Cibersegurança · 3 min de leitura
LGPD na prática: checklist para sites e sistemas
O que a LGPD exige do seu site e do seu sistema, em linguagem simples: base legal, consentimento, segurança, direitos dos titulares e incidentes.
Resposta curta
Na prática, a LGPD (Lei 13.709/2018) exige que sites e sistemas coletem só os dados necessários, com uma base legal clara para cada uso, informem isso numa política de privacidade, protejam os dados com medidas técnicas de segurança, permitam que o titular acesse, corrija e peça a exclusão dos dados, e tenham um plano para comunicar incidentes à ANPD e aos titulares quando houver risco relevante.
A LGPD não é só um texto jurídico no rodapé. Boa parte dela se resolve no código e na configuração do site e do sistema. Este checklist é técnico e não substitui orientação jurídica.
1. Colete só o necessário
Cada campo de formulário deve ter um motivo. Se você não usa a data de nascimento, não peça. Menos dados, menos risco.
2. Tenha uma base legal para cada uso
Consentimento é só uma das bases. Execução de contrato, obrigação legal e legítimo interesse também existem. O importante é saber por que você trata cada dado.
3. Política de privacidade clara
Explique, em linguagem simples:
- quais dados coleta e para quê;
- com quem compartilha (gateway de pagamento, CRM, provedores de IA);
- por quanto tempo guarda;
- como o titular exerce seus direitos;
- quem é o encarregado (DPO) ou canal de contato.
4. Cookies e rastreamento
Ferramentas de analytics e pixels de anúncio usam cookies não essenciais. Informe e permita recusar.
5. Segurança: onde o código entra
- HTTPS em todas as páginas;
- senhas com hash forte, nunca em texto;
- controle de acesso por perfil, testado;
- criptografia de dados sensíveis;
- logs de acesso a dados pessoais;
- backups criptografados;
- atualizações em dia.
Veja as falhas que mais expõem dados em falhas de segurança mais comuns.
6. Direitos dos titulares
O sistema deve permitir, de forma prática: consultar quais dados existem, corrigir, exportar e excluir (quando não houver obrigação de guardar). Um painel ou um processo interno documentado resolve.
7. Fornecedores e IA
Ao usar IA, CRM ou ferramentas externas, verifique onde os dados ficam e se o fornecedor usa os seus dados para treino. Prefira contratos e configurações que impeçam isso.
8. Plano de resposta a incidentes
Defina antes: quem decide, quem investiga, como comunicar. O regulamento da ANPD prevê comunicação em prazo curto quando o incidente pode causar risco ou dano relevante aos titulares. Veja o passo a passo técnico em site invadido: o que fazer.
Resumo em tabela
| Área | Pergunta-chave |
|---|---|
| Coleta | Preciso mesmo deste dado? |
| Transparência | A política explica isso em linguagem simples? |
| Segurança | Quem não deveria acessar consegue? |
| Direitos | O titular consegue ver, corrigir e apagar? |
| Fornecedores | Onde os dados ficam e quem acessa? |
| Incidentes | Sabemos o que fazer nas primeiras 24 horas? |
A parte técnica dessa lista faz parte do nosso serviço de cibersegurança e de todo sistema web que desenvolvemos.
Perguntas frequentes
Todo site precisa de política de privacidade?
Se coleta qualquer dado pessoal, como nome e e-mail em formulário ou cookies de rastreamento, sim.
Pequenas empresas também precisam seguir a LGPD?
Sim. A ANPD tem regras simplificadas para agentes de pequeno porte, mas as obrigações básicas de segurança e transparência continuam valendo.
Banner de cookies é obrigatório?
Para cookies não essenciais, como analytics e anúncios, é preciso informar e, na maioria dos casos, obter consentimento. Cookies essenciais ao funcionamento não precisam.