospital — atenção redobrada.
Item 10: Registro das Operações de Tratamento (ROPA)
Documento interno (Excel ou sistema) que lista TODOS os tratamentos que sua empresa faz com dado pessoal:
- Finalidade do tratamento
- Categoria de dado
- Base legal (consentimento, contrato, legítimo interesse...)
- Compartilhamentos
- Prazo de retenção
- Medidas de segurança aplicadas
Não precisa publicar — precisa ter caso a ANPD peça (e ela pede).
Checklist rápido (10 itens)
- [ ] Política de Privacidade no rodapé do site, completa e específica
- [ ] Cookie banner com "recusar" igual a "aceitar" e bloqueio antes do aceite
- [ ] Opt-in não pré-marcado em todo formulário de marketing
- [ ] Opt-out funcionando em e-mail, WhatsApp e SMS
- [ ] Encarregado/DPO indicado com contato visível
- [ ] Canal pra exercer direitos do titular (e processo interno)
- [ ] DPA assinado com todo fornecedor que toca dados
- [ ] HTTPS em todo o site + senhas criptografadas + backups
- [ ] Tratamento adequado de menor (se aplica)
- [ ] ROPA documentado internamente
O que NÃO é obrigatório (mas todo mundo acha que é)
- Não precisa de selo "site LGPD compliant" pago — esses selos não têm valor jurídico
- Não precisa de "certificação LGPD" da empresa — não existe certificação oficial
- Não precisa de servidor no Brasil (dado pode estar no exterior se houver garantias)
- Não precisa assinar contrato com toda visita do site — só com quem efetivamente trata dados
Se a ANPD bater na porta
Procedimento padrão:
- ANPD manda ofício pedindo informações (você tem 15 dias)
- Você responde com documentos (Política, ROPA, contratos, evidências)
- ANPD analisa e pode arquivar OU abrir processo sancionador
- Se processo, há defesa prévia + decisão
- Sanção pode ser: advertência, multa, bloqueio dos dados, eliminação dos dados, suspensão do tratamento
Empresa que respondeu bem o ofício, mostrou que tem governança mínima, e cooperou — geralmente sai com advertência ou multa simbólica. Empresa que ignorou ou ofereceu documento falso — multa máxima.
Como a Uma Nova Imagem ajuda
Trabalhamos em 2 níveis:
- Adequação LGPD do site (a partir de R$ 1.500): Política de Privacidade redigida sob medida + cookie banner conforme + ajuste de formulários + DPA com fornecedores + treinamento de equipe. Tempo: 2-3 semanas.
- Suporte continuado (a partir de R$ 400/mês): ROPA atualizado, revisão semestral, suporte a pedido de titular, acompanhamento se chegar ofício da ANPD. Pra quem trata volume relevante de dados.
LGPD não é "questão jurídica que pode esperar". É item operacional que vale a pena resolver em 1 mês de trabalho e ficar tranquilo pelos próximos anos. Empresa adequada também passa confiança pra cliente — virou diferencial competitivo, não só obrigação.
