---
title: "LGPD para sites: cookies, formulários e política — Dardo"
description: "Base legal, política de privacidade, banner de cookies segundo a ANPD, encarregado e as multas já aplicadas, com um checklist para conferir o seu site."
url: "https://dardo.studio/pt/blog/lgpd-para-sites/"
language: "pt"
updated: "2026-10-17T23:33:55.576Z"
---

[Blog](https://dardo.studio/pt/blog/)

# LGPD para sites em 2026: o que a lei exige de cookies, formulários, política de privacidade e encarregado

O que a LGPD exige de um site: base legal por finalidade, política com os itens do art. 9º, banner que deixa recusar, encarregado e dados enviados ao exterior.

Por [Nicolás Cerón](https://dardo.studio/pt/nicolas-ceron/) ·17 de outubro de 2026

![Arquivo antigo à noite, com gavetas de madeira na penumbra e uma luminária iluminando um livro de registros fechado por uma fita carmesim sobre a mesa.](https://dardo.studio/_astro/01M563DK5RY3Q2RT1S6YCS4N9B_17KLnb.webp)

## Pontos-chave

- A LGPD vale para qualquer site que colete dados pessoais, inclusive por cookies e analytics, e cada finalidade precisa de uma das dez bases legais do art. 7º.
- Segundo o Guia de Cookies da ANPD, cookies necessários se apoiam no legítimo interesse, o analytics agregado pode se apoiar nele em certos contextos e os cookies de publicidade pedem consentimento.
- Microempresas, empresas de pequeno porte e startups estão dispensadas de indicar encarregado, mas precisam de um canal de contato, e a ANPD considera inadequado oferecer só um formulário.
- Dados enviados a ferramentas fora do Brasil exigem um mecanismo do art. 33: a União Europeia é considerada adequada desde janeiro de 2026, os Estados Unidos não.
- A multa simples vai até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração; em agosto de 2026 a ANPD multou a ByteDance Brasil em R$ 153,8 milhões em primeira instância.

## A resposta curta

Se o seu site tem um formulário, um analytics ou um pixel de anúncio, ele trata dados pessoais e a [Lei Geral de Proteção de Dados (Lei nº 13.709/2018)](https://www.planalto.gov.br/ccivil%5F03/%5Fato2015-2018/2018/lei/l13709compilado.htm) vale para ele. Na prática, a lei pede cinco coisas de um site:

1. **Uma base legal para cada finalidade** (art. 7º). Consentimento é só uma das dez. Um formulário de orçamento cabe em "procedimentos preliminares relacionados a contrato"; cookies de publicidade, segundo a ANPD, quase sempre pedem consentimento.
2. **Uma política de privacidade** com os sete itens do art. 9º, que descreva o que o site realmente coleta.
3. **Um banner que deixe recusar**, se você usa consentimento: o [Guia Orientativo de Cookies da ANPD](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-cookies-e-protecao-de-dados-pessoais.pdf) desaconselha o botão único "Aceito" e os cookies não necessários ativados por padrão.
4. **Um encarregado (DPO) publicado no site**, ou, para microempresas, empresas de pequeno porte e startups, ao menos um canal de contato com o titular ([Resolução CD/ANPD nº 2/2022](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022), art. 11).
5. **Um mecanismo para mandar dados ao exterior** quando o analytics, o CRM ou a hospedagem ficam fora do Brasil ([Resolução CD/ANPD nº 19/2024](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd/resolucao-cd-anpd-no-19-de-23-de-agosto-de-2024)).

A multa simples chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52). Em 24 de agosto de 2026, a ANPD aplicou à ByteDance Brasil, dona do TikTok, multas que somam R$ 153.769.671,33 em primeira instância.

Lemos a lei, as resoluções e os documentos da ANPD citados aqui em 17 de outubro de 2026. Este guia não é aconselhamento jurídico: use-o para organizar o trabalho e leve as decisões ao seu advogado.

## O que conta como dado pessoal num site

Para a lei, dado pessoal é qualquer "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, I). Num site, isso inclui o nome e o e-mail de um formulário, mas também o que identifica alguém de forma indireta: o endereço IP nos registros do servidor, o identificador que um cookie guarda e o perfil de navegação montado a partir dele. O art. 12, § 2º, diz que dados usados para formar o perfil comportamental de uma pessoa identificada também são dados pessoais.

Antes de escrever qualquer política, faça o inventário. Abra o site numa janela anônima, abra as ferramentas do navegador, vá à aba Rede e anote cada domínio de terceiros que carrega: analytics, pixels de anúncio, chat, mapa, vídeo incorporado, fonte externa, formulário. Repita depois de enviar um formulário. Esse inventário é a base de tudo o que vem a seguir: uma política que não bate com ele não cumpre o art. 9º, por mais bem escrita que seja.

## Base legal: uma para cada finalidade

O art. 7º lista dez hipóteses que autorizam o tratamento. Não existe hierarquia entre elas, e o consentimento não é a regra. Para um site, estas são as que mais aparecem:

| O que o site faz                                   | Base legal mais comum                                                    | O que observar                                                          |
| -------------------------------------------------- | ------------------------------------------------------------------------ | ----------------------------------------------------------------------- |
| Formulário de contato ou de orçamento              | Procedimentos preliminares de contrato, a pedido do titular (art. 7º, V) | Peça só o que a resposta exige (art. 6º, III)                           |
| Pedido e entrega numa loja                         | Execução de contrato (art. 7º, V)                                        | Use os dados só para o pedido                                           |
| Nota fiscal e registros fiscais                    | Obrigação legal (art. 7º, II)                                            | Guarde pelo prazo que a lei fiscal manda                                |
| Registros de acesso do servidor                    | Obrigação legal, quando o Marco Civil se aplica (art. 7º, II)            | Veja a nota abaixo da tabela                                            |
| Cookies estritamente necessários (login, carrinho) | Legítimo interesse (art. 7º, IX)                                         | O guia da ANPD diz que consentimento não é apropriado aqui              |
| Analytics de audiência                             | Legítimo interesse, em certos contextos                                  | Só com dados agregados, sem perfis e sem cruzar com outros rastreadores |
| Pixels de anúncio e remarketing                    | Consentimento (art. 7º, I)                                               | Desativados até o visitante aceitar                                     |
| Newsletter e e-mail de marketing                   | Consentimento (art. 7º, I)                                               | Caixa própria, nunca pré-marcada                                        |
| Prevenção a fraude no checkout                     | Legítimo interesse (art. 7º, IX)                                         | Registre a avaliação de interesses                                      |

Sobre os registros de acesso: o art. 15 do [Marco Civil da Internet](https://www.planalto.gov.br/ccivil%5F03/%5Fato2011-2014/2014/lei/l12965.htm) obriga o provedor de aplicações que seja pessoa jurídica e atue "com fins econômicos" a guardar esses registros por 6 meses, sob sigilo. Se o seu site se enquadra é uma pergunta para o advogado; o que não muda é que esses registros são dados pessoais e precisam aparecer na política.

Cada base tem condições próprias:

- **Consentimento** precisa ser livre, informado e inequívoco (art. 5º, XII), referir-se a finalidades determinadas (autorizações genéricas são nulas, art. 8º, § 4º) e poder ser revogado "por procedimento gratuito e facilitado" (art. 8º, § 5º). Quem prova que o consentimento foi válido é você (art. 8º, § 2º), então guarde o registro de cada aceite.
- **Legítimo interesse** só cobre os dados "estritamente necessários" para a finalidade e exige transparência (art. 10, §§ 1º e 2º). O titular pode se opor (art. 18, § 2º), e a ANPD pode pedir um relatório de impacto (art. 10, § 3º).
- **Crianças** exigem consentimento específico de pelo menos um dos pais ou responsável (art. 14, § 1º). Se o seu site ou produto é direcionado a crianças e adolescentes, ou tem acesso provável por eles, vale também o [Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025)](https://www.planalto.gov.br/ccivil%5F03/%5Fato2023-2026/2025/lei/l15211.htm), em vigor desde 17 de março de 2026, data fixada pela [Lei nº 15.352/2026](https://www.planalto.gov.br/ccivil%5F03/%5Fato2023-2026/2026/lei/l15352.htm). A mesma Lei nº 15.352/2026 transformou a ANPD em Agência Nacional de Proteção de Dados.

## Política de privacidade: o conteúdo mínimo

O art. 9º garante ao titular acesso "claro, adequado e ostensivo" a sete informações. Traduzidas para um site, ficam assim:

| Item do art. 9º                   | Como aparece numa política de site                                               |
| --------------------------------- | -------------------------------------------------------------------------------- |
| I. Finalidade específica          | Uma seção por coleta: formulário, newsletter, loja, analytics, anúncios          |
| II. Forma e duração               | Por quanto tempo cada dado fica guardado e quando é apagado                      |
| III. Identificação do controlador | Razão social e CNPJ de quem decide sobre os dados                                |
| IV. Contato do controlador        | E-mail e endereço que alguém de fato lê                                          |
| V. Uso compartilhado              | Quem recebe os dados (hospedagem, CRM, gateway, ferramenta de e-mail) e para quê |
| VI. Responsabilidades dos agentes | O que cabe a você e o que cabe aos fornecedores que tratam dados por você        |
| VII. Direitos do titular          | Os direitos do art. 18 e como pedir cada um                                      |

Some a isso a identidade e o contato do encarregado (art. 41, § 1º), a seção de cookies e, se houver transferência internacional, as informações exigidas pela Resolução nº 19/2024 (veja abaixo).

A política não pode ser genérica: se ela fala em cookies "para melhorar a experiência" e o site carrega um pixel de anúncios, a informação não é clara nem específica. E ela muda quando o site muda: o art. 8º, § 6º, manda avisar o titular, com destaque, quando a finalidade, a forma, a duração, o controlador ou o compartilhamento mudam. Coloque a data da última atualização no topo.

## Cookies e analytics segundo o guia da ANPD

O [Guia Orientativo "Cookies e proteção de dados pessoais"](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-cookies-e-protecao-de-dados-pessoais.pdf) é de outubro de 2022 (versão 1.0) e continua sendo a referência da ANPD para o tema. O guia não é lei, mas mostra como a autoridade lê a LGPD. Ele separa os cookies em necessários e não necessários, e é essa divisão que define a base legal:

- **Necessários** (login, carrinho, pagamento, segurança): o guia diz que o consentimento não é a base apropriada, porque o visitante não tem escolha real, e aponta o legítimo interesse.
- **Analíticos ou de desempenho**: podem se apoiar no legítimo interesse "em determinados contextos". O guia descreve as condições: medição limitada a padrões e tendências, com dados agregados, sem combinação com outros mecanismos de rastreamento e sem formar perfis. No exemplo 4 do guia, o aviso explica a finalidade, a retenção e a possibilidade de oposição.
- **De publicidade**: o guia diz que o legítimo interesse "dificilmente" será a base mais apropriada, sobretudo com cookies de terceiros, perfis ou rastreamento entre sites. O consentimento é a base indicada.

O teste prático para o seu analytics: se ele alimenta públicos de remarketing, é integrado à conta de anúncios ou é cruzado com o CRM para montar perfis, ele saiu da "medição de audiência" descrita no guia e entra na lógica da publicidade. Se você ainda está escolhendo a ferramenta, comparamos GA4 e PostHog, incluindo consentimento e local de armazenamento, em [PostHog vs Google Analytics](https://dardo.studio/pt/blog/ga4-vs-posthog/).

## O banner: o que a ANPD recomenda e o que desaconselha

As duas listas do guia, resumidas:

| O guia recomenda                                                                                   | O guia desaconselha                                                    |
| -------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------- |
| Botão para rejeitar todos os cookies não necessários, fácil de ver, no primeiro e no segundo nível | Um único botão ("concordo", "aceito", "ciente") sem opção de gerenciar |
| Link visível para o titular exercer os direitos                                                    | Destacar só o "aceitar" e esconder o "rejeitar" ou o "configurar"      |
| Segundo nível com categorias e finalidades descritas                                               | Cookies não necessários ativados por padrão                            |
| Consentimento por finalidade, quando couber                                                        | Não ter segundo nível                                                  |
| Cookies baseados em consentimento desativados por padrão                                           | Não oferecer um jeito direto de revogar o consentimento                |
| Instruções para bloquear cookies no navegador                                                      | Política de cookies só em idioma estrangeiro                           |
|                                                                                                    | Lista tão detalhada que cansa e impede uma escolha clara               |

O guia também diz que não é recomendável presumir que quem continua navegando consentiu. E o banner precisa fazer o que promete: as tags de anúncio não podem disparar antes do aceite. Para testar, abra o site numa janela anônima, clique em rejeitar e veja na aba Rede se algum pixel de anúncio carregou mesmo assim. Se carregou, nenhum texto de política corrige o problema: é preciso mudar a configuração das tags.

Um banner nem sempre é obrigatório. Se o site só usa cookies necessários e um analytics que cumpre as condições do guia, o guia admite que você não peça consentimento; ainda assim, é preciso informar e oferecer a oposição, como no exemplo 4.

## Formulários de contato e newsletter

No formulário, os princípios do art. 6º viram decisões de campo:

- **Necessidade** (art. 6º, III): peça só o que a resposta exige. Para um orçamento, nome, e-mail e a descrição do projeto bastam; CPF, data de nascimento e endereço completo não.
- **Finalidade separada**: se você quer mandar newsletter para quem pediu orçamento, use uma caixa própria, desmarcada, com o texto do que a pessoa vai receber. Uma caixa que mistura "aceito os termos" e "aceito receber ofertas" junta finalidades que o art. 8º, § 4º, manda separar.
- **Fim do tratamento**: quando a finalidade se esgota, o dado deve ser eliminado (arts. 15 e 16), salvo exceções como obrigação legal. Defina um prazo para os leads que não viraram clientes e cumpra-o.
- **Segurança** (art. 46): formulário em HTTPS, acesso à caixa de entrada e ao CRM restrito a quem precisa, e autenticação em dois fatores nas contas.
- **Incidente**: se um vazamento puder causar risco ou dano relevante, o controlador comunica a ANPD e o titular em [3 dias úteis](https://www.gov.br/anpd/pt-br/canais%5Fatendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis), conforme a Resolução CD/ANPD nº 15/2024. Agentes de pequeno porte têm prazo em dobro (Resolução nº 2/2022, art. 14).

A ferramenta que recebe o formulário (RD Station, HubSpot, Google Forms) trata os dados por você: é operadora e entra na política, no item de uso compartilhado.

## Encarregado (DPO) e a dispensa para pequenos negócios

O art. 41 manda o controlador indicar um encarregado e divulgar a identidade e o contato dele, "preferencialmente no sítio eletrônico". A [Resolução CD/ANPD nº 18/2024](https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-18-de-16-de-julho-de-2024-572632074) detalhou a regra:

- A indicação é feita por ato formal: um documento escrito, datado e assinado (art. 3º).
- A identidade e o contato vão para o site "em local de destaque e de fácil acesso" (art. 9º), com pelo menos o nome completo, ou a razão social e o nome do responsável se o encarregado for uma empresa.
- O contato publicado precisa permitir o exercício dos direitos e o recebimento de comunicações da ANPD (art. 9º, § 2º).

**A dispensa.** A Resolução nº 2/2022 dispensa os agentes de tratamento de pequeno porte de indicar encarregado (art. 11). Entram microempresas e empresas de pequeno porte, incluindo o MEI, com receita bruta anual de até R$ 4,8 milhões ([Lei Complementar nº 123/2006](https://www.planalto.gov.br/ccivil%5F03/leis/lcp/lcp123.htm), art. 3º, II), startups com receita de até R$ 16 milhões ([Lei Complementar nº 182/2021](https://www.planalto.gov.br/ccivil%5F03/leis/lcp/lcp182.htm), art. 4º, § 1º, I), entidades sem fins lucrativos e pessoas naturais que tratam dados como controladoras ou operadoras. Ficam de fora quem faz tratamento de alto risco (art. 4º: larga escala ou impacto significativo, somado a tecnologia nova, vigilância, decisão automatizada ou dados sensíveis, de crianças, adolescentes ou idosos) e quem pertence a grupo econômico acima dos limites (art. 3º).

A dispensa não elimina a obrigação de atender o titular. Quem não indica encarregado precisa oferecer um canal de comunicação (art. 11, § 1º). E aqui a ANPD foi específica: no seu [3º Relatório de Ciclo de Monitoramento](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd/3o-relatorio-do-ciclo-de-monitoramento-1o-semestre-de-2025.pdf), ela registrou que muitas empresas só oferecem um formulário no site, sem comprovante de envio, e que formulários ou sistemas que exigem cadastro prévio não são adequados para cumprir o art. 41. Publique um e-mail.

O mesmo relatório descreve a fiscalização de 20 empresas grandes, entre elas Vivo, TikTok, Uber, Latam e Serasa, por falta de encarregado ou de canal adequado: 14 entregaram toda a documentação, 6 tinham lacunas, receberam avisos e corrigiram. E a [Nota Técnica nº 54/2025](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd/nota-tecnica-no-54-2025-fis-cgf-anpd.pdf) da ANPD avisa que a ausência de encarregado e a falta de comunicação de incidente podem levar a processo sancionador mesmo fora dos temas prioritários de fiscalização.

## Ferramentas no exterior: transferência internacional

Hospedagem, analytics, CRM e ferramenta de e-mail costumam guardar dados fora do Brasil. Isso é transferência internacional, e o art. 33 só a permite em casos definidos. Para um site, os caminhos práticos são dois:

- **País ou organismo com decisão de adequação.** Pela Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, a ANPD reconheceu a União Europeia como adequada, o que inclui os países do bloco e Islândia, Liechtenstein e Noruega (veja a [lista de regulamentações da ANPD](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd)). Os Estados Unidos não têm decisão de adequação.
- **Cláusulas-padrão contratuais da ANPD.** A Resolução nº 19/2024 aprovou o texto das cláusulas e deu 12 meses, contados da publicação, para quem usava cláusulas contratuais incorporá-las aos contratos. Esse prazo terminou em agosto de 2025.

A mesma resolução cria um dever que aparece no site: o controlador publica, em português e em linguagem simples, um documento sobre a transferência com a forma, a duração e a finalidade, o país de destino, a identificação do controlador, o uso compartilhado, as responsabilidades e medidas de segurança e os direitos do titular (art. 17, § 2º). Esse texto pode ficar dentro da política de privacidade, em seção destacada (§ 3º). Se o titular pedir, você entrega a íntegra das cláusulas em 15 dias (art. 17, § 1º).

O trabalho prático: liste cada fornecedor do inventário, o país onde ele guarda os dados e o mecanismo do art. 33 que ele oferece. Se o contrato do fornecedor não menciona as cláusulas da ANPD, pergunte por escrito.

## Direitos do titular e prazos de resposta

O art. 18 garante ao titular, sem custo, confirmação, acesso, correção, eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento. Os prazos de resposta:

| Pedido                                                      | Prazo geral                                                        | Agente de pequeno porte                                |
| ----------------------------------------------------------- | ------------------------------------------------------------------ | ------------------------------------------------------ |
| Confirmação ou acesso em formato simplificado               | Imediatamente (art. 19, I)                                         | Até 15 dias (Resolução nº 2/2022, art. 15)             |
| Declaração clara e completa (origem, critérios, finalidade) | Até 15 dias (art. 19, II)                                          | Prazo em dobro: 30 dias (art. 14, III)                 |
| Correção, eliminação, portabilidade, revogação              | "Nos prazos e nos termos previstos em regulamento" (art. 18, § 5º) | Prazo em dobro, quando houver regulamento (art. 14, I) |
| Comunicação de incidente à ANPD e ao titular                | 3 dias úteis (Resolução nº 15/2024)                                | Prazo em dobro (art. 14, II)                           |

O regulamento dos direitos dos titulares ainda está por vir: o tema abre a lista da Agenda Regulatória 2025-2026 da ANPD, segundo a Nota Técnica nº 54/2025. Enquanto ele não sai, responda sem demora e registre a data do pedido e da resposta. Se não puder atender, o art. 18, § 4º, manda responder dizendo por quê ou indicando quem é o agente de tratamento. O titular pode reclamar à ANPD e também aos órgãos de defesa do consumidor (art. 18, §§ 1º e 8º).

## Sanções e casos reais

O art. 52 vai da advertência à proibição da atividade de tratamento. No meio estão a multa simples de até 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, a multa diária, a publicização da infração, o bloqueio ou a eliminação dos dados e a suspensão do banco de dados por até 6 meses. A boa-fé, a cooperação, as boas práticas e a pronta correção reduzem a pena (art. 52, § 1º, e Resolução CD/ANPD nº 4/2023).

Contamos os processos sancionadores que a ANPD lista na sua página de [decisões em processos sancionadores](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/decisoes-em-processos-sancionadores) em 17 de outubro de 2026: são 10, e só 2 envolvem empresas privadas. Os outros 8 são órgãos públicos, como o INSS, o Ministério da Saúde e secretarias de estado.

- **Telekall Inforservice (2023).** A primeira empresa sancionada. Segundo a [cobertura da Teletime](https://teletime.com.br/06/07/2023/anpd-publica-primeira-sancao-ao-setor-privado-por-descumprimento-da-lgpd/) na época (a decisão original não estava acessível no site da ANPD quando a procuramos), ela recebeu uma advertência por infração ao art. 41, sobre o encarregado, e duas multas de R$ 7,2 mil, uma pelo art. 7º da LGPD e outra pelo art. 5º do Regulamento de Fiscalização da ANPD, somando R$ 14,4 mil.
- **ByteDance Brasil (2026).** No [Despacho Decisório nº 27/2026](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/decisoes-em-processos-sancionadores/despacho-decisorio-no-27-2026-cgs-sfi.pdf), assinado em 24 de agosto de 2026, a ANPD aplicou multas que somam R$ 153.769.671,33 por cinco condutas ligadas a dados de crianças e adolescentes no TikTok: tratar dados de menores de 18 anos sem base legal válida (art. 7º), não adotar medidas para impedir o acesso e o cadastro de menores de 13 anos (art. 6º, VIII) e não demonstrar medidas eficazes de prestação de contas (art. 6º, X). Cada conduta ficou abaixo do teto de R$ 50 milhões; a soma passa dele porque são infrações diferentes. A decisão também manda eliminar os dados de adolescentes cuja representação não for regularizada em 60 dias úteis, com multa diária de R$ 137.081,49. É uma decisão de primeira instância, com recurso possível, e a página da ANPD marcava o processo como em andamento.

A lição para quem tem um site: as multas a empresas privadas já foram de R$ 14,4 mil a R$ 153,8 milhões, e no caso ByteDance parte da multa veio de não conseguir demonstrar o que foi feito. Documentar inventário, bases legais e respostas a titulares é obrigação da lei (art. 6º, X).

## Checklist LGPD para um site

| Item                        | O que verificar                                                                  | Onde está a regra                          |
| --------------------------- | -------------------------------------------------------------------------------- | ------------------------------------------ |
| Inventário                  | Lista de cada dado, ferramenta e domínio de terceiros que o site carrega         | Art. 6º, X; art. 37                        |
| Base legal                  | Uma base por finalidade, registrada por escrito                                  | Art. 7º                                    |
| Política de privacidade     | Os sete itens do art. 9º, data de atualização, sem texto genérico                | Art. 9º                                    |
| Banner                      | Rejeitar com o mesmo destaque que aceitar; não necessários desligados por padrão | Guia de Cookies da ANPD                    |
| Tags                        | Nenhum pixel de anúncio dispara antes do aceite (teste na aba Rede)              | Arts. 7º, I, e 8º                          |
| Revogação                   | Link permanente para mudar a escolha de cookies, no rodapé                       | Art. 8º, § 5º                              |
| Formulários                 | Só campos necessários; caixa de marketing separada e desmarcada                  | Arts. 6º, III, e 8º, § 4º                  |
| Retenção                    | Prazo definido para leads e registros, e eliminação no fim                       | Arts. 15 e 16                              |
| Encarregado ou canal        | Nome e e-mail publicados em local de destaque, não só um formulário              | Art. 41; Resoluções nº 2/2022 e nº 18/2024 |
| Transferência internacional | Mecanismo do art. 33 por fornecedor e texto de transparência publicado           | Resolução nº 19/2024                       |
| Crianças                    | Se o público inclui menores, consentimento dos pais e regras do ECA Digital      | Art. 14; Lei nº 15.211/2025                |
| Segurança                   | HTTPS, acessos restritos, dois fatores, backups                                  | Art. 46                                    |
| Incidente                   | Plano para comunicar ANPD e titulares em 3 dias úteis                            | Resolução nº 15/2024                       |
| Pedidos de titulares        | Processo para responder e registro de cada pedido                                | Arts. 18 e 19                              |

## O que fazer agora

Comece pelo inventário da aba Rede e pelo teste do botão rejeitar: são os dois passos que mostram se o site faz o que a política diz. Se for refazer o site, inclua a privacidade no escopo desde o começo; ver [quanto custa um site no Brasil](https://dardo.studio/pt/blog/quanto-custa-um-site/) ajuda a orçar essa parte. Se quiser que a Dardo implemente o banner, as tags condicionadas ao consentimento e o analytics, veja [configuração de analytics](https://dardo.studio/pt/servicos/configuracao-de-analytics/) e [desenvolvimento web](https://dardo.studio/pt/servicos/desenvolvimento-web/); para manter tudo funcionando depois de cada mudança, há a [manutenção de sites](https://dardo.studio/pt/servicos/manutencao-de-sites/), com preços na nossa página de [preços](https://dardo.studio/pt/precos/).

## Perguntas frequentes

**Todo site precisa de banner de cookies pela LGPD?**

Não necessariamente. O banner de consentimento é necessário quando o site usa cookies que dependem de consentimento, como os de publicidade e remarketing. Se o site usa só cookies necessários e um analytics agregado, sem perfis nem cruzamento com outros rastreadores, o guia da ANPD admite o legítimo interesse, mas você ainda precisa informar o visitante e oferecer a oposição.

**Microempresa precisa ter encarregado de dados (DPO)?**

Não. A Resolução CD/ANPD nº 2/2022 dispensa microempresas, empresas de pequeno porte, MEIs e startups de indicar encarregado, desde que não façam tratamento de alto risco nem pertençam a grupo econômico acima dos limites de receita. Quem usa a dispensa precisa oferecer um canal de comunicação com o titular, e a ANPD recomenda um e-mail, não só um formulário.

**Posso usar Google Analytics sem consentimento?**

Depende de como ele está configurado. O guia da ANPD aceita o legítimo interesse para medição de audiência com dados agregados, sem formar perfis e sem combinar com outros rastreadores. Se o analytics alimenta públicos de remarketing ou é integrado a contas de anúncio, ele entra na lógica da publicidade, e a base indicada passa a ser o consentimento.

**Preciso de consentimento para o formulário de contato do site?**

Em geral, não. Quando a pessoa pede um orçamento ou contato, a base costuma ser a de procedimentos preliminares relacionados a contrato, a pedido do titular (art. 7º, V). O consentimento passa a ser necessário se você quiser usar o mesmo e-mail para newsletter ou ofertas, com uma caixa própria e desmarcada.

**Qual é a multa da LGPD para um site?**

A multa simples pode chegar a 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, e há outras sanções, da advertência à proibição do tratamento. As multas já aplicadas a empresas privadas foram de R$ 14,4 mil, em 2023, a R$ 153,8 milhões, contra a ByteDance Brasil em agosto de 2026, ainda em primeira instância.

**Em quanto tempo preciso responder um pedido de acesso aos dados?**

A confirmação ou o acesso em formato simplificado deve ser imediato, e a declaração completa sai em até 15 dias (art. 19). Agentes de pequeno porte têm até 15 dias para a versão simplificada e prazo em dobro, 30 dias, para a completa. Os prazos dos demais direitos ainda dependem de regulamento da ANPD.

**Posso copiar a política de privacidade de outro site?**

Um modelo ajuda a organizar, mas a política precisa descrever o que o seu site faz: quais dados coleta, com quais ferramentas, por quanto tempo e com quem compartilha. Uma política que não bate com as tags que o site carrega não cumpre o dever de informação do art. 9º. Faça o inventário primeiro e escreva a política a partir dele.

## Fontes e leituras adicionais

Fontes desta página, com mais detalhes dos publicadores originais.

- [Planalto: Lei nº 13.709/2018, Lei Geral de Proteção de Dados (texto compilado)](https://www.planalto.gov.br/ccivil%5F03/%5Fato2015-2018/2018/lei/l13709compilado.htm) · planalto.gov.br
- [ANPD: Guia Orientativo Cookies e proteção de dados pessoais (outubro de 2022)](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-cookies-e-protecao-de-dados-pessoais.pdf) · gov.br
- [ANPD: Resolução CD/ANPD nº 2/2022, agentes de tratamento de pequeno porte](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022) · gov.br
- [Diário Oficial da União: Resolução CD/ANPD nº 18/2024, regulamento do encarregado](https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-18-de-16-de-julho-de-2024-572632074) · in.gov.br
- [ANPD: Resolução CD/ANPD nº 19/2024, transferência internacional e cláusulas-padrão](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd/resolucao-cd-anpd-no-19-de-23-de-agosto-de-2024) · gov.br
- [ANPD: Regulamentações da ANPD (Resoluções nº 4/2023 e nº 32/2026)](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd) · gov.br
- [ANPD: Comunicado de incidente de segurança (CIS)](https://www.gov.br/anpd/pt-br/canais%5Fatendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) · gov.br
- [ANPD: Decisões em processos sancionadores](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/decisoes-em-processos-sancionadores) · gov.br
- [ANPD: Despacho Decisório nº 27/2026/CGS/SFI, ByteDance Brasil](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/decisoes-em-processos-sancionadores/despacho-decisorio-no-27-2026-cgs-sfi.pdf) · gov.br
- [ANPD: 3º Relatório de Ciclo de Monitoramento (2º semestre de 2023 a 1º semestre de 2025)](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd/3o-relatorio-do-ciclo-de-monitoramento-1o-semestre-de-2025.pdf) · gov.br
- [ANPD: Nota Técnica nº 54/2025, Mapa de Temas Prioritários 2026-2027](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes%5Fanpd/nota-tecnica-no-54-2025-fis-cgf-anpd.pdf) · gov.br
- [Planalto: Lei nº 12.965/2014, Marco Civil da Internet](https://www.planalto.gov.br/ccivil%5F03/%5Fato2011-2014/2014/lei/l12965.htm) · planalto.gov.br
- [Planalto: Lei Complementar nº 123/2006, microempresas e empresas de pequeno porte](https://www.planalto.gov.br/ccivil%5F03/leis/lcp/lcp123.htm) · planalto.gov.br
- [Planalto: Lei Complementar nº 182/2021, marco legal das startups](https://www.planalto.gov.br/ccivil%5F03/leis/lcp/lcp182.htm) · planalto.gov.br
- [Planalto: Lei nº 15.211/2025, Estatuto Digital da Criança e do Adolescente](https://www.planalto.gov.br/ccivil%5F03/%5Fato2023-2026/2025/lei/l15211.htm) · planalto.gov.br
- [Planalto: Lei nº 15.352/2026, Agência Nacional de Proteção de Dados](https://www.planalto.gov.br/ccivil%5F03/%5Fato2023-2026/2026/lei/l15352.htm) · planalto.gov.br
- [Teletime (imprensa): ANPD publica primeira sanção ao setor privado, julho de 2023](https://teletime.com.br/06/07/2023/anpd-publica-primeira-sancao-ao-setor-privado-por-descumprimento-da-lgpd/) · teletime.com.br

[Nicolás Cerón](https://dardo.studio/pt/nicolas-ceron/)

Nicolás Cerón é o fundador da Dardo, um estúdio de marca, design e desenvolvimento web em Bogotá, na Colômbia.

## Artigos relacionados

- [**PostHog vs Google Analytics: qual um site de marketing ou SaaS precisa e quando usar os dois**O GA4 conecta com Google Ads e Search Console; o PostHog traz replay, feature flags e experimentos. Qual você precisa, quanto cada um custa e como usar os dois.](https://dardo.studio/pt/blog/ga4-vs-posthog/)
- [**Quanto custa um site no Brasil em 2026? Preços publicados por agências, freelancers e plataformas**Preços que mais de 30 fornecedores brasileiros publicam: landing page, site institucional e loja virtual, mais domínio, hospedagem e manutenção.](https://dardo.studio/pt/blog/quanto-custa-um-site/)
- [**Acessibilidade digital e a Lei Brasileira de Inclusão: o que a LBI, a NBR 17225 e o eMAG exigem do seu site**O art. 63 da LBI obriga empresas e governo a ter sites acessíveis. O que pedem a NBR 17225 e o eMAG, a ação do MPF de 2026 e um plano para cumprir.](https://dardo.studio/pt/blog/acessibilidade-digital-lei-brasileira-de-inclusao/)
- [**Webflow ou WordPress em 2026: qual é melhor? Custos reais, edição, SEO e velocidade**Quanto custa em três anos um site bilíngue de 20 páginas com blog de 300 posts no Webflow e no WordPress, e como eles se comparam em edição, SEO e velocidade.](https://dardo.studio/pt/blog/webflow-ou-wordpress/)

## Continue explorando.

- [Serviço · **Desenvolvimento web para os EUA e a América Latina**](https://dardo.studio/pt/servicos/desenvolvimento-web/)

- [Seu projeto · **Vamos conversar**](https://dardo.studio/pt/contato/)