Política de privacidade do site: o que a LGPD pede

A LGPD não usa a expressão "política de privacidade", mas exige que o titular tenha acesso fácil, claro e ostensivo a sete informações sobre o tratamento dos seus dados (art. 9º): finalidade específica, forma e duração, quem é o controlador, como contatá-lo, com quem os dados são compartilhados e para quê, responsabilidades dos agentes e os direitos do art. 18. A identidade e o contato do encarregado também precisam ser públicos (art. 41, § 1º); agentes de pequeno porte podem não ter encarregado, mas precisam de um canal de atendimento ao titular (Resolução CD/ANPD nº 2/2022, art. 11). A política do site é o lugar mais comum para reunir tudo isso, com link no rodapé de todas as páginas e nos pontos de coleta. Ela precisa descrever o que o site faz de verdade, incluindo cookies e scripts de terceiros, e ser atualizada quando algo muda.

Este texto explica a LGPD e normas e guias da ANPD com base nas fontes listadas no fim, consultadas em 26 de outubro de 2026. Não é parecer jurídico nem modelo de política: o conteúdo depende dos dados que cada site trata, e a redação final cabe ao controlador e ao seu jurídico.

Política de privacidade, aviso de privacidade: o nome importa?

Não. A LGPD (Lei nº 13.709/2018) fala em direito de acesso a informações, não em um documento com nome fixo. O guia de cookies da ANPD usa "Aviso de Privacidade (ou 'Política de Privacidade')" para a declaração pública do agente sobre o tratamento de dados em geral (p. 29). Este texto usa "política de privacidade" porque é o nome mais comum nos sites.

Alguns termos aparecem o tempo todo, todos definidos no art. 5º da lei: titular é a pessoa a quem os dados se referem; controlador é quem decide sobre o tratamento; operador é quem trata dados em nome do controlador; encarregado é a pessoa indicada para ser o canal entre controlador, titulares e ANPD (Agência Nacional de Proteção de Dados).

O que a LGPD manda informar

O art. 9º diz que o titular tem direito ao acesso facilitado às informações sobre o tratamento, apresentadas "de forma clara, adequada e ostensiva". A tabela mostra cada item e o que ele costuma significar num site.

O mesmo artigo tem três regras que afetam a redação:

• Se o consentimento for pedido com informação enganosa ou abusiva, ou sem transparência prévia, ele é nulo (§ 1º).

• Se a finalidade mudar de forma incompatível com o consentimento original, o controlador avisa antes, e o titular pode revogar (§ 2º).

• Quando o tratamento for condição para fornecer um produto, serviço ou direito, isso deve ser informado com destaque, junto com a forma de exercer os direitos (§ 3º).

Quem usa o legítimo interesse como base também precisa dar transparência ao tratamento (art. 10, § 2º). Na prática, a política é onde o titular fica sabendo que esse tratamento existe e como se opor a ele.

Os direitos do titular e como atendê-los

O art. 18 lista o que o titular pode pedir ao controlador, a qualquer momento:

1. confirmação de que existe tratamento;

2. acesso aos dados;

3. correção de dados incompletos, inexatos ou desatualizados;

4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;

5. portabilidade a outro fornecedor, conforme a regulamentação da ANPD;

6. eliminação dos dados tratados com consentimento, salvo as exceções do art. 16;

7. informação das entidades públicas e privadas com as quais o controlador compartilhou dados;

8. informação sobre a possibilidade de não consentir e as consequências da negativa;

9. revogação do consentimento.

O mesmo artigo garante o direito de se opor a tratamento feito sem consentimento quando a lei não é cumprida (§ 2º) e o de peticionar contra o controlador perante a ANPD (§ 1º). O art. 20 dá direito a pedir revisão de decisões tomadas só com base em tratamento automatizado, o que importa se o site toma decisões automáticas que afetam a pessoa, como a aprovação de um crédito.

Prazos: a confirmação de existência ou o acesso podem ser dados em formato simplificado, imediatamente, ou por declaração clara e completa em até 15 dias do pedido (art. 19). Agentes de pequeno porte têm prazo em dobro para atender os pedidos do art. 18, §§ 3º e 5º, e até 15 dias para a declaração simplificada (Resolução CD/ANPD nº 2/2022, arts. 14 e 15). A política não precisa repetir a lei inteira, mas deve dizer por qual canal o pedido entra.

Encarregado ou canal de atendimento

A LGPD manda o controlador indicar um encarregado e divulgar publicamente a identidade e o contato dele, "de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador" (art. 41, § 1º). Entre as atividades do encarregado estão aceitar reclamações e comunicações dos titulares e receber comunicações da ANPD (art. 41, § 2º).

A Resolução CD/ANPD nº 18, de 16 de julho de 2024, detalhou essa divulgação. Segundo o guia da ANPD sobre a atuação do encarregado (dezembro de 2024, pp. 18 a 20):

• A identidade é, no mínimo, o nome completo, se o encarregado for pessoa natural. Se for pessoa jurídica, o nome empresarial ou título do estabelecimento e o nome completo da pessoa natural responsável.

• O contato deve permitir que o titular exerça seus direitos e que a ANPD envie comunicações. E-mail e telefone são os mais comuns, mas outros meios servem se a comunicação for efetiva.

• A divulgação deve ser feita no site do controlador (art. 9º do regulamento), atualizada e em local de destaque e de fácil acesso.

• Só um e-mail como encarregado@empresa.com.br não basta: no exemplo 7 do guia, a ANPD diz que o endereço é informação de contato e não identifica o encarregado.

Quando o site pode não ter encarregado

A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, diz que agentes de tratamento de pequeno porte não são obrigados a indicar encarregado (art. 11). Entram nessa categoria microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado (inclusive sem fins lucrativos), pessoas naturais e entes despersonalizados que tratam dados (art. 2º, I).

A dispensa tem condições:

• Quem não indicar encarregado deve oferecer um canal de comunicação com o titular (art. 11, § 1º). Esse canal é o que vai na política no lugar do encarregado.

• A dispensa não vale para quem faz tratamento de alto risco, tem receita bruta acima do limite da Lei Complementar nº 123/2006 (ou da Lei Complementar nº 182/2021, para startups) ou pertence a grupo econômico cuja receita global passe desses limites (art. 3º).

• Alto risco exige ao menos um critério geral (larga escala ou tratamento que possa afetar significativamente direitos) e um específico, como uso de tecnologia emergente, decisões só automatizadas, ou dados sensíveis ou de crianças, adolescentes e idosos (art. 4º).

• Indicar encarregado mesmo sem obrigação conta como boa prática de governança (art. 11, § 2º).

Cookies: seção na política ou política separada

O guia de cookies da ANPD (pp. 28 e 29) recomenda uma política de cookies com as finalidades específicas, o prazo de retenção e o compartilhamento com terceiros, e aceita três formatos: uma seção da política de privacidade, uma página separada ou as camadas do próprio banner. Todos valem, desde que as informações essenciais estejam lá.

No exemplo 7 do guia, um escritório de contabilidade põe a política de cookies dentro da política de privacidade. A ANPD diz que isso é legítimo, de preferência com acesso facilitado à seção (aba, barra lateral ou sumário no início), mas que pode não bastar, porque nem todo visitante abre a política. Por isso recomenda que as informações também apareçam assim que a pessoa entra no site, no banner de segundo nível. O guia sobre LGPD, cookies e consentimento detalha o banner.

Pixels de anúncios, analytics e gravadores de sessão enviam dados a terceiros e entram no art. 9º, V. O artigo Pixels e scripts de terceiros: que dados saem do seu site mostra o que cada um coleta e o que precisa ser declarado.

Transferência internacional na política

Se o site usa fornecedores no exterior e transfere dados com base nas cláusulas-padrão contratuais da ANPD, a Resolução CD/ANPD nº 19/2024 manda publicar no site um documento em português, em linguagem simples, com forma, duração e finalidade da transferência, país de destino, identificação e contato do controlador, uso compartilhado, responsabilidades e medidas de segurança, e direitos do titular com um canal de fácil acesso (art. 17, § 2º, do regulamento). Esse documento pode ser uma página própria ou uma parte destacada da política de privacidade (§ 3º). A mesma exigência vale para quem transfere com cláusulas específicas ou normas corporativas globais aprovadas pela ANPD (art. 32).

Como escrever para ser lida

A lei pede informações "claras, precisas e facilmente acessíveis" (princípio da transparência, art. 6º, VI). As recomendações abaixo são deste texto, montadas a partir dessa exigência:

1. Comece pelo levantamento, não pelo texto. Liste os pontos de coleta do site (formulários, cadastro, checkout, newsletter, chat, cookies e scripts) e, para cada um, os dados, a finalidade, a base legal, o prazo de guarda e quem recebe.

2. Organize por situação, não por artigo de lei. Seções como "quando você compra", "quando assina a newsletter" e "quando navega no site" são mais fáceis de ler que uma lista única de dados.

3. Diga a finalidade com verbo e objeto. "Enviar a nota fiscal e o código de rastreio" informa; "otimizar a experiência" não.

4. Dê o prazo de guarda. Quando ele vem de outra lei, como a guarda de documentos fiscais, diga qual. Quando não houver prazo fixo, explique o critério.

5. Nomeie os terceiros ou ao menos as categorias com a finalidade de cada uma. O titular tem direito a saber com quem os dados foram compartilhados (art. 18, VII).

6. Use frases curtas, segunda pessoa e português. Termos técnicos (cookie, pixel, operador) vêm com uma explicação na primeira vez.

7. Use camadas. Um resumo no topo com os pontos principais e links para as seções completas ajuda quem só quer uma visão geral.

8. Deixe claro como exercer os direitos: canal, o que informar no pedido e prazo de resposta.

Onde colocar o link

A lei fala em acesso facilitado e informação ostensiva (art. 9º); não diz onde pôr o link. Os lugares abaixo são recomendações, com a base de cada uma:

• Rodapé de todas as páginas. É o lugar onde as pessoas procuram e atende ao acesso facilitado.

• Banner de cookies. O guia da ANPD recomenda no primeiro nível um link de fácil acesso para o titular exercer seus direitos (p. 31).

• Pontos de coleta. Formulários de contato, cadastro, newsletter e checkout, perto do botão de envio. É o momento em que o dado é coletado.

• Página de contato ou de privacidade com a identidade e o contato do encarregado, ou o canal de atendimento, em local de destaque, como pede a Resolução CD/ANPD nº 18/2024.

• Aplicativo, se houver: nas configurações e na página da loja de aplicativos.

Atualização e versionamento

A LGPD tem duas regras sobre mudanças. Se mudar a finalidade, a forma e duração, a identificação do controlador ou o uso compartilhado, o controlador informa o titular, com destaque, sobre o teor das alterações; quando a base for o consentimento, o titular pode revogá-lo se discordar (art. 8º, § 6º). Se a nova finalidade for incompatível com o consentimento original, o aviso vem antes da mudança (art. 9º, § 2º).

Como o ônus de provar o consentimento é do controlador (art. 8º, § 2º), faz sentido guardar as versões antigas. Recomendações práticas:

• Data de vigência no topo e um histórico curto do que mudou em cada versão.

• Versões anteriores guardadas, com a data em que valeram, para saber o que a pessoa leu quando consentiu.

• Registro de consentimento ligado à versão do texto e do banner vigente na hora.

• Revisão disparada por eventos, não só pelo calendário: novo fornecedor, nova tag ou pixel, nova finalidade, mudança de encarregado, mudança de razão social ou CNPJ.

Erros comuns

• Modelo copiado de outro site. Lista dados que o site não coleta e esquece os que coleta, cita leis estrangeiras e às vezes traz o nome de outra empresa. A informação do art. 9º precisa ser a do seu tratamento.

• Terceiros ausentes. A política fala em "parceiros" sem dizer quem são, e não menciona pixels, analytics, chat ou plataforma de e-mail que estão no site.

• Sem encarregado nem canal. Só um "fale conosco" genérico, ou só um e-mail sem a identidade do encarregado.

• Finalidades genéricas. "Melhorar a experiência" ou "fins comerciais" não dizem para que serve cada dado.

• "Ao continuar navegando, você concorda com esta política." Continuar navegando não é consentimento: o guia da ANPD descarta consentimento tácito e opções pré-selecionadas (p. 19).

• Prazo de guarda indefinido. Para o guia, prazos de retenção "indeterminados, excessivos ou desproporcionais" não são compatíveis com a LGPD (p. 17).

• Texto só em outro idioma. O guia lista informações de cookies apenas em idioma estrangeiro entre as práticas a evitar (p. 33).

• Política desatualizada. Fornecedor trocado, pixel novo instalado, e o texto continua o mesmo de anos atrás.

Quando algo disso não se aplica

• Site pessoal sem fins econômicos: a LGPD não se aplica ao tratamento feito por pessoa natural "para fins exclusivamente particulares e não econômicos" (art. 4º, I). Um blog com anúncios ou venda de produtos já tem fim econômico.

• Site estrangeiro: a lei vale quando o tratamento ocorre no Brasil, quando a oferta é dirigida a pessoas no Brasil ou quando os dados são coletados aqui (art. 3º).

• Dados de crianças e adolescentes têm regras próprias (art. 14) que este texto não cobre.

• Pequeno porte simplifica obrigações, como a do encarregado, mas não dispensa o art. 9º. A própria Resolução CD/ANPD nº 2/2022 diz que esses agentes devem disponibilizar as informações dos arts. 9º e 18 (art. 7º).

Como verificar o seu site

O verificador de cookies e LGPD do WebVyze, gratuito, confere se a página tem link para a política de privacidade e mostra os cookies gravados antes de qualquer clique, os rastreadores no HTML e se há ferramenta de consentimento. Cruzar essa lista com a política é um jeito rápido de achar terceiros que o texto não menciona. A checagem grátis olha riscos de privacidade e acessibilidade da página inicial. As ferramentas não leem nem avaliam o conteúdo da política e não substituem a análise jurídica.