Política de Privacidade na LGPD: o que deve conter e como elaborar

Uma Política de Privacidade adequada à LGPD deve explicar, de forma concreta e fácil de encontrar, quem decide sobre o tratamento, quais dados são usados, de onde eles vêm, para quais finalidades, por quanto tempo são mantidos, com quem são compartilhados, se saem do Brasil, como são protegidos e como o titular exerce seus direitos. O texto precisa refletir a operação real da empresa. Copiar a política de outro site ou preencher o documento com frases genéricas pode criar mais risco do que transparência.

O que deve conter uma Política de Privacidade LGPD?

Uma resposta prática reúne doze blocos. Nem todos aparecem com essas mesmas palavras na lei, mas o conjunto permite cumprir os deveres de informação, tornar o documento útil ao titular e evitar promessas vagas.

1. identificação e contato do controlador;
2. escopo da Política e públicos abrangidos;
3. categorias de dados e fontes de coleta;
4. finalidades específicas do tratamento;
5. bases legais associadas a cada finalidade;
6. forma do tratamento e critérios de retenção;
7. compartilhamentos e suas finalidades;
8. transferências internacionais e garantias aplicáveis;
9. direitos dos titulares e canal para exercê-los;
10. identidade e contato do encarregado, quando aplicável;
11. medidas de segurança descritas em nível verdadeiro e prudente;
12. data, versão e procedimento de atualização.

Também podem ser necessários blocos específicos sobre cookies, crianças e adolescentes, dados sensíveis, decisões automatizadas, câmeras, geolocalização, biometria, relações de trabalho ou normas setoriais. A lista correta depende do que a organização realmente faz, não do tamanho do modelo encontrado na internet.

Política de Privacidade, aviso, Termos de Uso e consentimento são a mesma coisa?

Não. Uma parte relevante dos erros nasce da tentativa de usar um único clique para resolver documentos com funções diferentes.

• Aviso ou Política de Privacidade: informa como o controlador trata dados pessoais.
• Termos de Uso: estabelecem regras para utilizar o site, aplicativo ou serviço.
• Consentimento: é uma das bases legais e registra uma escolha livre, informada e inequívoca para finalidade determinada.
• Política de Cookies: detalha cookies, rastreadores, finalidades, duração e controles do usuário.
• Contrato de tratamento de dados: distribui instruções e responsabilidades entre controlador e operador.

A Política é, em regra, uma declaração de transparência. O usuário não precisa “concordar” com uma obrigação legal de emissão de nota fiscal nem autorizar o tratamento indispensável à execução do contrato apenas porque leu o documento. Quando uma operação depende de consentimento, a escolha deve aparecer de forma específica, separada e vinculada à finalidade correspondente. Um botão genérico “aceito os Termos e a Política” não transforma todas as operações em consentidas.

Para organizar o ecossistema documental, conecte a Política aos Termos de Uso, à Política de Cookies e, nos contratos com fornecedores que tratam dados em nome da empresa, ao Contrato de Tratamento de Dados Pessoais.

A LGPD obriga todo negócio a publicar um documento com esse nome?

A LGPD não contém uma frase dizendo que todo controlador privado deve publicar um arquivo chamado “Política de Privacidade”. Ela impõe algo materialmente mais importante: o titular deve ter acesso facilitado a informações claras, adequadas e ostensivas sobre o tratamento. O art. 9º enumera informações centrais, e o art. 6º estabelece os princípios de livre acesso e transparência.

Para sites, aplicativos e serviços digitais, uma página pública de Política ou Aviso de Privacidade é o mecanismo mais eficiente para cumprir esse dever de forma contínua. O Marco Civil da Internet também assegura informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção dos dados.

Antes de redigir, faça um inventário dos tratamentos

Comece listando processos: cadastro, compra, entrega, atendimento, newsletter, recrutamento, folha de pagamento, gravação de chamadas, prevenção a fraude, controle de acesso, analytics e publicidade. Para cada processo, preencha uma linha como esta:

Inclua fontes indiretas e dados automáticos, como IP, identificadores, logs e sinais de antifraude. Compare o inventário com CRM, e-mail, pagamento, nuvem, atendimento e anúncios.

Como identificar corretamente o controlador e o escopo?

Informe razão social ou nome, CNPJ ou outra identificação pertinente, endereço ou sede quando adequado e um contato funcional. Em grupos empresariais, não use apenas a marca. Explique qual entidade controla o serviço e, se houver controladoria conjunta ou papéis diferentes por produto, delimite-os.

Declare se o aviso cobre site, aplicativo, lojas, candidatos ou colaboradores. Públicos com contextos muito diferentes podem exigir avisos separados.

Como descrever dados pessoais sem criar uma lista inútil?

Organize por categorias e contexto. “Dados cadastrais” pode incluir nome, CPF, e-mail e telefone; “dados de transação”, itens, valor e método de pagamento; “dados técnicos”, IP, navegador, dispositivo e logs; “dados de atendimento”, mensagens, gravações e anexos. Em seguida, associe cada categoria à fonte e à finalidade.

Dados financeiros não são automaticamente “dados pessoais sensíveis” na definição legal. O art. 5º, II, reserva essa categoria a origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético e biométrico vinculado a pessoa natural. Informações bancárias podem exigir proteção elevada pelo risco, mas não devem ser classificadas juridicamente como sensíveis sem base no conceito legal.

Como ligar finalidade e base legal sem usar “consentimento para tudo”?

A LGPD prevê dez hipóteses no art. 7º para dados pessoais comuns, e o consentimento é apenas uma delas. Transferência internacional não é uma décima primeira base legal: ela exige uma base dos arts. 7º ou 11 e, adicionalmente, um mecanismo válido de transferência. Para dados sensíveis, aplique as hipóteses específicas do art. 11.

Como informar forma, duração, retenção e eliminação?

“Guardamos pelo tempo necessário” pode ser verdadeiro, mas sozinho não ajuda. Sempre que possível, descreva um prazo ou um critério verificável: durante a conta ativa; até a entrega e o encerramento do prazo de reclamação; enquanto durar a obrigação fiscal; até a resolução do atendimento; por determinado período após o último contato; ou até a revogação do consentimento, ressalvadas hipóteses legítimas de conservação.

Não prometa excluir “qualquer dado imediatamente” após uma solicitação. O direito de eliminação do art. 18 tem contornos diferentes conforme a base e a situação. A Política deve explicar que o pedido será analisado e que eventual retenção será comunicada com o fundamento correspondente.

Como explicar compartilhamento com terceiros?

Substitua “podemos compartilhar com parceiros” por categorias e finalidades. Exemplos: empresa de hospedagem para armazenar a aplicação; gateway para processar o pagamento; transportadora para entregar o pedido; ferramenta de atendimento para organizar solicitações; contador para cumprir obrigações; autoridade pública quando houver dever ou requisição válida.

O art. 9º exige informação sobre uso compartilhado e finalidade. O art. 18 permite ao titular obter informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado. Por isso, mesmo que a Política use categorias para permanecer legível, a empresa precisa manter internamente uma relação atualizada dos destinatários e conseguir responder a pedidos.

O que informar sobre transferências internacionais?

A Resolução CD/ANPD nº 19/2024 regulamenta transferências e cláusulas-padrão. Quando a transferência usa cláusulas contratuais nos termos do regulamento, o controlador deve publicar informações em português, simples e acessíveis sobre forma, duração, finalidade, destino, controlador, compartilhamento, responsabilidades, segurança e direitos. Esse documento pode integrar a Política em seção destacada.

Como apresentar os direitos e o canal de atendimento?

Liste os direitos do art. 18 em linguagem comum: confirmação do tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou irregulares, portabilidade conforme regulamentação, eliminação dos dados tratados com consentimento nas hipóteses aplicáveis, informação sobre compartilhamentos, informação sobre consequências de negar consentimento e revogação.

Explique o caminho:

1. canal de contato ou formulário;
2. informações mínimas para localizar a relação;
3. verificação proporcional de identidade;
4. confirmação de recebimento;
5. análise e resposta gratuita;
6. explicação de eventual impedimento jurídico ou técnico.

É obrigatório divulgar o encarregado pelo tratamento de dados?

O art. 41 determina que o controlador indique encarregado e divulgue publicamente identidade e contato, de forma clara e objetiva, preferencialmente no site. A orientação oficial da ANPD sobre o encarregado esclarece que, se for pessoa natural, deve aparecer o nome completo; se for pessoa jurídica, o nome empresarial ou título do estabelecimento e o nome da pessoa natural responsável. Um endereço “privacidade@empresa.com” sozinho é contato, não identidade.

Para o operador, a indicação é facultativa segundo o regulamento, salvo situação particular. Agentes de tratamento de pequeno porte podem ser dispensados de indicar encarregado pela Resolução CD/ANPD nº 2/2022, desde que cumpram as condições. Mesmo dispensado, o agente deve oferecer canal de comunicação ao titular.

Cookies devem ficar na mesma Política?

Podem ficar em seção destacada ou em documento separado. A ANPD admite as duas formas, desde que a informação seja clara, precisa e facilmente acessível. O banner é a primeira camada; a Política de Cookies contém detalhes como categoria, finalidade, duração, origem própria ou de terceiro, compartilhamento e mecanismo de controle.

Consentimento não é automaticamente a base de todo cookie. Para cookies estritamente necessários, a própria ANPD observa que o consentimento pode ser inadequado porque não há escolha real se o serviço depende deles. O legítimo interesse pode ser cabível em certos cookies necessários e análises limitadas, desde que os requisitos sejam demonstrados. Para publicidade, rastreamento e perfis não essenciais, o consentimento tende a ser mais apropriado.

Quando o consentimento for usado, nenhum cookie correspondente deve iniciar antes de ação positiva. O banner deve oferecer aceitar, rejeitar os não necessários e gerenciar preferências com destaque comparável. Caixas pré-marcadas, consentimento por silêncio e dificuldade artificial para recusar contrariam a liberdade da escolha.

O que declarar sobre segurança sem criar uma promessa perigosa?

A LGPD exige medidas técnicas e administrativas aptas a proteger dados, desde a concepção do produto até a execução. A Política pode mencionar classes de medidas efetivamente adotadas: controle de acesso, gestão de credenciais, registro de atividades, proteção de comunicações, cópias de segurança, segregação de ambientes, avaliação de fornecedores, treinamento e resposta a incidentes.

A Política não substitui plano de resposta a incidentes. O plano precisa definir detecção, contenção, registro, avaliação de risco, preservação de evidências, responsáveis e comunicação. Se houver incidente capaz de gerar risco ou dano relevante, a comunicação à ANPD e aos titulares segue o art. 48 e a regulamentação vigente. Evite reproduzir prazos antigos de blogs sem conferir as normas atuais da ANPD.

Como tratar crianças, adolescentes e dados sensíveis?

Se o serviço alcança crianças ou adolescentes, a Política deve ser adequada à idade e ao contexto. O art. 14 exige melhor interesse. Para crianças, o §1 prevê consentimento específico e em destaque de pelo menos um dos pais ou responsável, ressalvadas hipóteses legais específicas do próprio artigo. O controlador deve manter pública a informação sobre os tipos de dados coletados, como são usados e como os direitos podem ser exercidos.

Para adolescentes, não replique automaticamente a regra de consentimento parental destinada a crianças. A ANPD consolidou entendimento de que as bases dos arts. 7º e 11 podem ser aplicadas ao tratamento de dados de crianças e adolescentes, sempre com prevalência do melhor interesse e avaliação do caso concreto.

Onde exibir a Política e como usar informação em camadas?

Um link no rodapé é útil, mas pode não ser suficiente. A informação deve aparecer no momento em que faz diferença para a decisão do titular. Use camadas:

• resumo no formulário, explicando finalidade e necessidade do campo;
• aviso no banner de cookies, com controles imediatos;
• link no checkout, no cadastro e nas configurações da conta;
• aviso próprio em recrutamento, câmeras ou coleta presencial;
• Política completa, pesquisável e acessível no site;
• canal permanente para direitos e dúvidas.

Como atualizar a Política sem pedir um novo “aceite” para tudo?

Inclua data de vigência, número da versão e canais de aviso para mudanças relevantes. Mantenha histórico interno e, se possível, um resumo das alterações. Revise quando houver novo produto, novo dado, mudança de finalidade, fornecedor, país de processamento, tecnologia de rastreamento, base legal, prazo, norma ou canal.

Nem toda correção de ortografia exige novo consentimento. Se o tratamento se baseia em consentimento e muda informação relevante dos incisos I, II, III ou V do art. 9º, o art. 8º §6 exige informar a alteração com destaque e permite revogação quando o titular discordar. Se surge finalidade incompatível com o consentimento original, o controlador deve informar previamente e obter base adequada; uma cláusula “podemos mudar a qualquer momento, e continuar usando significa aceitar” não resolve.

Exemplo prático 1: site institucional com formulário

A Política pode explicar que os dados do formulário são usados para responder ao contato e preparar uma proposta solicitada; que a mensagem fica no sistema de atendimento por período definido; que o provedor de hospedagem e a ferramenta de atendimento acessam dados para operar o serviço; que logs são usados para segurança; e que o titular pode pedir acesso, correção ou outras providências pelo canal indicado.

Exemplo prático 2: e-commerce com entrega e antifraude

A Política deve separar finalidades: executar compra, emitir documento fiscal, entregar, prevenir fraude, atender pós-venda e enviar marketing opcional. Também deve esclarecer quais dados a loja trata diretamente e quais ficam sob responsabilidade do gateway, sem afirmar que “não trata nenhum dado financeiro” se recebe token, bandeira ou identificação da transação.

Exemplo prático 3: plataforma SaaS B2B

A Política pública deve explicar os tratamentos em que a plataforma é controladora. O DPA deve governar os tratamentos realizados como operadora: objeto, duração, categorias, instruções, confidencialidade, suboperadores, segurança, incidentes, apoio a direitos, transferências, auditoria e descarte.

Erros frequentes que tornam a Política menos segura

• copiar a Política de um concorrente e manter práticas que não existem;
• pedir consentimento para todas as operações, inclusive obrigação legal e contrato;
• usar finalidades amplas como “qualquer fim legítimo”;
• omitir fonte indireta, logs, pixels, SDKs ou dados recebidos de parceiros;
• chamar toda informação financeira de dado sensível;
• prometer exclusão absoluta, mesmo quando há guarda obrigatória;
• não indicar prazo ou critério de retenção;
• listar tecnologias de segurança não implantadas;
• instalar cookies não essenciais antes da escolha;
• tratar o aceite da Política como consentimento genérico;
• publicar um texto que a equipe de atendimento não consegue cumprir.

Outro erro é acreditar que a Política, sozinha, “deixa a empresa em conformidade”. O documento só é confiável quando há inventário, contratos, segurança, gestão de direitos, retenção, treinamento e evidências coerentes com o que foi publicado.

Checklist antes de publicar

1. confirmar a entidade controladora e o escopo;
2. eliminar categorias de dados que não são tratadas;
3. ligar cada finalidade a uma base legal avaliada;
4. definir critérios de retenção e descarte;
5. verificar regras de transferência internacional;
6. testar o canal e o procedimento de direitos;
7. comparar cookies reais com banner e Política;
8. confirmar que medidas de segurança declaradas existem;
9. incluir decisões automatizadas relevantes;
10. registrar data, versão e responsável pela revisão;
11. testar leitura no celular e acesso a partir de formulários.

Perguntas frequentes

Todo site precisa de Política de Privacidade?

Se há tratamento de dados pessoais, o titular deve receber as informações exigidas pela LGPD. Em sites e aplicativos, uma Política ou Aviso público é normalmente o meio central para cumprir o dever, complementado por avisos contextuais. Um site realmente sem coleta, logs identificáveis, formulários, cookies ou integrações pode ter cenário diferente, mas isso deve ser confirmado tecnicamente.

A Política precisa de uma caixa “Li e aceito”?

Não como regra geral. A Política informa; o consentimento registra escolha para tratamento determinado quando essa base for aplicável. Pedir aceite genérico pode confundir as funções. Use consentimentos separados e granulares para operações opcionais que realmente dependam deles.

Posso copiar a Política de outro site do mesmo setor?

Não é uma solução segura. Empresas semelhantes usam fornecedores, cookies, prazos e finalidades diferentes. A cópia pode omitir um fluxo seu e declarar um controle inexistente. Use padrões de estrutura, mas escreva a partir do inventário da sua operação.

Microempresa precisa de encarregado?

Agentes de pequeno porte podem ser dispensados se atenderem à Resolução nº 2/2022 e não incidirem em exclusões, mas precisam disponibilizar canal de comunicação. Ser MEI ou ter poucos empregados não deve ser tratado como dispensa automática sem verificar critérios e risco.

O titular pode exigir a exclusão de todos os dados?

Pode exercer os direitos previstos na LGPD, mas a resposta depende da base, finalidade e hipóteses de conservação. Dados necessários a obrigação legal, defesa de direitos ou outra conservação autorizada podem permanecer pelo período correspondente. A empresa deve explicar o que fez e por quê.

Como transformar o inventário em um documento utilizável?

Depois de validar os fluxos, escolha um modelo que permita ajustar categorias, finalidades, bases, cookies, compartilhamentos, retenção, direitos e encarregado sem copiar uma operação alheia. O gerador de Política de Privacidade do DiretoDoc organiza essas decisões e produz um documento editável. A qualidade final depende das respostas: selecione apenas condições verdadeiras e mantenha o arquivo sincronizado com mudanças do negócio.