Política de privacidade pronta (LGPD): copie e não tome multa de R$14 mil

Você terminou o site da sua igreja, do seu escritório, da sua loja. Está no ar. Aí você lembra: "mas e a tal LGPD?". Pesquisa no Google e trava. Vê gente cobrando R$2.000, R$5.000 por "adequação". Você não é obrigado a contratar ninguém — a LGPD (Lei 13.709/2018) é clara: o que você precisa é de uma política de privacidade linkada, um banner opt-in com botão Rejeitar equivalente ao Aceitar e um aviso no formulário dizendo o que você faz com o dado. Pronto. Para micro e pequeno site, isso é o mínimo suficiente. Este artigo te dá: a LGPD sem juridiquês, o modelo de 40 linhas para colar no seu site, o banner correto para copiar, e o número exato da multa que a ANPD aplicou pela primeira vez a uma microempresa — para você saber que não é "lenda urbana de escritório de advocacia". Até o fim, você sai com tudo pronto para colar. Se travar, fala no WhatsApp.

1. O que é a LGPD em uma frase

A Lei Geral de Proteção de Dados (Lei 13.709/2018) entrou em vigor em 2020, com sanções administrativas aplicáveis desde agosto de 2021. O art. 1º diz: "dispõe sobre a proteção de dados pessoais (...) com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade". Em uma frase: seu site só pode coletar dados pessoais com uma justificativa clara, e tem que provar essa justificativa. "Dado pessoal" é qualquer informação que identifique uma pessoa — nome, e-mail, telefone, IP, número de WhatsApp, até cookie de rastreio.

Para site pequeno (MEI, igreja, rádio, loja, professor autônomo, clínica), as obrigações se resumem a três entregas: política de privacidade linkada, banner de cookies opt-in com Rejeitar equivalente, e aviso de finalidade em cada formulário. Não precisa de DPO, não precisa de Relatório de Impacto, não precisa de empresa de compliance. O art. 4º, I, da LGPD exclui tratamento para fins "exclusivamente particulares e não econômicos" — mas isso é o seu uso pessoal do WhatsApp, não o site que recebe contato de clientes. A regra prática é: se o site tem formulário de contato, é LGPD.

2. O caso Telekall: a multa que abriu o olho

No dia 6 de julho de 2023, a Autoridade Nacional de Proteção de Dados (ANPD) aplicou a primeira multa administrativa da história a uma empresa privada no Brasil. Foi à Telekall Infoservice, microempresa de Vila Velha/ES, do ramo de telefonia, multada em R$14.400 por três infrações. Publicação no DOU, Processo Administrativo Sancionador nº 00261.000489/2022-62. Das três multas, a mais simbólica é a do art. 7º da LGPD: a empresa não conseguia provar a base legal para tratar os dados de contatos de WhatsApp de eleitores que havia comprado. As outras duas foram art. 41 (não ter encarregado/DPO nomeado) e art. 5º do Regulamento de Fiscalização (não responder à ANPD durante o processo). Por se tratar de microempresa, o valor de cada infração ficou limitado a 2% do faturamento bruto, totalizando R$14.400 — exatamente o número que todo dono de site pequeno encontra em blog. É real, é oficial, é público.

O detalhe que pega o site pequeno: a infração do art. 7º foi "ausência de comprovação de base legal". O artigo 7º lista dez hipóteses em que o tratamento é permitido — e a Telekall não provava nenhuma. Para o seu site com formulário de contato, a base legal mais simples e defensável é o consentimento (art. 7º, I): o usuário clica "Aceitar" no banner e no botão "Enviar mensagem" do formulário, e você registra isso. Simples. Mas tem que registrar.

3. Os 10 casos em que a LGPD permite tratar dados (art. 7º)

O art. 7º, § 1º, da LGPD define dez hipóteses de tratamento. Para site pequeno, três importam: I — consentimento (o caso mais comum para formulário de contato); V — execução de contrato (quando a coleta é para entregar o serviço que o cliente pediu, ex.: e-mail para enviar boleto); e IX — legítimo interesse (o caso mais raro, exige Relatório de Impacto à Proteção de Dados — RIPD, art. 10, § 3º). As outras hipóteses são para obrigação legal, pesquisa, tutela de saúde, segurança — não se aplicam a 99% dos sites. Se o seu site só tem formulário de "Fale conosco" e botão de WhatsApp, a base legal é consentimento (I). Para e-commerce com carrinho e login, é execução de contrato (V). Não tente usar legítimo interesse (IX) para analytics do Google — o art. 10, § 3º, exige RIPD, e ninguém vai fazer isso para um site de igreja.

Detalhe que pega muita gente: o consentimento precisa ser específico e destacado (art. 8º, § 1º). Não vale uma checkbox pré-marcada embaixo do formulário ("Ao enviar, você concorda com a política"). A checkbox tem que estar desmarcada por padrão, e o usuário tem que clicar nela explicitamente. Tampouco vale o famoso "ao continuar navegando você aceita os cookies" — isso foi condenado pela ANPD em 2023 e é a prática que gerou parte da multa no caso Telekall.

4. Os 9 direitos do titular (art. 18) — e por que isso te obriga a ter canal de contato

O art. 18 da LGPD dá ao visitante nove direitos: confirmação de tratamento, acesso aos dados, correção, anonimização/bloqueio/eliminação, portabilidade, informação sobre uso compartilhado, informação sobre consequências de não consentir, revogação do consentimento, e peticionar à ANPD. Na prática, o que isso significa para o seu site: você precisa ter um canal de comunicação claro para o visitante exercer esses direitos — um e-mail, um formulário "Solicitar meus dados", um link no rodapé. Para micro site, basta um e-mail tipo "privacidade@seudominio.com.br" linkado na política e no rodapé. Sem esse canal, o visitante não tem como pedir a exclusão do dado — e aí, sim, a ANPD pode considerar tratamento irregular.

O art. 18, § 5º, diz que o atendimento é "sem custos para o titular". Ou seja: você não pode cobrar para deletar o dado de alguém. O atendimento precisa acontecer em prazo razoável — a ANPD não fixou prazo único, mas a jurisprudência europeia (GDPR, art. 12, § 3) e a doutrina convergem para 15 dias como referência. Para micro site, responder em 5 dias úteis é mais que suficiente.

5. Os 10 princípios (art. 6º) — o que a ANPD avalia quando fiscaliza

O art. 6º lista os dez princípios que guiam o tratamento: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas. Em uma frase: colete o mínimo necessário, diga para que serve, proteja, e prove que fez tudo isso. A fiscalização da ANPD, conforme o art. 52 da LGPD, começa por aí. Se você responde a um ofício da ANPD com a sua política linkada, a evidência do consentimento e a lista do que faz com cada dado, o processo morre em advertência (a sanção mais leve). Se você não responde, o caso escala — foi exatamente o que aconteceu com a Telekall na segunda infração (não atender à ANPD).

Para site pequeno, três coisas reduzem 90% do risco: (1) o banner com Rejeitar equivalente (próxima seção); (2) a política linkada com a verdade do que você faz (não copiar de outro site); (3) o registro de consentimento — pode ser um log simples com data, IP truncado e checkbox clicada, salvo por 5 anos (prazo de defesa em fiscalização, art. 52, § 5º, LGPD).

6. Como fazer o banner de cookies correto (sem virar a próxima Telekall)

Em outubro de 2023, a ANPD publicou o Guia Orientativo sobre Cookies e Proteção de Dados Pessoais. Os pontos centrais, todos com base no art. 7º, I (consentimento), art. 8º (forma do consentimento) e art. 9º (informação ao titular):

• O banner deve aparecer no primeiro acesso, antes de qualquer cookie não essencial ser instalado. Se o Google Analytics carrega antes do clique no botão, há violação por tratamento sem consentimento.
• Os botões "Aceitar todos" e "Rejeitar todos" devem ter destaque equivalente — mesmo tamanho de fonte, mesma posição, mesma intensidade de cor. Esconder o "Rejeitar" atrás de "Configurações" em letra cinza é dark pattern condenado.
• O usuário deve poder navegar no site mesmo sem aceitar cookies não essenciais. O famoso "cookie wall" (bloquear o site até o usuário aceitar tudo) é vedado.
• O consentimento deve ser revogável com a mesma facilidade — um link "Gerenciar cookies" no rodapé do site, abrindo o banner de novo, é a melhor prática.
• Categorias devem ser configuráveis separadamente: essenciais, analíticos, marketing, funcionalidade. Toggles desligados por padrão na tela de personalização.
• O consentimento precisa ser registrado em backend: data, hora, IP (pode ser truncado / hash), categorias aceitas, versão da política. Esse registro é a sua defesa em fiscalização.

Para o site pequeno, o caminho mais barato é usar o Google Consent Mode v2 — você declara ad_storage: denied e analytics_storage: denied por padrão, e o Google só carrega Analytics e Ads quando o usuário aceita. Não precisa pagar Cookiebot ou Usercentrics para começar. O importante é a lógica: nada de cookie de analytics/marketing antes do consent.

7. O que precisa ter na política de privacidade (o modelo de 40 linhas)

A política de privacidade não precisa ter 30 páginas. Para site pequeno, 8 seções cobrem o mínimo da LGPD e da expectativa da ANPD: (1) quem somos (controlador, com CNPJ ou CPF); (2) quais dados coletamos e por quê; (3) como coletamos (formulário, WhatsApp, cookies); (4) base legal de cada coleta (art. 7º, I para consentimento); (5) com quem compartilhamos (Google Analytics, gateway de pagamento, hospedagem); (6) por quanto tempo guardamos; (7) como o titular exerce os direitos do art. 18; (8) como falar com o encarregado (pode ser você mesmo, com e-mail de contato). O art. 9º obriga a informar finalidade específica, forma e duração, identificação do controlador, contato, uso compartilhado, e direitos do titular com menção explícita ao art. 18. Não precisa de linguagem jurídica rebuscada — o art. 9º fala em "informações claras, precisas e facilmente acessíveis", e o princípio da transparência (art. 6º, VI) é o que vale.

A política pronta de 40 linhas que oferecemos no link ao fim deste artigo tem exatamente essas 8 seções, em português claro, com cláusulas de revogação, prazo de retenção de 24 meses para leads de formulário (referência de mercado) e canal de exercício de direitos. É só substituir o nome do seu negócio, CNPJ e os sistemas que você usa (ex.: "Hospedagem: Hostinger. Analytics: Google Analytics. Pagamento: Mercado Pago"). Em 10 minutos, você tem o link pronto.

8. E o DPO/Encarregado? Preciso contratar?

O art. 41 da LGPD obriga o controlador a indicar um encarregado pelo tratamento de dados pessoais (o famoso DPO). Foi a infração do art. 41 que rendeu a advertência à Telekall (sem multa, mas mancha o nome). Para micro e pequeno porte, a ANPD simplificou: o próprio dono pode ser o encarregado, sem formação específica, sem certificado, sem empresa terceira. Basta nomear no contrato social, na política de privacidade e em um e-mail do tipo "encarregado@seudominio.com.br" (ou usar o mesmo "privacidade@"). A Resolução CD/ANPD nº 2/2022 trata de flexibilização para pequeno porte — não isenta de indicar, mas dispensa formalidades extras. Se o seu CNPJ é MEI e o site é institucional, a indicação como "o próprio controlador, contato privacidade@..." atende.

A multa por não ter encarregado, no caso Telekall, foi só advertência — a ANPD entendeu que, isoladamente, a omissão não justificava multa para micro. Mas somada às outras duas infrações (art. 7º e art. 5º do regulamento), pesou na dosimetria final. O conselho é: declare o encarregado na sua política, mesmo que seja você. Custo zero, risco zero.

9. Quanto custa uma multa LGPD — o que diz o art. 52

O art. 52 da LGPD define 9 sanções: advertência, multa simples, multa diária, publicização da infração, bloqueio dos dados, eliminação dos dados, suspensão parcial do banco de dados, suspensão do exercício da atividade, e proibição parcial ou total. A multa simples pode chegar a 2% do faturamento do grupo econômico, limitada a R$ 50 milhões por infração (art. 52, II, da LGPD). Para pessoa natural ou empresa sem faturamento, a Resolução CD/ANPD nº 4/2023 definiu valores mínimos de R$ 1.000 (infração leve), R$ 2.000 (média) e R$ 4.000 (grave) no Apêndice II. Para empresa com faturamento, o cálculo usa alíquotas sobre o faturamento bruto do último exercício: 0,08% a 0,15% (leve), 0,13% a 0,5% (média), 0,45% a 1,5% (grave), com agravantes e atenuantes.

Na prática, para o micro site (MEI, pequeno faturamento), o que importa é: a multa mínima é R$1.000 e a Telekall pagou R$14.400 por três infrações. Quem faz o mínimo razoável (política + banner + formulário avisado + encarregado nomeado) está no risco de R$0 a R$4.000 — e mesmo assim, com resposta à ANPD em 10 dias, a tendência é fechar em advertência. Quem não faz nada e ignora a fiscalização, paga o que vier. A multa diária (art. 52, III) tem limite de R$ 50.000.000 por infração — esse é o teto para casos absurdos (recusa total de adequação).

10. Os 5 erros que te colocam no radar da ANPD

1. Banner só com "Aceitar" e "Saiba mais" — o Rejeitar escondido é a infração mais comum em 2026. Aparece em todo relatório de auditoria automática. Multa certa.
2. Cookies de analytics/marketing disparando antes do clique — Google Analytics carregando enquanto o banner ainda está aberto é o erro técnico mais frequente. Use Consent Mode v2 com default denied.
3. Política genérica copiada de template estrangeiro — falar "we are GDPR-compliant" em site brasileiro é sinal vermelho. A LGPD é lei nacional, com artigos próprios. O controlador que copia política americana/europeia sem adaptar comete infração por informação falsa.
4. Formulário sem aviso de finalidade — campo de "Deixe seu e-mail" sem dizer "vamos usar para enviar a newsletter" ou "para responder seu contato" viola o art. 9º. A frase curta embaixo do campo resolve.
5. Não responder à ANPD — foi a 3ª infração da Telekall (R$ 7.200 dos R$ 14.400). A ANPD notifica, abre prazo de 10 dias úteis para defesa. Quem ignora, leva multa quase certa.

11. Checklist pronto: o que fazer esta semana

Para sair deste artigo com o site em conformidade:

• [ ] Política de privacidade com 8 seções (modelo de 40 linhas no link ao fim)
• [ ] Banner com botões "Aceitar todos" e "Rejeitar todos" de mesmo tamanho
• [ ] Google Consent Mode v2 com default denied
• [ ] Cookies de marketing (Facebook Pixel, Google Ads) só após consentimento
• [ ] Checkbox desmarcada por padrão em todos os formulários: "Li e concordo com a Política de Privacidade"
• [ ] E-mail privacidade@seudominio.com.br (ou encarregado@) linkado no rodapé
• [ ] Encarregado nomeado na política (pode ser o próprio dono)
• [ ] Log de consentimento salvo em backend por 5 anos (data, IP truncado, versão da política)

Tempo total: 1 a 2 horas para um site pequeno. Custo: zero. Para o caso Telekall, foi o suficiente para sair do "risco certo de multa" para "risco residual de R$0 a R$ 1.000, com tendência a advertência se houver fiscalização".

12. Quando você PRECISA de um advogado (e quando não precisa)

Para site pequeno que coleta só nome, e-mail e telefone via formulário e tem banner opt-in básico, você não precisa de advogado — este artigo e o modelo pronto resolvem. Você só precisa de profissional se: (a) seu site trata dados sensíveis (saúde, religião, opinião política — art. 11 da LGPD); (b) você transfere dados para fora do Brasil (Google nos EUA conta, mesmo com cláusulas-padrão — art. 33–36); (c) seu faturamento passa de R$ 2–3 milhões/mês e a multa de 2% começa a doer. Nesses casos, a estrutura de governança, RIPD e contrato com operadores entram em campo, e o escritório de advocacia se paga.

Para o resto — 90% dos sites brasileiros — o caminho é o que está aqui. Política linkada, banner correto, formulário avisado, encarregado nomeado, log de consentimento guardado. Até a próxima.

Quer a política pronta para colar no seu site? Modelo de 40 linhas, banner com Rejeitar equivalente, e checklist de 1 página em PDF. Fala no WhatsApp: clica aqui e o modelo vai na conversa.